Обработка персональных данных (ПДн) сотрудников — одна из самых ответственных и регулируемых сфер кадровой работы. Нарушение правил ведет к серьезным административным и даже уголовным последствиям. Основные нормы закреплены в Главе 14 Трудового кодекса РФ (ст. 85-90) и Федеральном законе № 152-ФЗ «О персональных данных». Данная статья детально разбирает ключевые положения, права и обязанности сторон.

Что такое персональные данные работника?

Согласно закону, к персональным данным работника относится любая информация, позволяющая идентифицировать его личность. Это широкий круг сведений:

• Общие данные: ФИО, дата и место рождения, адрес, контактные телефоны.
• Документы: паспортные данные, СНИЛС, ИНН, данные о высшем образовании.
• Сведения о трудовой деятельности: история работы, должность, оклад, награждения, дисциплинарные взыскания.
• Специальные категории данных: сведения о состоянии здоровья (запрещено запрашивать, кроме случаев, прямо предусмотренных законом, например, для работы в вредных условиях или в целях обязательного медосмотра).

Нормативная база: ТК РФ и 152-ФЗ

Регулирование строится на двух основных актах:

1. Трудовой кодекс РФ (Глава 14): устанавливает специальные правила, дополняющие общие нормы 152-ФЗ, с учетом специфики трудовых отношений. Приоритет имеют нормы ТК РФ в части, касающейся работника.
2. Федеральный закон № 152-ФЗ: задает общие принципы обработки ПДн, права субъекта данных, обязанности оператора (в данном случае — работодателя).

Ключевые статьи Трудового кодекса РФ

Статья 86 ТК РФ. Общие требования при обработке ПДн работника и гарантии их защиты

Это центральная статья, закрепляющая основные принципы. Работодатель обязан:

• Обрабатывать ПДн работника на законных основаниях (в первую очередь — на основе трудового договора и согласия на обработку ПДн, если иное не предусмотрено ТК РФ).
• Получать согласие работника на обработка его ПДн, за исключением случаев, когда обработка необходима для исполнения трудового договора и обязанностей, возложенных на работодателя законодательством (например, для расчета зарплаты, отчетности в ФСС, ПФР).
• Не использовать ПДн, полученные в результате автоматизированной обработки или электронного сбора, как единственное основание для принятия решений, затрагивающих интересы работника (например, об увольнении, премировании). Решение должно приниматься с участием человека.
• Обеспечить защиту ПДн от неправомерного использования, утраты, разглашения за свой счет.
• Использовать ПДн только в тех целях, для которых они были получены, и не передавать их третьим лицам без согласия работника, за исключением случаев, прямо предусмотренных ТК РФ или другими федеральными законами.

Статья 88 ТК РФ. Передача персональных данных работника

Регулирует, кому, когда и какие данные можно передавать.

• Третьим лицам: Передача возможна только с письменного согласия работника, за исключением случаев, когда передача необходима для:
• Осуществления платежей (банки, страховые компании).
• Отправки документов в государственные органы (ФНС, ПФР, ФСС, Росстат) в рамках обязательной отчетности.
• Обращения в медицинские организации для обязательных медосмотров.
• Передачи представителям работников (профсоюзам) в порядке, установленном ТК РФ, но только тех данных, которые необходимы для выполнения их функций.
• Государственным органам: Передача осуществляется в рамках их законных запросов (например, запрос следственных органов). Работодатель должен проверить законность такого запроса.
• Запрет: Нельзя запрашивать информацию о состоянии здоровья, за исключением случаев, прямо связанных с возможностью выполнения трудовой функции.

Статья 89 ТК РФ. Права работников в целях обеспечения защиты ПДн

Закрепляет активные права сотрудника по контролю за своими данными:

• Получать у работодателя полную информацию о том, какие его ПДн хранятся и обрабатываются.
• Знакомиться с документами, содержащими его ПДн (например, с личной карточкой Т-2, приказами).
• Требовать уточнения, дополнения или исправления своих ПДн, если они являются неполными или устаревшими.
• Требовать уведомления всех лиц, которым ранее были переданы его неверные данные, об внесенных исправлениях (если это возможно и не нарушает закон).
• Отказываться от дачи согласия на обработка ПДн, если это не является обязательным по закону или договору.
• Обжаловать действия (бездействие) работодателя в суде или уполномоченным органам (Роскомнадзор, прокуратура).

