Ответственность за нарушения работы с персданными обещают сильно, ну о-очень сильно ужесточить. И работодатели, дабы не «обжечься на молоке», начинают «дуть на воду». Спорят даже по поводу того, является ли номер телефона сотрудника персональными данными и может ли вообще работодатель запрашивать его у работника и указывать в кадровых документах. Например, в личном деле, в трудовом договоре, допсоглашении и пр.
«Дуют» не зря — является. Если вы хотите указывать его в кадровых документах, то необходимо запросить с работника согласие на обработку персональных данных (номера телефона). Пункт 1 ст. 3 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее – Закон № 152-ФЗ ) раскрывает понятие «персональных данных».
Это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Конкретного перечня сведений, которые характеризуются как персональные данные, в указанной норме нет. Однако в ст. 8 Закона № 152‑ФЗ персональными данными называются такие сведения, как фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии.
Обратите внимание
Как следует из приведенных положений законодательства, персональные данные – это всегда информация, которая позволяет идентифицировать конкретного человека. Следовательно, если номер телефона закреплен за конкретным человеком (зарегистрирован за ним), он признается персональными данными.
Такой вывод поддерживается и судебной практикой (см., например, п. 18 Обзора судебной практики по делам, связанным с защитой прав потребителей финансовых услуг, утвержденного Президиумом Верховного Суда РФ 27.09.2017; кассационное определение Восьмого кассационного суда общей юрисдикции от 27.02.2020 № 88А-4529/2020, апелляционные определения Новосибирского областного суда от 17.07.2018 по делу № 33-6650/2018; Алтайского краевого суда от 29.09.2015 по делу № 33-9241/2015).
Обратите внимание
По названным делам предметом спора были действия по передаче номера телефона гражданина без получения его согласия на это. Во всех случаях указанное поведение стороны по делу судами было признано нарушающим требования Закона № 152‑ФЗ. В подтверждение изложенной позиции можно сослаться также на письмо Минкомсвязи России от 07.07.2017 № П11-15054-ОГ, в котором названный уполномоченный орган указал, что абонентский номер, принадлежащий юридическому лицу, не может рассматриваться в качестве персональных данных.
Не делая прямого вывода, Минкомсвязи России тем не менее исходит из того, что закрепленный за гражданином абонентский номер позволяет его идентифицировать, следовательно, является персональными данными.
Обратите внимание
Справедливости ради необходимо сказать и о том, что встречаются судебные акты с противоположной позицией (см., например, апелляционное определение Московского городского суда от 24.07.2017 по делу № 33-28957/2017). Однако они являются единичными.
Таким образом, номер телефона признается персональными данными, если он зарегистрирован на определенное физическое лицо, что позволит идентифицировать конкретного человека.
В этом случае любое действие с номером телефона работника (сбор, запись, хранение, передача и т. д.) может быть осуществлено с соблюдением положений Закона № 152‑ФЗ.
Добавим также, что в личной карточке сотрудника, которая большинством организаций продолжает вестись по унифицированной форме № Т-2, есть графа «Номер телефона».
Однако в ст. 57 ТК РФ среди сведений о работнике, которые необходимо указать в трудовом договоре, не поименован номер телефона сотрудника. Поэтому если вы ведете на работника личную карточку, заполнять эту строчку не обязательно.
Если же вы захотите это сделать, необходимо будет получить от сотрудника письменное согласие на обработку персданных.
Обратите внимание
Напомним также, что согласно толкованию консультантами Роструда нового Порядка ведения и хранения трудовых книжек (утв. приказом Минтруда России от 19.05.2021 № 320н), с 01.09.2021 вести личные карточки на работников не обязательно (https://онлайнинспекция.рф/questions/view/153982). Но можно. И мы советуем не отказываться от них. Ведь при потере бумажной трудовой книжки или других важных кадровых документов именно личные карточки помогут восстановить данные в кратчайший срок (особенно, если речь идет о назначении пенсии, в т.ч. льготной).
ТОП-3 ошибок в сфере работы с персональными данными
Не прописан актуальный порядок распространения персданных
Не все компании успели прописать порядок распространения данных с учетом последних изменений в законе. Напомним, что из Закона о персданных (исключили понятие общедоступных персональных данных. Вместо этого появилась категория персональных данных, разрешенных их субъектом (сотрудником, кандидатом, любым в общем-то гражданином) для распространения (ст. 10.1 Закона о персданных).
Если раньше обработка данных допускалась без согласия кандидата или работника, потому что он сделал их общедоступными (например, на сайте поиска работы или в соцсети), то теперь персональные данные прямо должны быть разрешены для распространения самим гражданином.
Здесь не лишним будет напомнить про ответственность за нарушения в области персональных данных по ч. 2 и 2.1 ст. 13.11 КоАП РФ, которая ужесточилась с 27.03.2021. За обработку персданных без согласия в письменной форме штраф составит:
— для граждан – от 6000 до 10 000 рублей;
— должностных лиц и индивидуальных предпринимателей – от 20 000 до 40 000 рублей;
— юридических лиц – от 30 000 до 150 000 рублей.
За повторное нарушение штраф возрастет:
— для граждан – от 10 000 до 20 000 рублей;
— должностных лиц – от 40 000 до 100 000 рублей;
— индивидуальных предпринимателей – от 100 000 до 300 000 рублей; юридических лиц – от 300 000 до 500 000 рублей.
Не забудьте прописать это уточнение во внутренних документах и, самое главное, получить от работников необходимые согласия.
Не оформлено обязательство о неразглашении
Еще одна распространенная ошибка – отсутствуют подписанные обязательства о неразглашении персональных данных работников или не указано в ЛНА, что ответственные лица должны подписать такой документ. Между тем работодатель на основании п. 7 ст. 86 ТК РФ в любом случае обязан защитить персональные данные работников от их неправомерного использования или потери.
Поэтому компании принципиально важно обязать работников, которые имеют доступ к персданным, не разглашать эту информацию. Иначе работодателя могут признать виновным и в нарушении Закона о персданных, и в нарушении ТК РФ.
Кроме того, наказание может понести и сам сотрудник. Пленум Верховного Суда РФ разъяснил, что привлечь сотрудника, разгласившего данные другого работника, к ответственности можно, если эта информация стала известна ему в связи с исполнением трудовых обязанностей и он обязался не разглашать такие сведения (п. 43 постановления от 17.03.2004 № 2 «О применении судами Российской Федерации Трудового кодекса Российской Федерации»). Поэтому оформление обязательства о неразглашении является не просто обязательным, а принципиально важным моментом.
Не включена норма о применении взысканий за нарушение правил защиты персданных
Эта ошибка тесно связана с предыдущей. Принимая все риски исключительно на себя, работодатели зачастую не прописывают в ЛНА ответственность своих сотрудников, в частности в Положении о персональных данных. В то же время, если сотрудник по своей вине не выполняет возложенные на него обязанности, к нему могут применять дисциплинарные взыскания.
И работника, ответственного за обработку и защиту данных, стоит об этом письменно предупредить, что называется, на берегу. Чтобы он понимал, что работа с персональными данными возлагает на него дополнительные обязанности и влечет сербезную ответственность в случае их невыполнения (ненадлежащего выполнения).