Некоторые особенности обработки персональных данных сотрудников

Можно ли хранить копии документов (паспорта, СНИЛС, трудовой книжки и др.) в личном деле работника? Если нет, какие риски возникают для автономного учреждения в случае хранения копий? У учреждения есть положение о защите персональных данных (ПД), в котором в том числе урегулированы вопросы их хранения, и заявление работника на хранение ПД.

Порядок ведения личного дела работника действующим законодательством не установлен. В то же время, по мнению Роструда, работодатель вправе хранить в личном деле работника копии его документов (паспорта, СНИЛС, трудовой книжки и др.) при соблюдении следующих условий:

1) кадровая служба получила от работника согласие на хранение и обработку ПД (ст. 88 ТК РФ);

2) персональные данные сотрудника обрабатываются исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности, контроля количества и качества выполняемой работы и обеспечения сохранности имущества (п. 1 ст. 86 ТК РФ);

3) объем ПД, указанных в копиях документов, не превышает объем данных, которые работодателю необходимо использовать в соответствии с заявленными целями обработки (ч. 5 ст. 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ)). При определении объема и содержания обрабатываемых ПД работника учреждение должно руководствоваться Конституцией РФ, ТК РФ и иными федеральными законами (п. 2 ст. 86 ТК РФ).

Однако Роскомнадзор придерживается другой точки зрения. Данное ведомство, а за ним и суды признают, что хранение копий паспорта, страниц военного билета, свидетельств о заключении брака, рождении ребенка превышает объем обрабатываемых ПД работника, нарушает права и свободы гражданина, снижает уровень прав и гарантий работника, противоречит федеральному законодательству. В частности, подобный вывод сделан в постановлениях ФАС СКО от 21.04.2014 по делу № А53-13327/2013, от 11.03.2014 по делу № А53-10287/2013. Судьи считают, что для обработки ПД работников достаточно сверить предоставленные данные с оригиналами, а хранить копии документов не нужно.

Таким образом, если принять во внимание позицию Роскомнадзора и судов, риск привлечения автономного учреждения к административной ответственности все же возникает. В связи с этим учреждению нужно самому решить, целесообразно ли вкладывать в личные дела работников копии их документов.

В свою очередь, ответственность за нарушения в области персональных данных установлена ст. 13.11 КоАП РФ. Так, обработка ПД в случаях, не предусмотренных законодательством РФ, либо обработка ПД, несовместимая с целями их сбора (за исключением случаев, подпадающих под действие ч. 2 ст. 13.11), чревата предупреждением или штрафом в размере от 5 000 до 10 000 руб. для должностных лиц и от 30 000 до 50 000 руб. для юридических лиц (ч. 1 ст. 13.11). А за обработку ПД без письменного согласия субъекта ПД (если оно должно быть получено) либо обработку с нарушением установленных требований к составу сведений, включаемых в согласие субъекта на обработку его данных, должностным лицам грозит штраф в размере от 10 000 руб. до 20 000 руб., юридическим лицам – от 15 000 руб. до 70 000 руб. (ч. 2 ст. 13.11).

Чтобы исключить вероятность несанкционированного проникновения в служебные помещения автономного учреждения, руководитель принял решение изготовить работникам пропуска. На них будут фотографии, позволяющие идентифицировать владельцев. Нужно ли получать их письменное согласие на использование фото (обработку персональных данных)?

Да, получать согласие работников в данной ситуации нужно. Сбор, оформление, размещение, использование фотографий подпадают под понятие обработки персональных данных (п. 3 ст. 3 Закона № 152-ФЗ). В то же время сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются для установления личности, относятся к биометрическим ПД. В эту категорию попадают и фотографии. Согласно ч. 1 ст. 11 Закона № 152-ФЗ биометрические ПД можно обрабатывать только при наличии письменного согласия субъекта ПД.

Аналогичного мнения придерживаются судьи (см., например, Определение ВС РФ от 05.03.2018 № 307-КГ18-101 по делу № А42-342/2017).

Правомерно ли включение в трудовой договор с работником пункта о его обязанности уведомлять работодателя об изменении своих персональных данных?

Согласно ч. 4 ст. 57 ТК РФ в трудовом договоре могут предусматриваться дополнительные условия, не ухудшающие положение работника по сравнению с установленным трудовым законодательством и иными актами, содержащими нормы трудового права, коллективным договором, соглашениями, локальными актами. В частности, можно внести условия:

– об уточнении места работы (с указанием структурного подразделения и его местонахождения) и (или) о рабочем месте;

– об испытании;

– о неразглашении охраняемой законом тайны (государственной, служебной, коммерческой и иной).

На основании ч. 5 ст. 57 ТК РФ по соглашению сторон в трудовой договор могут также включаться права и обязанности работника и работодателя, установленные трудовым законодательством и иными актами, содержащими нормы трудового права, локальными актами, а также права и обязанности сторон, вытекающие из условий коллективного договора, соглашений. Невключение в трудовой договор каких-либо из указанных прав и (или) обязанностей не может рассматриваться как отказ от их реализации (исполнения).

Таким образом, включение в трудовой договор с работником условия о том, что он обязан сообщать работодателю об изменении своих персональных данных, не нарушает действующие нормы законодательства.