Хранение и обработка информации (персональных данных) сотрудников регулируется в первую очередь Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) и Трудовым кодексом Российской Федерации (далее — ТК РФ), в частности статьями 86–88 ТК РФ.

Основные принципы и требования:

1. Обработка персональных данных работников

В соответствии с частью 1 статьи 86 ТК РФ работодатель вправе обрабатывать персональные данные работника исключительно в целях:

• обеспечения соблюдения законов и иных нормативных правовых актов;

• содействия работникам в трудоустройстве, получении образования и продвижении по службе;

• обеспечения личной безопасности работников;

• контроля количества и качества выполняемой работы;

• обеспечения сохранности имущества организации.

Закон № 152-ФЗ (статьи 3 и 6) определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определенному физическому лицу, и содержит требования об ограничении обработки данных конкретными, законными целями, несоответствие которым и избыточность данных недопустима (части 2, 5 статьи 5 Закона № 152-ФЗ).

3. Получение согласия на обработку персональных данных

По общему правилу, обработка персональных данных возможна только при наличии согласия субъекта данных (пункт 1 части 1 статьи 6, часть 1 статьи 9 Закона № 152-ФЗ). Однако для обработки данных работников, необходимых для исполнения трудового договора и требований законодательства, такое согласие не требуется (апелляционное определение Оренбургского областного суда от 21 июня 2017 г. по делу № 33-4566/2017).

4. Хранение персональных данных в личных делах

Согласно требованиям, в личных делах следует хранить документы, непосредственно связанные с трудовой деятельностью сотрудника, например: трудовой договор, заявления о приеме и увольнении, личные карточки, приказы, соглашения о неразглашении и согласия на обработку персональных данных. Вместе с тем запрещено хранить в личном деле копии следующих документов даже при наличии согласия работника:

• паспорт;

• военный билет;

• СНИЛС;

• дипломы и свидетельства о браке, рождении детей.

Их необходимо только проверять и возвращать работнику, поскольку хранение копий признано судами избыточным и незаконным (решение Арбитражного суда Ростовской области от 14.11.2013 № А53-12557/2013).

5. Организация хранения и защиты

Обработка и хранение персональных данных должны происходить с обеспечением конфиденциальности, сохранности и невозможности несанкционированного доступа (статьи 18, 19 Закона № 152-ФЗ). Работодатель обязан назначить ответственное лицо за организацию обработки персональных данных (статья 22.1 Закона № 152-ФЗ), издать локальные акты (политику обработки персональных данных, положение о защите, порядок ведения личных дел и др.) и ознакомить с ними работников под подпись (статья 86 и 87 ТК РФ).

6. Доступ к персональным данным

Согласно пункту 8 части 2 статьи 19 Закона № 152-ФЗ, необходимо установить порядок и перечень должностных лиц, имеющих доступ к персональным данным сотрудников, в том числе оформить это приказом.

7. Ответственность

Нарушение правил обработки и хранения персональных данных работников влечет административную ответственность по статье 13.11 КоАП РФ, в том числе штрафы для должностных лиц и организаций. Кроме того, возможна дисциплинарная и материальная ответственность работников, допустивших нарушение (ТК РФ, статья 192 и др.).

Рекомендации

• Издайте локальные нормативные акты, регулирование обработки персональных данных (политику оператора, положение о защите и обработке, порядок ведения личных дел и т.д.).

• Назначьте ответственное лицо за персональные данные и обеспечьте его полномочия и контроль.

• Регламентируйте порядок доступа к персональным данным и оформите его приказом.

• Храните документы, содержащие персональные данные, только в допустимом объеме, исключая хранение копий запрещенных документов.

• Обеспечьте конфиденциальность и защиту персональных данных от несанкционированного доступа и утраты.

• Ознакомьте работников с локальными актами по обработке персональных данных под подпись.

• При необходимости получения согласия работника на обработку персональных данных оформляйте его в письменной форме, четко указывая цели обработки.