Организация защиты персональных данных работников

Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Организация защиты персональных данных работников». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.

Четкое определение понятия персональных данных приведено в части первой статьи 3 Закона № 152 от 27.07.2006 года «О персональных данных». Это любая информация, прямо или косвенная относящаяся к физическому лицу.
Иными словами, персональными данными является абсолютно все – от имени человека до сведений, содержащихся в его трудовой книжке. Сюда же входят данные о доходах, семейном положении, адресе проживания и так далее.

Персональные данные или нет?

Персональные данные – это любая информация, относящаяся к определенному или определяемому физическому лицу (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее – Закон о персональных данных). К ним относятся:

• фамилия, имя, отчество;
• пол;
• возраст;
• место жительства;
• изображение сотрудника (фотография и видеозапись), которое позволяет установить личность;
• образование, квалификация, профессиональная подготовка;
• семейное положение, наличие детей, родственные связи;
• факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии и т.д.);
• деловые и иные личные качества;
• медицинские сведения;
• номер телефона;
• прочие сведения, которые могут идентифицировать работника.

Обработка персональных данных

В соответствии с п. 3 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» обработка персональных данных — это любое действие (операция) или совокупность действий (операций), совершаемых с использованием или без использования средств автоматизации, с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

До начала обработки персональных данных вы обязаны уведомить Роскомнадзор о намерении их обрабатывать (ч. 1 ст. 22 Закона о персональных данных)

Риски при нарушении требований к обработке персональных данных работников организации

В соответствии со ст. 13.14 КоАП РФ разглашение подобной информации (за исключением случаев, если такое разглашение влечет уголовную ответственность) лицом, получившим доступ к ней в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа:

• — на граждан — от 500 до 1 000 руб.;
• — на должностных лиц — от 4 000 до 5 000 руб.

Следовательно, если будет установлено, что разглашение персональных данных произошло по вине работника, ответственного за хранение, обработку и использование персональных данных

За нарушение законодательства в области персональных данных работодатель может быть привлечен к административной ответственности по ст. 13.11 КоАП РФ.

В частности, обработка персональных данных без письменного согласия работника (когда оно необходимо), если эти действия не содержат уголовно наказуемых деяний, влечет наложение штрафа (ч. 2 ст. 13.11 КоАП РФ):

• — на граждан — от 6 до 10 тыс. руб., повторное нарушение — от 10 до 20 тыс. руб.;
• — должностных лиц — от 20 до 40 тыс. руб., повторное нарушение — от 40 до 100 тыс. руб.;
• — юридических лиц — от 30 до 150 тыс. руб., повторное нарушение — от 300 до 500 тыс. руб.

Статья 137 УК РФ: наказание за разглашение персональных данных

Изначально следует отметить, что уголовная ответственность может наступить, если речь идет именно о разглашении личной информации, например, о состоянии здоровья, интимной сфере, образе жизни и т.д. Вид и серьезность наказания определяются в зависимости от исполнителя правонарушения, способа распространения сведений и последствий, к которым привели незаконные действия нарушителя. Гораздо проще наказать тех, кто сообщает конфиденциальные сведения в публичных выступлениях либо через средства массовой информации.

Основные меры наказания прописаны в статьях 137 и 138 УК РФ:

• за распространение данных, составляющих личную или семейную тайну — штраф до 200 тысяч рублей (или доход за последние 1,5 года), обязательные или принудительные работы продолжительностью до 360 часов и до 2 лет, соответственно (во втором случае нарушителя лишают права до 3 лет заниматься определенной деятельностью), арест до 4 месяцев, тюремное заключение максимум на 2 года;
• за аналогичные действия в случае использования служебного положения — до 6 месяцев ареста, лишение свободы на 4 года (максимум), принудительные работы максимум в течение 4 лет с лишением возможности заниматься той или иной деятельностью до пяти лет, штраф 100-300 тысяч рублей либо в размере полученного за прошлые 1-2 года официального дохода;
• за разглашение сведений, касающихся субъектов младше 16 лет — 150-300 тысяч штрафа, лишение права заниматься определенной деятельностью до пяти лет, принудительные работы до пяти лет, 6 месяцев ареста, заключение в тюрьму на срок до 5 лет;
• за несоблюдение тайны переписки и переговоров (в любом формате — по телефону, электронной почте, в рамках видеоконференций и т.д.) — штраф до 80 тысяч рублей либо в размере полученного за прошлые полгода дохода/зарплаты, исправительные или принудительные работы в течение 1 года или 360 часов, соответственно.

Образец жалобы на незаконное использование персональных данных

В Федеральную службу по надзору в сфере защиты прав потребителей и благополучия человека

В Центральный банк Российской Федерации

От П.

