В современной российской практике защита персональных данных сотрудников является неотъемлемой частью трудового договора. Трудовой кодекс РФ (ТК РФ), Федеральный закон № 152‑ФЗ «О персональных данных» и их нормативные акты формируют комплекс правил, которые работодатель обязан соблюдать при оформлении и исполнении трудовых отношений.

Нормативная база

Трудовой кодекс РФ

ТК РФ содержит несколько ключевых статей, регулирующих обработку персональных данных в трудовых отношениях:

• Статья 86 – общие требования при обработке персональных данных работника и гарантии их защиты.
• Статья 87 – порядок получения, хранения и использования персональных данных.
• Статья 88 – передача персональных данных работника представителям работников.
• Статья 89 – права работников в целях обеспечения защиты персональных данных, хранящихся у работодателя.
• Статья 90 – обязанности работодателя по обеспечению конфиденциальности персональных данных.

Федеральный закон № 152‑ФЗ «О персональных данных»

Закон определяет:

• Что персональные данные могут обрабатываться только при наличии правовых оснований.
• Требования к содержанию и форме согласия на обработку данных.
• Обязанность обеспечить защиту данных от неправомерного доступа, утраты, изменения, блокирования, копирования и распространения.

Приказ Минтруда России № 1125н (2023 г.)

Устанавливает порядок оформления локальных нормативных актов, регламентирующих работу с персональными данными, а также требования к их хранению и передаче.

Что такое «персональные данные работника»?

По определению ТК РФ и ФЗ‑152, в трудовые отношения входят сведения, которые позволяют идентифицировать сотрудника и характеризовать его как сторону трудового договора. К ним относятся:

• ФИО, дата рождения, пол;
• Контактные телефоны, электронная почта;
• Сведения о семейном положении, иждивенцах;
• Данные, необходимые для расчета заработной платы, налогов и страховых взносов;
• Медицинская информация (только в рамках медицинского осмотра);
• Сведения о квалификации, образовании, трудовом стаже.

Обязанности работодателя

Работодатель обязан:

1. Обеспечить конфиденциальность персональных данных, используя технические и организационные меры (шифрование, ограниченный доступ, резервное копирование).
2. Обрабатывать данные только в целях, прямо предусмотренных трудовым договором и нормативными актами.
3. Не передавать персональные данные третьим лицам без письменного согласия сотрудника, за исключением случаев, предусмотренных законом (например, передача в пенсионный фонд).
4. Сохранять данные в течение установленного срока (обычно – до окончания трудовых отношений и further – в соответствии с требованиями труда).
5. Обеспечить право сотрудника получить доступ к своим данным и требовать их исправления или удаления.

Права работников

Сотрудники имеют право:

• На незаконную обработку своих персональных данных (ст. 86 ТК РФ).
• Требовать удаления или исправления неверных сведений.
• Получать информацию о том, какие данные обработаны, и о целях их использования.
• Оспаривать решения, принятые исключительно на основе автоматизированной обработки их данных (ст. 86, п. 6 ТК РФ).

Как правильно оформить трудовой договор

При включении пунктов о защите персональных данных в трудовой договор следует учитывать следующие требования:

• Согласие на обработку данных должно быть письменным и соответствовать требованиям ст. 9 ч. 4 ФЗ‑152.
• Пункт о защите данных должен быть отдельным или включён в общую формулу трудового договора, но не может быть скрыт в общих формулировках.
• Договор не может содержать пункт, который обязывает сотрудника давать согласие без указания конкретных целей обработки.

Пример формулировки

Пункт 5.1 Трудового договора:

«Стороны договора согласны на обработку персональных данных Сотрудника (ФИО, контактные данные, сведения о квалификации и трудовом стаже) в целях заключения, исполнения и прекращения трудового договора, а также для выполнения обязательств, установленных Трудовым кодексом Российской Федерации и иными нормативными актами; Обработка данных осуществляется в порядке, установленном настоящим договором и Федеральным законом № 152‑ФЗ «О персональных данных». Сотрудник имеет право в любой момент получить доступ к своим персональным данным, потребовать их исправления или удаления, а также отозвать согласие на обработку, уведомив работодателя в письменной форме».

Организация защиты персональных данных в организации

Для эффективной защиты персональных данных рекомендуется выполнить следующие шаги:

1. Разработать локальный нормативный акт (положение) о защите персональных данных, который будет регламентировать порядок их сбора, хранения, обработки и передачи.
2. Назначить ответственного (например, руководителя отдела кадров или специалиста по ИТ‑безопасности) за соблюдение требований.
3. Обеспечить технические меры: шифрование данных, контроль доступа по ролям, резервное копирование, антивирусную защиту;
4. Провести обучение персонала по правилам работы с персональными данными и инструкциям по инцидентам.
5. Вести журнал обработки данных, фиксируя цели, сроки и категории обрабатываемых данных.
6. Проводить периодический аудит соблюдения требований и обновлять политику при изменении законодательства.

Часто задаваемые вопросы

• Можно ли включить пункт о согласии в трудовой договор? – Да, но согласие должно быть отдельным документом или четко обозначенным пунктом, соответствующим требованиям ФЗ‑152.
• Какие данные можно обрабатывать без согласия? – Данные, необходимые для исполнения трудового договора (например, паспортные данные, сведения о зарплате) обрабатываются на основании выполнения обязательств.
• Как долго можно хранить персональные данные после увольнения? – Обычно – до истечения срока, установленного Трудовым кодексом и другими законами (например, 5 лет для кадровых документов).
• Что делать при утечке данных? – Нужно немедленно уведомить сотрудника, применить план реагирования на инцидент, сообщить в уполномоченный орган (Роскомнадзор) в установленные сроки.

Трудовой договор в России не может быть оформлен без учёта требований по защите персональных данных. Соблюдение норм ТК РФ и ФЗ‑152 позволяет не только избежать штрафов и юридических рисков, но и укрепить доверие сотрудников к работодателю. Правильная организация защиты информации – это сочетание:

• юридически правильных формулировок в договоре;
• ясных внутренних процедур;
• технических средств защиты;
• постоянного мониторинга и обучения.

Только при соблюдении всех этих условий организация сможет обеспечить надёжную защиту персональных данных своих работников и соответствовать требованиям законодательства.