Персональные данные в работе кадровой и юридической служб

Материал подготовлен с использованием правовых актов по состоянию на 3 марта 2022 г.

В материале, созданном по итогам вебинара по теме «Персональные данные в работе кадровой и юридической служб», рассматриваются особенности оформления кадровой документации лиц, непосредственно обрабатывающих персональные данные, приводится перечень действий и документов оператора с учетом рекомендаций Национального центра защиты персональных данных.

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Трудовой кодекс (далее – ТК)

● Указ Президента от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных» (далее – Указ № 422)

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

● Закон от 10.11.2008 № 455-З «Об информации, информатизации и защите информации» (далее – Закон № 455-З)

● приказ Оперативно-аналитического центра при Президенте от 20.02.2020 № 66 «О мерах по реализации Указа Президента Республики Беларусь от 9 декабря 2019 г. № 449» (далее – Приказ № 66)

● приказ Оперативно-аналитического центра при Президенте от 12.11.2021 № 194 «Об обучении по вопросам защиты персональных данных» (далее – Приказ № 194)

● Общие положения Единого квалификационного справочника должностей служащих, утв. постановлением Минтруда и соцзащиты от 02.01.2012 № 1 (далее – Общие положения ЕКСД)

● Типовые правила внутреннего трудового распорядка, утв. постановлением Минтруда от 05.04.2000 № 46 (далее – Типовые правила № 46)

● алгоритм приведения деятельности операторов, уполномоченных лиц в соответствие с требованиями Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее – Алгоритм НЦЗПД)

Общие положения

C 15.11.2021 вступил в силу Закон № 99-З, который обязал оператора (уполномоченное лицо) предпринять дополнительные меры по защите персональных данных.

Такие дополнительные меры в отношении работников не воспринимаются на практике как изменение существенных условий труда, т.к. это не является решением одного конкретного работника в отношении определенных работников (ч. 1 ст. 32 ТК), а выполнением обязанностей, которые возложены на всех нанимателей без исключения новым законодательством о защите персональных данных.

По факту будет применяться правило ч. 4 ст. 19 ТК о том, что стороны трудового договора должны привести его условия в соответствие с законодательством.

Особенности оформления кадровых документов по вопросам персональных данных с учетом рекомендаций Национального центра защиты персональных данных (далее – НЦЗПД)

1. Обязательство о неразглашении персональных данных и правила внутреннего трудового распорядка (далее – ПВТР).

НЦЗПД на вопрос о том, необходимо ли получать от работников обязательство о неразглашении персональных данных, ответил, что Законом № 99-З понятие «разглашение персональных данных», равно как и подписание работниками обязательства о неразглашении персональных данных, не предусмотрены.

Пунктом 10 ч. 1 ст. 47, ст. 198 ТК установлена дисциплинарная ответственность за нарушение работником порядка обработки персональных данных. В этой связи привлечение работника к такой ответственности не связано с наличием (отсутствием) рассматриваемого обязательства.

По мнению НЦЗПД, обязанность соблюдения законодательства о персональных данных и принятых в соответствии с ним ЛПА оператора целесообразно закрепить в должностных инструкциях работников.

Таким образом, получение от работников обязательства о неразглашении персональных данных с позиции НЦЗПД не требуется и приведет к появлению дополнительного, не основанного на законодательстве документа, содержащего персональные данные работника.

По мнению НЦЗПД, достаточно внести соответствующие дополнения в должностные инструкции.

С учетом ст. 195 ТК ПВТР устанавливаются нанимателем с участием профсоюзов на основании Типовых правил № 46.

В настоящее время Типовые правила № 46 в части персональных данных предусматривают только увольнение в качестве меры дисциплинарного взыскания (подп. 31-1.11 п. 31-1 – нарушение работником порядка сбора, систематизации, хранения, изменения, использования, обезличивания, блокирования, распространения, предоставления, удаления персональных данных).

Таким образом, целесообразно внести более детальные дополнения в части работы с персональными данными в ПВТР.

2. Должностные инструкции.

В целом должностная инструкция с правовой точки зрения может быть:

1) как ЛПА.

Так, согласно п. 3 ч. 1 ст. 194 ТК должностные (рабочие) инструкции работников приводятся как документы, в т.ч. определяющими трудовой распорядок для работников.

