Защита персональных данных работника

3. Целевой характер персональной информации, законность целей и способов ее обработки и добросовестность. Согласно ТК РФ (ст. 86) обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. По сути, здесь мы имеем чрезвычайно широкое целеполагание при обработке персональных данных работника. Другими словами, получение и обработка персональных данных должны проводиться только в целях обеспечения трудовых прав и законных интересов работников и работодателей. При этом особое значение приобретает запрет получать информацию в иных целях и в большем объеме, чем предусмотрено Конституцией РФ и федеральными законами. Целевой характер означает, что персональные данные должны храниться не дольше, чем этого требует цель, для которой они накапливаются, и подлежат уничтожению, если в них миновала надобность. На это прямо указывает п. 2 ст. 5 Федерального закона "О персональных данных"[32]. В ТК РФ легально не закреплены ни конкретные цели обработки персональных данных, ни правила об ограничении сроков их хранения. Эти пробелы следует восполнить в законодательном порядке.

4. Свободный доступ работника к своим персональным данным и право на полную информацию о них, а равно запрет работодателю объединять созданные для несовместимых между собой целей баз персональных данных, недопустимость создания информационных ресурсов персонального характера, закрытых или ограниченных в доступе для работника, кроме случаев, предусмотренных федеральным законом.

5. Гарантированность субъективных прав работника, связанных с защитой его персональных данных. Государственные органы, работодатели обязаны соблюдать эти права. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, в соответствии с указанием ст. 90 ТК РФ, несут дисциплинарную, административную (ст. ст. 13.11 и 13.14 КоАП РФ), гражданско-правовую (ст. 277 ТК РФ для руководителя организации, ст. 1100 ГК РФ) или уголовную ответственность (ст. ст. 137, 138 УК РФ). Наряду с дисциплинарной ответственностью по ТК РФ (пп. "в" п. 6 ч. 1 ст. 81, ст. 192) в качестве одного из оснований наступления полной материальной ответственности работников, имеющих в связи с должностными обязанностями доступ к персональным данным работников, может быть разглашение сведений, составляющих служебную тайну (ст. 243). Работник вправе обжаловать в суд любые неправомерные действия или бездействие работодателя при обработке и защите его персональных данных. Согласно ТК РФ (ст. 86) работодатели, работники и их представители должны совместно выработать меры защиты персональных данных работников. Работник вправе определять своих представителей для защиты своих персональных данных (ст. 89 ТК). Таким образом, права работников в целях обеспечения защиты персональных данных гарантируются не только индивидуальными способами защиты, но и коллективными (социально-партнерскими) с участием представителей работников.

Вышеназванные принципы в целом соответствуют принципам, закрепленным в законодательстве ведущих стран Запада (Закон Великобритании о защите персональных данных, Принципы защиты и использования персональных данных (США), Модельный кодекс по защите персональных данных (Канада) и др.)[33].

2.3. Условия обработки персональных данных работника

Обработка персональных данных работника - получение, хранение, комбинирование, передача или любое использование персональных данных работника.

Персональные данные работника должны быть получены и обработаны законным образом на основании ТК РФ и иных федеральных законов. Особенности обработки персональных данных могут устанавливаться только федеральными законами и иными нормативными правовыми актами РФ (ст. 4 Федерального закона "О персональных данных")[34].

В ТК РФ довольно полно регламентируется правовой механизм (процедура) реализации защиты персональных данных на этапах получения, хранения и использования персональных данных, в том числе при их передаче иным лицам. Таким образом, можно констатировать, что между работником и работодателем складывается особое правоотношение в рамках единого трудового правоотношения по поводу информации, содержащей персональные данные работника, позволяющие идентифицировать его в качестве такового. Отсюда следует, что работодатель имеет не только обязанности, о которых говорилось выше, но и право на получение определенной информации о работнике, объем которой предусмотрен федеральным законодательством, указами Президента РФ, постановлениями Правительства РФ. Соответственно, у работника возникает обязанность представить такую информацию, которая должна быть полной и достоверной. Рассмотрим правовой статус субъектов правовых отношений  в области защиты персональных данных.

