При трудоустройстве работодатель узнаёт ваши паспортные данные, стаж, образование — но это не все сведения, которые он обрабатывает и хранит.
Разбираемся, какую информацию у вас могут запрашивать, когда потребуется письменное согласие, как его отозвать, а главное — что делать, если ваши персональные данные утекли из кадровой системы.
Какие данные может запрашивать работодатель?
Работодатели знают о своих сотрудниках многое — от ИНН до сведений о воинском учете. Однако это не значит, что они собирают все персональные данные. У их обработки должны быть конкретные и законные цели, и оператор получает ровно столько информации, сколько необходимо, чтобы этих целей достичь.
Например, чтобы нанять сотрудника, работодатель может запросить его паспорт и СНИЛС. А вот требовать информацию о том, состоит ли человек в профсоюзе и какую религию исповедует, уже нельзя.
Перечень документов, которые могут потребовать при трудоустройстве, есть в ТК. Это:
- паспорт (или другой документ, удостоверяющий личность);
- трудовая книжка или сведения о трудовой деятельности — кроме случаев, когда человек трудоустраивается впервые;
- СНИЛС;
- документы воинского учета — у военнообязанных и тех, кого могут призвать;
- документ об образовании, квалификации или специальных знаниях, если они нужны для работы;
- справка о судимости либо уголовном преследовании, если это может повлиять на допуск к работе;
- справка об административном наказании за употребление наркотиков или психотропных веществ без назначения врача — в предусмотренных законом случаях.
Список не закрытый, иногда могут понадобиться дополнительные документы. Например, повару придется оформить медкнижку, а водителю — показать права.
То, что работодатель запросил у вас документ, не означает, что он может использовать все данные из него. В паспорте, к примеру, есть информация о детях, браке, месте рождения — но для кадровых операций это, как правило, не нужно.
На практике работодатели иногда собирают сведения о семье и месте жительства, номера телефонов, личные адреса электронной почты и другую информацию, которая для работы формально не нужна и в ТК не упомянута. И стоит понимать, зачем это делается.
Например, компания может выплачивать материальную помощь многодетным сотрудникам — тогда понятно, зачем отделу кадров знать о семейной ситуации (хотя и в этом случае человек сам решает, предоставлять такие сведения или нет). Но может быть и неприятный сценарий: на собеседовании у кандидата уточняют, есть ли у него дети, а потом отказывают в работе, хотя на должность он подходит идеально, — потому что думают, что человек будет всё время отпрашиваться, когда дети болеют. Отказ по этой причине будет считаться трудовой дискриминацией.
Когда нужно согласие на обработку персональных данных?
У работодателя должно быть законное основание для сбора и обработки таких данных, и согласие сотрудника лишь один из вариантов. Если информация нужна, чтобы работодатель выполнил свои обязанности по закону и по трудовому договору, согласие не требуется.
Например, соответствующий документ не подписывают, когда сведения нужны:
- для трудоустройства;
- перечисления зарплаты и других выплат;
- уплаты компанией налогов и страховых взносов;
- ведения воинского учета в организации;
- оформления отпусков, больничных.
Если в законодательстве оснований для обработки конкретных данных нет и для исполнения трудового договора эти данные не нужны, документ подписывается. Причем сотрудник может выбрать, как именно он разрешает использовать свои данные, и для публичного распространения подписывает отдельное согласие.
Предположим, работодатель хочет разместить на сайте фотографию сотрудника, его должность и справку об опыте и образовании. Можно согласиться на всё, или отказаться, например, только от публикации фотографии, или же запретить публикацию любых своих персданных.
Перед тем как подписать согласие, проверьте:
- кто будет обрабатывать данные — то есть кто является оператором;
- о каких именно данных речь,для каких целей их собираются использовать и каким образом;
- предусмотрена ли передача данных другим лицам;
- если данные будут распространяться публично — есть ли отдельное согласие на распространение и какие ограничения в нем установлены;
- срок действия согласия и порядок его отзыва.
