Работа с персональными данными в организации

В общем случае, работодатель должен получить согласие работника на обработку его персональных данных, если такая обработка осуществляется. Однако, в некоторых случаях согласие может и не требоваться. Ниже приведены ситуации, когда требуется или не требуется согласие работника на обработку его персональных данных.

1. Если работодатель планирует обрабатывать персональные данные работника на основе его согласия, то согласие должно быть получено. Это может включать ситуации, когда работник соглашается на использование своих данных для целей рекрутинга, оформления трудового договора, обучения или маркетинга.

1. Если обработка персональных данных работника необходима для исполнения Трудового договора или предварительных мер перед его заключением, согласие не требуется.
Например, работодатель может обрабатывать персональные данные работника в целях выплаты заработной платы или предоставления социальных льгот.

2. Если работодатель планирует обрабатывать чувствительные персональные данные работника, такие как медицинская информация или информация о расовой принадлежности - требуется явное и письменное согласие работника на такую обработку.

2. Если обработка персональных данных работника необходима для выполнения законных обязательств работодателя, согласие может не требоваться.
Например, работодатель может обрабатывать персональные данные работника в целях налогообложения или соблюдения трудового законодательства.

За нарушения закона о персональных данных работодатель может быть привлечен к ответственности по двум статьям КоАП РФ. Одна из них общая - за непредоставление информации; вторая - специальная, именно за невыполнение требований к защите личной информации граждан.

Законодательство может предусматривать административную ответственность для работодателей, которые нарушают требования по обработке персональных данных. Нарушения могут повлечь штрафные санкции до 150 тыс. рублей компании, до 40 тыс. рублей руководителю по ч. 2 ст. 13.11 КоАП РФ или административные наказания, согласно гл. 14 Трудового кодекса.
В некоторых случаях, серьезные нарушения в обработке персональных данных могут быть квалифицированы как преступление.
Например, незаконный доступ к персональным данным, их незаконное использование или раскрытие могут повлечь уголовную ответственность.

Регулирующие органы по защите персональных данных могут налагать административные штрафы на работодателей, нарушающих требования по обработке персональных данных. Также судебные органы могут применять штрафы, основанные на решениях по искам от пострадавших субъектов данных - до 100 тыс. рублей компании, до 20 тыс. рублей руководителю по ч. 1 ст. 13.11 КоАП РФ.

При самостоятельной работе с персональными данными в организации можно столкнуться с трудностями, поскольку законодательство о защите персональных данных сложно и изменчиво. Это требует от организаций постоянного обновления своей политики и процедур, регулярного обновления системы и программного обеспечения, на что требуются значительные ресурсы.

При передаче работы с ПДн на аутсорс, многие проблемы отпадут.
Аутсорсинг позволяет воспользоваться опытом и экспертизой провайдера, который специализируется в обработке персональных данных. При этом сокращается нагрузка на внутренние ресурсы организации (время, деньги и технические ресурсы). Это может быть особенно полезным для небольших организаций, которые могут не иметь достаточных ресурсов для самостоятельной работы с ПДн.

При передаче ведения персональных данных провайдеру аутсорсинга составляется Контракт, который определяет условия сотрудничества, включая цели, обязанности, сроки, распределение ответственности, уровень безопасности и согласованные меры защиты персональных данных. Подготавливается и передается необходимая информация, в том числе о внутренних процессах и политике в отношении безопасности персональных данных.