В современном мире каждый работник оставляет работодателю широкий спектр персональных сведений: от ФИО и паспортных данных до информации о семейном положении, образовании и профессиональном опыте. Правильная организация сбора, обработки и защиты этих данных регулируется несколькими нормативными актами, среди которых Трудовой кодекс РФ (ТК РФ) и Федеральный закон № 152‑ФЗ «О персональных данных». В статье рассмотрим, какие сведения относятся к персональным данным работника, какие правовые основания их обработки, кто несёт ответственность и как обеспечить их защиту.

Что считается персональными данными работника?

Персональные данные – это любая информация, позволяющая установить личность физического лица (работника). В трудовых отношениях к общим персональным данным относятся:

• ФИО, дата и место рождения;
• Адрес регистрации и фактического проживания, контактный телефон, e‑mail;
• Паспортные данные (серия, номер, дата выдачи, орган, выдавший документ);
• Сведения о семейном, социальном и имущественном положении;
• Образование, квалификация, профессиональная подготовка;
• Должность, место работы, стаж, график, условия труда;
• Данные о заработной плате, премиях, удержаниях;
• Медицинские справки, результаты медосмотров (в пределах, допускаемых законодательством).

Отдельно выделяются особые категории персональных данных (например, сведения о состоянии здоровья, расовой или национальной принадлежности). Их обработка допускается только при наличии специальных правовых оснований.

Разделение данных по целям

Для снижения рисков утечки рекомендуется хранить данные в раздельных информационных системах:

1. Система кадрового учёта – сведения, необходимые для оформления и ведения трудовых отношений.
2. Система охраны труда и безопасности – документы, связанные с обеспечением безопасности (медицинские справки, результаты проверок).
3. Система бухгалтерского учёта – данные о заработной плате и налогах.

Правовые основания обработки персональных данных

Согласно ст. 3 Закона 152‑ФЗ, обработка персональных данных допускается только при наличии одного из следующих оснований:

• Согласие субъекта данных – добровольное, информированное согласие работника на конкретные виды обработки (например, видеонаблюдение, использование соцсетей).
• Необходимость исполнения трудового договора – данные, без которых невозможно выполнить обязательства сторон (паспортные данные, сведения о квалификации).
• Обязанность работодателя по закону – предоставление сведений в государственные органы (ФСС, налоговая, Пенсионный фонд).
• Защита жизненно важных интересов субъекта или других лиц – в чрезвычайных ситуациях.
• Обработка особых категорий данных – допускается только при наличии отдельного согласия или в случае, когда это необходимо для выполнения обязательств по охране труда.

В трудовом законодательстве конкретные основания прописаны в главе 14 ТК РФ, однако после отмены статьи 85 понятие «персональные данные работника» в ТК не уточняется, поэтому применяется общее регулирование 152‑ФЗ.

Кто отвечает за персональные данные?

Согласно ст. 22.1 Закона 152‑ФЗ, каждый оператор обязан назначить ответственного за организацию обработки персональных данных. В контексте трудовых отношений этим лицом обычно является:

• Главный специалист по кадровому учёту;
• HR‑менеджер, отвечающий за сбор согласий и контроль доступа к документам;
• Специалист по информационной безопасности (при наличии).

Обязанности ответственного включают:

1. Получение и документирование согласий работников;
2. Обеспечение физической и технической защиты документов (шредер, закрытые шкафы, шифрование данных);
3. Контроль доступа к персональным данным внутри компании;
4. Ведение реестра операций обработки и уведомление уполномоченного органа в случае утечки.

Для повышения ответственности рекомендуется заключать с ответственным договор о неразглашении (NDA).

Согласие работника и его формы

Согласие должно быть:

• Добровольным и информированным;
• Оформленным в письменной форме (бумажный или электронный документ);
• Содержать чёткое указание целей обработки, перечня передаваемых данных и сроков их хранения.

Пример типового заявления о согласии:

Согласие на обработку персональных данных

Я, ______________________ (ФИО), даю согласие ООО «Компания» (далее – Работодатель) на обработку моих персональных данных, включая ФИО, паспортные данные, сведения о семейном положении, в целях:
ведения кадрового учёта;
обеспечения охраны труда и безопасности;
выполнения обязательств перед государственными органами.