Жалоба на использование персональных данных

Между мной, П., и ОАО «Уралвнешторгбанк» был заключен кредитный договор который был исполнен путем фактического исполнения в 2006 году. 2 месяца назад в мой адрес постоянно начали поступать звонки от лиц, представляющихся сотрудниками организации «Первое коллекторское бюро» с требованием оплатить задолженность по указанному выше кредиту 2 700 рублей. Однако кредит мной давно погашен, задолженности, в том числе пени я не имею, об указанных обстоятельствах я неоднократно сообщал звонившим мне работникам коллекторского агентства, однако никакого результата не последовало.

В настоящее время ОАО «Уралвнешторгбанк» не существует, поэтому обратиться в банк для урегулирования данного вопроса не представляется возможным.

В результате неправомерных действий сотрудников НАО «Первое коллекторское бюро» нарушается покой и благополучие моей семьи.

Кроме того, звонки поступают мне на работу, сотрудники коллекторского агентства в ходе этих телефонных разговоров вводят в заблуждение моих коллег и начальство, передавая им информацию, не соответствующую действительности, таким образом дискредитируя меня.

Звонки поступают со следующих номеров телефонов: …

Таким образом, необходимо сделать вывод что ПАО «Бинбанк», являющееся правопреемником ОАО «Уралвнешторгбанк» нарушило закон о банковской тайне и сообщило мои конфиденциальные данные третьим лицам.

В связи с давностью получения и выплаты кредита у меня не сохранилось никаких документов, ни кредитного договора, ни графика платежей, ни документов подтверждающих погашение кредита. В связи с вышеизложенным, считаю необходимым запросить ПАО «Бинбанк», сведения об отсутствии у меня задолженности по кредиту.

Ст. 26 Федерального закона о банках и банковской деятельности гласит, Кредитная организация, Банк России, организация, осуществляющая функции по обязательному страхованию вкладов, гарантируют тайну об операциях, о счетах и вкладах своих клиентов и корреспондентов. Все служащие кредитной организации обязаны хранить тайну об операциях, о счетах и вкладах ее клиентов и корреспондентов, а также об иных сведениях, устанавливаемых кредитной организацией, если это не противоречит федеральному закону.

Что такое персональные данные

При этом закон предусматривает градацию таких данных на общедоступные, то есть фамилия, имя, отчество, дата, год и место рождения, номер телефона и профессия, биометрические – физиологические особенности, и персональные данные, отнесенные к специальной категории – национальность, расовая принадлежность, вероисповедание, состояние здоровья и в последнее время еще и сексуальная ориентация и прочие сведения об интимной стороне жизни.

Если общедоступные персональные данные могут использоваться кем угодно по собственному усмотрению в рамках закона, а также общепринятых норм этики и морали, то биометрические – только в целях установления личности человека при отсутствии документов. Использование персональных данных специальной категории допускается исключительно с согласия их носителя.

Меры материальной ответственности

В случае незаконного распространения директором личных сведений собственных подчиненных, в его отношении может быть установлена материальная ответственность. В подобной ситуации на директора могут быть возложены следующие виды компенсаций:

• выплата денежной компенсации за причиненный сотруднику материальный ущерб. Точный размер такой выплаты всегда определяется в индивидуальном порядке. Окончательная сумма будет зависеть от различных факторов, например, от степени серьезности совершенного работодателем нарушения, от ущерба, который был причинен служащему и т.д.;
• выплата дополнительной денежной компенсации за причиненный подчиненному моральный ущерб. Данный вид ущерба представляет собой оплату психологических страданий, которые стали следствием допущенных другой стороной нарушений. Размер такой компенсации также рассчитывается индивидуально. Важным нюансом здесь будет являться тот факт, что получить такую выплату заявитель сможет лишь в судебном порядке. В иске им может быть указана абсолютно любая сумма морального вреда. Суд, в свою очередь, вправе удовлетворить выплату этой суммы полностью либо только частично.

Нормативные акты и документы по персональным данным (ТК РФ, закон № 152-ФЗ, подзаконные акты)

Вопросам работы с личными данными работников посвящены статьи 86–90 ТК РФ. Однако при применении перечисленных статей практикам следует учитывать, что основным нормативным актом, которым регулируется порядок работы с личной информацией работников, является закон «О персональных данных» от 27.07.2006 № 152-ФЗ.

Указанный ФЗ содержит определение основных терминов, используемых при обработке личной информации, перечень мер, направленных на защиту прав работников и порядок их применения в организации, а также примерный перечень внутренних документов организации, которые необходимы для регламентации работы сотрудников с персональными данными.

