Как обрабатывать персональные данные родственников работников
Основные субъекты персональных данных (ПД) для работодателя – сотрудники и соискатели. Но часто в организациях дополнительно запрашивают сведения, которые касаются третьих лиц – например, телефоны и ФИО ближайших родственников, супругов. Эта информация также относится к ПД. Как происходит обработка персональных данных родственников сотрудников, требуется ли на нее согласие, сколько хранить и как уничтожать информацию – расскажем в статье.
|
Бланк расписки в получении разъяснения последствий отказа от обработки персданных
Образец положения о хранении персданных |
Когда нужно согласие родственников на обработку персональных данных
Ответственность за нарушения обработки персональных данных регулярно ужесточают. Роскомнадзор неоднократно писал о типичных ошибках при работе с личной информацией. Частые нарушения:
- нет конкретных указаний на цели обработки по разным категориям;
- такие категории, как родственники, не вынесены в отдельную графу по обработке персональных данных в Политике компании, размещенной на сайте и отсутствуют в уведомлении Роскомнадзора;
- отсутствует согласие третьего лица, если информацию собирают по родственникам работника;
|
Важно! В КоАП РФ внесли изменения в области штрафов за отсутствие согласия на обработку ПД (п. 2 и п. 2.1 ст. 13.11). Теперь юрлицо может лишиться от 300 000 до 700 000 рублей за такое нарушение. А если ошибка будет обнаружена повторно, штраф составит уже 1–1,5 миллиона рублей. |
Согласие родственников на обработку и хранение информации берут обязательно, также как и с самих работников. Исключение – информация, которую вносят в личную карточку Т-2 (раздел I, п. 10):
- полное ФИО родственника,
- степень родства,
- год рождения.
Все, что требуется помимо этой информации, в том числе контактный номер телефона, необходимо запрашивать только вместе с согласием третьего лица (п. 2 Разъяснений Роскомнадзора от 14 декабря 2012 г.).
Кроме того, брать согласие на обработку персональных данных не нужно, если информация о родственниках нужна для:
- оформления алиментов,
- получения соцвыплат,
- допуска к гостайне.
Если сотрудник отказывается давать информацию для 10 пункта карточки Т-2, требовать ее кадровый специалист не имеет права (п. 3 ст. 86 ТК РФ). В таком случае лучше оставить раздел незаполненным. Можно дополнительно составить акт или попросить написать отказ в предоставлении персональных данных. Отказ составляют в свободной форме.
|
Обратите внимание! Форма Т-2 является необязательным документом, кроме того, информация о составе семьи не нужна для заключения договора. Поэтому лучше подстраховаться и брать письменное согласие с родственников даже для заполнения карточки. Это мнение подтверждает актуальная информация на сайте Роскомнадзора (раздел «Обращения в сфере персональных данных»), где ответ на вопрос, нужно ли согласие третьих лиц для сбора ПД, – обязательно, за исключением случаев, прописанных в федеральных законах. |
Возможна ли передача персональных данным третьим лицам
Передавать персональные данные сторонним организациям работодатель не имеет права без получения отдельного согласия от сотрудника (ст. 88 ТК РФ). То же касается их родственников. Однако есть исключения. Например, если сведения нужны для оформления соцвыплат или получения дополнительных льгот.
Согласие на передачу данных третьим лицам не нужно, когда информацию запрашивают правоохранительные органы или другие организации, обладающие соответствующими полномочиями:
- прокуратура,
- суд,
- налоговая,
- полиция,
- инспекция по труду,
- органы безопасности,
- военный комиссариат.
Беспрепятственно получать данные о сотрудниках и их семье могут также представители профсоюза, но только если эта информация необходима для выполнения профсоюзами своих функций (ст. 17, 19 Федерального закона от 12.01.1996 года № 10-ФЗ, ст. 88 ТК РФ).
Бланк расписки о получении разъяснений о последствиях отказа предоставления ПД – скачать здесь
|
|
Обратите внимание! Если работник отказывается предоставлять сведения, объясните ему последствия отказа. Например, при наличии ребенка-инвалида сотруднику положены гарантии по ТК РФ. Без документального подтверждения сотрудник не получит дополнительных льгот. После этого возьмите с подчиненного расписку об отсутствии возражений. |
Персональные данные близких родственников: алгоритм работы
За обработку персональных данных отвечает специально назначенное ответственное лицо. Этот же сотрудник будет хранить документы и отчитываться за них. Назначить сразу нескольких ответственных нельзя. Руководитель утверждает обязанности работы с персональными данными за конкретным сотрудником с помощью приказа.
Подробно об ответственном за ПД, как его назначить и что входит в обязанности специалиста – читайте в статье
|
|
Обратите внимание! С 1 сентября 2022 года операторы ПД обязаны выслать в Роскомнадзор уведомление о том, что они занимаются обработкой персональных данных (поправки в Федеральный закон от 27.07.2006 № 152-ФЗ). Среди субъектов в уведомлении необходимо отдельно выделить родственников в отдельную категорию, а также относить сведения о них к иным целям обработки, чем для сотрудников. |
Разъяснения, как подавать и оформлять уведомление вместе с его формой в электронном и бумажном виде, есть в письме Роскомнадзора от 02.11.2022 № 08-97513.
