Для кадровой службы недостаточно иметь только общие документы по персональным данным. Работодатель обязан оформить специализированный комплект документов, регулирующий сбор, хранение, использование и защиту данных сотрудников. Отсутствие таких документов либо их формальный характер рассматриваются как системное нарушение требований 152-ФЗ и Трудового кодекса и практически всегда влекут предписания, а нередко и штрафы.
Если хочешь, далее могу последовательно раскрыть следующий блок —
почему отдел кадров является зоной повышенного риска, и затем пройтись по перечню обязательных документов.
Почему отдел кадров — зона повышенного риска
Отдел кадров обрабатывает наибольший объём персональных данных в организации и делает это постоянно, что автоматически повышает требования к законности и защите такой информации.
Кадровые данные — основной массив персональных данных
Именно в кадровой службе аккумулируются:
-
паспортные и контактные данные работников;
-
сведения о семье, образовании, стаже;
-
финансовая информация;
-
данные о здоровье (в допустимых законом случаях).
Этот массив данных значительно превышает по объёму и чувствительности данные клиентов или пользователей сайта.
Постоянная обработка и обновление данных
В отличие от данных клиентов, кадровые данные:
-
обрабатываются непрерывно;
-
регулярно обновляются;
-
передаются в различные органы и организации.
Каждое такое действие должно быть документально и юридически обосновано.
Передача данных третьим лицам
Отдел кадров регулярно передаёт персональные данные:
-
в налоговые органы;
-
в фонды социального страхования и пенсионный фонд;
-
в банки для выплаты заработной платы;
-
аутсорсинговым бухгалтерам и кадровым компаниям.
Любая передача без надлежащего документального оформления является нарушением 152-ФЗ.
Повышенная ответственность работодателя
В рамках трудовых отношений работодатель:
-
не может ссылаться на согласие работника как универсальное основание обработки;
-
обязан строго соблюдать трудовое и персональное законодательство;
-
несёт ответственность даже за формальные нарушения.
Именно поэтому кадровые процессы находятся в зоне приоритетного внимания Роскомнадзора.
Обязательные документы по ПДн для отдела кадров
Для отдела кадров недостаточно ограничиться общими документами оператора персональных данных. Кадровая служба обязана иметь специализированный комплект локальных актов, учитывающий особенности работы с данными работников.
Общие документы оператора персональных данных
Эти документы обязательны для всей организации, включая кадровую службу:
-
Политика обработки персональных данных
Должна содержать разделы, посвящённые обработке данных работников. -
Положение о защите персональных данных
Регламентирует общие правила работы с ПДн, меры защиты и ответственность. -
Приказ о назначении ответственного за обработку ПДн
Фиксирует персональную ответственность за организацию работы с данными. -
Документы по обеспечению безопасности ПДн
Включая перечни мер защиты, модели угроз (при необходимости), инструкции.
Специализированные кадровые документы
Именно отсутствие этих документов чаще всего выявляется при проверках:
-
Положение об обработке персональных данных работников
Основной документ, определяющий правила работы с кадровыми данными. -
Перечень обрабатываемых персональных данных работников
Позволяет подтвердить соблюдение принципа минимизации. -
Регламент доступа к кадровым данным
Определяет, кто и в каком объёме имеет право работать с персональными данными сотрудников. -
Журнал учёта доступа к ПДн работников
Используется для фиксации фактов обращения к кадровым данным. -
Обязательства о неразглашении персональных данных
Оформляются с сотрудниками, допущенными к обработке ПДн.
Отсутствие этих документов Роскомнадзор трактует как отсутствие системы обработки персональных данных работников. Для формирования корректного комплекта разрабатывают организационно-распорядительную документацию по защите персональных данных.
Документы, связанные с согласием работников
Вопрос согласий работников на обработку персональных данных — один из самых часто неправильно понимаемых в кадровой практике. Ошибки в оформлении согласий регулярно становятся основанием для претензий со стороны Роскомнадзора.
Когда согласие работника не требуется
Согласие не нужно, если данные обрабатываются:
-
для исполнения трудового договора;
-
для выполнения обязанностей работодателя по закону;
-
для ведения кадрового, бухгалтерского и налогового учета;
-
для исполнения требований государственных органов.