Персональные данные работника – ТК РФ и другие нормативы

Обязанность охранять и защищать персональные данные работника является прямой для любого работодателя. Однако, прежде чем знакомиться с условиями их хранения и обработки, следует понять, что именно представляют собой эти данные, как они могут оформляться, обрабатываться и храниться на предприятии в ходе осуществления трудовых взаимоотношений. В первую очередь, определение понятия персональных данных и порядок их использования регламентируются в трудовых взаимоотношениях следующими нормативными документами и актами:

1. ФЗ №152 от 27.07.2006. Этот закон в целом регламентирует вопрос использования личных данных в Российской Федерации, а также определяет само рассматриваемое понятие и порядок обращения с подобной информацией при осуществлении различной деятельности.
2. Постановление Правительства РФ №1119 от 01.11.2012. Этим нормативным документом устанавливаются конкретные требования к автоматизированным системам, обеспечивающим обработку и хранение персональных данных. Они являются обязательными для всех работодателей.
3. Постановление Правительства РФ №687 от 15.09.2008. Это правительственное постановление касается необходимого порядка действий и общих нормативов защиты, обработки и хранения персональных сведений в случаях, когда не применяются автоматизированные системы.

Кроме этого, регулируется данный вопрос и положениями следующих статей Трудового кодекса:

• Ст.81. Её нормативы подразумевают возможность увольнения трудящегося за разглашение тайны, в том числе и сведений об иных трудящихся на предприятии лицах.
• Ст.86. Означенная статья устанавливает общие принципы, соответственно которым производится обработка персональных данных в процессе осуществления трудовых взаимоотношений, при трудоустройстве или расторжении трудового договора.
• Ст.87. Её принципы устанавливают порядок хранения и использования наличествующих сведений о трудящихся.
• Ст.88. Означенной статьей регламентируется возможность и порядок передачи сведений о трудящихся третьим лицам.
• Ст.89. Положения этой статьи обеспечивают регулирование основных прав трудящихся, которые связаны с информацией о них.
• Ст.90. Этой статьей устанавливается возможная ответственность за нарушение законодательства в сфере защиты персональных данных сотрудников. Рассматриваемая ответственность может иметь различный характер и применяться к любой из сторон трудовых взаимоотношений.
• Ст.391. Принципы, изложенные в означенной статье, затрагивают порядок разрешения индивидуальных трудовых споров и устанавливают, что в случае, когда предметом спора сотрудника и работодателя является разглашение сведений о трудящемся, таковые ситуации должны рассматриваться сразу в судебном порядке, минуя иные процессуальные процедуры.

Ответственность за разглашение персональных данных

Закон устанавливает разную ответственность за разглашение персональных данных. В зависимости от конкретных обстоятельств дела различается степень общественной опасности действия. От этого зависит и вид ответственности – дисциплинарная, административная, уголовная. А значит и последствия.

Что такое персональные данные, категории персональных данных на сайте мы раскрыли в отдельной публикации. Обратите внимание, что сведения о заработной плате тоже являются персональными данными. И разглашать такие сведения, если они стали доступны исключительно при обработке персональных данных, нельзя. Помимо собственно разглашения ПД, есть и иные деяния, которые влекут ответственность. Например, неправомерный отказ предоставить информацию, обработка персональных данных без получения согласия и т.п.

Императивность предписаний

В современных рыночных условиях результативность деятельности предприятия непосредственно связана со своевременным обеспечением необходимыми информационными ресурсами. Поведение нанимателя в отношении личных сведений о служащем регламентируется императивными нормами. Это обусловливается публичностью рассматриваемой сферы в целом и института охраны индивидуальных сведений служащего в частности. Право на обеспечение защиты персональной информации обладает абсолютным характером. Оно предоставлено каждому служащему безотносительно его личного вклада в достижение предприятием стоящих перед ним задач. В этой связи по ст. 86 ТК работнику не следует отказываться от своего права на защиту и сохранение тайны.

Что такое персональные данные

Закон «О персональных данных» от 27.07.2006 № 152-ФЗ (далее — закон № 152-ФЗ) определяет персональные данные (далее — ПД) как всякую косвенно или напрямую относящуюся к физическому лицу (носителю ПД) информацию. Организации, индивидуальные предприниматели, государственные и муниципальные органы, а также прочие хозяйствующие субъекты в ходе своей деятельности получают и обрабатывают большой объем такой информации в отношении как своих работников, так и других граждан.
В частности, ими могут быть получены:

• данные о личности человека (паспортные данные, сведения об образовании, трудовой деятельности, военной службе, финансовом и семейном положении, медицинские данные, биографические факты);
• данные о родственниках человека;
• прочие сведения, с помощью которых можно идентифицировать человека (переписка, сведения о полученных и отправленных сообщениях, телефонных контактах).