В ч. 1 п. 10 Общих положений ЕКСД указано, что должностные инструкции разрабатываются и утверждаются нанимателем в соответствии с содержанием «Должностных обязанностей» квалификационной характеристики должности служащего, которую он занимает.

Заметим, что трудовой договор и приложения к нему в силу ч. 1 ст. 19 ТК, точнее, их содержание, определяется по соглашению сторон, а не в одностороннем порядке утверждаются нанимателем. Все это косвенно указывает на то, что и в новой редакции Общих положений ЕКСД Минтруд считает должностные инструкции ЛПА;

2) как приложение к трудовому договору (ст. 18 ТК).

Заметим, что согласно подп. 8.1 п. 8 примерной формы трудового договора, утв. постановлением Минтруда от 27.12.1999 № 155, а также подп. 2.1 п. 2 примерной формы контракта нанимателя с работником, утв. постановлением Совета Министров от 02.08.1999 № 1180, должностная (рабочая) инструкция упоминается как приложение к трудовому договору (контракту).

В п. 6 Алгоритма НЦЗПД указано, что в должностных инструкциях работников, трудовая функция которых в основном связана с обработкой персональных данных в информационном ресурсе (системе) (включая работников кадровых, бухгалтерских служб, работников, ответственных за функционирование информационного ресурса (системы)), могут быть предусмотрены следующие обязанности по соблюдению установленного законодательством о персональных данных и ЛПА порядка обработки персональных данных:

● разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных;

● получать в необходимых случаях согласие субъекта персональных данных на обработку персональных данных;

● принимать меры по обеспечению достоверности обрабатываемых персональных данных, при необходимости вносить изменения в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, когда иной порядок актуализации персональных данных установлен законодательными актами либо если цели обработки персональных данных не предполагают изменение таких данных в последующем;

● осуществлять контроль за соответствием срока обработки персональных данных заявленным целям, прекращать обработку персональных данных, а также обеспечивать их удаление или блокирование при отсутствии правовых оснований для обработки персональных данных;

● предоставлять и распространять персональные данные только при наличии соответствующего правового основания;

● обеспечивать предоставление субъектам персональных данных информации об их персональных данных, а также о предоставлении их персональных данных третьим лицам, за исключением случаев, предусмотренных Законом № 99-З и иными законодательными актами;

● обеспечивать доступ к персональным данным в установленном порядке, вести учет такого доступа и случаев предоставления, распространения персональных данных третьим лицам;

● при возникновении при обработке персональных данных спорных вопросов привлекать уполномоченное лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных.

Конкретный перечень таких обязанностей определяется в каждом конкретном случае, исходя из специфики деятельности работника.

В должностных инструкциях остальных работников, обрабатывающих персональные данные, может быть предусмотрена их обязанность «соблюдать установленный законодательством о защите персональных данных и локальными правовыми актами порядок обработки персональных данных».

Так, НЦЗПД среди работников, которые непосредственно обрабатывают персональные данные, выделяет лиц, которые осуществляют такую обработку в информационном ресурсе (системе) и без использования средства автоматизации.

Не всегда обработка персональных данных осуществляется служащими. Такую обработку могут делать и рабочие. Например, вахтер в общежитии может вести учет приходящих в него лиц в специальном журнале посредством проверки документов, удостоверяющих личность, а также иных документов, подтверждающих право на посещение общежития, хотя это не будет являться автоматизированной обработкой персональных данных (т.е. имеет место ручная обработка), но с внесением персональных данных в регистрационные документы (в данном случае в журнал) (ст. 1 и п. 1 ст. 2 Закона № 99-З).

Другой пример, кладовщики, которые могут вносить в информационные системы персональные данные при выполнении работ на складе.

Иными словами, должностная инструкция используется в общем значении, т.е. и как должностная, и как рабочая.

3. Трудовые договоры.

НЦЗПД не оговаривает необходимость дополнения трудовых договоров. Кроме того, в правоприменительной практике возникает вопрос о том, что делать нанимателю в ситуации, когда работник отказывается подписывать соответствующее дополнительное соглашение.