Во всех этих случаях правовым основанием обработки являются закон и трудовые отношения, а не согласие работника.
Когда согласие обязательно
Согласие требуется, если персональные данные работников используются:
-
не в рамках трудовых обязанностей;
-
для размещения информации о сотруднике на сайте компании;
-
для публикаций в рекламных и презентационных материалах;
-
для передачи данных третьим лицам, не предусмотренной законом;
-
для обработки биометрических данных (например, отпечатков пальцев, если они не обязательны по закону).
Требования к оформлению согласий
Согласие должно быть:
-
конкретным по целям обработки;
-
ограниченным по сроку;
-
информированным и добровольным;
-
оформленным в письменной форме, если этого требует закон.
Использование «универсального» согласия на всё сразу противоречит требованиям законодательства.
Типовые ошибки
На практике часто встречаются:
-
согласия без указания целей и сроков;
-
использование согласия там, где оно не требуется;
-
отсутствие согласия там, где оно обязательно;
-
несоответствие согласий политике и локальным актам.
Документы для передачи данных работников третьим лицам
Передача персональных данных работников третьим лицам — один из наиболее рискованных участков работы отдела кадров. Даже законная передача без надлежащего документального оформления рассматривается как нарушение требований 152-ФЗ.
Договоры с третьими лицами
Если персональные данные работников передаются:
-
в банки (для выплаты заработной платы);
-
в аутсорсинговые бухгалтерские и кадровые компании;
-
в ИТ-сервисы и облачные платформы;
-
в медицинские организации (в допустимых законом случаях),
в договорах обязательно должны быть предусмотрены:
-
цели обработки персональных данных;
-
перечень передаваемых данных;
-
обязательства по обеспечению конфиденциальности и безопасности;
-
запрет на использование данных в собственных целях исполнителя.
Соглашения о конфиденциальности
С третьими лицами и подрядчиками, имеющими доступ к данным работников, оформляются отдельные соглашения о неразглашении, либо соответствующие положения включаются в основной договор.
Отсутствие таких условий приравнивается к передаче данных без законных гарантий их защиты.
Условия обработки ПДн в договорах
В договорах должны быть чётко зафиксированы:
-
что исполнитель обрабатывает данные исключительно по поручению работодателя;
-
что данные не подлежат передаче другим лицам без согласия оператора;
-
порядок возврата или уничтожения данных после завершения договора.
Типовые нарушения
Чаще всего выявляются:
-
передача данных без договоров или с «пустыми» договорами;
-
отсутствие условий по ПДн в соглашениях;
-
передача избыточных данных, не относящихся к цели обработки;
-
отсутствие контроля за действиями подрядчиков.
Документы по хранению и уничтожению кадровых данных
Даже при корректном сборе и использовании персональных данных работников серьёзные нарушения часто выявляются на этапе их хранения и уничтожения. Закон требует, чтобы эти процессы были не только организованы, но и документально закреплены.
Регламент хранения кадровых документов
В организации должен быть установлен порядок:
-
хранения бумажных кадровых документов;
-
хранения электронных персональных данных;
-
ограничения доступа к архивам;
-
защиты от утраты, копирования и несанкционированного доступа.
Отсутствие такого регламента означает, что работодатель не обеспечивает надлежащую защиту данных.
Сроки хранения персональных данных работников
Сроки хранения определяются:
-
трудовым законодательством;
-
архивными правилами;
-
налоговыми и бухгалтерскими нормами.
Важно:
данные не могут храниться «на всякий случай» бессрочно. По истечении установленных сроков они подлежат уничтожению либо обезличиванию.
Порядок уничтожения и обезличивания
В организации должен быть закреплён:
-
порядок уничтожения бумажных и электронных носителей;
-
способы уничтожения, исключающие восстановление данных;
-
оформление актов уничтожения;
-
ответственные лица.
Отсутствие документального подтверждения уничтожения данных рассматривается как нарушение требований по обработке ПДн.
Типовые нарушения
Чаще всего выявляются:
-
хранение данных уволенных работников без законных оснований;
-
отсутствие актов уничтожения;
-
доступ к архивам неуполномоченных лиц;
-
хаотичное хранение документов.
