Персональные данные – личные сведения о физических лицах, которые могут быть получены в самых разных ситуациях. Эта информация находится под защитой закона, поэтому те, кто имеет к ней доступ, должны подавать уведомление об обработке персональных данных в Роскомнадзор.
До сентября 2022 года работодатели подпадали под исключение, то есть могли собирать, хранить и обрабатывать персональные данные своих работников без подачи такого уведомления. Но сейчас это исключение не действует, поэтому круг операторов ПД существенно увеличился.
Если вы никогда не подавали уведомление об обработке данных, но при этом нанимаете работников, или раньше указывали в уведомлении другие цели (кроме кадровых), стоит разобраться в этом вопросе. Ведь за нарушения при обработке ПД грозят немалые штрафы.
Почему нужно отозвать согласие на обработку персональных данных
Какие данные относятся к персональным
Основной нормативный акт, который регулирует работу с персональными данными, это закон № 152-ФЗ от 27.07.2006. Но проблема в том, что этот документ не содержит полного перечня ПД, да и само понятие нельзя назвать однозначным.
Вот что написано в статье 3 закона: «Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных)».
Есть также Указ Президента РФ от 06.03.1997 № 188, где персональными данными называют «сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность».
Кроме того, существуют Методические рекомендации Роскомнадзора (приказ от 30.05.2017 № 94), в котором перечислены некоторые персональные данные. К ним совершенно точно относятся:
- ФИО человека;
- полная дата и место рождения;
- адрес жительства;
- семейное, социальное и имущественное положение;
- образование, профессия, доходы.
По логике сюда же стоит добавить другие сведения, которые позволяют идентифицировать человека: номера телефонов, email, аккаунты в социальных сетях и мессенджерах, данные паспорта, номер СНИЛС, биометрия и др.
Отдельно стоит сказать про номер ИНН, по которому можно получить много другой информации о человеке. Это уникальный набор цифр, который присваивается один раз в течение жизни. По своей сути ИНН тоже должен относится к персональным данным, потому что позволяет однозначно идентифицировать физическое лицо.
При этом есть письма Минфина (от 28.01.2020 № 03-01-11/4925, от 12.02.2020 № 03-01-11/9505 и другие), в которых ведомство указывает, что ИНН применяется только для учёта налогоплательщиков и не может признаваться персональными данными.
Можно спорить, так это или нет, но надо знать, что мнения разных госорганов не всегда совпадают, а судебная практика по одной и той же ситуации бывает противоречивой. С учётом этого стоит всё-таки относить ИНН к персональным данным.
В некоторых случаях имеет значение сочетание ПД. Так, просто email или телефонный номер не поможет точно определить человека, для этого нужно знать его имя или другие данные. Если у вас есть сомнения по поводу того, относятся ли полученные вами данные к персональным, лучше задать этот вопрос в Роскомнадзор.
Действия с персональными данными
Персональные данные физлиц запрашиваются не из праздного любопытства. Так, если говорить о работниках, то статья 65 ТК РФ обязывает при приёме на работу предъявлять определённые документы (паспорт, трудовая книжка, СНИЛС, диплом и др.).
При подписании договора стороны указывают не только реквизиты компании, но и свои персональные данные, например, полное имя директора. Без этого договор не имеет юридической силы. Личные сведения о себе оставляет клиент или покупатель при заказе, а пользователь личного кабинета – при регистрации на сайте.
Таким образом, получение персональных данных – необходимое и обязательное условие многих гражданско-правовых и хозяйственных действий.
Субъекты, которые получают эти сведения, признаются операторами ПД. В отношении полученной информации они могут осуществлять разные действия: собирать, записывать, накапливать, хранить, использовать, передавать, анализировать, блокировать, уничтожать.
Очень важно не допускать при этом утечки персональных данных, потому что они могут использоваться третьими лицами в неблаговидных и даже преступных целях. Для полноценного контроля все операторы обязаны подавать уведомление об обработке персональных данных в Роскомнадзор. Только после этого действия с ПД могут признаваться легитимными.
Операторы персональных данных
Итак, мы выяснили, что ситуаций, при которых производятся действия с персональными данными, множество. И если говорить о бизнесе, то очень трудно найти такого субъекта, который в процессе деятельности в них не оказывался.
Ведь даже когда предпринимательская деятельность ведётся без работников, ПД поступают от покупателей и клиентов, посетителей сайта, при заключении сделок, продаже товаров, оказании услуг, выполнении работ. Сбор и хранение базы контактов потенциальных потребителей тоже сюда относится.
Чтобы не было никаких разночтений, законодатели перечислили в п. 2 статьи 22 закона № 152-ФЗ ситуации, при которых персональные данные можно обрабатывать без подачи уведомления:
- сведения используются органами защиты безопасности государства и общественного порядка;
- информация обрабатывается в целях безопасности объектов транспортного комплекса и транспорта;
- данные обрабатываются без использования средств автоматизации, то есть только на бумаге.
Все остальные ситуации из этого перечня исключили с 1 сентября 2022 года. Это, как мы уже говорили, обработка ПД в рамках трудового законодательства, а также:
- получение информации только для исполнения договора, заключённого с субъектом персональных данных;
- оформление разового пропуска для прохода на охраняемую территорию;
- распространение личной информации с согласия самого субъекта;
- обработка данных, включающих только имя, отчество, фамилию человека;
- обработка данных участников общественных объединений и религиозных организаций.
