152-ФЗ
Персональные данные сотрудников: обработка по 152-ФЗ
Любой работодатель обрабатывает персональные данные сотрудников: паспортные данные, СНИЛС, ИНН, сведения о зарплате, иногда о здоровье. Это делает работодателя оператором персональных данных, а обработку — регулируемой не только 152-ФЗ, но и главой 14 Трудового кодекса. Многие компании выстраивают работу с клиентскими данными, но забывают, что кадровая обработка требует своего отдельного комплекта документов.
Важная особенность: обработка данных работников чаще всего опирается не на согласие, а на другие основания — трудовой договор и требования закона (ведение кадрового учёта, налоги, воинский учёт). Это значит, что брать у сотрудника «согласие на всё» не нужно и даже неправильно. Но для отдельных действий согласие всё же требуется: передача данных третьим лицам без законного основания, размещение фотографии на сайте, использование данных для целей, не связанных напрямую с трудовыми отношениями.
Отдельного внимания требуют специальные категории данных. Сведения о здоровье (например, для медосмотров или больничных) относятся к специальным категориям, и работать с ними нужно строже. Глава 14 ТК РФ прямо ограничивает, какие данные работника и в каком объёме работодатель вправе получать и передавать, а также обязывает ознакомить работников с порядком обработки их данных под подпись.
Мы собираем кадровый комплект по персональным данным под вашу реальную структуру: положение об обработке ПДн работников, необходимые согласия, формы ознакомления, порядок доступа. И учитываем, что работодатель, как и любой оператор, обязан подать уведомление в Роскомнадзор — обработка данных работников после сокращения исключений больше не освобождает от этой обязанности.
152-ФЗ + глава 14 ТК РФРегулирование
Чаще договор и закон, не согласиеОснование
Сведения о здоровье — строжеСпецданные
Ознакомление работников под подписьОбязательно
Требуется и по данным работниковУведомление РКН
Почему нельзя брать у сотрудника «согласие на всё»
Распространённая ошибка — при приёме на работу дать сотруднику подписать одно большое «согласие на обработку персональных данных» и считать вопрос закрытым. Это неверно по двум причинам. Во-первых, основная часть кадровой обработки идёт не по согласию, а по трудовому договору и требованиям закона: для ведения кадрового учёта, начисления зарплаты, уплаты налогов, воинского учёта согласие не требуется. Во-вторых, согласие «на всё» не является конкретным, а значит, для тех случаев, где согласие действительно нужно, оно не работает.
Правильный подход — разложить обработку по основаниям. То, что необходимо для трудовых отношений и предписано законом, идёт без согласия и закрывается положением об обработке ПДн работников с ознакомлением под подпись. То, что выходит за эти рамки — например, публикация фотографии или передача данных партнёру, — оформляется отдельным конкретным согласием под свою цель.
- Большая часть кадровой обработки идёт без согласия
- Основание — трудовой договор и требования закона
- «Согласие на всё» не является конкретным и не работает
- Отдельные цели закрываются отдельным согласием
Специальные категории и глава 14 ТК РФ
Данные работников часто включают сведения, к которым закон относится особенно строго. Информация о здоровье (для медосмотров, больничных, ограничений по труду) относится к специальным категориям персональных данных, и работа с ней требует дополнительных оснований и мер защиты. Кроме 152-ФЗ, кадровую обработку регулирует глава 14 Трудового кодекса: она ограничивает, какие данные работника и в каком объёме работодатель вправе получать, у кого и как их запрашивать, кому и на каких условиях передавать.
Глава 14 также обязывает работодателя установить порядок обработки персональных данных работников и ознакомить с ним сотрудников под подпись. На практике именно этого документа и процедуры ознакомления чаще всего не хватает: клиентская политика на сайте есть, а кадровая обработка остаётся без оформленного порядка. Мы закрываем этот разрыв, собирая кадровый комплект под конкретную структуру компании.
- Сведения о здоровье — специальная категория, режим строже
- Глава 14 ТК ограничивает получение и передачу данных работника
- Обязательно установить порядок обработки и ознакомить под подпись
- Кадровая обработка часто остаётся без оформленных документов
Частые вопросы
Нужно ли согласие сотрудника на обработку персональных данных?
В большинстве случаев — нет. Обработка данных работника для трудовых отношений, кадрового учёта, начисления зарплаты, уплаты налогов и воинского учёта идёт на основании трудового договора и требований закона, а не согласия. Согласие требуется для отдельных случаев: размещение фотографии на сайте, передача данных третьим лицам без иного законного основания, использование данных вне трудовых отношений. Брать одно «согласие на всё» некорректно.
Какие документы по персональным данным нужны работодателю?
Базовый набор: положение (порядок) об обработке персональных данных работников с ознакомлением под подпись, необходимые согласия для отдельных целей, порядок доступа к кадровым данным, а также уведомление в Роскомнадзор об обработке. Состав зависит от структуры компании и того, какие данные и с какими целями обрабатываются. Мы собираем комплект под вашу реальную кадровую обработку.
Обязан ли работодатель подавать уведомление в Роскомнадзор?
Да. После сокращения перечня исключений обработка персональных данных работников больше не освобождает работодателя от обязанности уведомить Роскомнадзор. Работодатель является оператором персональных данных и должен подать уведомление и попасть в реестр операторов, как и при обработке клиентских данных. Мы помогаем подготовить и подать корректное уведомление.
Какие данные сотрудников считаются специальными?
К специальным категориям относятся, в частности, сведения о состоянии здоровья. У работодателя они появляются при медосмотрах, оформлении больничных, учёте ограничений по труду. Работа со специальными категориями требует дополнительных оснований и более строгих мер защиты. Глава 14 ТК РФ отдельно ограничивает объём данных работника, которые работодатель вправе получать и передавать.
Можно ли разместить фото сотрудника на сайте компании?
Для этого нужно отдельное согласие работника: размещение фотографии на сайте выходит за рамки обработки, необходимой для трудовых отношений, и не покрывается основаниями «договор и закон». Согласие должно быть конкретным — на публикацию фотографии с определённой целью, с возможностью отзыва. Без такого согласия размещение фото сотрудника является обработкой без надлежащего основания.
