Категория: Бланки/Образцы
Наем на работу связан с получением и обработкой персональных данных кандидатов. Но есть ли специальные требования к защите этих сведений?
Глава 14 Трудового кодекса РФ предусматривает требования к обработке персональных данных работников - без оговорки, что они распространяются на соискателей. Это, конечно, не означает, что их персональные данные не подлежат правовой защите. Законодательство об обработке персональных данных, прежде всего, Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных" (далее – Закон о персональных данных), распространяется как на работников, так и на претендентов на работу.
Условия обработки персональных данных перечислены в ст. 6 указанного Закона. Например, в трудовых отношениях персональные данные обрабатываются тогда, когда это необходимо для исполнения трудового договора .
Для обработки персональных данных необходимо согласие их субъекта на подобные действия (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ).
Заслуживают внимания разъяснения Роскомнадзора по вопросам, касающимся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве (далее – Рекомендации Роскомнадзора). Должностные лица этого ведомства, в частности, считают, что необходимо получать письменное согласие соискателей на замещение вакантных должностей на обработку их персональных данных на период принятия решения о приеме на работу либо отказе в заключении трудового договора.
В зависимости от того, из какого источника вы получили резюме кандидата. ваши действия относительно получения его согласия на обработку данных будут различаться.
Способ 1. Установить обратную связь с кандидатом на должность.
Это, пожалуй, самый распространенный способ в тех случаях, когда соискатель направляет свое резюме работодателю напрямую, например по электронной почте или факсимильной связи. Работодатель, получивший от претендента на трудоустройство соответствующие сведения, должен связаться с ним для подтверждения того, что они были направлены им лично либо по его поручению. Обычно представитель работодателя связывается с претендентом по телефону и обговаривает с ним интересующие вопросы либо направляет ему по электронной почте приглашение на очное собеседование.
Способ 2. При заполнении кандидатом анкеты получить его согласие на обработку персональных данных.
Многие компании предлагают соискателям заполнить типовую форму анкеты, утвержденную в организации.
Типовая форма анкеты должна соответствовать требованиям п. 7 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утв. постановлением Правительства РФ от 15.09.2008 № 687, а именно:
Кандидат может заполнить такую форму в электронном виде на сайте работодателя и подтвердить свое согласие на обработку персональных данных путем проставления отметки в соответствующем поле. Такой способ неприменим, когда запрашиваемые сведения предполагают получение согласия на обработку специальных персональных данных только в письменной форме.
Если трудовые отношения между сторонами не сложились, все полученные работодателем сведения должны быть уничтожены в течение 30 дней, за исключением случаев попытки поступления на государственную гражданскую службу. где срок хранения персональных данных кандидата составляет три года.
Пропишите порядок обработки персональных данных кандидатов на вакантные позиции в локальном нормативном акте организации, например в Положении о защите и обработке персональных данных.
Способ 3. Получить от кандидата согласие на обработку персональных данных в письменной форме.
Как правило, для проведения собеседования или иных вступительных испытаний соискателю нужно прийти на территорию работодателя. Если в компании установлен пропускной режим, соискателю будет оформлен пропуск, для получения которого ему придется предъявить документ, удостоверяющий личность (обычно паспорт). В таком случае речь идет об обработке биометрических персональных данных претендента на должность, которая допускается только с его согласия, оформленного в письменной форме (ст. 11 Закона № 152-ФЗ).
Фотография кандидата, которая используется для установления его личности, относится к биометрическим персональным данным.
Получение от соискателя письменного согласия на обработку персональных данных необходимо тогда, когда предполагается использование информации, касающейся его частной жизни: о происхождении, месте пребывания или жительства, семейном положении и пр. Без согласия гражданина сбор, хранение, распространение и использование таких сведений недопустимы (ч. 1 ст. 24 Конституции РФ, ст. 152.2 Гражданского кодекса РФ).
Получение от кандидата согласия в письменной форме также является обязательным условием при направлении работодателем запросов в различные организации, в том числе по прежнему месту работы соискателя для получения дополнительной информации о нем. Однако из этого правила есть исключения.
Информацию о судимости и уголовном преследовании работодатель вправе обрабатывать без согласия соискателя (ст. 331, 351.1 ТК РФ).
В соответствии со ст. 64.1 ТК РФ, при принятии на работу граждан, ранее замещавших должности государственной или муниципальной службы, перечень которых устанавливается нормативными правовыми актами РФ, в течение двух лет после их увольнения с государственной или муниципальной службы работодатель обязан в установленном законом порядке в десятидневный срок сообщить о заключении с ними трудового договора представителю нанимателя (работодателю) государственного или муниципального служащего по последнему месту его службы.