Подробнее о том, какую именно информацию в российской судебной практике принято считать персональными данными, читайте в «КонсультантПлюс». Если у вас еще нет доступа к системе, вы можете получить его на 2 дня бесплатно. Или закажите актуальный прайс-лист, чтобы приобрести постоянный доступ.

Получение ПД должно производиться по общему правилу с согласия субъекта ПД (за исключением некоторых случаев, перечисленных в ст. 6 закона № 152-ФЗ). Обрабатывать ПД (в том числе распространять) можно только в соответствии с принципами, определенными ст. 5 того же закона, — и только в законных и заранее установленных целях, на законной основе и т. д. В противном случае возможно привлечение нарушителей к ответственности, в том числе уголовной — по ст. 137 УК РФ.

В организациях доступ к ПД обычно в силу служебных обязанностей имеют лишь руководители, сотрудники бухгалтерии, юридической и кадровой служб, а в государственных (особенно правоохранительных) и муниципальных органах он может быть и у множества рядовых сотрудников. Если такие работники будут использовать соответствующие ПД не по назначению, их может ожидать ответственность по ч. 2 или 3 ст. 137 РФ (наказание по которым гораздо строже, чем по ч. 1).

Разглашение персональных данных. Объект и предмет преступления

Уголовно наказуемое разглашение ПД посягает на отношения по обеспечению гарантированного конституцией РФ права на неприкосновенность частной жизни.

При этом разглашение ПД наказуемо по ч. 1 и 2 ст. 137 УК РФ лишь при условии, что эти данные соответствуют описанию предмета преступления, а именно:

• являются сведениями о частной жизни;
• относятся к семейной или личной тайне.

Определение понятия «частная жизнь» можно найти в судебной практике, согласно которой частной жизнью (в противовес общественной) признается жизнедеятельность индивида в сфере межличностных, семейных, интимных, бытовых отношений, неподконтрольных государству и обществу (определение КС РФ от 9.06.2005 № 248-О).

Кроме того, в целях гражданско-правовой охраны частной жизни ст. 152.1 ГК РФ определяет, что информацией о ней являются сведения о личной и семейной жизни человека, его месте пребывания/жительства и происхождении.

Понятия «личная тайна» и «семейная тайна» являются оценочными. Наука уголовного права толкует их следующим образом:

• к личной тайне следует относить любой факт биографии лица, который он не желает обнародовать (состояние здоровья, принадлежность к политическим движениям, род деятельности, материальное положение и т. д.);
• семейная тайна отличается от личной по кругу носителей (сведения о внутрисемейных отношениях, образе жизни семьи, бытовых условиях и т. п.).

С 2013 года ст. 137 УК РФ дополнена ч. 3, предусматривающей особый предмет — данные, указывающие на личность потерпевшего по уголовному делу в возрасте до 16 лет, либо описание полученных таким потерпевшим моральных и физических страданий. Данные такого рода также относятся к ПД, так как по ним можно идентифицировать личность.

Ответственность за разглашение персональных данных гражданина, виды и размеры наказаний

Лица, разгласившие ПД, могут быть подвергнуты только одному из наказаний, перечисленных в ст. 137 УК РФ, и только в указанных там пределах. Выбор конкретного вида и размера наказания осуществляется судом с учетом степени и характера опасности совершенного деяния, смягчающих и отягчающих обстоятельств, личности виновного и т. д. (ч. 3 ст. 60 УК РФ).

Для примера рассмотрим наказания, которые могут быть назначены за разглашение ПД с использованием служебного положения по ч. 2 ст. 137 УК РФ. Суд вправе назначить:

1. Штраф. Может быть установлен как фиксированная сумма в пределах 100–300 тыс. руб., так и в размере зарплаты (или иного дохода) осужденного за период от 1 года до 2 лет.
2. Запрет на занятие определенной деятельностью или занятие каких-либо должностей в течение 2–5 лет.
3. Принудительные работы сроком до 4 лет. Они могут назначаться как самостоятельно, так и в сочетании с дополнительным наказанием, указанным в п. 2.
4. Арест на срок до 6 месяцев (в настоящее время этот вид наказания не применяется).
5. Лишение свободы сроком до 4 лет. Применяется только вместе одним из дополнительных наказаний, указанных в п. 2.

При этом срок дополнительного наказания в 3-м и 5-м случаях начинает течь только после отбытия основного (ч. 4 ст. 47 УК РФ).

Похожие записи:

• Ограничение выезда за границу во время исполнительного производства в 2023 году
• Какой штраф если нет прописки в паспорте 1 год
• Как заполнить платежку на штраф в ПФР за сзв-м в 2023 году