Правовая защита персональных данных

По общему правилу, запрещается запрашивать  информацию о состоянии здоровья работника. Исключение из этого правила  составляют сведения, необходимые работодателю для решения вопроса о возможности допустить того или иного работника к выполнению определенной работы.

Следует отметить, что в соответствии с  требованиями ст. 31, 61 Основ законодательства РФ об охране здоровья граждан от 22 июля 1993 г. персональные данные работника, содержащиеся в медицинских документах, составляют врачебную тайну и  могут предоставляться без его  согласия только в отдельных случаях  и порядке, определяемых указанными выше нормами.

Лица, которым  при обучении, исполнении профессиональных, служебных и иных обязанностей стали  известны сведения, составляющие врачебную тайну, несут юридическую ответственность за ее разглашение.

Работодатель  при принятии решений, затрагивающих  интересы работника, не имеет права  основываться на персональных данных работника, полученных исключительно  в результате их автоматизированной обработки или электронного получения информации, представляющей собой персональные данные работника.

В соответствии с п. 2 ст. 4 Федерального закона от 20 февраля 1995 г. «Об информации, информатизации и защите информации» правовой режим информационных ресурсов определяется нормами, устанавливающими:

— порядок  документирования информации;

— право  собственности на отдельные документы  и отдельные массивы документов, документы и массивы документов в информационных системах;

— категорию  информации по уровню доступа к ней;

— порядок  правовой защиты информации.   

 

5. Документирование информации

Работодатель  обязан вести особую группу документов в делопроизводстве, которые представляют собой документацию по личному составу (они также известны под названием «кадровая документация»). Документирование информации в силу п. 1 ст. 5 Федерального закона «Об информации, информатизации и защите информации» является обязательным условием включения информации в информационные ресурсы. Документирование информации осуществляется в порядке, устанавливаемом органами государственной власти, ответственными за организацию делопроизводства, стандартизацию документов и их массивов, безопасность Российской Федерации.

Порядок ведения трудовых книжек закреплен  в Инструкции о порядке ведения  трудовых книжек, утвержденной Госкомтрудом СССР и ВЦСПС 20 июня 1984 г., в редакции постановления Госкомтруда СССР от 2 августа 1985 г. с последующими изменениями и дополнениями.

Разработаны унифицированные системы документации, созданные по единым правилам (например, ГОСТ 6.10.1—88. Унифицированные системы  документации. Основные положения; ГОСТ 6.38—90. Унифицированные системы документации. Система организационно-распорядительной документации. Требования к оформлению документов; ГОСТ 16487—83. Делопроизводство и архивное дело. Термины и определения; ГОСТ 6.30—97. Унифицированные системы документации. Унифицированная система организационно-распорядительной документации. Требования к оформлению документов).

В зависимости  от специфики работы федеральными законами, иными нормативными правовыми актами могут устанавливаться дополнительные требования к получению, обработке  и хранению персональных данных работников.

 

6. Хранение информации

Обязанностью  работодателя является обеспечить надлежащее хранение информационных ресурсов, касающихся конкретных работников, необходимых работодателю в связи с трудовыми отношениями (персональных данных работника), в строгом соответствии с требованиями федеральных законов, иных нормативных правовых актов, регламентирующих защиту персональных данных работника от неправомерного использования или утраты. Работодатель своими силами и за свой счет должен организовать хранение персональных данных работника таким образом, чтобы не только обеспечить их защиту от неправомерного использования или утраты, но и предоставить работнику возможность реализовать свое право на ознакомление со всей информацией о нем, имеющейся (хранящейся) у работодателя. Для этого работодатель, его представители обязаны создать необходимые условия, используя все организационно-технические средства. К ним относятся, например, предоставление необходимого помещения, иных технических средств (сейфа, металлического несгораемого шкафа); ограничение доступа лиц к персональным данным работника; установление определенных требований, предъявляемых к получению, обработке, хранению и использованию персональных данных; ознакомление с требованиями по обработке персональных данных лиц, осуществляющих их обработку, установление персональной юридической ответственности должностных лиц, непосредственно осуществляющих их обработку, за нарушение порядка получения, хранения, использования указанной информации и передачи ее третьим лицам.

Использование персональных данных работника осуществляется путем:

— передачи их другим лицам с учетом требований, предъявляемых ст. 88 ТК РФ, или любым  другим способом, не противоречащим требованиям  действующего законодательства;

— предоставления работнику свободного бесплатного  доступа к своим персональным данным в соответствии со ст. 89 ТК РФ, получения им необходимых сведений от работодателя.

 

7. Передача персональных данных

Передача  персональных данных работника осуществляется:

— в пределах одной организации;

— третьей  стороне.

Законодательством установлены достаточно жесткие  требования, которые должны соблюдаться при передаче персональных данных как в пределах одной организации, так и при передаче их третьим лицам.

В соответствии с требованием ст. 88 ТК РФ в пределах одной организации передача персональных данных работника осуществляется в  соответствии с локальным нормативным  актом организации, с которым работник должен быть ознакомлен под расписку.

К требованиям, предъявляемым при передаче персональных данных работника в пределах одной  организации, относится:

1) соблюдение  положений локального акта, регламентирующих  порядок обработки, хранения и  использования персональных данных  работника;

2) установление  доступа к персональным данным  работника только специальным  уполномоченным лицам;

3) ограничение  информации, составляющей персональные  данные работника, при передаче этих сведений представителям работника. В соответствии с этими требованиями работодатель должен передавать только те персональные данные работника, которые необходимы для выполнения указанными представителями их функций.