Как видим, большинство случаев подбора персонала предполагает получение от кандидата согласия на обработку его персональных данных в том либо ином виде. Но есть и такие ситуации, когда согласие не требуется, например, если от имени претендента на должность действует кадровое агентство, с которым он заключил соответствующий договор об оказании услуг, либо если соискатель сам разместил свое резюме в свободном доступе в Интернете (п. 10 ч. 1 ст. 6 Закона № 152-ФЗ).
Кадровый резервВо избежание дефицита сотрудников на предприятии специалисты кадровой службы анализируют потребности в персонале. На основании получаемых данных формируется кадровый резерв, который делится на внутренний (состоящий из работников предприятия) и внешний (формируемый из кандидатов на вакантные позиции).
Согласие на включение соискателя в кадровый резерв и обработку его персональных данных оформляется с помощью отдельного документа либо путем проставления отметки в соответствующем поле анкеты, утвержденной в организации.
Кандидат на трудоустройство должен быть ознакомлен с условиями ведения кадрового резерва на предприятии, сроком хранения его персональных данных и порядком исключения его кандидатуры из базы данных. Это правило не распространяется на обработку персональных данных лиц, состоящих в кадровом резерве гражданских служащих, поскольку соответствующего согласия от них не требуется.
(Фамилия, имя, отчество полностью)
проживающий по адресу ___________________________________________________________
паспорт серия__________________ № _________________,
(Название выдавшего органа) (Дата выдачи)
контактный телефон(ы) ___________________________________________________________,
в соответствии с требованиями статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» подтверждаю свое согласие на обработку моих персональных данных оператору, ответственному за организацию и проведение аттестации педагогических работников в 2011 году в Курской области: комитету образования и науки Курской области, расположенному по адресу: г. Курск, ул. Кирова, 7 (далее – Оператор), включающих:
- Основное место работы;
с целью внесения в приказ комитета образования и науки Курской области и размещения в общедоступных источниках информации.
Предоставляю Оператору право осуществлять все действия (операции) с моими персональными данными, включая их сбор, систематизацию, накопление, хранение, обновление, изменение, использование, обезличивание, блокирование, уничтожение. Оператор вправе обрабатывать мои персональные данные посредством внесения в приказ комитета образования и науки Курской области и размещения в общедоступных источниках информации.
Передача моих персональных данных иным лицам или иное их разглашение может осуществляться только с моего письменного согласия.
Настоящее согласие дано мной_________________ и действует до 31 декабря 2011 года.
Я оставляю за собой право отозвать свое согласие посредством составления соответствующего письменного документа, который может быть направлен мной в адрес Оператора по почте заказным письмом с уведомлением о вручении, либо вручен лично под расписку представителю Оператора.
В случае получения моего письменного заявления об отзыве настоящего согласия на обработку персональных данных, Оператор обязан немедленно прекратить их обработку.
Форма согласия для заполнения педагогическим работником, претендующим на присвоение первой (высшей) квалификационной категории
Благодарим вас за интерес, проявленный к ЮниКредит Банку.
У вас возник вопрос по банковскому продукту или услуге Банка?
Задать его вы можете в приведенной ниже форме. После получения вашего вопроса мы свяжемся с вами в рабочие дни по указанному контактному телефону.
Ваше сообщение направлено ответственному за данную тему сотруднику банка и будет рассмотрено в ближайшее время.
Благодарим за внимание к деятельности ЮниКредит Банка.
Настоящим выражаю свое согласие АО ЮниКредит Банку (г. Москва, Пречистенская наб. д.9) (далее — Банк) на обработку (сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение) моих персональных данных (любой информации, предоставленной мною в настоящем согласии, как с использованием средств автоматизации, так и без использования таких средств, в целях направления мне рекламы продуктов Банка, рекламы продуктов партнёров Банка и совместных продуктов Банка и его партнёров, с даты настоящего согласия на срок 75 лет.
Вышеуказанные персональные данные являются необходимыми для заявленной цели обработки. Банк прекращает обработку персональных данных, а персональные данные подлежат уничтожению через 75 лет.
Настоящее согласие на обработку моих персональных данных может быть отозвано мной путем подачи письменного уведомления в Банк.
АО ЮниКредит Банк © 2016
Генеральная лицензия №1 Банка России
Задавались ли Вы вопросом – почему же такое согласие у Вас стали запрашивать и на что Вы даете согласие?
Персональные данные - сведения, относящиеся к определенному физическому лицу, зафиксированные на электронном, бумажном и (или) ином материальном носителе.
Сбор персональных данных – действия, направленные на получение персональных данных;
Обработка персональных данных – действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных.