Существует два варианта обработки персональных данных родственников:
- Получить собственноручное заявление от каждого члена семьи. Приглашать их не обязательно, работник может принести заполненную форму согласия.
- Сотрудник сам пишет заявление, что согласен на обработку личной информации о своих родственниках. Но для этого ему потребуется доверенность, заверенная нотариусом.
Что нужно для оформления согласия на распространение ПД – читайте в нашем материале.
|
|
Обратите внимание! За несовершеннолетнего (ребенка) согласие пишет его родитель, как законный представитель. Эксперты рекомендуют оформлять это согласие отдельным документом, помимо согласия самого сотрудника. |
Обработка персональных данных третьих лиц: что написать в согласии
Прежде чем приступить к обработке персональных данных третьих лиц, проверьте, нужно ли их согласие на это действие. Если собираете информацию не по требованию уполномоченных органов, лучше брать заявление на каждый отдельный случай получения ПД про третьих лиц.
Форма согласия – свободная, но Роскомнадзор выдвигает конкретные требования по содержанию документа (утверждены Приказом от 24.02.2021 № 18). Исходя из приказа, текст должен быть составлен таким образом:
- Указаны ФИО субъекта и его контакты.
- Прописана информация об операторе ПД (организации): наименование, основные реквизиты.
- Адрес сайта компании, где будут содержаться персональные данные.
- Какие цели преследует обработка.
- Конкретный перечень с разделением на категории ПД, на обработку которых согласен субъект, включая при наличии специальные и биометрические.
- Для каких ПД есть ограничения или запреты на их обработку.
- При каких условиях оператор может передавать информацию, каким способом и кому.
- Сколько будет действовать согласие и каким способом его можно отозвать.
Завершает заявление собственноручная подпись лица-субъекта ПД. Она может быть как в обычной, так и в электронной форме, при наличии цифровой подписи.
Подробнее о том, как составить согласие на обработку ПД, читайте здесь
Персональные данные родственников: хранение
Цель обработки персональных данных родственников определяет сроки их хранения. Если информация о семье сотрудника нужна для оформления кадровой документации (заполнение формы Т-2), то срок будет совпадать с длительностью хранения личной карточки (по номенклатуре дел). Если сведения нужны для оформления социальной льготы, то ПД хранятся, пока они требуются для получения этих льгот.
|
|
Обратите внимание! Отсутствие конкретных сроков хранения ПД Роскомнадзор считает незаконным. Поэтому в тексте согласия обязательно нужно указать на какой период оно действует. Слишком длинный срок проверяющие могут счесть нецелесообразным, поэтому лучше всего разумно оценить, когда информация перестанет быть актуальной. |
Как уничтожить персональные данные родственников работника
Прекратить обработку и уничтожить личную информацию оператор обязан в трех случаях:
- истек срок хранения или цель была достигнута.
- согласие было отозвано.
- субъект потребовал прекратить работу со своими данными.
По обновленным правилам срок уничтожения ПД – 30 дней с момента наступления события / даты окончания хранения документации (п. 4 ст. 21 Закона № 152-ФЗ). Такой же срок установлен при отзыве согласия. Если же субъект ПД напишет заявление с требованием прекратить работу с его данными, уничтожить их нужно за 10 рабочих дней с получения заявления (п.5.1 ст 21 Закона № 152-ФЗ).
|
|
Важно! Согласия на обработку персональных данных хранят в организации 3 года после истечения их срока или отзыва (п. 441 Перечня типовых архивных документов, утв. Приказом Росархива от 20.12.2019 г. № 236). |
Сведения нужно удалить с любого источника: в электронном и бумажном формате. Регламент каждая компания разрабатывает самостоятельно. Его нужно зафиксировать во внутреннем Положении о персональных данных. Обычно выделяют 3 этапа мероприятия:
- Руководитель издает приказ о формировании специальной комиссии. Состав набирают исходя из вида ПД.
- Члены комиссии удаляют данные из электронных информационных систем, а также с бумажных носителей.
- После уничтожения составляется акт о завершении обработки. Также можно зафиксировать факт уничтожения данных в отдельном журнале. Формы документации разрабатывают в организации и утверждают в Положении.
Бланк ЛНА о хранении ПД – скачать здесь
|
|
Обратите внимание! Появились дополнительные индикаторы риска, которые могут спровоцировать проверку в организации (Приказ Минцифры от 17.08.2023 года № 720). Проверять будут наличие уведомления в Роскомнадзор, актуальность и верность поданных данных, а также текст Политики по обработке ПД на сайте компании. Чтобы избежать проверок и серьезных штрафов, рекомендуем пройти обучение на нашем курсе «Персональные данные работников: правила работы для кадровых служб». |
- Комментарии