Отозвать согласие на обработку персональных данных вы вправе, но это не означает, что работодатель моментально удалит все сведения о вас: у него могут остаться другие законные основания для обработки. Кроме того, даже при увольнении данные о вас останутся в компании: работодатели обязаны хранить кадровые документы, например трудовые договоры.
Как получить доступ к своим данным в системе работодателя?
Вы можете в любой момент запросить документы, где есть ваши персональные данные, и узнать, что с этими данными происходит. Например, можно ознакомиться со своим личным делом, получить выписки и справки, выяснить, как именно обрабатываются данные из них и передаются ли они кому-то еще. А если в информации есть ошибка, вы вправе потребовать, чтобы ее исправили. Кроме того, если вы заметите, что не соглашались на обработку конкретных данных и других законных оснований для нее нет, можно потребовать их удалить.
В организации должны быть свои регламенты доступа к персональным данным. Они могут быть прописаны в отдельном положении, с которым сотрудников ознакамливают под подпись. И в любом случае вы вправе направить работодателю запрос — в нем можно указать, что вы хотите получить информацию в соответствии со статьей 14 закона № 152-ФЗ и статьей 89 ТК, и перечислить, что именно вы хотите узнать.
По общим правилам работодатель должен дать вам доступ в течение 10 рабочих дней с даты запроса. Срок можно продлить еще максимум на пять дней — если вас уведомят с объяснением причин. При этом, если вы просите доступ к кадровым документам с вашими данными, их должны выдать в течение трех рабочих дней.
Иногда в доступе могут отказать, например если это нарушит права других людей или нормы законодательства.
Как работодатель должен защищать данные сотрудников?
Кроме сбора, хранения и обработки, у работодателя есть обязанность защищать персональные данные. На практике это значит, что он:
- следит за тем, чтобы не произошло утечки;
- ограничивает доступ к данным внутри компании — например, ваш коллега не может в любой момент посмотреть ваш трудовой договор, если это не входит в его обязанности;
- следит за тем, чтобы данные использовались только в законных целях;
- хранит данные в надежных системах, где, к примеру, нельзя случайно что-то удалить или можно быстро восстановить утраченное;
- внедряет правила безопасной работы с персданными и ознакомляет с ними сотрудников.
Что делать, если данные утекли из кадровой системы?
Обычно утечки данных ассоциируются с хакерскими атаками: например, злоумышленники взломали базу компании и опубликовали переписки сотрудников. Но с точки зрения законодательства проблем может быть больше. Фотографию сотрудника разместили на корпоративных ресурсах без его согласия, коллега безосновательно получил доступ к вашему личному делу — это тоже считается нарушениями.
Ответственность за такие ситуации несет прежде всего работодатель: именно он, как оператор персональных данных, должен их защищать. Если утечка всё-таки произошла, работодатель в течение суток сообщает об этом в Роскомнадзор, затем проводит внутреннее расследование и в течение 72 часов после инцидента предоставляет ведомству результаты.
Что делать вам?
- Уточните обстоятельства. Иногда об инциденте сообщает сам работодатель или СМИ, если утечка массовая. Но если вы случайно обнаружили свои данные в открытом доступе, это не означает, что они туда попали именно из кадровой системы. Зафиксируйте, где и какую информацию вы увидели и при каких обстоятельствах это произошло. Сохраните скриншоты, ссылки, файлы.
- Направьте запрос работодателю. Объясните ситуацию и спросите, как обрабатывались ваши данные, могла ли произойти утечка из кадровой системы и что в таком случае вам делать.
- По возможности измените раскрытые данные. Конечно, это получается не всегда: вряд ли вы будете переезжать, если опубликовали ваш домашний адрес. А вот поменять пароль от аккаунта или перевыпустить банковскую карту уже не так сложно.
- Если работодатель не реагирует, но вы считаете, что вина на нем, — обратитесь в Роскомнадзор, чтобы ведомство провело проверку, или в суд.