С конца ноября 2013 вступили в силу Закон «О персональных данных и их защите», а также изменения и дополнения в некоторые законодательные акты, обеспечивающие исполнение принятого Закона.
Согласно Закону государственные органы, физические и (или) юридические лица обязаны осуществлять сбор, обработку персональных данных исключительно с согласия физического лица. к которому относятся персональные данные, или его законного представителя, кроме случаев, предусмотренных статьей 9 Закона.
Зачем Вам это нужно?Если Вы полагаете, что требования данного Закона не распространяются на осуществляемую Вами деятельность, обратимся к очень распространенным отношениям – трудовым. Оформление трудовых отношений (возникновение и (или) их изменение) напрямую связано со сбором и обработкой персональных данных Работника. Только для заключения трудового договора Работодателю, как минимум, необходимо получить от Работника нижеследующую информацию:
1. фамилия, имя, отчество (при наличии);
2. адрес постоянного места жительства;
3. сведения о регистрации по месту жительства;
4. наименование, номер, дату выдачи документа, удостоверяющего личность;
5. индивидуальный идентификационный номер.
И в силу Закона до получения такой информации Работодатель обязан иметь согласие Работника на сбор, обработку его персональных данных. При этом данное требование распространяется как на Работников, которых Работодатель принимает на работу, так и на Работников, с которыми Работодатель уже состоит в трудовых отношениях.
Какие у Вас риски?Неисполнение требований указанного Закона может иметь нижеследующие последствия:
1. Гражданин вправе требовать запрещения использования:
1.1. его имени (пункт 8 статьи 15 Гражданского кодекса РК);
1.2. информации о его месте жительства или юридическом адресе (пункт 4 статьи 16 Гражданского кодекса РК);
2. Штраф на физических лиц в размере двадцати, на должностных лиц, субъектов малого предпринимательства или некоммерческие организации - в размере тридцати, на субъектов среднего предпринимательства - в размере пятидесяти, на субъектов крупного предпринимательства - в размере ста месячных расчетных показателей, с конфискацией предметов и (или) орудия административного правонарушения или без таковой. (пункт 1 статьи 79 Кодекса Об административных правонарушениях РК);
3. Штраф в размере до двух тысяч месячных расчетных показателей либо исправительные работы в том же размере, либо ограничение свободы на срок до двух лет, либо лишение свободы на тот же срок при незаконном собирании сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо причинении существенного вреда правам и законным интересам лица в результате незаконных сбора и (или) обработки иных персональных данных (пункт 1 статьи 147 Уголовного кодекса РК).
"Согласие на сбор и обработку данных"
Я затрону актуальную тему: проблемные вопросы обработки персональных данных сотрудников силами бухгалтерии компаний. Бухгалтеры имеют непосредственное отношение к персональным данным сотрудников.
Я построю семинар на разборе вопросов, которые задают бухгалтеры. Также буду касаться претензий, с которыми сталкиваются компании при проверках соблюдения законодательства о защите персональных данных. То есть материал актуальный и практически направленный. Я уверена, что он пригодится бухгалтерам.
Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций, или по-другому Роскомнадзор, – это уполномоченный орган по защите прав субъектов персональных данных. Ведомство проводит проверки компаний на предмет правильности работы с персональными данными работников.
В случае с коммерческими организациями под субъектами персональных данных понимаются их сотрудники и некоторые другие граждане, которые взаимодействуют с компанией – например, соискатели на вакансии.
Уведомление РоскомнадзораОдин из наиболее проблемных вопросов – подготовка и направление уведомлений об обработке персональных данных. Часто в случаях, когда компания подает в Роскомнадзор уведомление, она забывает прописать такое направление деятельности, как ведение бухгалтерского учета. Организация упоминает только, к примеру, ведение кадрового учета. Хотя именно бухгалтерия обрабатывает основную часть персональных данных сотрудников. Ошибки бухгалтерии в работе с персональными данными, штраф компании.
Поэтому я рекомендую операторам персональных данных, то есть компаниям, дополнить уведомление в Роскомнадзор. Туда надо включить информацию о деятельности бухгалтерской службы в разделе «Цели обработки персональных данных».
Кстати, тем, кто только начинает работать с защитой персональных данных, советую ознакомиться с разъяснениями чиновников. Роскомнадзор подготовил рекомендации по заполнению уведомления об обработке персональных данных. Их можно найти в приказе Роскомнадзора от 19 августа 2011 г. № 706 .
Бухгалтеров интересует, нужно ли направлять в Роскомнадзор уведомление, если компания обрабатывает персональные данные только в рамках трудовых отношений со своими сотрудниками или работниками по гражданско-правовым договорам. В этом случае направлять уведомления не надо.Фактически данные работников компания никому не передает.
