Персональные данные – работа над ошибками: Q&A

Вопрос №1

Какие документы для согласования, кроме Оферты, необходимо размещать на сайте, если через сайт продаются услуги?

Ответ

Помимо оферты на сайте компании размещают:

• Реквизиты

Для компаний, продающих услуги/товар через сайт – обязательно. Как минимум, наименование компании и ее нахождение.

Кроме того, закон указывает на обязанность продавца довести до потенциального покупателя информацию о регистрационном номере (ОГРН) и наименовании зарегистрировавшего его органа (по сути – номер налоговой), а также информацию о лицензии и/или аккредитации, если деятельность продавца подлежит лицензированию или аккредитации. Желательно разместить на сайте следующие реквизиты: название компании, ОГРН, ИНН, место нахождения, сведения о лицензиях, аккредитациях.

• Пользовательское соглашение

Документ с указанием прав и обязанностей посетителей сайта, их взаимоотношениях с владельцем сайта.

В большинстве случаев пользовательское соглашение и оферта объединяются вместе. Реже, но также встречающийся вариант – объединение пользовательского соглашения, оферты и политики конфиденциальности.

• Политика конфиденциальности (политика обработки персональных данных)

Обязательно для любого сайта, собирающего данные пользователя.

• Согласие на обработку персональных данных

• Уведомление об использовании «cookies»

• Разрешительная документация (при наличии)

Лицензии, сертификаты и другие разрешительные документы.

• Информация о правовой защите объектов интеллектуальной собственности

Логотипы, знаки для товаров и услуг, аудио и видео контент и т.п. – отмечается по желанию. Такие сведения не являются обязательными, однако если считаете, что есть высокая вероятность неправомерных действий по отношению к вашей «интеллектуальной собственности», то целесообразно разместить на сайте соответствующее предостережение и принять другие меры, направленные на защиту ваших прав.

Вопрос №2

Ст. 65 ТК РФ содержит исчерпывающий перечень документов, предъявляемый работодателю при заключении трудового договора. Распространяется ли данное требование на этап подбора кандидата, с которым трудовой договор может быть и не заключен? В данном случае могут ли быть запрошены у кандидата иные документы, не предусмотренные ст. 65 ТК РФ?

Ответ

Законодательство прямо не указывает, какие документы можно запросить у кандидата на ту или иную должность. В ст. 65 Трудового кодекса РФ перечислены только те документы, которые предъявляет лицо, непосредственно поступающее на работу. Однако видится вероятным, что для принятия решения о приеме/не приеме на работу, у соискателя целесообразно запрашивать именно те документы, которые входят в список, отраженный в указанной статье.

В Вашем случае следует обратить внимание, что обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обеспечения личной безопасности, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. Требовать дополнительные документы можно только в оговоренных законом случаях. Для определенных должностей требуются результаты предварительного медосмотра и справки об отсутствии судимости. В некоторых случаях работодатель обязан провести проверку сотрудников при приеме на работу в силу закона. Например, запрещено принимать на должности генерального директора и главного бухгалтера дисквалифицированных лиц (ч.2 ст.32.11 КоАП).

Главная цель – подтвердить профессиональные и деловые качества, необходимые для должности, на которую он претендует.

Согласие должно включать в себя всю необходимую информацию, согласно части 4 статьи 9 Закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», в том числе в нем должно быть отражено согласие соискателя на снятие копий с его документов. Если Вы используете самостоятельно разработанную анкету, то в ней должна быть предусмотрена строка о согласии соискателя на обработку его персональных данных. Также в этом случае нужно помнить о соблюдении требований п. 7 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства РФ от 15.09.2008 № 687.

Обратите внимание: все персональные данные нужно получать непосредственно у соискателя. Если возникает необходимость проверить какую-то информацию у третьего лица (например, период работы у предыдущего работодателя), Вам надо будет взять дополнительное письменное согласие соискателя на эти действия. Такой вывод следует из положений пункта 3 статьи 86 Трудового кодекса РФ.

Аналогичную позицию занимает Роскомнадзор в разъяснениях от 14 декабря 2012 г. Работодатель и (или) его представитель имеет право запрашивать персональные данные только в случае, если по кандидатуре работника принято положительное решение, и его собираются оформить на работу. Работника при этом необходимо ознакомить с локальными нормативными актами, которые определяют порядок работы с персональными данными в организации, иными локальными нормативными актами, предусмотренными ТК РФ. А также, согласно Федеральному закону РФ от 27 июля 2006 года № 152-ФЗ «О персональных данных», кандидат должен дать письменное согласие на обработку своих персональных данных. Таким образом, если представители работодателя, например, служба безопасности, запрашивают персональные данные у всех претендентов на трудоустройство, вне зависимости от того, приняли кандидатов на работу или нет, не имея на это специального разрешения и с неясными целями, то это нарушение законодательства.