С учётом всего сказанного к операторам ПД, обязанным подать уведомление, относятся государственные и муниципальные органы, организации, физические лица, производящие с персональными данными любые действия. Немногочисленные исключения приводятся в п. 2 статьи 22 закона № 152-ФЗ.
Если при обработке ПД допущены нарушения, оператора могут наказать по статье 13.11 КоАП РФ (штраф до 75 тысяч рублей). Отдельная санкция предусмотрена за хранение данных граждан РФ за пределами России: 6 млн рублей и до 12 млн рублей, если нарушение повторное. Отсутствие самого уведомления о начале обработке ПД наказывается по статье 19.7 КоАП РФ (штраф до 5 000 рублей).
Как подать уведомление
А теперь о том, как заполнить и подать уведомление об обработке ПД. Для этого надо перейти на сайт Роскомнадзора.
Как видим, есть несколько способов подготовки и подачи уведомления:
- на бумаге;
- с использованием электронной цифровой подписи;
- через портал Госуслуг.
Согласие на обработку персональных данных
Компании, осуществляя свою хозяйственную деятельность, с одной стороны, периодически вынуждены разглашать личные сведения персонала организации. С другой стороны, ФЗ О персональных данных обязывает работодателей производить защиту этой информации. В сложившейся ситуации единственный законный выход для их администрации каждый раз брать у работника согласие на обработку данных. К личной информации сотрудников относится Ф.И.О., данные их паспортов, место жительства, возраст, образование, семейное положение и т. д.
Для чего необходимо согласие на обработку данных
Законодательство требует от каждого работодателя, чтобы он разработал на своем предприятии локальный нормативный акт, в котором было бы предусмотрено, что относится к персональным данным, в каких случаях допускается их разглашение и какие меры он осуществляет для обеспечения конфиденциальности.
С этим документом должен быть ознакомлен каждый поступающий на работу человек.
Помимо этого, предприятие должно встать на учет в качестве оператора по обработке этих сведений в Роскомнадзоре. Защита персональных данных включает не только ограниченный доступ к личным делам сотрудников с фиксацией каждого запроса, но и разграничение прав пользование базами данных на компьютере. В компании обязательно должен быть ответственный за осуществление этих мероприятий.
При поступлении на работу , еще до заключения трудового договора , сотруднику целесообразней заполнить бланк согласия на обработку персональных данных. Это позволяет администрации фирмы собирать, обрабатывать и хранить их. Данная форма разрабатывается предприятием самостоятельно и включается в качестве приложения к соответствующему Положению.
Чаще всего разглашать сведения предприятию приходится при оформлении карт-счетов для работника, доверенностей на право получения ТМЦ и представления интересов, заключении договоров, выписке актов, счет-фактур, накладных, при издании приказов о назначении ответственных лиц и составлении исходящих писем т. д.
В соответствии с нормами закона этот бланк заполняется каждый раз, когда происходит сообщение сведений третьим лицам. Письменное разрешение работника действует ограниченный период, и даже в этом случае данный человек имеет право отозвать свое заявление.
ЧИТАЙТЕ ТАКЖЕ: Приказ о предоставлении отпуска сотруднику, форма Т-6
Во избежания неприятностей рекомендуется брать это согласие даже у директора и учредителя. В последнее время данная практика стала широко использоваться при заключении договоров с крупными компаниями. В качестве приложения к ним очень часто стал встречаться этот документ.
В некоторых случаях организация может сообщать данные сведения третьим лицам без получения разрешения рабочего. Например, по запросу государственных органов.
За неправомерное разглашение информации, составляющей персональные данные работника, к фирме и ее ответственных лиц могут применяться меры наказания в виде лишения свободы, возмещение понесенного работником ущерба, в том числе морального, а также наложение штрафных сумм. Надзор за соблюдение законодательства в этой сфере осуществляет Роскомнадзор, который может проводить время от времени проверки.
Образец заполнения согласия на обработку персональных данных
Сверху в правой части документа указывается Ф.И.О. человека, на чье имя составляется разрешение, его должность, название компании.
После этого посередине листа пишется заголовок документа: «Согласие на обработку моих персональных данных».
Затем в заявлении нужно указать личные данные сотрудника, его домашний адрес, полные данные паспорта или другого имеющегося документа, подтверждающего личность — серию, номер, дату и место выдачи. Обязательно необходимо сделать ссылку на федеральный закон или другие нормативные акты. После чего вписывается название компании, в которую подается данное разрешение, ее полный адрес местонахождения.
Затем нужно указать для каких целей будет производиться разглашение информации, и перечислить все те персональные сведения, для использования которых предоставляется согласие — это могут быть личные данные, сведения о зарплате, стаже, поощрениях и взысканиях и т.д . Также нужно указать перечень действий, какими методами будет производиться обработка. Если данные планируется предоставлять в несколько мест, то на каждое учреждение лучше всего составить отдельное согласие.
ЧИТАЙТЕ ТАКЖЕ: Как заполнить заявление на регистрацию ИП по форме Р21001
Ниже проставляется временной период, в течение которого действителен данный документ. Затем в текст включается информация о том, каким именно способом можно произвести отзыв разрешения. Не будет лишним добавить сведения о том, что работнику было разъяснено о его правах в сфере защиты персональных данных.
После этого сотрудник указывает свою должность, проставляет личную подпись, расшифровывает ее, и дату заполнения.
Бланк согласия на обработку персональных данных
Скачать бланк согласия, вариант 1 в формате Word.
Скачать бланк согласия вариант 2 в формате Word.
Согласие на обработку персональных данных образец в формате Word.
Источник: ip-on-line.ru