Персональные данные: вопросы работодателя
Нужно ли предприятию регистрировать сведения, которыми оно владеет в отношении своих работников? Нужно ли на это получать согласие самих работников?
(г. Одесса)
С 1 января 2011 года действует
Закон Украины «О защите персональных данных» от 01.06.2010 г. № 2297-VI, руководствуясь положениями которого с 01.07.2011 г. Государственная служба Украины по вопросам защиты персональных данных начала регистрацию баз персональных данных в Госреестре баз персональных данных.Давайте попробуем разобраться, что понимает законодатель под персональными данными и в каких случаях возлагает на работодателя обязанность зарегистрировать базу персональных данных.
Согласно
ст. 2 Закона № 2297 персональные данные — это сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано, база персональных данных — именуемая совокупность упорядоченных персональных данных в электронной форме и/или в форме картотек персональных данных. Источниками сведений о физическом лице являются: выданные на его имя документы; подписанные им документы; сведения, которые лицо предоставляет о себе (ч. 4 ст. 6 Закона № 2297).Работодатель, который в своей деятельности не может не использовать сведения о физических лицах, пребывающих с ним в трудовых отношениях (это, в частности, сведения о возрасте, дате и месте рождения, месте жительства, регистрационном номере учетной карточки, социальном статусе, наличии права на предоставляемые законодательством льготы, например для инвалидов, беременных женщин и женщин с детьми в возрасте до трех лет, несовершеннолетних, автобиографии, характеристики, данные о прохождении аттестации и т.д.), подпадает под определение владельца базы персональных данных, а значит — на нем лежит обязанность по установлению состава персональных данных и процедуры их обработки. В связи с этим Государственная служба Украины по вопросам защиты персональных данных (далее — ГСЗПД) рекомендует рассматривать кадровую документацию, статистическую, налоговую и другую отчетность в электронной форме и/или в форме картотек, которая обрабатывается работодателем и содержит персональные данные работников базой персональных данных или составной частью базы персональных данных.
Статья 11 Закона № 2297
называет основания возникновения права на использование персональных данных:1)
согласие субъекта персональных данных (в нашем случае — работника) на обработку его персональных данных. Субъект персональных данных имеет право при предоставлении согласия внести оговорку в отношении ограничения права на обработку своих персональных данных;2)
разрешение на обработку персональных данных, предоставленное владельцу базы персональных данных согласно закону исключительно для осуществления своих полномочий.По нашему мнению, работодатель вполне может воспользоваться вторым из приведенных оснований и настаивать на отсутствии необходимости получения отдельного согласия работников на использование предоставляемых ими данных для целей, предусмотренных законодательством. Ссылаться при этом работодатель может на то, что есть целый ряд законодательных положений, обязывающих работодателей владеть определенными персональными данными наемных работников. Это, в частности,
ст. 24 КЗоТ, пункты 2 — 4 постановления Кабмина «О трудовых книжках работников» от 27.04.93 г. № 301, п. 1.3 и п. 1.4 Инструкции о порядке ведения трудовых книжек работников, утвержденной приказом Минтруда, Минюста, Минсоцзащиты от 29.07.93 г. № 58, приказ Госкомстатистики и Минобороны «Об утверждении типовой формы первичного учета № П-2 «Личная карточка работника» от 25.12.2009 г. № 495/656, приказ Минстатистики «Об утверждении формы первичного учета № П-2ДС и Инструкции по ее заполнению» от 26.12.95 г. № 343, акты законодательства, которыми установлены ограничения, гарантии, компенсации, льготы в сфере трудовых и социальных правоотношений.Однако этот вариант аргументации рекомендуем оставить «на крайний случай». Более уверенно будут себя чувствовать те из работодателей, которые получат письменное согласие работника на использование его персональных данных. Именно так рекомендуют поступить специалисты ГСЗПД*. Единственное исключение, которое они готовы сделать: согласие субъекта персональных данных на обработку его персональных данных повторно не предоставляется, если владелец продолжает обрабатывать персональные данные субъекта в рамках правоотношений на основании свободного волеизъявления физического лица, которые возникли до вступления в силу
Закона № 2297. Другими словами, специалисты ГСЗПД признают, что если трудовые отношения возникли до 01.01.2011 г., то после этой даты получать отдельное согласие работника на использование его персональных данных нет необходимости. Получить согласие нужно только от тех работников, которые были приняты на работу в 2011 году и будут приниматься в последующем. Согласие, в частности, может предоставляться отдельным документом, составленным в произвольной форме, или путем указания об этом в заявлении о приеме на работу.* Соответствующие консультации размещены на официальном сайте службы http://www.zpd.gov.ua. Там же размещен типовой порядок обработки персональных данных в базах персональных данных (http://www.zpd.gov.ua/zpd_14.pdf), который ГСЗПД рекомендует взять за основу и разработать внутреннее положение на предприятии.
