Ответственность за нарушение порядка использования персональных данных в кадровом делопроизводстве

Материал подготовлен с использованием правовых актов по состоянию на 9 ноября 2021 г.

Освещаются вопросы мер обеспечения защиты персональных данных в кадровом делопроизводстве, а также ответственность за нарушение порядка обработки и защиты персональных данных.

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Трудовой кодекс (далее – ТК)

● Гражданский кодекс (далее – ГК)

● Кодекс об административных правонарушениях (далее – КоАП)

● Уголовный кодекс (далее – УК)

● Уголовно-процессуальный кодекс (далее – УПК)

● Процессуально-исполнительный кодекс об административных правонарушениях (далее – ПИКоАП)

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

● Указ Президента от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных» (далее – Указ № 422)

● постановление Пленума Верховного Суда от 28.09.2000 № 7 «О практике применения судами законодательства, регулирующего компенсацию морального вреда» (далее – Постановление Пленума № 7)

Меры обеспечения защиты персональных данных в кадровом делопроизводстве

С 15.11.2021 вступает в силу Закон № 99-З, которым урегулированы вопросы обработки персональных данных, определены меры по обеспечению защиты персональных данных.

По общему правилу обработка персональных данных осуществляется с согласия субъекта персональных данных. Однако в отдельных случаях такое согласие не требуется, например:

● для ведения индивидуального (персонифицированного) учета сведений о застрахованных лицах для целей государственного социального страхования, в т.ч. профессионального пенсионного страхования;

● при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством (п. 3 ст. 4, ст. 6 Закона № 99-З).

В частности, согласно ст. 26 ТК при заключении трудового договора наниматель обязан потребовать, а гражданин предъявить нанимателю:

1) документ, удостоверяющий личность; документы воинского учета (для военнообязанных и лиц, подлежащих призыву на воинскую службу);

2) трудовую книжку, за исключением впервые поступающего на работу и совместителей;

3) документ об образовании или документ об обучении, подтверждающий наличие права на выполнение данной работы;

4) направление на работу в счет брони для отдельных категорий работников в соответствии с законодательством;

5) индивидуальную программу реабилитации инвалида (для инвалидов);

6) декларацию о доходах и имуществе, страховое свидетельство, медсправку о состоянии здоровья и другие документы о подтверждении иных обстоятельств, имеющих отношение к работе, если их предъявление предусмотрено законодательными актами.

Прием на работу без указанных документов не допускается.

Кроме этого, трудовой договор в качестве обязательных условий должен содержать данные о работнике и нанимателе, заключивших трудовой договор (п. 1 ч. 2 ст. 19 ТК).

При ведении личного дела наниматель обязан собирать ряд персональных данных, которые отражаются в личном листке по учету кадров и дополнении к личному листку по учету кадров (приложение 2, 3 к Инструкции о порядке формирования, ведения и хранения личных дел работников, утв. постановлением Комитета по архивам и делопроизводству при Совете Министров от 26.03.2004 № 2).

Помимо сбора персональных данных в процессе оформления трудовых отношений сбор таких данных осуществляется и в процессе ведения в организации персонально-первичного воинского учета по личным карточкам. Перечень персональных данных отражается в личных карточках по форме согласно приложению 13 к постановлению Минобороны от 27.01.2020 № 5 «Об установлении форм документов воинского учета».

Наниматель обязан принимать правовые, организационные и технические меры по обеспечению защиты персональных данных от несанкционированного или случайного доступа к ним, изменения, блокирования, копирования, распространения, предоставления, удаления персональных данных, а также от иных неправомерных действий в отношении персональных данных (п. 1 ст. 17 Закона № 99-З).

Так, обязательными мерами по обеспечению нанимателем защиты персональных данных являются:

1) назначение структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;

2) издание документов, определяющих политику в отношении обработки персональных данных (включающих, например, перечень персональных данных, обрабатываемых нанимателем; права субъектов персональных данных; условия обработки персональных данных и др.);

3) ознакомление работников и иных лиц, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в т.ч. с требованиями по защите персональных данных, документами нанимателя, определяющими политику в отношении обработки персональных данных;

4) определение порядка доступа к персональным данным, в т.ч. обрабатываемым в информационном ресурсе (системе) (например, положение по работе с персональными данными работников; оформление обязательства о неразглашении персональных данных; перечень лиц, имеющих право доступа к персональным данным);

5) осуществление технической и криптографической защиты персональных данных в порядке, установленном Оперативно-аналитическим центром при Президенте Республики Беларусь, в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные;

6) специальное обучение лиц, в обязанности которых входит защита персональных данных;

7) ведение учета персональных данных, подлежащих обработке госорганами и иными организациями (ст. 17 Закона № 99-З, Указ № 422).