Носитель персональных данных – субъект, к которому относятся соответствующие персональные данные. Законодатель, определяя субъекта как носителя персональных данных в качестве основного участника правоотношений, концентрирует права последнего в самостоятельной статье Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных"[35]. ТК РФ (89 статья) законодательно закрепляя права работника, обеспечивающие защиту его персональных данных, устанавливает порядок, который дает возможность осуществлять работником контроль за хранением и использованием сведений о нем, имеющихся у работодателя.

Условно сформулированные права можно сгруппировать следующим образом:

- право на доступ к своим персональным данным;

- право на уточнение, блокирование или уничтожение информации;

- право знать, кто и в каких целях использует или использовал эту информацию;

- право на получение сведений об операторе;

- право на защиту законных интересов.

Работники имеют право на свободный бесплатный доступ к своим персональным данным, в т.ч. на получение копии любой записи, содержащей такие данные.

Учитывая требования ст. 62 ТК РФ, по письменному заявлению работника работодатель обязан не позднее трех рабочих дней со дня получения от работника заявления выдать ему копии документов, связанных с работой (приказа о приеме на работу, приказов о переводах на другую работу, приказа об увольнении с работы, выписки из трудовой книжки, справок о заработной плате, о начисленных и фактически уплаченных пенсионных взносах, о периоде работы у данного работодателя и др.). Данные копии заверяются надлежащим образом и предоставляются работнику безвозмездно[36].

Работник также может определить представителя для защиты своих персональных данных. Традиционно представителями работников являются профсоюзы, однако для указанных целей работник может определить иное лицо (физическое либо юридическое), а также защищать права самостоятельно.

Также работникам предоставляется право доступа к персональным данным, относящимся к медицинским данным, с помощью медицинского специалиста по их выбору.

Право на уточнение, блокирование или уничтожение информации во многом характерно нормам трудового законодательства, затрагивающего вопросы защиты персональных данных работников, поскольку связано с возможностью заявления в письменной форме о своем несогласии с соответствующим обоснованием такого несогласия.

Работник в соответствии с предоставленным статьей 89 ТК РФ правом может требовать внесения изменений и дополнений в трудовую книжку и другие документы, содержащие его персональные данные. Так, в соответствии с Правилами ведения и хранения трудовых книжек, изготовления бланков трудовой книжки и обеспечения ими работодателей (п. 27 - 29) в случае выявления неправильной или неточной записи в трудовой книжке исправление ее производится по месту работы, где была внесена соответствующая запись, либо работодателем по новому месту работы на основании официального документа работодателя, допустившего ошибку. Работодатель обязан в этом случае оказать работнику при его обращении необходимую помощь. Если организация, которая произвела неправильную или неточную запись, реорганизована, исправление производится ее правопреемником, а в случае ликвидации организации - работодателем по новому месту работы на основании соответствующего документа. Исправленные сведения должны полностью соответствовать документу, на основании которого они были исправлены. В случае утраты такого документа либо несоответствия его фактически выполнявшейся работе исправление сведений о работе производится на основании других документов, подтверждающих выполнение работ, не указанных в трудовой книжке. Свидетельские показания не могут служить основанием для исправления внесенных ранее записей, за исключением записей, в отношении которых имеется судебное решение, а также случаев, предусмотренных пунктом 34 Правил[37].