К требованиям, предъявляемым при передаче персональных данных работника третьим лицам, относятся:

1) наличие  письменного согласия работника  на передачу третьей стороне  его персональных данных, в том  числе в коммерческих целях. Исключение составляют случаи, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также случаи, установленные федеральным законом;

2) предупреждение  третьих лиц о целях использования  персональных данных работника, сообщенных работодателем;

3) получение  от третьих лиц подтверждения,  что это правило соблюдено.

Нарушение установленных требований влечет за собой юридическую ответственность виновных лиц.

 

8. Права работников на обеспечение  защиты персональных данных

Наряду  с закрепленными за работодателем  обязанностями по обеспечению защиты персональных данных работника ст. 88 ТК РФ регламентирует права работников в этой области.

Условно права работника, направленные на обеспечение  защиты его персональных данных, можно разделить на 3 группы:

1) на  полную информацию о своих  персональных данных и их обработке;

2) требовать  устранения недостатков, имеющихся  в персональных данных работника;

3) на  защиту от неправомерных действий (бездействия) работодателя всеми установленными законом способами.

Право на полную информацию о своих персональных данных и их обработке установлено  также в Федеральном законе от 20 февраля 1995 г. «Об информации, информатизации и защите информации». Так, в соответствии с п. 1 ст. 14 указанного Закона работники имеют право на доступ к документированной информации о них, имеют право знать, кто, в каких целях использует или использовал эту информацию. В силу п. 2 ст. 14 Закона работодатель, как владелец документированной информации о работнике, обязан предоставить по его требованию бесплатно информацию в той части, которая касается непосредственно самого работника.

Право отдельной  категории работников на полную информацию, составляющую их персональные данные, устанавливается также федеральными законами, указами Президента РФ, постановлениями Правительства РФ. Так, в соответствии с п. 9 Указа Президента РФ от 15 мая 1997 г. «О предоставлении лицами, замещающими государственные должности Российской Федерации, и лицами, замещающими государственные должности государственной службы и должности в органах местного самоуправления, сведений о доходах и имуществе» право знакомиться со всеми материалами своего личного дела и давать в письменном виде объяснение по указанным материалам, которое должно быть приобщено к личному делу, принадлежит лицам, замещающим государственные должности РФ.

Работник  вправе приглашать по своему выбору медицинского специалиста при осуществлении  своего права на полную информацию о своих персональных данных медицинского характера (ст. 89 ТК РФ). Законом не установлены формы привлечения медицинских специалистов к участию в ознакомлении с медицинскими данными, касающимися непосредственно самого работника. Поэтому представляется, что участие специалиста может осуществляться на основе простой формы доверенности, выдаваемой ему работником. Кроме того, предусмотренное ст. 89 ТК РФ право работника на получение копий любой записи, в которой содержатся его персональные данные, позволяет ему обратиться за помощью к медицинским специалистам путем представления им копии медицинских данных, выданных работодателем.

 

9. Исправление персональных данных.

Ограничение доступа граждан к информации о них допустимо лишь на основаниях, предусмотренных федеральными законами.

В случае если в персональных данных работника  имеются неточности (например, ошибочные, неполные, измененные данные, сведения о работнике, не соответствующие действительности), работник имеет право потребовать исключить такие данные или исправить их, а также известить всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника. При наличии оснований работодатель по требованию работника должен устранить имеющиеся в персональных данных работника недостатки и известить обо всех произведенных в них исключениях, исправлениях и дополнениях всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника. Работодатель вправе отказать в удовлетворении заявленных работником требований исправить, исключить неверные, по мнению работника, персональные данные или восстановить неполные о нем сведения, если установит, что требования работника не обоснованы. Работник вправе известить работодателя в письменной форме о своем несогласии с отказом удовлетворить заявленные им требования. Такое извещение должно быть обоснованным, т. е. убедительным, подтвержденным фактами, серьезными аргументами.

По-иному  обстоит дело с так называемыми  «оценочными» сведениями, составляющими  персональные данные работника (например, сведения, содержащиеся в характеристике работника). Работник вправе изложить свою субъективную точку зрения относительно тех или иных сведений оценочного характера в соответствующем заявлении, адресованном работодателю. Требовать исправления персональных данных оценочного характера работник не вправе.

Работнику гарантирована защита его субъективных прав от неправомерных действий или  бездействия работодателя при обработке и защите персональных данных работника.

К числу  неправомерных бездействий работодателя можно отнести, например, неправомерный отказ владельца информационных ресурсов (работодателя) работнику в доступе к информации. Такой отказ в соответствии с п. 4 ст. 14 Федерального закона от 20 февраля 1995 г. № 24-ФЗ «Об информации, информатизации и защите информации» может быть обжалован в судебном порядке.

Защита  субъективных прав работника, связанная  с неправомерными действиями (бездействием) работодателя, должна осуществляться путем подачи соответствующей жалобы в суд на действия государственных органов, общественных организаций и должностных лиц, нарушающих права и свободы граждан. Работник вправе определять своих представителей для защиты своих персональных данных любыми способами, в том числе и путем подачи жалобы в суд общей юрисдикции.