С 15 ноября в деятельность каждой организации будут введены изменения в связи со вступлением в силу Закона. Не останутся в стороне и организации здравоохранения, поскольку они работают с персональными данными работников и пациентов. Что же относится к персональным данным и имеются ли у них разграничения?
Персональные данные и их перечень
Под персональными данными понимается любая информация (ее совокупность), которая позволяет определить (идентифицировать) физическое лицо.
Определять, относятся ли какие-то сведения к персональным данным, в каждом конкретном случае необходимо индивидуально. Являются ли фото, видео, номер телефона, сетевые идентификаторы, размер заработной платы, условия работы, профессия и образование работников организации и пациентов персональными данными, зависит от ситуации.
Примерный перечень данных, которые могут быть отнесены к персональным, приведен в таблице.
Таблица
Примерный перечень персональных данных (носит оценочный характер)
Общие персональные данные |
|---|
ФИО; число, месяц и год рождения; идентификационный номер; серия и номер документа, удостоверяющего личность; конкретный адрес регистрации и проживания; семейное положение; образование; профессия; имущественное положение; размер доходов; сетевые идентификаторы (IP-адрес, файлы cookie и др.); сведения о заработной плате и условиях выполняемой работы |
Специальные персональные данные |
Биометрические персональные данные | • (цветное) цифровое фотографическое изображение лица
• отпечатки пальцев рук, ладоней
• радужная оболочка глаза
• характеристики лица |
Генетические персональные данные | • результаты медицинских исследований и т. п. |
Иные персональные данные | • расовая либо национальная принадлежность
• политические взгляды
• членство в профессиональных союзах
• религиозные или другие убеждения
• здоровье (информация о нем)
• половая жизнь
• привлечение к административной или уголовной ответственности |
Персональные данные работников
Перечень персональных данных работников достаточно обширен. При этом возникает вопрос, нужно ли затребовать с работников согласие на обработку их персональных данных. Из ст. 6 и 8 Закона следует, что получать такое согласие при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности не требуется в случаях, предусмотренных законодательством.
Мнение автора
При оформлении трудовых отношений оценочный подход к персональным данным недопустим, т. к. случаи, при которых согласие работника не нужно, должны быть предусмотрены законодательством.
Полагаем, что согласие работника на обработку персональных данных не требуется, когда необходимо составить документы или совершить действия, которые требует законодательство.
С точки зрения ст. 6 и 8 Закона, не требуется согласие работника на обработку персональных данных при:
- удостоверении личности при оформлении приема на работу;
- проверке квалификации;
- проверке соответствия состояния здоровья нужной работе;
- оформлении трудового договора и трудовой книжки;
- издании приказа о приеме на работу и формировании личного дела и т. п.
Это важно
Отсутствие необходимости получения согласия совсем не означает, что наниматель (организация, оператор) не обязан обеспечивать сохранность и конфиденциальность (защиту) персональных данных.
Ярким примером подхода к персональным данным является практика Российской Федерации, где организация обязана обеспечить отдельное хранение персональных данных в зависимости от цели их обработки (чтобы обеспечить срок хранения (своевременность уничтожения) и не допустить избыточности при сборе персональных данных).
При этом необходимо помнить, что помимо документов, которые предусматриваются законодательством, иногда в кадровом делопроизводстве оформляются документы, напрямую законодательством не предусмотренные.
Мнение автора
По мнению автора, надо получать согласие на обработку персональных данных при:
• анкетировании, в т. ч. психологическом, при приеме на работу;
• получении биометрических данных для оформления пропуска, осуществления учета (контроля) рабочего времени;
• получении сведений о членстве работника в профсоюзе, если на него не ведется личное дело, и т. п.
Исключение из общего правила
Можно выделить ряд целей использования персональных данных работника, при которых организация здравоохранения может не требовать согласия на их обработку (с учетом ст. 6 Закона):
- при реализации законодательства о борьбе с коррупцией;
- для ведения индивидуального (персонифицированного) учета сведений о застрахованных лицах для целей государственного социального страхования, в т. ч. профессионального пенсионного страхования;
- в целях назначения и выплаты пенсий, пособий;
- для организации и проведения государственных статистических наблюдений, формирования официальной статистической информации;
- при получении персональных данных оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором.
Руководителю на заметку
Иногда цели использования персональных данных могут меняться. Например, у работника могут производиться удержания из заработной платы налогов, средств в возмещение ущерба, алиментов.
В таком случае цель обработки персональных данных изменяется, и возникает вопрос с хранением таких данных с учетом целей их обработки.
Допуск работника к своим персональным данным
В соответствии с п. 1 ст. 11 и п. 1 ст. 12 Закона субъект персональных данных имеет право не только на получение информации, касающейся обработки своих персональных данных, но и на получение информации о предоставлении персональных данных третьим лицам.
В настоящее время порядок ознакомления работника с личным делом законодательно не закреплен.
Это важно
В связи с этим возникает вопрос, как определить конкретный порядок доступа работника к своим персональным данным, а также ознакомления с личным делом (при их ведении).
Что может сделать наниматель
Несмотря на то, что данные работника в объеме, который определен законодательством, не требуют получения согласия, некоторые сведения о работнике могут быть напрямую не связаны со вступлением в трудовые отношения.
В связи с этим нанимателю нужно обратить внимание на то, какие сведения истребуются от работника, и оценить их реальную необходимость для работы организации. Проведение и результат данного анализа целесообразно закрепить в положении о работе с персональными данными.
От редакции
Выдержка из положения о работе с персональными данными
Заключение
Для нашей страны институт защиты персональных данных совсем новый, поэтому у нанимателей могут возникать многие вопросы по их обработке и хранению.
Как показывает международный опыт, правоприменительная практика в отношении персональных данных может быть различной. Например, в Российской Федерации, в которой институт персональных данных действует с 2006 г., отдельные суды относят номер мобильного телефона к персональным данным, другие же, напротив, не считают его персональными данными. Какая ситуация сложится в нашей стране, пока сказать сложно, это будет понятно с течением времени и наработкой практики применения Закона.
