Защита персональных данных работника

Значительная по объему информация может быть почерпнута из паспорта гражданина, являющегося основным документом, удостоверяющим его личность на территории Российской Федерации, в котором в соответствии с Положением о паспорте гражданина Российской Федерации, утвержденном постановлением Правительства РФ от 8 июля 1997 г. №8281 (в ред. от 23 января 2004 г.), производятся отметки:

- о регистрации гражданина по месту жительства и снятии его с регистрационного учета;

- об отношении к воинской обязанности граждан, достигших 18-летнего возраста;

- о регистрации и расторжении брака;

- о детях, не достигших 14-летного возраста;

- о ранее выданных основных документах, удостоверяющих личность гражданина Российской Федерации на территории Российской Федерации;

- о выдаче основных документов, удостоверяющих личность гражданина Российской Федерации за пределами Российской Федерации.

По желанию гражданина в паспорте могут производятся отметки о его группе крови и резус-факторе и об идентификационном номере налогоплательщика.

Вторым важным источником информации о работнике является его трудовая книжка, которая по праву называется трудовым паспортом гражданина. Она содержит полный объем сведений о трудовой деятельности работника, а также иную информацию о нем.

Так, в соответствии со ст. 66 ТК РФ «Трудовая книжка» и с Правилами ведения и хранения трудовых книжек, изготовления бланков трудовой книжки и обеспечения ими работодателей, утвержденными постановлением Правительства РФ от 16 апреля 2003 г. №2251 (в ред. от 6 февраля 2004 г.) в трудовую книжку при ее оформлении вносятся сведения о фамилии, имени, отчестве работника, дата его рождения (число, месяц, год), сведения о его образовании, профессии, специальности.

В дальнейшем по месту работы в трудовую книжку вносятся сведения о выполняемой работе, переводах на другую постоянную работу, об увольнении с указанием основания прекращения трудового договора, сведения о поощрениях и награждениях. По желанию работника в трудовую книжку по месту основной работы вносятся сведения о работе по совместительству на основании документа, подтверждающего работу по совместительству.

Записи в трудовую книжку о причинах прекращения трудового договора производятся в точном соответствии с формулировками Трудового кодекса или иного федерального закона, со ссылками на их статьи. Так, при прекращении трудового договора с работником, осужденным приговором суда к наказанию в виде лишения права занимать определенные должности или заниматься определенной деятельностью и не отбывшим это наказание, в трудовую книжку вносится запись о том, на каком основании, на какой срок и какую должность он лишен права занимать или какой деятельностью лишен права заниматься.

В трудовые книжки лиц, отбывших исправительные работы без лишения свободы, вносится по месту работы запись о том, что время работы в этот период не засчитывается в непрерывный трудовой стаж. Указанная запись вносится в трудовые книжки по окончании фактического срока отбытия наказания, который устанавливается по справкам органов внутренних дел.

В трудовую книжку по месту работы также вносятся записи о времени военной службы в соответствии с Федеральным законом от 28 марта 1998 г. №53-ФЗ «О воинской обязанности и военной службе», службы в органах внутренних дел, органах налоговой полиции, органах по контролю за оборотом наркотических средств и психотропных веществ, в таможенных и других правоохранительных органах, о времени обучения на курсах и в школах по повышению квалификации, переквалификации и подготовке кадров.

Как видим, трудовая книжка может содержать значительный объем разнообразной информации о ее владельце, в том числе и выходящей за пределы его трудовой деятельности.

Источниками информации о работнике являются иные предоставляемые им при поступлении на работу документы: страховое свидетельство государственного пенсионного страхования, документы воинского учета, документы об образовании, о квалификации, наличии специальных знаний, ученых степеней и званий.

Информация о работнике, относящаяся к его персональным данным, концентрируется в унифицированных формах первичной учетной документации по учету труда и его оплаты, утвержденных постановлением Государственного комитета Российской Федерации по статистике от 5 января 2004 г. №1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты», согласованным с Министерством финансов РФ, Министерством экономического развития и торговли РФ, Министерством труда и социального развития РФ.

Обязательность ведения унифицированных форм первичной учетной документации по учету труда и его оплаты распространена на все организации, осуществляющие использование труда наемных работников по трудовому договору на территории Российской Федерации, независимо от их организационно-правовых форм и формы собственности. Некоторые исключения в части учета рабочего времени и расчетов с персоналом по оплате труда предусмотрены лишь для бюджетных учреждений и работодателей - физических лиц.