При нарушении порядка обработки персональных данных, установленного законодательством и внутренними ЛПА, ответственный работник либо наниматель могут быть привлечены к ответственности за нарушение порядка обработки персональных данных.

Ответственность за нарушение порядка обработки и защиты персональных данных

1. Дисциплинарная ответственность.

За противоправное, виновное неисполнение или ненадлежащее исполнение работником своих трудовых обязанностей (дисциплинарный проступок) устанавливается дисциплинарная ответственность (ст. 197 ТК).

Для привлечения к такой ответственности необходимо:

● зафиксировать факт нарушения работником порядка сбора, обработки персональных данных (возможно при наличии внутренних ЛПА, устанавливающих такой порядок);

● затребовать письменное объяснение работника;

● наличие в должностной инструкции работника обязанностей по обработке персональных данных работников;

● оформить дисциплинарное взыскание приказом руководителя (замечание, выговор, лишение полностью или частично стимулирующих выплат на срок до 12 мес., увольнение);

● ознакомить с приказом работника под подпись (ст. 197–201 ТК).

В случае применения нанимателем взыскания в виде увольнения основанием увольнения является п. 10 ч. 1 ст. 47 ТК, а именно нарушение работником порядка сбора, систематизации, хранения, изменения, использования, обезличивания, блокирования, распространения, предоставления, удаления персональных данных.

При этом срок применения дисциплинарного взыскания – не позднее 1-го месяца со дня обнаружения дисциплинарного проступка, не считая времени болезни работника или ухода за больным членом семьи, подтвержденных листком нетрудоспособности или справкой о временной нетрудоспособности, пребывания работника в отпуске, нахождения на военных или специальных сборах (ст. 47, 202 ТК).

2. Материальная ответственность.

Работник может быть привлечен к материальной ответственности (ч. 1 ст. 400 ТК).

Ответственность применяется:

● кем – нанимателем;

● к кому – к работнику, в чьи должностные обязанности входит обработка персональных данных.

Данный вид ответственности может быть применен при одновременном наличии следующих условий:

1) ущерба, причиненного нанимателю при исполнении трудовых обязанностей;

2) противоправности поведения (действия или бездействия) работника;

3) прямой причинной связи между противоправным поведением работника и возникшим у нанимателя ущербом;

4) вины работника в причинении ущерба (ч. 1 ст. 400 ТК).

В процессе выяснения вышеуказанных условий потребуется зафиксировать факт причинения материального ущерба, а также определение его размера.

Так, при определении размера ущерба учитывается только реальный ущерб, упущенная выгода не учитывается.

К излишним денежным выплатам, в частности, могут относиться:

● зарплата, выплаченная незаконно уволенному работнику;

● потери нанимателя в связи с неудовлетворением исковых требований по причине пропуска исковой давности;

● расходы, связанные с перевозкой, экспертизой поставленной в торговую сеть некачественной продукции (товара);

● сверхнормативный расход электроэнергии, ГСМ.

При определении размера ущерба следует также руководствоваться Положением о порядке определения размера вреда (в том числе реального ущерба), причиненного государству, юридическим лицам и индивидуальным предпринимателям противоправными действиями, утв. постановлением Совета Министров от 07.12.2016 № 1001 (ст. 400 ТК, п. 3, 4 постановления Пленума Верховного Суда от 26.03.2002 № 2 «О применении судами законодательства о материальной ответственности работников за ущерб, причиненный нанимателю при исполнении трудовых обязанностей»).

Для привлечения к материальной ответственности работника, ответственного за обработку персональных данных, потребуется наличие соответствующих обязанностей по работе с персональными данными в должностной инструкции, а также договор о полной индивидуальной материальной ответственности.

