"Бюджетные организации: бухгалтерский учет и налогообложение", 2007, N 3

ПЕРСОНАЛЬНЫЕ ДАННЫЕ

С 1 января 2007 г. вступил в силу Закон "О персональных данных" <1>, который регулирует отношения в области сбора, изменения и передачи сведений федеральными органами государственной власти Российской Федерации и ее субъектов, а также юридическими и физическими лицами с использованием средств автоматизации и без них. Цель этого Закона - защита прав и свобод человека при обработке его персональных данных, в том числе прав на неприкосновенность частной жизни, личную и семейную тайну.

     
   ————————————————————————————————
   

<1> Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных".

Оформляя сотрудника на работу, работодатель теперь обязан учитывать положения данного Закона. Обо всех тонкостях, которые, на наш взгляд, заслуживают особого внимания бухгалтера и руководителя бюджетного учреждения, мы постараемся рассказать в статье.

Сведения, составляющие тайну

Оформляя сотрудника на работу, работодатель, чтобы заключить трудовой договор и заполнить личную карточку по форме Т-2 в отделе кадров, запрашивает у него:

- паспорт или иной документ, удостоверяющий личность;

- трудовую книжку, за исключением случаев, когда трудовой договор заключается впервые или работник поступает на работу на условиях совместительства;

- свидетельство государственного пенсионного страхования;

- документы воинского учета - для военнообязанных и лиц, подлежащих призыву на военную службу;

- документы об образовании, о квалификации или наличии специальных знаний - все сведения, содержащиеся в этих документах, входят в перечень персональных.

Согласно ст. 3 Закона "О персональных данных" любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе:

- фамилия, имя, отчество;

- год, месяц, дата и место рождения;

- адрес;

- семейное, социальное, имущественное положение;

- образование;

- профессия;

- доходы и другая информация, является персональными данными.

Этот перечень не является закрытым, в него можно включить практически все сведения, которые работодатель получает о работнике.

Помимо этого, ст. ст. 10 и 11 Закона "О персональных данных" установлены некоторые специальные категории данных, в отношении которых действуют повышенные меры защиты от несанкционированной обработки и распространения. Это информация, касающаяся:

- расовой, национальной принадлежности;

- политических взглядов, религиозных или философских убеждений;

- состояния здоровья, интимной жизни физического лица, а также биометрические персональные данные - сведения, характеризующие физиологические особенности человека.

Принципы и условия обработки информации

Обработка персональных данных включает в себя все действия и операции с персональными данными, в том числе сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (передачу), обезличивание, блокировку и уничтожение. Согласно новому Закону это обычные хозяйственные операции учреждения, с которыми довольно часто сталкивается как руководитель, так и бухгалтерская служба.

Условия обработки информации

Обратите внимание: согласно п. 1 ст. 6 Закона "О персональных данных" обработка данных возможна только с согласия работника. Поэтому, оформляя сотрудника на работу, не забудьте взять с него письменное заявление о его согласии на обработку данных. В таком заявлении работник в обязательном порядке должен сообщить следующую информацию:

- фамилию, имя, отчество, свой адрес, номер документа, удостоверяющего личность, сведения о дате выдачи и органе, его выдавшем;

- наименование и адрес учреждения, получающего согласие на использование персональных данных;

- цель обработки данных;

- перечень персональных данных, на обработку которых дается согласие работника;

- перечень действий, на которые дается согласие, общее описание используемых учреждением способов обработки сведений;

- срок, в течение которого действует согласие, а также порядок его отзыва (п. 4 ст. 9 Закона "О персональных данных").

Представим образец заявления работника.

     
   —————————————————————————————————————————————————————————————————¬
   |                               Руководителю музыкального театра,|
   |                                       расположенного по адресу:|
   |                          г. Н. Новгород, ул. Неизвестная, д. 6,|
   |                                         Иванову Ивану Ивановичу|
   |                                   от Сидорова Петра Михайловича|
   |                                  (паспорт N 33 00 612745, выдан|
   |                                   Ленинским ОВД г. Н. Новгорода|
   |                                                     25.02.2001)|
   |                                                                |
   |                           Заявление                            |
   |                                                                |
   |    Я, Сидоров Петр  Михайлович,  даю  свое  согласие  на  сбор,|
   |систематизацию,  накопление,  хранение,  уточнение  (обновление,|
   |изменение),    использование,    распространение     (передачу),|
   |обезличивание,  блокировку  и  уничтожение  своих   персональных|
   |данных:                                                         |
   |    — фамилия, имя, отчество;                                   |
   |    — год, месяц, дата и место рождения;                        |
   |    — адрес;                                                    |
   |    — семейное, социальное положение;                           |
   |    — образование;                                              |
   |    — профессия;                                                |
   |    — доходы, полученные мной в данном учреждении,              |
   |для передачи в налоговую инспекцию по форме 2—НДФЛ и органы  ПФР|
   |индивидуальных  сведений  о  начисленных  страховых  взносах  на|
   |обязательное пенсионное страхование и данных о трудовом стаже.  |
   |    Передача персональных данных разрешается  на  срок  действия|
   |трудового договора.                                             |
   |    Подтверждаю,  что   ознакомлен   с   положением   о   защите|
   |персональных  данных,  права  и  обязанности  в  области  защиты|
   |персональных данных мне разъяснены.                             |
   |                                                                |
   |    15.01.2007                            подпись (Сидоров П.М.)|
   L—————————————————————————————————————————————————————————————————
   