Согласие действует в течение срока трудовых отношений и до полного исполнения обязательств по их завершению.
Подпись: _____________ Дата: ___________

Передача персональных данных третьим лицам

Третьими лицами могут быть:

• Госорганы (ФСС, налоговая, Пенсионный фонд);
• Страховые компании;
• Аутсорсинговые провайдеры (HR‑сервисы, бухгалтерские фирмы);
• Технические подрядчики (операторы видеонаблюдения, IT‑поддержка).

Передача допускается тремя способами (п. 3 ч. 1 ст. 3 152‑ФЗ):

1. Предоставление – передача данных конкретному получателю (например, бухгалтеру).
2. Распространение – передача данных нескольким получателям без ограничения (например, копии документов в отделы охраны труда).
3. Доступ – предоставление возможности ознакомиться с данными (внутри компании – доступ к базе кадров).

Для каждой передачи необходимо оформить договор или соглашение о конфиденциальности, где указываются цели, объём, сроки и меры защиты.

Допустимые пределы вмешательства в частную жизнь работника

Работодатель может собирать и использовать только те данные, которые непосредственно необходимы для выполнения трудовых обязательств. Примеры недопустимых практик:

• Сбор сведений о политических взглядах, религиозных убеждениях без согласия;
• Использование видеонаблюдения в местах, где работник имеет право на личную жизнь (раздевалки, санитарные помещения);
• Мониторинг личных сообщений в мессенджерах без законных оснований.

Нарушения могут привести к административной ответственности (штрафы до 6 млн руб.) и гражданско‑правовым искам от работников.

Меры защиты персональных данных

Защита персональных данных должна быть комплексной и включать:

Технические меры

• Шифрование электронных баз данных;
• Контроль доступа с помощью паролей и двухфакторной аутентификации;
• Регулярное резервное копирование и хранение резервов в защищённом месте;
• Установка антивирусного и антишпионского ПО.

Организационные меры

• Разработка и утверждение политики обработки персональных данных;
• Проведение инструктажей и обучений для всех сотрудников, имеющих доступ к ПДн;
• Ведение реестра операций обработки и журналов доступа;
• Проведение периодических аудитов и тестов на проникновение.

Физические меры

• Хранение бумажных документов в закрытых шкафах с ограниченным доступом;
• Уничтожение устаревших или ненужных документов (шредер, сжигание);
• Ограничение доступа к помещениям, где хранятся персональные данные (пропускная система).

Ответственность за нарушение законодательства

За нарушение требований 152‑ФЗ и ТК РФ предусмотрена:

• Административная ответственность – штрафы для юридических лиц (от 2 млн до 6 млн руб.) и физических лиц‑руководителей (от 100 тыс. до 300 тыс. руб.).
• Гражданско‑правовая ответственность – возмещение морального и имущественного вреда пострадавшему работнику.
• Уголовная ответственность в случае умышленного разглашения особо значимых сведений (ст. 272 УК РФ).

Важно помнить, что нарушения могут быть выявлены как контролирующими органами (Роскомнадзор), так и самими работниками через суд.

Практические рекомендации работодателю

1. Проведите инвентаризацию данных – составьте список всех персональных сведений, которые собираются и хранятся.
2. Назначьте ответственного за обработку ПДн и оформите его должностные обязанности.
3. Разработайте и утвердите политику конфиденциальности, включающую порядок получения согласий, сроки хранения и процедуры уничтожения.
4. Оформляйте письменные согласия на каждый тип обработки (видеонаблюдение, обработка данных через соцсети, использование мессенджеров).
5. Разделяйте базы данных по целям (кадровый учёт, охрана труда, бухгалтерия).
6. Обеспечьте техническую защиту – шифрование, контроль доступа, резервное копирование.
7. Проводите обучение персонала минимум раз в год.
8. Контролируйте передачу данных – заключайте договоры о конфиденциальности с третьими лицами.
9. Регулярно проводите аудиты и проверяйте соответствие реальной практике установленным требованиям.

Персональные данные в трудовых отношениях – это ценная и одновременно уязвимая информация. Правильное их использование требует строгого соблюдения требований 152‑ФЗ и ТК РФ, назначения ответственного лица, получения информированного согласия работников и внедрения комплексных мер защиты. При соблюдении этих принципов компания минимизирует риски утечки, сохраняет доверие сотрудников и избегает финансовых и репутационных потерь.

Помните: законодательство постоянно обновляется, поэтому важно следить за изменениями нормативных актов и практик их применения.