Пункт 34 Правил указывает, что при массовой утрате работодателем трудовых книжек работников в результате чрезвычайных ситуаций (экологические и техногенные катастрофы, стихийные бедствия, массовые беспорядки и другие чрезвычайные обстоятельства) трудовой стаж этих работников устанавливается комиссией по установлению стажа, создаваемой органами исполнительной власти субъектов РФ. Установление факта работы, сведений о профессии (должности) и периодах работы в данной организации осуществляется комиссией на основании документов, имеющихся у работника (справка, профсоюзный билет, расчетная книжка и т.п.), а в случае их отсутствия - на основании показаний двух и более свидетелей, знающих работника по совместной с ним деятельности в одной организации или в одной системе. По результатам работы комиссии составляется акт, в котором указываются периоды работы, профессия (должность) и продолжительность трудового стажа. Работодатель на основании этого акта выдает работнику дубликат трудовой книжки с соответствующими записями. В случае если документы не сохранились, стаж работы, в том числе установленный на основании свидетельских показаний, может быть подтвержден в судебном порядке.

Работодатель обязан по письменному заявлению работника не позднее трех дней со дня подачи заявления выдать работнику копии документов, связанных с работой, включая копии приказа о приеме на работу, приказов о переводах на другую работу, приказа об увольнении с работы, выписку из трудовой книжки, справки о заработной плате, периоде работы у данного работодателя и др. При этом копии документов должны быть заверены надлежащим образом и предоставлены работнику безвозмездно (ст. 62 ТК РФ)[38].

Работники имеют право требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушениями требований Трудового кодекса РФ или иного федерального закона. В случае отказа работодателя исключить или исправить персональные данные работника последний имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения (ст. 89 ТК РФ).[39]

В соответствии со ст. 89 ТК РФ по требованию работника работодатель обязан известить всех лиц, которым ранее были сообщены неверные или неполные персональные данные этого работника, обо всех произведенных в них исключениях, исправлениях или дополнениях. Работники имеют право обжаловать в суд любые неправомерные действия или бездействие работодателя при обработке и защите его персональных данных.

Право знать, кто и в каких целях использует или использовал эту информацию. На самом деле работник не может не знать, кто и в каких целях использует информацию о нем, поскольку без его согласия не может использоваться или передаваться информация. Вместе с тем Закон допускает, что право на доступ к информации о себе может быть ограничено федеральным законом. Это означает, что никаким другим нормативным актом не может быть ограничено данное право. Работодатель обязан уведомить работника о дополнительно использовании персональных данных работника.

Право на получение сведений в отношении оператора персональных данных[40]. В этом праве работник не ограничивается, так как наименование предприятия, место его расположения и способы деятельности, информацию о его руководителях, о режиме работы организации, документах, необходимых при оформлении запроса, а также возможность получения полных и достоверных сведений в отношении используемых оператором формах, методах и средствах работы с персональными данными, перечень обрабатываемых персональных данных работника, сроки их обработки, в том числе и сроки хранения, сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных, со всей этой информацией работник уведомляется в период трудоустройства, или в последующем может свободно узнать у работодателя в процессе работы.

Правом защищать законные интересы работника, не только в сфере защиты его персональных данных, наделены профсоюзные организации. Сам работник может использовать различные не противоречащие закону способы самозащиты[41].

Законодатель закрепляет право на обжалование действий или бездействия оператора. Этой нормой воспроизводится общий принцип отечественной правовой системы, в соответствии с которым любое действие (бездействие), нарушающее права и законные интересы граждан, а равно создающее предпосылки к этому, может быть обжаловано в административном или судебной порядке (см. ст. 46 Конституции РФ)[42].

В качестве материально-правового основания возникновения права на защиту законодатель называет несоблюдение оператором требований законодательства в процессе обработки персональных данных, результатом которого явилось:

нарушение прав и законных интересов субъектов персональных данных или создание предпосылки к такому нарушению;

создание препятствий осуществления работником своих прав и свобод;

необоснованное или незаконное возложение на лицо каких-либо обязанностей или привлечение его к ответственности.

В роли процессуального основания выступает обращение заинтересованного лица с жалобой в уполномоченные органы по защите прав субъектов персональных данных, в трудовую инспекцию или в суд.