Как мы указали выше, кадровая документация, статистическая, налоговая и другая отчетность, другие сведения о работниках, используемые работодателем, ГСЗПД рекомендует рассматривать в качестве базы персональных данных или в качестве составной части базы персональных данных, которая, в свою очередь, подлежит регистрации.
Порядок регистрации баз персональных данных
регулируется Законом № 2297 и Положением о Государственном реестре баз персональных данных и порядке его ведения, утвержденным постановлением Кабмина от 25.05.2011 г. № 616. База персональных данных подлежит государственной регистрации путем внесения соответствующей записи ГСЗПД в Государственный реестр баз персональных данных на основании заявления, поданного владельцем такой базы или уполномоченным им лицом по форме и в порядке, утвержденным приказом Минюста «Об утверждении форм заявлений о регистрации базы персональных данных и о внесении изменений в сведения Государственного реестра баз персональных данных и порядок их представления» от 08.07.2011 г. № 1824/5.Заявление должно содержать:
1)
обращение о внесении базы персональных данных в Реестр;2) информацию о владельце базы персональных данных, в частности:
— наименование (указывается полное название юридического лица без сокращений в соответствии с учредительными документами и/или свидетельством о государственной регистрации юридического лица), резидент/нерезидент, код налогоплательщика согласно ЕГРПОУ или налоговый номер (для резидента), место нахождения — для юридических лиц;
— фамилию, имя и отчество (при наличии), гражданство, номер, серию паспорта и выдавший его орган, а также для граждан Украины регистрационный номер учетной карточки налогоплательщика (не подается физическими лицами, которые по своим религиозным убеждениям отказались от присвоения регистрационного номера учетной карточки налогоплательщика и официально известили об этом соответствующие органы государственной власти, что подтверждается отметкой в паспорте), место жительства — для физических лиц;
3) информацию о наименовании и месте нахождения базы персональных данных:
— адрес фактического размещения — для баз данных в форме картотек;
— фактические адреса хранения носителей информации — для баз данных в электронной форме;
4) информацию о цели обработки персональных данных в базе персональных данных со ссылкой на нормативно-правовые акты, положения, учредительные или другие документы, регулирующие деятельность владельца базы персональных данных, в том числе об их категориях (перечень данных о физическом лице, которые обрабатываются в базе, например, Ф. И. О., паспортные данные, регистрационный номер учетной карточки налогоплательщика, данные об образовании, стаже работы, навыках и пр.) и правовых основаниях такой обработки;
5) информацию о распорядителях баз персональных данных (при их наличии):
— наименование, резидент/нерезидент, код налогоплательщика согласно ЕГРПОУ или налоговый номер (для резидента), место нахождения — для юридических лиц;
— фамилия, имя и отчество (при наличии), гражданство, номер, серия паспорта и орган, который его выдал, а также для граждан Украины регистрационный номер учетной карточки налогоплательщика (не подается физлицами, которые по своим религиозным убеждениям отказались от присвоения регистрационного номера учетной карточки налогоплательщика и официально известили об этом соответствующие органы государственной власти, что подтверждается отметкой в паспорте), место жительства — для физических лиц;
6) информацию о заявителе;
7) документ, подтверждающий обязательство относительно выполнения требований законодательства по защите персональных данных (в заявлении проставляется отметка в разделе подтверждения обязательства).
Заявления заполняются и подаются в бумажной или электронной форме
. При представлении заявлений в бумажной форме заявитель подписывает каждую страницу заявления и скрепляет ее печатью (при наличии). В электронной форме заявления подаются в соответствии с требованиями законов Украины «Об электронной цифровой подписи» от 22.05.2003 г. № 852-IV и «Об электронных документах и электронном документообороте» от 22.05.2003 г. № 851-IV.Заявления заполняются на государственном языке, разборчивыми печатными буквами. Они не должны содержать помарки, зачеркивания и исправления.
