Защита персональных данных работников аптеки (А.В. Зобова, "Аптека: бухгалтерский учет и налогообложение", N 2, февраль 2009 г.)

Защита персональных данных работников аптеки

В ходе приема на работу, осуществления работником трудовой деятельности работодатель запрашивает и получает те или иные персональные данные работника. Вместе с тем защита персональных данных является неотъемлемой составляющей права на уважение частной жизни человека, которое может быть ограничено только в предусмотренных пределах и при определенных условиях. В связи с этим рассмотрение правовой регламентации защиты персональных данных работников представляется весьма актуальным в современных условиях.

Зачем руководителю и бухгалтеру аптеки читать эту статью?

Какие сведения можно и нельзя запрашивать у соискателя в процессе собеседования и анкетирования? В каких случаях может быть привлечено к ответственности лицо, ответственное в аптеке за распространение персональных данных сотрудников? Насколько законны действия бывших работодателей в части распространения сведений о бывших сотрудниках по устным запросам будущих работодателей? Все ли сведения о работниках аптеки могут распространяться?

Вот лишь некоторые вопросы, которые задают руководители аптек. И именно на них должны знать ответы бухгалтеры аптек и лица, ответственные за работу с персональными данными работников.

Законодательство строго к нарушителям: лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, несут как дисциплинарную, административную, гражданско-правовую, так и уголовную ответственность в соответствии с федеральными законами.

Вид правонарушения	Вид наказания	Нормы законодательства
Незаконное собирание или распространение сведений о частной жизни лица, составля- ющих его личную или семейную тайну, без его согласия	Штраф в размере до 200 000 руб. или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательные работы на срок от 120 до 180 часов, либо исправительные работы на срок до одного года, либо арест на срок до четырех месяцев	Пункт 1 ст. 137 УК РФ
Те же деяния, совершенные лицом с использованием своего служебного положения	Штраф в размере от 100 000 до 300 000 руб. или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо лишение права занимать определенные должнос- ти или заниматься определенной деятельностью на срок от двух до пяти лет, либо арест на срок от четырех до шести месяцев	Пункт 2 ст. 137 УК РФ
Нарушение установленного за- коном порядка сбора, хране- ния, использования или расп- ространения информации о гражданах (персональных дан- ных)	Предупреждение или наложение административного штрафа на граждан в размере от 300 до 500 руб.; на должностных лиц - от 500 до 1 000 руб.; на юридических лиц - от 5 000 до 10 000 руб.	Статья 13.11 КоАП РФ
Совершение дисциплинарного проступка, то есть неиспол- нение или ненадлежащее испол- нение работником по его вине возложенных на него трудовых обязанностей	Работодатель имеет право применить следующие дисциплинарные взыскания: 1) замечание; 2) выговор; 3) увольнение по соответствующим основаниям. Федеральными законами, уставами и положениями о дисциплине для отдельных категорий работников могут быть предусмотрены также и другие дисциплинарные взыскания	Статья 192 ТК РФ

Законодательство о защите персональных данных

Правовое регулирование защиты персональных данных осуществляется в соответствии с гл. 14 ТК РФ, а также согласно Федеральному закону от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ).

Под персональными данными понимают информацию, необходимую работодателю в связи с трудовыми отношениями и касающуюся конкретного работника. Понятие обработки персональных данных включает получение, хранение, комбинирование, передачу или любое другое использование персональных данных работника.

В статье 86 ТК РФ закрепляются общие требования при обработке персональных данных работника и гарантии их защиты.

В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования:

- обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;

- при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией РФ, ТК РФ и иными федеральными законами;

- все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;

- работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции РФ работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия;

- работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных ТК РФ или иными федеральными законами;

- при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения;

- защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном ТК РФ и иными федеральными законами;

- работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области;

- работники не должны отказываться от своих прав на сохранение и защиту тайны;

- работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников.

Передача персональных данных работника

При передаче персональных данных работника работодатель должен соблюдать следующие требования:

- не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами;

- не сообщать персональные данные работника в коммерческих целях без его письменного согласия;

- предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном ТК РФ и иными федеральными законами;

- осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись;

- разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;

- не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;

- передавать персональные данные работника представителям работников в порядке, установленном ТК РФ и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

Права работников относительно персональных данных

Права работников в целях обеспечения защиты персональных данных, хранящихся у работодателя, закрепляются в ст. 89 ТК РФ.

В целях обеспечения защиты персональных данных, хранящихся у работодателя, работники имеют право:

- на полную информацию об их персональных данных и обработке этих данных;

- на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;

- на определение своих представителей для защиты своих персональных данных;

- на доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по их выбору;

- на требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований ТК РФ или иного федерального закона. При отказе работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;

- на требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;

- на обжалование в суд любых неправомерных действий или бездействия работодателя при обработке и защите его персональных данных.

Принципы и условия обработки персональных данных

Принципы обработки персональных данных. Обработка персональных данных должна осуществляться на основе следующих принципов:

- законности целей и способов обработки персональных данных и добросовестности;

- соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям работодателя по обработке персональных данных;

- соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;

- достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;

- недопустимости объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных.

Условия обработки персональных данных. Обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных, за исключением предусмотренных случаев. Согласия субъекта персональных данных не требуется в следующих случаях:

- обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;

- обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является работник;

- обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;

- обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно.

Работодателями и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных, за исключением следующих случаев:

- обезличивание персональных данных;

- в отношении общедоступных персональных данных.

Так, в соответствии со ст. 8 Закона N 152-ФЗ в целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, предоставленные субъектом персональных данных. Сведения о субъекте персональных данных могут быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.

Работник принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных.

В законодательстве предусматриваются случаи обязательного предоставления субъектом персональных данных своих персональных данных в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных, а в случае обработки общедоступных персональных данных обязанность доказывания того, что обрабатываемые персональные данные являются общедоступными, возлагается на оператора, то есть на работодателя в нашем случае.

В случаях, предусмотренных законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Письменное согласие субъекта персональных данных на обработку своих персональных данных должно включать в себя:

- фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

- наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;

- цель обработки персональных данных;

- перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

- перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

- срок, в течение которого действует согласие, а также порядок его отзыва.

В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает в письменной форме законный представитель субъекта персональных данных. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают в письменной форме наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.

Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением следующих случаев:

- субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;

- персональные данные являются общедоступными;

- персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия субъекта персональных данных невозможно;

- обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством РФ сохранять врачебную тайну;

- обработка персональных данных необходима в связи с осуществлением правосудия;

- обработка персональных данных осуществляется в соответствии с законодательством РФ о безопасности, об оперативно-разыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством РФ.

Обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством РФ, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.

Обработка специальных категорий персональных данных, осуществлявшаяся в случаях, когда не требуется согласие субъекта персональных данных - работника, должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка.

Определенными особенностями характеризуется защита биометрических персональных данных. Под биометрическими персональными данными понимают сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность. Они могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных законом. Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с осуществлением правосудия, а также в случаях, предусмотренных законодательством РФ о безопасности, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством РФ, законодательством РФ о порядке выезда из РФ и въезда в РФ.

А.В. Зобова,

эксперт журнала "Аптека: бухгалтерский учет и налогообложение"

"Аптека: бухгалтерский учет и налогообложение", N 2, февраль 2009 г.