Согласие работника не требуется, когда обработка данных:

- проводится в целях исполнения договора, одной из сторон которого является данный работник, то есть не нужно дополнительное разрешение на выписку доверенностей, если это связано с исполнением его трудовых обязанностей, указания данных в приказах, расчетно-платежных, инвентаризационных ведомостях, товарных накладных и так далее;

- ведется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;

- необходима для защиты жизни, здоровья или иных жизненно важных интересов работника, если получить его согласие на обработку данных невозможно;

- нужна для доставки почтовых отправлений организациями почтовой связи, расчетов операторами электросвязи с пользователями за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;

- ведется в рамках профессиональной деятельности журналиста либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта (п. 2 ст. 6 Закона "О персональных данных").

Кроме того, не требуется согласие физического лица на обработку данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных кандидатов на выборные государственные или муниципальные должности, а также лиц, замещающих государственные должности, должности государственной гражданской службы.

При обработке персональных данных работников в связи с трудовыми отношениями работодателям следует руководствоваться гл. 14 ТК РФ.

Обязанности работодателя

Работодатель, получивший доступ к персональным данным, должен обеспечить их сохранность и предотвратить несанкционированный доступ к информации. Для этого он обязан принимать необходимые организационные и технические меры защиты, используя шифровальные (криптографические) средства, исключающие уничтожение, изменение, блокировку, копирование и распространение персональных данных. Использование и хранение биометрических данных вне информационных систем могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают ее сохранность.

Обязанность кадровой службы вести личные дела предусмотрена только для государственных учреждений (ст. 44 Федерального закона от 27.07.2004 N 79-ФЗ). Другие бюджетные учреждения могут самостоятельно разработать порядок сбора и хранения информации о сотрудниках. Для этого руководитель должен утвердить положение о персональных данных работника. Это внутренний документ организации, его разрабатывает отдел кадров или юридический отдел. С ним также нужно ознакомить всех сотрудников под расписку.

В деле каждого работника могут быть следующие документы:

- заявление о приеме на работу;

- копия трудовой книжки;

- копии дипломов, свидетельств об образовании, документов о присвоении ученого звания, степени;

- медицинское заключение (если медосмотр обязательный);

- копия приказа о принятии на работу;

- анкета;

- копия паспорта;

- копия трудового договора;

- должностная инструкция;

- копии приказов, связанных с трудовой деятельностью (перевод, командировка, премирование и т.д.);

- документы об аттестации, повышении квалификации и т.д.

К положению о защите персональных данных также составляется перечень лиц, которые имеют доступ к данной информации, оформить данный документ можно либо приказом, либо приложением к указанному положению.

Приведем рекомендуемый образец приказа по бюджетному учреждению.

     
   —————————————————————————————————————————————————————————————————¬
   |                   Приказ N 25 от 10.01.2007                    |
   |                                                                |
   |         "О лицах, уполномоченных на получение и доступ         |
   |          к персональным данным работников учреждения"          |
   |                                                                |
   |    Устанавливается  список  лиц,  имеющих  право  на  доступ  и|
   |получение персональных данных, а также на сбор,  систематизацию,|
   |накопление,   хранение,   уточнение   (обновление,   изменение),|
   |использование,   распространение   (передачу),    обезличивание,|
   |блокировку, уничтожение по бюджетному учреждению                |
   |                                                                |
   |  ____________________________________________________________  |
   |              (наименование бюджетного учреждения)              |
   |                                                                |
   +———T—————————————————————————————T——————————————————————————————+
   | N |    Фамилия, имя, отчество   |           Должность          |
   +———+—————————————————————————————+——————————————————————————————+
   | 1 |Иванов Иван Иванович         |Начальник отдела кадров       |
   +———+—————————————————————————————+——————————————————————————————+
   | 2 |Петрова Мария Ивановна       |Юрист учреждения              |
   +———+—————————————————————————————+——————————————————————————————+
   | 3 |Николаева Елена Петровна     |Главный бухгалтер             |
   +———+—————————————————————————————+——————————————————————————————+
   | 4 |Петрова Светлана Борисовна   |Бухгалтер по заработной плате |
   +———+—————————————————————————————+——————————————————————————————+
   |                                                                |
   |    Руководитель                          подпись               |
   L—————————————————————————————————————————————————————————————————
   