При заполнении заявлений выбранный заявителем признак отмечается символом «
х». Даты в заявлениях заполняются арабскими цифрами в формате — день, месяц, год.Страницы заявлений нумеруются, на каждой странице заявления указываются номер страницы и общее количество страниц.
Заявление в бумажной форме подается через курьера или отправляется по адресу: 02660 г. Киев, ул. Марины Расковой, 15 или в форме электронного документа отправляется по электронному адресу Государственной службы Украины по вопросам защиты персональных данных
(register@zpd.gov.ua). Также заполнить и предоставить заявление в электронном виде можно непосредственно на сайте Государственного реестра баз персональных данных (https://rbpd.informjust.ua/default.aspx).Если субъект хозяйствования имеет обособленные структурные подразделения, руководители которых наделены полномочиями по заключению и расторжению трудовых договоров с работниками этих обособленных структурных подразделений и эти подразделения ведут собственное кадровое делопроизводство, то в заявлении о регистрации базы персональных данных работников в разделе ІІ необходимо указывать адреса места нахождения базы персональных данных работников предприятия и каждого обособленного структурного подразделения.
ГСЗПД уведомляет заявителя не позже следующего рабочего дня
со дня поступления заявления о его получении. В уведомлении указываются регистрационный номер и дата получения заявления, а также срок принятия решения относительно регистрации базы персональных данных в Реестре. В течение 10 рабочих дней со дня поступления соответствующего заявления ГСЗПД принимает решение о регистрации базы персональных данных путем выдачи его владельцу свидетельства о государственной регистрации базы персональных данных или уведомления об отказе в регистрации, о чем вносит запись в Реестр. Владелец базы персональных данных обязан уведомлять ГСЗПД о каждом изменении сведений, необходимых для регистрации соответствующей базы, не позднее чем в течение десяти рабочих дней со дня наступления такого изменения путем предоставления заявления о внесении изменений в сведения Государственного реестра баз персональных данных. К указанным сведениям относятся: изменения информации о владельце и распорядителях базы персональных данных, наименовании и месте нахождения базы персональных данных и изменении цели обработки персональных данных.За нарушение требований законодательства о защите персональных данных может наступать административная либо даже уголовная ответственность. Соответствующие нормы вступят в силу
с 01.01.2012 г. (согласно Закону Украины «О внесении изменений в некоторые законодательные акты Украины по усилению ответственности за нарушение законодательства о защите персональных данных» от 02.06.2011 г. № 3454-VI). Так, административная ответственность будет наступать за:— неуведомление или несвоевременное уведомление субъекта персональных данных (в том числе работника) о его правах в связи с включением его персональных данных в базу персональных данных, цели сбора этих данных и лицах, которым эти данные передаются в виде штрафа на должностных лиц, физлиц-предпринимателей — от 300 до 400 не облагаемых минимумов доходов граждан (т.е.
от 5100 до 6800 грн.), на физлиц-работодателей, не имеющих статуса предпринимателя, — от 200 до 300 ннмдг (от 3400 до 5100 грн.);— неуведомление или несвоевременное уведомление ГСЗПД об изменении сведений, которые подаются для государственной регистрации базы персональных данных в виде штрафа на должностных лиц, физлиц-предпринимателей от 200 до 400 ннмдг (
от 3400 до 6800 грн.), на физлиц-работодателей, не имеющих статуса предпринимателя, — от 100 до 200 ннмдг (от 1700 до 3400 грн.);— за уклонение от государственной регистрации базы персональных данных в виде штрафа на граждан, не имеющих статуса предпринимателя, от 300 до 500 ннмдг (
от 5100 до 8500 грн.), на должностных лиц, физлиц-предпринимателей — от 500 до 1000 ннмдг (от 8500 до 17000 грн.).Уголовная ответственность
будет наступать за незаконный сбор, хранение, использование, уничтожение, распространение конфиденциальной информации о работнике или незаконное изменение такой информации в виде штрафа от 500 до 1000 ннмдг (от 8500 до 17000 грн.) либо исправительных работ на срок до двух лет, либо в виде ареста на срок до шести месяцев, либо ограничения свободы на срок до трех лет.
Елена Уварова, юрист