Статья 90 ТК РФ. Ответственность за нарушение норм о защите ПДн работника

За нарушения установлена дисциплинарная, материальная, административная и уголовная ответственность.

• Дисциплинарная: За разглашение ПДн работника другим сотрудникам без его согласия или иные нарушения правил обработки — замечание, выговор, увольнение (по ст. 81 ТК РФ).
• Материальная: Работодатель обязан возместить работнику ущерб, причиненный в результате неправомерного использования или утраты его ПДн (ст. 237 ТК РФ).
• Административная (КоАП РФ ст. 13.11): Штрафы для должностных лиц и юридических лиц за неправомерную обработку ПДн, отсутствие согласия, разглашение и т.д. Могут достигать значительных сумм.
• Уголовная (УК РФ ст. 137): За незаконное получение или разглашение сведений о частной жизни (что включает ПДн) — штрафы, обязательные работы, лишение свободы до 2 лет. Если это совершено с использованием служебного положения, наказание суровее.

Практические рекомендации для работодателя

Чтобы избежать нарушений, необходимо:

1. Разработать и утвердить Политику обработки ПДн в организации, соответствующую ТК РФ и 152-ФЗ.
2. Получать грамотное согласие от работника. Оно должно быть письменным, содержать перечень действий с данными, цели обработки и срок. Согласие на обработку специальных категорий данных (о здоровье) требует особого внимания и оснований.
3. Ограничивать доступ к ПДн только тех сотрудников, которым это необходимо для работы (кадровики, бухгалтерия, непосредственный руководитель).
4. Не запрашивать лишние данные. Собирать только то, что прямо необходимо для выполнения трудовых функций и обязательных отчетов.
5. Обеспечить техническую защиту (пароли, антивирусы, шифрование, ограничение прав на сервере).
6. Вести журнал учета всех случаев передачи ПДн третьим лицам (кому, когда, на каком основании, какие данные).
7. Информировать работников об их правах (ст. 89 ТК РФ) и порядке реализации этих прав.
8. При увольнении не уничтожать ПДн работника немедленно. Сроки хранения установлены законом (например, 75 лет для документов по труду). После истечения срока данные должны быть уничтожены.

Что запрещено работодателю? (Важнейшие «нельзя»)

• Нельзя требовать от кандидата или сотрудника информацию, не связанную с трудовой функцией (например, данные о семейном положении, планах на детей, религиозных убеждениях, политических предпочтениях).
• Нельзя передавать ПДн коллегам, родственникам, друзьям без согласия работника.
• Нельзя использовать ПДн для рассылок рекламы, участия в опросах и т.п. без отдельного согласия.
• Нельзя принимать решение об увольнении, не продлении контракта или снижении премии, основываясь только на результатах автоматической обработки данных (например, анализа переписки в корпоративном мессенджере).
• Нельзя хранить ПДн в неустановленных местах (например, в открытых папках на общем диске или на личных флешках).

Защита персональных данных работника, это не просто формальность, а комплексная система, требующая понимания норм Трудового кодекса РФ (ст. 86-90) и ФЗ-152. Работодатель выступает в роли оператора данных и несет полную ответственность за их сохранность и законность обработки. Ключ к успеху — соблюдение баланса между законными интересами бизнеса (учет, отчетность, безопасность) и неотъемлемым правом работника на частную жизнь и защиту своей информации. Регулярный аудит кадровых процессов, обучение ответственных сотрудников и грамотное оформление согласий — минимальные обязательные меры для любого современного работодателя.

Примечание: Статья составлена на основе действующего законодательства РФ (ТК РФ, редакция от , ФЗ-152). Для решения конкретных ситуаций рекомендуется консультация с юристом, специализирующимся на трудовом и информационном праве.