Другая ситуация, когда компания оформляет сотрудникам полисы ДМС или банковские карточки для перечисления зарплаты, то есть передает персональные данные другому оператору. Тогда уведомление надо обязательно направить.
Важно понимать, что, даже если компания не передает данные своих сотрудников другим операторам, она все равно обязана соблюдать требования по защите персональных данных. Отсутствие необходимости направлять уведомление в Роскомнадзор не означает, что персональные данные можно не защищать.
Перечень ответственных сотрудниковПереходим ко второму распространенному нарушению. Положениями Федерального закона от 27 июля 2006 г. № 152-ФЗ и подзаконных актов установлено требование к компаниям письменно определить перечень работников, которые либо сами обрабатывают персональные данные, либо имеют к ним доступ. Замечу, что, в принципе, обязанность соблюдать конфиденциальность для работников, ответственных за работу с персональными данными, должна быть отражена в их трудовых договорах или в должностных инструкциях, если в договорах есть на них ссылка.
Как я уже говорила, зачастую перечень, утверждаемый компанией, сводится лишь к работникам кадровой службы. Бухгалтеры часто в этот список не входят. Это неправильно. Советую проверить списки сотрудников, имеющих доступ к персональным данным.
Если при проверке Роскомнадзор обнаружит, что бухгалтеров в этом перечне нет, это будет зафиксировано как нарушение. Штрафы для компаний, нарушающих законодательство в области персональных данных, предусмотрены статьями 13.11 и 19.7 КоАП РФ. Вполне вероятно, что в будущем размер штрафов за нарушение законодательства о защите персональных данных будет увеличен. В Роскомнадзоре считают, что существующий сейчас максимальный размер штрафа (10 тыс. руб.) не соответствует ущербу, который наносится субъектам персональных данных.
Согласие на обработку персональных данныхЯ неоднократно слышала от клиентов, что в Роскомнадзор обращаются сотрудники компании с жалобами о том, что у них работодатель не взял согласия на обработку персональных данных. Или, наоборот, жалуются, что такое согласие берут в случаях, не предусмотренных законодательством.
Действительно, компании нередко допускают ошибки в части получения согласия на обработку персональных данных. Организации сомневаются, когда именно необходимо получение такого согласия со стороны работников или других лиц.
Бухгалтерии не нужно согласие работников на обработку их персональных данных для передачи сведений в Пенсионный фонд и ФСС РФ, налоговые инспекции. другие государственные ведомства. Это не сторонние операторы, которым компания передает сведения о работниках. Обязанность по передаче данных работников, которая возложена на компанию законодательством, не ведет к необходимости получения согласия.
В законе № 152-ФЗ. кстати, перечислены все случаи, когда у работников надо брать именно письменное согласие на обработку персональных данных. Это, к примеру, обработка биометрических, специальных категорий персональных данных, данных о несовершеннолетних (то есть детях работников), о передаче данных сторонним организациям, их включении в общедоступные источники информации.
Я уже упоминала про необходимость направления уведомления в Роскомнадзор в случае, если компания оформляет сотрудникам ДМС или банковские карты. В этих ситуациях надо брать у работников письменное согласие.
Хотелось бы подчеркнуть: бухгалтерии компании надо различать два случая оформления зарплатного банковского проекта для работников .
Первый – когда договор с банком заключает сама компания. В рамках этого договора от лица своих работников компания передает банку информацию о них. Здесь компания выступает представителем своих сотрудников. Тогда согласие на обработку персональных данных брать надо.
Второй случай – когда банк заключает с работником организации индивидуальный договор на получение зарплатной карты. В этом случае дополнительное согласие от работника не требуется.
Также надо помнить, что договор с банком по зарплатному проекту обязательно должен содержать обязательство по обеспечению требований по конфиденциальности и безопасности данных. Если таких условий нет, Роскомнадзор посчитает это нарушением законодательства в области персональных данных. Компанию могут оштрафовать.
Стандартные вычеты и удержание алиментовБухгалтеры часто спрашивают, как правильно работать с персональными данными, если с сотрудника удерживаются алименты. Нужно ли в этом случае получать согласие бывшей жены работника?
Аналогичные вопросы возникают по сотрудникам, которые имеют право на получение стандартных налоговых вычетов на детей (о новых правилах по таким вычетам см. статью. опубликованную в. – Примеч. ред. ). Встает вопрос: нужно ли получать согласие ребенка?