В соответствии с названным выше постановлением все унифицированные формы первичной учетной документации по учету труда и его оплаты подразделяются на две группы. Первая - это документы по учету кадров, вторая - документы по учету рабочего времени и расчетов с персоналом по оплате труда.

К документам по учету кадров относятся приказ (распоряжение) о приеме работника на работу, личная карточка работника или личная карточка государственного (муниципального) служащего, учетная карточка научного, научно-педагогического работника, приказ (распоряжение) о переводе работника на другую работу, приказ (распоряжение) о предоставлении отпуска работнику, график отпусков, приказ (распоряжение) о прекращении (расторжении) трудового дрговора с работником, приказ (распоряжение) о направлении работника в командировку, командировочное удостоверение и служебное задание для направления в командировку, отчет о его выполнении, приказ (распоряжение) о поощрении работника.

К документам по учету рабочего времени и расчетов с персоналом по оплате труда относятся: табель учета рабочего времени и расчета оплаты труда, расчетная или платежная ведомость, лицевой счет, записка-расчет о предоставлении отпуска работнику, записка-расчет при прекращении (расторжении) трудового договора с работником, акт о приеме работ, выполненных по срочному трудовому договору, заключенному на время выполнения определенной работы.

Получение информации о работнике является правом работодателя. Она необходима ему в первую очередь для эффективной организации трудового процесса. Но информация о работнике может потребоваться работодателю и для исполнения обязанностей, возложенных на него трудовым законодательством. Например, для применения особых правил регулирования труда работников в возрасте до 18 лет (гл. 41 ТК РФ) или лиц с семейными обязанностями (гл. 42 ТК РФ) работодателю потребуется информации о возрасте работника, о наличии у него детей.

Получение информации о работнике может быть не только правом работодателя, но и его обязанностью, предусмотренной как трудовым правом, так и нормативными правовыми актами другой отраслевой принадлежности.

Например, налоговое законодательство, наделяя работодателя статусом налогового агента и возлагая на него обязанности по исчислению, удержанию у работника как налогоплательщика налогов и перечислению их в соответствующие бюджеты или внебюджетные фонды, обязывает работодателя учитывать целый комплекс сведений о работнике.

Сходные обязанности по сбору информации о работнике возлагает на работодателя Федеральный закон от 1 апреля 1996 г. №27-ФЗ

«Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования» (действует в ред. от 9 мая 2005 г.).

В результате всего этого у работодателя концентрируется значительный объем разнообразной информации о работнике, совокупность которой и образует его персональные данные, защита которых входит в число обязанностей работодателя как обладателя персональных данных работника, осуществляющего их сбор, хранение, использование, передачу третьим лицам.

1.1. Ограничение персональных данных от другой информации

С момента появления персональных данных как категории в российском законодательстве в 1995 г. в Федеральном законе «Об информации, информатизации и защите информации» персональные данные сразу же были отнесены к разряду конфиденциальной информации, т.е. информации ограниченного доступа. Принятый впоследствии Указ Президента РФ «Об утверждении Перечня сведений конфиденциального характера» также содержит их упоминание в качестве конфиденциальной информации. Действующий ныне Федеральный закон «Об информации, информационных технологиях и о защите информации» аналогичным образом говорит о персональных данных в статье об ограничении доступа к информации, однако прямо не называет их в качестве конфиденциальной информации или информации ограниченного доступа, указывая лишь на особый порядок доступа к ним, предусмотренный специальным законом. Федеральный закон «О персональных данных», что интересно, также не характеризует персональные данные в целом как конфиденциальную информацию, даже более того, наряду с просто определением «персональных данных» содержит определение «общедоступных персональных данных» - термин, который невозможно логически соотнести с информацией ограниченного доступа.