Доступ к личным данным также разрешен специально уполномоченным лицам, например работникам милиции или прокуратуры. Им представляются сведения о сотрудниках в необходимом для работы объеме. Работодатель также в случае личного обращения работника за информацией, касающейся его персональных данных, или его письменного запроса либо через законного представителя обязан предоставить ее в течение 10 рабочих дней с даты получения запроса. В случае отказа следует дать мотивированный ответ, руководствуясь положениями указанного закона в срок, не превышающий семи рабочих дней со дня получения запроса. Обратите внимание: информацию о персональных данных работодатель обязан передавать работнику безвозмездно (п. 3 ст. 20 Закона "О персональных данных"). Права физического лица в отношении персональных данных Сотрудник вправе в любое время посмотреть свое личное дело и сделать копии нужных ему документов (ст. 89 ТК РФ), а также на основании ст. 14 Закона "О персональных данных" он имеет право: - получить сведения об операторе (в данном случае работодателе), о месте его нахождения; - требовать уточнения своих данных, их блокировки или уничтожения в случае, если они являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав; - получить данные в доступной форме (в них не должны содержаться сведения, относящиеся к другим лицам); - на доступ к своим данным через законного представителя или на основании письменного запроса. Запрос должен содержать номер основного документа, удостоверяющего личность (паспорт), сведения о дате его выдачи и выдавшем его органе, а также собственноручную подпись работника либо его законного представителя. Работник при обращении или запросе имеет право на получение информации, касающейся обработки его данных, в том числе содержащей: - подтверждение факта обработки данных, а также ее цель; - способы обработки данных, применяемых работодателем в учреждении; - сведения о лицах, которые имеют доступ к его данным или он которым может быть предоставлен; - перечень обрабатываемых данных и источник их получения; - сроки обработки данных, в том числе сроки их хранения; - сведения о юридических последствиях обработки его персональных данных. Обратите внимание: право работника на доступ к своим персональным данным ограничивается, если: - обработка данных, в том числе полученных в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности и охраны правопорядка; - обработка данных ведется органами МВД, задержавшими данное лицо по подозрению в преступлении либо по обвинению в рамках уголовного дела либо применившими к нему меру пресечения до предъявления обвинения, за исключением случаев, предусмотренных уголовно-процессуальным законодательством РФ; - предоставление персональных данных нарушает конституционные права и свободы других лиц. Ответственность за нарушение порядка обработки персональных данных Согласно ст. 24 Закона "О персональных данных" на лиц, виновных в нарушении его требований, возлагается гражданская, уголовная, административная, дисциплинарная и иная предусмотренная законодательством РФ ответственность. На настоящий момент административная ответственность для операторов (за исключением лиц, для которых обработка персональных данных является профессиональной деятельностью и подлежит лицензированию) предусмотрена только: - за отказ в представлении гражданину собранных в установленном порядке документов, материалов, непосредственно затрагивающих права и свободы гражданина, либо их несвоевременное представление, непредставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации (ст. 5.39 КоАП РФ); - за нарушение установленного законом порядка сбора, хранения, использования или распространения персональных данных (ст. 13.11 КоАП РФ); - за разглашение информации, доступ к которой ограничен Федеральным законом (за исключением случаев, когда ее разглашение влечет за собой уголовную ответственность) лицом, получившим к ней доступ в связи с исполнением служебных или профессиональных обязанностей (ст. 13.14 КоАП РФ). Преступлениями, влекущими за собой уголовную ответственность, являются: - незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации (ст. 137 УК РФ); - неправомерный отказ должностного лица в представлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан (ст. 140 УК РФ); - неправомерный доступ к охраняемой законом компьютерной информации, содержащейся на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло за собой уничтожение, блокировку, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети (ст. 272 УК РФ). Помимо административной и уголовной на оператора возлагается и гражданско-правовая ответственность. Статьей 17 Федерального закона от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации" предусмотрено, что лица, права и законные интересы которых были нарушены в связи с разглашением информации ограниченного доступа или иным ее неправомерным использованием, могут обратиться в установленном порядке за судебной защитой своих прав, в том числе с исками о возмещении убытков, компенсации морального вреда, защите чести, достоинства и деловой репутации. Однако не может быть удовлетворено требование о возмещении убытков, предъявляемое лицом, которое не приняло обязательных мер по соблюдению конфиденциальности информации или нарушило установленные законодательством РФ требования о ее защите. Обработка данных, включенных в информационные системы до вступления в силу Закона "О персональных данных", ведется в соответствии с новым Законом. Сформированные до этого информационные системы персональных данных должны быть приведены в соответствие с требованиями данного Закона в срок не позднее 01.01.2010. Ранее созданные операторы, которые продолжают деятельность после вступления в силу указанного Закона, обязаны до 1 января 2008 г. направить в уполномоченный орган по защите прав субъектов персональных данных уведомление о своем намерении вести обработку персональных данных (ст. 25 Закона "О персональных данных"). С.Валова Зам. главного редактора журнала "Учреждения культуры и искусства: бухгалтерский учет и налогообложение" Подписано в печать 19.02.2007 ————