В Национальной ассоциации адвокатов Украины разъяснили, как предприятия должны обрабатывать персональные данные работников, чтобы не нарушить украинское законодательство.
Указывается, что персональные данные (сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано), в зависимости от способа их хранения (бумажные или электронные носители), должны обрабатываться таким образом, чтобы исключить доступ к ним посторонних лиц.
Ст. 24 Кодекса законов о труде предусматривает, что при заключении трудового договора гражданин обязан предоставить паспорт или другой документ, удостоверяющий личность, трудовую книжку (при наличии) или сведения о трудовой деятельности из реестра застрахованных лиц Государственного реестра общеобязательного государственного социального страхования, а в случаях, предусмотренных законодательством, — также документ об образовании (специальности, квалификации), о состоянии здоровья, соответствующий военно-учётный документ и другие документы.
Все эти документы содержат информацию о кандидате на должность, которую в соответствии с международными и национальными нормативно-правовыми актами следует считать персональными данными. А в случае приёма на работу оригиналы документов работника или их копии хранятся у работодателя.
Обработка персональных данных должна осуществляться таким образом, чтобы обеспечить соблюдение основных прав и свобод человека, в частности — невмешательство в право на личную жизнь (личную и семейную).
Закон «О защите персональных данных» определяет (ст. 2), что обработка персональных данных — это любое действие от сбора до уничтожения персональных данных: регистрация, накопление, хранение, адаптация, изменение, обновление, использование, распространение (распространение, реализация, передача), обезличивание и др.
Среди оснований для обработки персональных данных есть (ст. 11) согласие субъекта персональных данных на их обработку. Оно является добровольным волеизъявлением физического лица (при условии его информированности) относительно предоставления разрешения на обработку его персональных данных в соответствии с определённой целью их обработки, выраженное в письменной форме или в форме, позволяющей сделать вывод о предоставлении согласия (ст. 2).
Не допускается обработка данных о физическом лице, которые являются конфиденциальной информацией, без его согласия (ст. 6). Исключение составляют только случаи, определённые законом, и только в интересах национальной безопасности, экономического благополучия и прав человека.
Однако это правило не действует при реализации права на труд согласно законодательству Украины.
Статьёй 43 Конституции гарантировано, что каждый имеет право на труд, и, соответственно, от предоставления лицом согласия на обработку его персональных данных не должно зависеть осуществление этого права на труд. При этом необходимость выполнения обязанности владельца персональных данных должна быть предусмотрена законом (ст. 11 Закона).
То есть персональные данные должны использоваться работодателем исключительно с целью реализации прав и выполнения своих обязанностей в сфере трудовых правоотношений: вести первичный учёт работников, обеспечивать дополнительными гарантиями, предоставлять ежегодные основные и дополнительные отпуска на основании подтверждающих документов и т. п. И поскольку персональные данные получены работодателем при выполнении им своих обязанностей на основании закона, получать согласие на их обработку у работника не нужно.
В настоящее время Украина всё теснее сотрудничает с европейским рынком. Сотрудничество с иностранными партнёрами, как правило, требует от украинских компаний должной подготовки. Поэтому всё чаще возникает необходимость обеспечить соблюдение международных стандартов.
27 апреля 2016 года в ЕС был принят Общий регламент по защите данных (GDPR). Поскольку он имеет экстерриториальное действие и применяется ко всем компаниям, которые обрабатывают персональные данные резидентов и граждан ЕС, независимо от местонахождения такой компании, то и филиалам/представительствам украинских предприятий на территории ЕС необходимо соответствовать требованиям GDPR.
Так, ст. 6 GDPR предусмотрено, что обработка данных является законной, только если выполнено и в той мере, в какой выполнено хотя бы одно из нижеперечисленных условий:
(a) субъект данных дал согласие на обработку своих персональных данных для одной или нескольких конкретных целей;
(b) обработка необходима для выполнения контракта, стороной которого является субъект данных, или для совершения действий по запросу субъекта данных до заключения договора и т. п.
За несоблюдение компанией требований GDPR европейские контролирующие органы могут применить достаточно серьёзные штрафные санкции в отношении такой компании или ресурсов, которыми управляет компания, в размере до 20 млн евро или от 2 до 4% годового оборота компании. Формальные нарушения, не имеющие негативных последствий, наказываются мягче.
Следовательно, с целью урегулирования различий между процедурой обработки персональных данных в Украине и нормами GDPR, принятыми в ЕС, и во избежание штрафных санкций, необходимо осуществить соответствие требованиям GDPR (compliance).
Подписывайтесь на наш Тelegram-канал t.me/sudua и на Google Новости SUD.UA, а также на наш VIBER, страницу в Facebook и в Instagram, чтобы быть в курсе самых важных событий.