В ст. 4 Закона содержится определение «конфиденциальности персональных данных», которая заключается в их нераспространении, т.е. недопущении действий, направленных на передачу и ознакомление с персональными данными третьими лицами, их опубликование, размещение в отрытом доступе. Соблюдение конфиденциальности не требуется в случае обработки общедоступных персональных данных и в случае их обезличивания, т.е. утраты всякой связи с субъектом, что не позволяет, по-видимому, их в дальнейшем вообще рассматривать в качестве персональных данных. Следовательно, рассматривать персональные данные в целом как информацию ограниченного доступа вряд ли представляется возможным, скорее, было бы правильным ввести в таком случае в оборот категорию «конфиденциальные персональные данные». В итоге из всей массы персональных данных это позволило бы выделить те из них, на которые законодательством распространяется требование соблюдения конфиденциальности. Исключением из правила следует считать случаи, упомянутые в ч. 2 ст. 1 Закона - персональные данные, составляющие государственную тайну, хранящиеся в архивах, находящиеся в едином реестре индивидуальных предпринимателей и юридических лиц, обрабатываемые исключительно для бытовых нужд. На часть из них будет распространяться другой режим ограничения доступа - режим государственной тайны. В отношении двух других случаев будут действовать совершенно другие правовые режимы, в рамках которых говорить об ограничении доступа к персональным данным в полной мере невозможно. Законодательство об архивном деле предусматривает общий запрет на доступ к информации о частной жизни лица, его личной и семейной тайне, о чем можно судить на основании п. 3 ст. 25 Федерального закона «Об архивном деле в РФ», учитывая, что ни того, ни другого определения законодательно не существует. Сведения единых государственных реестров юридических лиц и индивидуальных предпринимателей являются на основании закона общедоступными, за исключением паспортных данных физических лиц (но не в случае индивидуальных предпринимателей) и информации о банковских счетах юридических лиц, индивидуальных предпринимателей. Последний упомянутый случай исключения из правового режима конфиденциальности персональных данных, когда речь идет об их обработке для личных бытовых нужд, следует рассматривать как достаточно спорный. Вероятно, в таком случае сложно вести речь о конфиденциальности таких персональных данных в полной мере, но можно говорить о существовании общего требования об уважении прав и свобод субъекта персональных данных, в первую очередь права на уважение частной жизни, личную и семейную тайну, при их обработке, установленного Конституцией РФ в ст. 23 и 24.

Возвращаясь, собственно, к режиму конфиденциальности персональных данных, установленному Законом, следует сказать, что его суть, по аналогии с другими видами информации ограниченного доступа, должна заключаться в установлении особого порядка доступа к ним, их использования и распространения. Но в Законе (ст. 1 9) закреплено лишь крайне общее требование - предпринять организационные и технические меры по охране от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий. Технические меры, которые обязан предпринять оператор, можно считать достаточно определенными, поскольку действуют аналогичные нормативные положения, связанные с защитой иных видов конфиденциальной информации. Такая деятельность по защите конфиденциальной информации осуществляется путем лицензирования и сертификации средств защиты информации Федеральной службой по техническому и экспортному контролю, на основании соответствующих положений. Но вот что касается организационных мер, то здесь совершенно отсутствуют какие-либо четкие указания на этот счет. По аналогии с другими категориями информации ограниченного доступа, такими, как государственная тайна, коммерческая тайна, служебная тайна (в том числе на основании находящегося на стадии рассмотрения в Государственной Думе РФ проекта Федерального закона «О служебной тайне»), к таким действиям логически следовало бы отнести:

. Установление перечня персональных данных.

. Установление круга субъектов, имеющих доступ к персональным данным.

. Использование специального грифа и реквизитов, позволяющих в дальнейшем идентифицировать информацию как конфиденциальную, - «Конфиденциально».

. Учет (регистрация) лиц, фактически получивших доступ к персональным данным.

. Урегулирование отношений по охране конфиденциальности информации работниками и другими лицами на основании трудовых и гражданско-правовых договоров.

Во всех перечисленных случаях такие действия должны предприниматься своевременно (заблаговременно), и режим конфиденциальности/ секретности будет установлен в отношении информации, исключительно после принятия всех перечисленных мер. В отношении же персональных данных законодатель от такой четкой регламентации действий оператора по неясным причинам отказался. В частности, сформировать перечень персональных данных, обработка которых осуществляется конкретным оператором, представляется вполне возможным. Закон в ст. 5 указывает на то, что персональные данные не должны быть избыточными и превышать объем, необходимый для достижения заранее заявленных целей, а значит, их конкретный перечень можно и нужно сформировать заблаговременно. То же касается персональных данных, обработка которых разрешена на основании закона (персональные данные работников) или содержащихся в договорах между субъектом персональных данных и оператором (обработка персональных данных клиентов, потребителей, абонентов и т.д.). Хоть их обработка не требует соответствующего уведомления органа по защите прав субъектов персональных данных или согласия последнего их также необходимо было бы включить в рассматриваемый перечень. Использование специального грифа также дало бы возможность четкого обозначения той информации, на которую распространяется режим конфиденциальности персональных данных, установленный Законом.