Защита персональных данных работников: что нужно работодателю
Персональные данные работников обрабатывает любой работодатель — от предпринимателя с одним сотрудником до завода. Правил здесь больше общих: помимо Федерального закона от 27.07.2006 № 152-ФЗ действует глава 14 Трудового кодекса. Разберём, что оформить кадровой службе.
Знакомые ситуации
- •Нужно ли брать с работника согласие или хватает трудового договора.
- •В личных делах есть медосмотры, справки и данные детей — что с ними делать.
- •Работник уволился — сколько хранить его документы и когда удалять.
Что нужно по 152-ФЗ
Порядок обработки данных работника
Работодатель сам устанавливает порядок обработки, хранения и передачи данных работника локальным актом (статья 87 и абзац 5 статьи 88 Трудового кодекса Российской Федерации от 30.12.2001 № 197-ФЗ). Правила можно свести в один акт, но короткой политики обработки для сайта здесь мало: она отвечает на другой вопрос.
Ознакомление под роспись
С документами, устанавливающими порядок обработки данных работников, работников знакомят под роспись (пункт 8 статьи 86 Трудового кодекса). Подтверждают ознакомление подписью — в журнале, в листе ознакомления к акту или в кадровой системе, если она это позволяет. Отдельно закон требует ознакомить или обучить тех, кто сам обрабатывает данные (пункт 6 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ).
Согласие — не всегда
Данные для кадрового учёта, зарплаты и обязательной отчётности обрабатывают на основании закона и трудового договора, а не согласия (пункты 2 и 5 части 1 статьи 6 того же закона), и только в необходимом объёме. Согласие нужно там, где обработка выходит за эти рамки; для публикации данных — фотографии или достижений на сайте — берут отдельное согласие на распространение (статья 10.1).
Здоровье и семья
Сведения о состоянии здоровья относятся к специальным категориям: работодатель обрабатывает их в объёме, относящемся к вопросу о возможности выполнять работу (пункт 3 части 2 статьи 10 того же закона), а не хранит медицинские документы целиком. Данные членов семьи — данные других людей, и основание для них своё: иногда это прямо закон, например для налогового вычета.
Сроки хранения и уничтожение
Сроки хранения кадровых документов установлены перечнем, утверждённым приказом Росархива от 20.12.2019 № 236, и зависят от вида документа; отдельные сроки задают налоговое и бухгалтерское законодательство. По достижении цели обработку прекращают и данные уничтожают (часть 4 статьи 21), а уничтожение подтверждают актом и выгрузкой из журнала регистрации событий — по правилам части 7 статьи 21 и приказа Роскомнадзора от 28.10.2022 № 179.
С чего начать
Уровень защищённости ИСПДн →Профиль обработки и типовые объекты преднастроятся под вашу отрасль — можно изменить позже.
С каких документов начать
Каждый собирается под вашу организацию: реквизиты по ИНН, содержание — по ответам о том, что и как вы обрабатываете. Сколько документов входит в комплект, написано на карточке.
Частые вопросы
Нужно ли брать с работника согласие на обработку персональных данных?
Для кадрового учёта, зарплаты и обязательной отчётности согласие не нужно: обработка идёт на основании закона и трудового договора. Согласие требуется там, где обработка выходит за эти рамки, — например для фотографии работника на сайте компании; на публикацию берут отдельное согласие на распространение по статье 10.1 Федерального закона от 27.07.2006 № 152-ФЗ.
Сколько хранить документы уволившегося работника?
Срок зависит от вида документа и установлен перечнем, утверждённым приказом Росархива от 20.12.2019 № 236: у приказов по личному составу и личных дел он измеряется десятилетиями, у части кадровых документов — пятью годами. Копии паспорта и справок, снятые без конкретной цели, избыточны: их хранить не следует, а по достижении цели данные уничтожают и подтверждают это актом.
Подробнее в Базе знаний
Материал носит информационный характер и не заменяет индивидуальную оценку. Требования применяются с учётом целей обработки и особенностей организации.