Персональные данные сотрудников: обязанности работодателя

№

Вопрос

Ответ

1

Какими документами следует руководствоваться при работе с персональными данными?

1.     Закон від 01.06.10 р. № 2297-VI «Про захист персональних даних»;

2.     Типовий порядок обробки персональних даних, затверджений
Наказом Уповноваженого Верховної Ради України з прав людини від 08.01.2014 р.  № 1/02-14.

3.     Лист Уповноваженого від 03.03.14 р. № 2/9-227067.14-1/НД-129

2

Кто осуществляет контроль в сфере защиты персональных данных?

3

4

ЗУ «Про захист персональних даних»

Стаття 7. Особливі вимоги до обробки персональних даних

1. Забороняється обробка персональних даних про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, засудження до кримінального покарання, а також даних, що стосуються здоров’я, статевого життя, біометричних або генетичних даних.

2. Положення частини першої цієї статті не застосовується, якщо обробка персональних даних:

1) здійснюється за умови надання суб'єктом персональних даних однозначної згоди на обробку таких даних;

2) необхідна для здійснення прав та виконання обов'язків володільця у сфері трудових правовідносин відповідно до закону із забезпеченням відповідного захисту;

Стаття 11. Підстави для обробки персональних даних

1. Підставами для обробки персональних даних є:

1) згода суб’єкта персональних даних на обробку його персональних даних;

2) дозвіл на обробку персональних даних, наданий володільцю персональних даних відповідно до закону виключно для здійснення його повноважень;

3) укладення та виконання правочину, стороною якого є суб’єкт персональних даних або який укладено на користь суб’єкта персональних даних чи для здійснення заходів, що передують укладенню правочину на вимогу суб’єкта персональних даних;

4) захист життєво важливих інтересів суб’єкта персональних даних;

5) необхідність виконання обов’язку володільця персональних даних, який передбачений законом;

Вывод: 1) да, работодатель в силу выполнения своих обязанностей по начислению и выплате зарплаты, подаче отчетности обрабатывает персональные данные сотрудников (фамилия, имя, отчество, должность, семейное положение, наличие детей, их возраст, дата рождения работника, серия, номер паспорта, информация о здоровье (больничные листы, справки МСЕК у лиц с инвалидностью) и т.д.);

2) почти все эти данные не относятся к «запрещенным» для обработки по ч.1 ст.7 Закона 2297, на что нужно было бы согласие сотрудника. И то, даже такие (запрещенные) данные разрешено обрабатывать, если это связано с выполнением нами обязанностей владельца ПД в сфере трудовых отношений (ч.2 ст.7);

А т.к. в ст.11 Закона отдельным основанием для обработки ПД прописана необходимость выполнения нами обязанностей, предусмотренных законом (в т.ч. в сфере трудовых отношений), а не полученное согласие или разрешение, то нет необходимости получать такое разрешение, Но условие: нужно обеспечить защиту таких данных (особенно – «запрещенных»).

5.

ч. 1 и ч. 2 ст. 7 Закона № 2297

6.

Должен ли работодатель регистрировать свои базы персональных данных?

Сейчас базы персональных данных не регистрируются, но нужно уведомить  Уполномоченного об имеющихся базах. Причем не обо всех, а только о тех, что представляют особый риск для прав и свобод субъектов персональных данных (ст. 9 Закона № 2297).

п.1.2 Порядка уведомления Уполномоченного Верховной Рады Украины по правам человека об обработке персональных данных определен перечень данных, представляющих особый риск для прав и свобод субъектов персональных данных:

7

1. Приказом утвердить список лиц, имеющих право доступа к персональным данным сотрудников. В приказе нужно определить, какие именно лица из этого списка для каких целей могут использовать персональные данные работников.

2. Разработать форму под названием «Обязательство о неразглашении персональных данных». Согласно ч. 3 ст. 10 Закона № 2297 эту форму должны подписать все сотрудники, которые имеют доступ к персональным данным работников предприятия (например, сотрудники бухгалтерии, отдела кадров, члены комиссии по социальному страхованию и т.д.). Форму надо давать работнику на подпись при приеме на работу (или переводе из другого отдела, где нет доступа к персональным данным).

3. Согласно п. 3.5 Типового порядка работодатель обязан вести учет работников, имеющих доступ к персональным данным. Для этих целей можно вести на предприятии журнал учета таких работников. Законодательно не установлена форма такого журнала, поэтому заводим его в произвольной форме.

8.