Если взыскание алиментов с работника производится в соответствии с Федеральным законом от 2 октября 2007 г. № 229-ФЗ «Об исполнительном производстве», налоговые вычеты – в соответствии с Налоговым кодексом РФ, то получать согласие не требуется.
Бухгалтерия на аутсорсингеОтдельно хотелось бы остановиться на ситуации, когда компания нанимает бухгалтеров по аутсорсингу. Как правильно оформить защиту персональных данных при такой схеме работы?
Бухгалтерия на аутсорсинге – это сторонний оператор персональных данных. Значит, в соответствии со статьей 6 закона № 152-ФЗ у работников компании надо получить письменное согласие на обработку их персональных данных. Это первое, о чем необходимо помнить.
Второе условие – в договоре с аутсорсинговой компанией обязательно должен присутствовать пункт о соблюдении конфиденциальности при работе с персональными данными. Также в договоре должны быть перечислены конкретные меры по обеспечению безопасности персональных данных работников компании-заказчика.
При аутсорсинге бухгалтерии также возникает вопрос о дальнейшей передаче персональных данных в налоговые инспекции и внебюджетные фонды. Дополнительного согласия брать у сотрудников не требуется.
Единственное, надо быть осторожным и проверять, не привлекает ли аутсорсинговая компания еще какие-то организации для работы по договору. Например, для ведения бухгалтерского учета в автоматизированных системах. Нужно четко понимать следующее. Если компания привлекает аутсорсеров для ведения бухгалтерии – это одно. Как защитить персональные данные в этом случае, я уже рассказала. Но если при проверке выяснится, что аутсорсинговая компания привлекала другого оператора, это будет прямым нарушением законодательства.
Срок обработки и хранения персональных данныхВопросы о нарушениях, связанных со сроками обработки и хранения персональных данных, также часто возникают при проверках Роскомнадзора.
Бывает, что уволившийся из компании сотрудник пишет в Роскомнадзор или бывшему работодателю о том, что он отзывает согласие на обработку его персональных данных. Человек просит уничтожить его персональные данные ввиду прекращения трудовых отношений с компанией. В этой ситуации у большинства бухгалтеров возникает вопрос: как практически произвести такое уничтожение? Частью 4 статьи 21 закона № 152-ФЗ предусмотрено, что в случае достижения цели обработки персональных данных (например, увольнение сотрудника), она должна быть прекращена. Правда, в этой норме есть уточнение про основания других федеральных законов. По Федеральному закону от 21 ноября 1996 г. № 129-ФЗ «О бухгалтерском учете» (о том, как новый закон о бухучете в следующем году повлияет на работу бухгалтера, см. статью. опубликованную в. – Примеч. ред. ) установлен срок на хранение сведений пять лет. Поэтому даже в случае, если работник уволился, компания может обрабатывать сведения о нем в течение пяти лет .
Если вернуться к аутсорсингу, то после завершения договорных отношений нанятая организация должна удалить все сведения, переданные заказчиком. Все возможные документы аутсорсеры должны передать. В итоге после окончания работы по договору у аутсорсинговой бухгалтерии не должно остаться никакой информации с персональными данными.
Контрагента можно проверить еще одним способомВсе операторы, которые осуществляют обработку персональных данных, включаются в реестр, доступный в Интернете. Посмотреть, какие компании отправили уведомления, можно на портале персональных данных. который ведет Роскомнадзор. Поиск там можно осуществлять по названию компании или ее ИНН. В принципе, проверить, соблюдает ли контрагент законодательство о защите персональных данных, никогда не будет лишним. При отстаивании своей позиции в споре с налоговиками любая информация пригодится.
Бухгалтеры постоянно интересуются, как быть с архивами. В том числе что делать с помещаемыми туда сведениями по уволившимся сотрудникам.
Некоторые работодатели по документам после истечения пятилетнего срока в своих автоматизированных системах делают архив. Сведения помещаются в отдельный информационный сегмент. Компании мотивируют свои действия положениями Федерального закона от 22 октября 2004 г. № 125-ФЗ «Об архивном деле», на который закон о персональных данных не распространяется.
Да, закон № 152-ФЗ действительно не распространяется на отношения, связанные с архивным хранением. Но есть важный нюанс. В законодательстве об архивном деле нет такого понятия, как электронный архив. Архив создается только на бумажных носителях. Значит, создание «архива» в электронных системах учета в части защиты персональных данных неправомерно.
Следовательно, обработка информации, которую компания «архивирует» в автоматизированных системах учета, является неправомерной. При проверке Роскомнадзор обязательно потребует удалить эти сведения.
Ольга Степановна Макаркина, налоговый консультант и аттестованный аудитор. В 1994 году окончила Московскую финансовую академию.
