Передача персональных данных работников

В соответствии с положениями действующего законодательства хранение персональных данных должно обеспечиваться в порядке, исключающем их утрату или неправомерное использование. Как уже указывалось в рамках настоящей главы, персональные данные своих работников работодатель получает не просто так: они необходимы для их использования работодателем, соответствующего законным целям их обработки. По общему правилу, если персональные данные работников не используются работодателем, они должны быть либо обезличены, либо уничтожены.

Использование персональных данных работников работодателем допускается только в целях, для которых они были получены. Понятие использования персональных данных закреплено в п. 5 ст. 3 Федерального закона «О персональных данных». Под использованием персональных данных понимаются действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц.

По общему правилу, закрепленному в ст. 7 Федерального закона «О персональных данных», операторы и иные лица, получившие доступ к персональным данным, обязаны не передавать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законом.

Распространение персональных данных означает действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Статья 88 ТК устанавливает следующие требования при передаче персональных данных работника.

1. Персональные данные работника не могут быть сообщены третьей стороне без письменного согласия на то работника. Исключение составляют случаи, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК или иными федеральными законами. При этом на практике, как правило, письменное согласие работника на обработку его персональных данных работодателем обычно содержит в себе перечень того, кому и при каких обстоятельствах персональные данные могут быть раскрыты. Таким образом, зачастую работник дает согласие на сообщение работодателем своих персональных данных третьим лицам при подписании согласия на обработку своих персональных данных. В качестве отдельного вида передачи персональных данных работников указанная статья рассматривает сообщение персональных данных работника в коммерческих целях. В силу прямого указания закона такая передача возможна исключительно с письменного согласия работника.

2. При передаче персональных данных работодатель обязан предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. На получающих персональные данные работника лиц распространяется режим конфиденциальности (запрета распространения) таких сведений.

3. При передаче персональных данных работника в пределах одной организации (у одного индивидуального предпринимателя) работодателю следует руководствоваться локальным нормативным актом, регулирующим порядок обработки персональных данных работников.

4. При работе с персональными данными, в том числе их передаче, работодатель вправе разрешать доступ к ним только специально уполномоченных лиц. Такие специально уполномоченные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций.

5. Статья 88 ТК устанавливает запрет работодателя запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции. При этом такой запрос должен быть мотивированным, т. е. у работодателя должны быть реальные основания полагать, что работник в силу состояния своего здоровья не способен выполнять порученную ему трудовую функцию.

6. Отдельно ст. 88 ТК регулирует вопросы передачи работодателем персональных данных работника представителям работников и ограничивает возможность передачи персональных данных только теми, которые необходимы для выполнения указанными представителями их функций. Подразумевается, что при этом представительный орган работников должен запросить от работодателя персональные данные работника.

Однако есть ситуации, в которых передача персональных данных работников требуется на основании закона и допускается при отсутствии согласия работника. В качестве примера можно привести следующие случаи.

В трудовых правоотношениях работодатель является налоговым агентом своих работников, т. е. удерживает из заработной платы своих работников налог на доходы физических лиц в размере 13% и ежемесячно производит его уплату. Таким образом, работодатель раскрывает органам Федеральной налоговой службы размер заработной платы своих работников, который относится к персональным данным работников.

В соответствии со ст. 11 Федерального закона от 1 апреля 1996 г. № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования» работодатель обязан предоставлять в органы Пенсионного фонда РФ следующие сведения о каждом работающем у него застрахованном лице: фамилию, имя, отчество; страховой номер индивидуального лицевого счета; дату приема на работу; дату увольнения; периоды деятельности, включаемые в стаж на соответствующих видах работ, определяемый особыми условиями труда, работой в районах Крайнего Севера и приравненных к ним местностях; сумму заработка (дохода), на который начислялись страховые взносы обязательного пенсионного страхования; сумму начисленных страховых взносов обязательного пенсионного страхования и другие сведения.

Согласно ч. 3 ст. 64.1 ТК, работодатель при заключении трудового договора с гражданами, замещавшими должности государственной или муниципальной службы, перечень которых устанавливается нормативными правовыми актами Российской Федерации, в течение двух лет после их увольнения с государственной или муниципальной службы обязан в 10-дневный срок сообщать о заключении такого договора представителю нанимателя (работодателю) государственного или муниципального служащего по последнему месту его службы в порядке, устанавливаемом нормативными правовыми актами Российской Федерации.

Статья 25 Закона РФ «О занятости населения в Российской Федерации» обязывает работодателей заблаговременно сообщать в органы службы занятости о своем решении о ликвидации организации или о сокращении численности или штата работников, которые могут привести в том числе и к массовому увольнению работников.

Статья 98 Федерального закона «Об исполнительном производстве» от 2 октября 2007 г. № 229-ФЗ устанавливает возможность судебного пристава — исполнителя обращать взыскание на заработную плату должника-гражданина. При этом работодатель обязан будет производить удержания из заработной платы по требованию судебного пристава - исполнителя или взыскателя. При этом размеры удержаний, производимых из заработной платы работников, установлены ст. 138 ТК. Таким образом, судебный пристав - исполнитель в установленных законодательством случаях вправе собирать сведения о гражданах-должниках, относящихся к их персональным данным, прежде всего о месте работы и размере заработной платы.

Существуют также и другие случаи, когда работодатели на основании законов и иных нормативных актов обязаны раскрывать государственным органам информацию, относящуюся к персональным данным работников. Наличие в законодательстве таких обязательств работодателя подразумевает тот факт, что работники будут передавать работодателю достоверную информацию о своей личности, так как в противном случае это может повлечь неблагоприятные последствия для самого работника.

В последнее время все больше набирает актуальность вопрос трансграничной передачи персональных данных, что означает передачу сведений, составляющих персональные данные работника, на территории иностранных государств. В современном обществе в условиях высокого уровня развития телекоммуникационных технологий все чаще можно встретить случаи передачи персональных данных работников представительств иностранных компаний на территории Российской Федерации через границу, как правило, в место нахождения головной иностранной организации. Возможность трансграничной передачи персональных данных устанавливается Конвенцией Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных» 1981 г.

При использовании трансграничной передачи персональных данных работников в силу положений ст. 12 Федерального закона «О персональных данных» оператор обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных. Кроме того, трансграничная передача персональных данных работников допускается только с письменного согласия субъекта персональных данных непосредственно на трансграничную передачу его персональных данных. По требованию работника работодатель также обязан предоставить ему информацию об уже осуществленной либо планируемой трансграничной передаче персональных данных.

Однако Федеральным законом от 21 июля 2014 г. № 242-ФЗ (с изменениями от 31 декабря 2014 г.) с 1 сентября 2015 г. внесены изменения в ч. 5 ст. 18 Федерального закона «О персональных данных»: при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в п. 2, 3, 4, 8 ч. 1 ст. 6 Федерального закона «О персональных данных». Таким образом, хранение персональных данных граждан России за рубежом с 1 сентября 2015 г. не допускается.