Возмещение ущерба работником в размере до трех его среднемесячных заработков производится по распоряжению нанимателя путем удержания из зарплаты работника. Распоряжение нанимателя должно быть сделано не позднее 2 недель со дня обнаружения причиненного работником ущерба и обращено к исполнению не ранее 10-ти дней со дня сообщения об этом работнику

В остальных случаях возмещение ущерба производится в судебном порядке.

Для обращения нанимателя в суд по вопросам взыскания материального ущерба, причиненного ему работником, устанавливается срок в 1 год со дня обнаружения ущерба (ст. 408, ст. 242 ТК).

3. Гражданская ответственность.

Субъект персональных данных, который является или являлся работником (выполнял работы, оказывал услуги на основании гражданско-правового договора), вправе потребовать возмещения вреда, причиненного его личности или имуществу при нарушении нанимателем требований по обработке и защите персональных данных (п. 1 ст. 933 ГК).

В рамках гражданского судопроизводства потерпевший может заявить также требование о возмещении морального вреда. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков (ст. 19 Закона № 99-З).

При этом право на компенсацию морального вреда в случаях распространения сведений, касающихся частной жизни, личной и семейной тайны, возникает при условии причинения гражданину нравственных страданий независимо от того, являются ли распространенные сведения порочащими или нет (п. 4 Постановления Пленума № 7).

В частности, сведения о родителях, опекунах, попечителях, семейном положении, супруге, ребенке (детях) физлиц относятся к дополнительным персональным данным (п. 1 ст. 10 Закона от 21.07.2008 № 418-З «О регистре населения»).

Следует отметить также, что на требования о компенсации морального вреда, вытекающие из нарушения личных неимущественных прав и других нематериальных благ, кроме случаев, предусмотренных законодательными актами, исковая давность не распространяется (п. 1 ст. 209 ГК, п. 19 Постановления Пленума № 7).

4. Административная ответственность (ст. 23.7 КоАП).

В отношении лица, ответственного за кадровое делопроизводство, за обработку персональных данных, административная ответственность может быть применена в случае умышленного незаконного сбора, обработки, хранения или предоставления персональных данных физлица либо нарушения его прав, связанных с обработкой персональных данных, совершенные лицом, которому персональные данные известны в связи с его профессиональной или служебной деятельностью (штраф в размере от 4 до 100 БВ).

В отношении нанимателя административная ответственность может быть применена за несоблюдение мер обеспечения защиты персональных данных физлиц (штраф в размере от 2 до 10 БВ, на ИП – от 10 до 25 БВ, а на юрлицо – от 20 до 50 БВ).

Протоколы об административных правонарушениях по ст. 23.7 КоАП вправе составлять органы внутренних дел (п. 1 ч. 1 ст. 3.30 ПИКоАП). Дела о правонарушениях, предусмотренных ст. 23.7 КоАП, рассматриваются судом (ч. 1 ст. 3.2 ПИКоАП).

5. Уголовная ответственность (ст. 203¹ УК).

Уголовная ответственность предусмотрена за:

● умышленные незаконные сбор, предоставление информации о частной жизни и (или) персональных данных другого лица без его согласия, повлекшие причинение существенного вреда правам, свободам и законным интересам гражданина;

● умышленное незаконное распространение информации о частной жизни и (или) персональных данных другого лица без его согласия, повлекшее причинение существенного вреда правам, свободам и законным интересам гражданина;

● за вышеперечисленные действия, совершенные в отношении лица или его близких в связи с осуществлением им служебной деятельности или выполнением общественного долга.

Дела о преступлениях, предусмотренных ст. 203¹ УК, являются делами частно-публичного обвинения, возбуждаются не иначе как по заявлению лица, пострадавшего от преступления, его законного представителя или представителя юрлица (ч. 4 ст. 26 УПК).

Обжалование действий в порядке обращения граждан

Субъект персональных данных вправе обжаловать действия (бездействие) и решения нанимателя, нарушающие его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном законодательством об обращениях граждан и юрлиц.

Таким органом является Национальный центр защиты персональных данных (Указ № 422).

Принятое уполномоченным органом по защите прав субъектов персональных данных решение может быть обжаловано субъектом персональных данных в суд в порядке, установленном законодательством (ст. 15 Закона № 99-З).