В данном случае изменения именно законодательства о труде нет. Так, согласно Единому правовому классификатору Республики Беларусь, утв. Указом Президента от 04.01.1999 № 1 «Об утверждении Единого правового классификатора Республики Беларусь», предусмотрена позиция «10.03.08.05. Персональные данные и их защита», которая отнесена к следующим позициям (от общего к более конкретным):

● «10. Законодательство в области образования, научной, научно-технической и инновационной деятельности, информации и информатизации, культуры, физической культуры и спорта, туризма»;

● «10.03. Законодательство об информации, информатизации и защите информации»;

● «10.03.08. Информатизация. Информационные технологии».

Закон № 99-З, как и иные акты законодательства, в настоящее время не обязывает нанимателя дополнять именно трудовой договор.

Кроме того, согласно мнению НЦЗПД (в части обязательства о неразглашении персональных данных), если есть должностная инструкция, то составление дополнительного соглашения к трудовому договору (контракту) будет составлением дополнительного документа, содержащего персональные данные, что вызывает вопрос с точки зрения п. 5 ст. 4 Закона № 99-З (о том, что обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки).

Ознакомление с законодательством и ЛПА по вопросам персональных данных

Пункт 3 ст. 17 Закона № 99-З выделяет:

● ознакомление работников оператора (уполномоченного лица) и иных лиц, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в т.ч. с требованиями по защите персональных данных, документами, определяющими политику оператора (уполномоченного лица) в отношении обработки персональных данных;

● обучение указанных выше работников и иных лиц в порядке, установленном законодательством (в данном случае согласно Указу № 422, Приказу № 194).

Ознакомление как таковое не предполагает обучения. Например, ТК обязывает нанимателя и при приеме на работу (п. 3 ч. 1 ст. 54 ТК), и в процессе трудовой деятельности (п. 10 ч. 1 ст. 55 ТК) знакомить работника под подпись с ЛПА (т.е. с порученной работой, условиями и оплатой труда, с коллективным договором, соглашением и документами, регламентирующими внутренний трудовой распорядок, разъяснять его права и обязанности и т.п.).

Действующее законодательство не содержит определение того, что значит «ознакомить».

Например, если исходить из определения термина «отметка об ознакомлении», приведенного в п. 116 терминологического словаря «Электронный документооборот: термины и определения», утв. приказом Департамента по архивам и делопроизводству Минюста Республики Беларусь от 19.10.2015 № 39, то это ознакомление с содержанием документа.

Заметим, что ст. 17 Закона № 99-З напрямую не требует знакомить с положениями законодательства и ЛПА о персональных данных под подпись.

В настоящее время у операторов есть много вариантов ознакомления работников и иных лиц, непосредственно обрабатывающих персональные данные, с такими документами. Например:

1) классическим способом через ознакомленные с НПА и ЛПА по вопросам обработки персональных данных под подпись;

2) через размещение рассматриваемых документов на стенде, в общедоступном корпоративном ресурсе и т.п.;

3) посредством выдачи копии таких документов и т.п.

Кроме того, Закон № 99-З не требует проводить разъяснение НПА и ЛПА по вопросам персональных данных. Однако учитывая цель такого ознакомления, которая состоит в том, чтобы работники и иные лица, непосредственно обрабатывающие персональные данные, могли правильно применять нормы законодательства о защите персональных данных, чтобы не было утечки персональных данных, нарушений прав субъектов персональных данных и в конечном итоге, чтобы в результате возможных нарушений оператор не понес ответственность, в интересах самого оператора (уполномоченного лица) провести разъяснение содержания документов, с которыми он ознакамливает работников.

Такое разъяснение можно провести, например, по аналогии с вводным инструктажем по охране труда. Проводить его может, например, лицо, ответственное за осуществление внутреннего контроля, у которого в кабинете могут располагаться документы, с которыми обязан ознакомить оператор (уполномоченное лицо) своих работников и иных лиц, непосредственно обрабатывающих персональные данные. На рабочем месте более предметное ознакомление может провести непосредственный руководитель работника, который будет заниматься непосредственной обработкой персональных данных, т.е. по аналогии с первичным инструктажем по охране труда.

Если организация намерена проводить такое разъяснение, точнее, в таком формате, то целесообразно регламентировать порядок его проведения в ЛПА.