Вывод: этапы проверки кандидатов на должность закон не регламентирует. Нет и прямого запрета на такие проверки. При этом работодателю необходимо учитывать границы полномочий и установить регламент процедуры. Кандидатов на должность проверяет служба безопасности в обязательном порядке при трудоустройстве в государственные органы, ФСБ, полицию.

Вопрос №3

Как быть: копии документов хранить нельзя, а для направления на обучение по повышению категории требуется копия диплома?

Ответ

При необходимости направить копию диплома третьим лицам для прохождения обучения нужно взять согласие работника с соответствующей целью и запросить отдельно копию диплома. После передачи копии третьим лицам уничтожить ее у себя согласно утвержденному компанией ЛНА, например, Порядку обработки и обеспечения защиты персональных данных.

Вопрос №4

Самозанятый оказывает юридическому лицу услуги по кадровому делопроизводству. Какие документы должны быть заключены между юридическим лицом и самозанятым по обработке и передаче персональных данных?

Ответ

По сути с самозанятым заключается договор гражданско-правового характера. Необходимо четко прописать в договоре ответственность за разглашение информации.

Работники юридического лица должны подписать согласие на передачу персональных данных согласно заключенному с самозанятым договору. Каждый случай передачи персональных данных третьим лицам должен сопровождаться письменным согласием на такую передачу. При этом ответственность за обработку персональных данных перед работниками будет нести ваша организация, а ответственность за обработку перед вами – самозанятый, что и следует отразить в договоре.

Вопрос №5

А если согласие получаем у клиента-физического лица, оно тоже должно соответствовать ч.4 ст.9 Закона?

Ответ

Законом допускаются ситуации, при которых обрабатывать ПД разрешается даже при отсутствии согласия субъекта ПД.

В силу пункта 5 части 1 статьи 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Федеральный закон N 152-ФЗ) персональные данные могут обрабатываться без получения согласия на обработку персональных данных, если обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

В определенных федеральным законом случаях, обработка персональных данных может осуществляться только с согласия в письменной форме. В частности, согласие в письменной форме необходимо, когда требуется обработка специальных категорий персональных данных, биометрических персональных данных, трансграничная передача персональных данных, а также в случаях принятия решения, порождающего юридические последствия в отношении субъекта персональных данных, на основании исключительно автоматизированной обработки его персональных данных.

Если клиенты заказывают товары или услуги, заполняя анкету на сайте в электронном виде, содержащую сведения о персональных данных, то отдельного согласия на обработку данных не потребуется. Отправляя свои данные по указанному алгоритму заполнения анкеты, физические лица фактически выражают свое согласие на передачу своих персональных данных, т.е. при обработке персональных данных письменное согласие считается полученным.

ФЗ «О персональных данных» регламентирует, что согласие на обработку персональных данных может быть дано гражданином или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае, если наличие письменного согласия в силу закона не обязательно, гражданин может выразить свое согласие на обработку персональных данных любым способом, в частности проставлением отметки в электронном виде. При этом необходимо помнить, что обязанность предоставить доказательство получения согласия субъекта персональных данных возлагается на оператора.

Вопрос №6

Можно ли хранить более 6 лет персональные данные по уволенным работникам в электронных системах работодателя?

Ответ

В случае увольнения работника формально отпадает основание для дальнейшей обработки его персональных данных, однако работодатель должен продолжать обрабатывать определенные данные о работнике в силу требований публичного права.

Роскомнадзор в этом случае порекомендовал продолжать хранить документы в соответствии со сроками, установленными для хранения первичных документов. Ведомство сослалось на ст.6 Закона № 152-ФЗ, согласно которой персональные данные, которые используются для бухучета, отчетов в налоговую, фонды и другие ведомства, можно обрабатывать без согласия сотрудника.

Так, налоговым законодательством установлена обязанность налоговых агентов (работодателей) в течение 5 лет обеспечивать сохранность документов, необходимых для исчисления, удержания и перечисления налога (подп. 5 п. 3 ст. 24 Налогового кодекса РФ). Бухгалтерские документы подлежат хранению в течение не менее чем пяти лет (ст. 29 Федерального закона от 6 декабря 2011 г. N 402-ФЗ "О бухгалтерском учете"). Впоследствии личные дела работников подлежат архивному хранению, на которое законодательство о персональных данных уже не распространяется (см. комментарий к ст.1 Закона). Обработка оператором персональных данных уволенных работников свыше 5 лет является нарушением законодательства о персональных данных (Постановление Арбитражного суда Московского округа от 15 января 2018 г. по делу N А40-81171/17-149-793). Помимо прочего, такого рода нарушение может выявляться в ходе проверки Роскомнадзора при визуальном осмотре СУБД, используемой кадровой службой (Апелляционное определение Московского городского суда от 4 июня 2018 г. по делу N 33а-3957/2018).

Хранить личное дело и карточку уволенного можно без согласия экс-работника. Согласно ст. 22.1 Федерального закона от 22.10.2004 № 125-ФЗ, документы сотрудника, уволенного до 1 января 2003 года, храните 75 лет; тех, кто ушел из компании позже – 50 лет.