Если же говорить о классическом варианте ознакомления оператора (уполномоченного лица) с НПА и ЛПА по вопросах персональных данных, то в данном случае применяются общие нормы, в частности, предписания п. 2 и 3 ч. 1 ст. 54 ТК (при приеме на работу), п. 10 и 15 ч. 1 ст. 55 ТК (в процессе трудовых отношений), согласно которым соответственно:

● при приеме на работу наниматель обязан ознакомить работника под подпись с порученной работой, условиями и оплатой труда и разъяснить его права и обязанности, а также с коллективным договором, соглашением и документами, регламентирующими внутренний трудовой распорядок;

● при организации труда работников наниматель обязан своевременно оформлять изменения в трудовых обязанностях работника и знакомить его с ними под подпись, создавать условия для ознакомления работника с ЛПА, затрагивающими его права и обязанности, а также оформлять изменения условий трудового договора с работником приказом (распоряжением) и объявлять его работнику под подпись.

Если в организации приводится кроме ознакомления еще и разъяснение положений законодательства о персональных данных (инструктаж и т.п.), то можно регистрировать такие формы разъяснений в специальном журнале (книге) и т.п. с учетом ЛПА (например, с учетом Инструкции по проведению инструктажа лиц, допущенных к работе с персональными данными).

Пример.

Примерная форма журнала учета прохождения первичного инструктажа по вопросам персональных данных работниками, допущенными к работе с персональными данными

Обучение по вопросам персональных данных

В подп. 3.3 п. 3 Указа № 422 определено, что операторы (уполномоченные лица) организуют не реже 1 раза в 5 лет прохождение обучения по вопросам защиты персональных данных лицами, ответственными за осуществление внутреннего контроля за обработкой персональных данных, а также лицами, непосредственно осуществляющими обработку персональных данных, в т.ч.:

1) категориями лиц, определенными Оперативно-аналитическим центром при Президенте, – в НЦЗПД по образовательной программе повышения квалификации руководящих работников и специалистов;

2) иными лицами:

● в учреждениях образования, а также в иных организациях, которым предоставлено право реализации образовательной программы повышения квалификации руководящих работников и специалистов, по образовательной программе повышения квалификации руководящих работников и специалистов;

● в других организациях по образовательной программе обучающих курсов (лекториев, тематических семинаров, практикумов, тренингов, офицерских курсов и иных видов обучающих курсов);

● у оператора (уполномоченного лица) путем изучения установленных требований в области защиты персональных данных и проверки им знаний по вопросам защиты персональных данных (в форме собеседования, опроса, тестирования и других формах контроля знаний).

Категории лиц, ответственных за осуществление внутреннего контроля за обработкой персональных данных, а также лиц, непосредственно осуществляющих обработку персональных данных, которые обязаны проходить обучение в НЦЗПД, определены в Приказе № 194, а именно лица, ответственные за осуществление внутреннего контроля за обработкой персональных данных, выполняющие эти функции:

● в банках и небанковских кредитно-финансовых организациях;

● в страховых организациях;

● у операторов электросвязи (за исключением ИП);

● в республиканской и территориальных организациях по госрегистрации недвижимого имущества, прав на него и сделок с ним;

● в Белорусской нотариальной палате, областных (Минской городской) нотариальных палатах;

● в риэлтерских организациях;

● в организациях здравоохранения;

● в местных исполнительных и распорядительных органах (за исключением сельских (поселковых) исполкомов), их структурных подразделениях с правами юрлица;

● у операторов (уполномоченных лиц), организующих и (или) осуществляющих обработку персональных данных не менее 10 тыс. физлиц, за исключением персональных данных работников этих операторов (уполномоченных лиц) в процессе осуществления трудовой (служебной) деятельности.

Именно указанные субъекты обязаны предоставлять в НЦЗПД информацию в соответствии с ч. 2 подп. 3.3 п. 3 Указа № 422.

В НЦЗПД также могут обучаться лица, непосредственно осуществляющие обработку персональных данных в организациях, указанных в подп. 1.1 п. 1 Приказа № 194, а также иные лица.

Перечень действий и документов оператора с учетом рекомендаций НЦЗПД