Мифы о перс.данных.

30 мая все ближе, а потому ажиотаж в теме перс.данных только усиливается. Вопросы множатся, стоимость услуг специалистов ожидаемо возрастает. Но чем чаще звучат призывы к действию в соцсетях и каналах, тем больше мифов о работе с перс. данными вскрывается.
Разберем некоторые из них.
Миф 1. Всегда брать согласия работников на обработку перс.данных.
Не требуем подписать согласия, если сбор и обработка перс.данных связаны с заключением трудового договора и во исполнение требований закона (об этом прямо - п. 2, п. 6 ч. 1 ст. 6 Федерального закона № 152-ФЗ и ст. 65 ТК РФ).
То есть если для заключения трудового договора и выполнения предусмотренной в нем трудовой функции, для подачи "кадровой" отчетности 6-НДФЛ, ЕФС-1, РСВ запрашиваются документы - согласия брать с сотрудника не нужно.
Если же запрашиваем документы, например, оформить ДМС, абонемент в фитнес-зал или приобретение путевок в оздоровительные лагеря детям - для мотивации и поддержания корпоративной культуры - то есть документы, напрямую с выполнением трудового договора не связанные, то здесь согласие обязательно запрашиваем.
Ранжируем ситуации, в общем!
Миф 2. При увольнении сотрудника обработка всех его перс.данных прекращается незамедлительно.
Было бы здорово, на самом деле. Но реальность такова, что даже после увольнения компания или ИП продолжает обрабатывать некоторые перс.данные бывшего работника. Во исполнение обязанностей по закону:
🔹 сдавать отчетность (напомню, она подается нарастающим итогом. И даже если работник уволен в 1 квартале, он все равно попадет в отчетность полугодия, за 9 мес. и в годовую) и
🔹 обеспечивать архивное хранение документов (Приказом Росархива № 236 от 20.12.2019 г. для каждого типа документов, в которых содержатся сведения о работниках, установлены свои сроки хранения - от 1 года до 75 лет).
А вот иные перс.данные, не связанные с выполнением этих обязанностей, работодатель прекращает обрабатывать и уничтожает/удаляет по акту.
Миф 3. Соискатель на должность всегда подписывает согласие на обработку своих данных.
Соискатель, заполняя профиль на сайтах поиска работы, а также анкеты, когда его приглашают на собеседование, сам и по своей инициативе дает перс. данные. Он согласен пройти "отборочные" процедуры, о чем заявляет потенциально неограниченному кругу лиц. В этом случае подписывать согласие на обработку данных не нужно. Даже когда заключения трудового договора не состоялось. Перс. данные просто уничтожаются/удаляются по регламенту.
Согласие на обработку данных подписывается соискателем только в случае включения его в кадровый резерв.

Миф 4. В личном деле нужно хранить бумажные копии документов сотрудника (паспорт, СНИЛС, свидетельства, документы об образовании и пр.).
Закон прямо не указывает, какие документы можно хранить в личном деле. Все отдано на откуп работодателю и его фантазиям, воплощенным в локальных актах (об этом прямо заявляет Росархив в п. 445 Перечня, утв. Приказом от 20.12.2019 г. № 236).
Однозначно, если берем копии - значит есть четкая законная цель.
И потому важно понимать:
Хранение копий личных документов = риск нарваться на штрафы, если цель обработки не ясна, исчерпала себя или данные избыточны (ч.2, ч. 5 ст. 5 Федерального закона № 152-ФЗ).
Что делать с копиями?
🔹 Если цель достигнута, для которой брали копии, - вернуть копии работнику.
🔹 Если работник отказывается забрать или не выходит на связь - уничтожить копии и составить акт об уничтожении.
Миф 5. Нельзя прописать все положения и нормы об обработке данных в одном локальном документе.
Однозначного ответа нет и все зависит от каждой конкретной ситуации каждого конкретного бизнеса.
Зачастую рациональнее (да и, откровенно сказать, дешевле бизнесу) разработать один локальный документ, в котором предусмотреть всё по-максимуму, в том числе шаблоны (формы) документов. Чем “размазывать” по нескольким локальным актам.
Но если речь идет не только о "внутренних" документах, но и тех, которые транслируются неопределенному кругу лиц (не из числа работников) (в частности, политика в отношении обработки перс.данных, размещаемая на сайте компании), одним документом точно отделаться невозможно.
Миф 6. Наказание ждет за всё и всегда.
За что накажут?
Только за нарушения ПРЯМО предусмотренные законом. И с 30 мая это будут 2 основные статьи:
🔹 ст. 13.11КоАП РФ - нарушения БЕЗ состава уголовного преступления, как правило совершаются по неосторожности (или проще - по незнанию)
🔹ст. 272.1 УК РФ - обработка перс.данных, умышленно полученных незаконным способом.
Когда накажут?
При наличии состава правонарушения или преступления:
то есть одновременно установлены объект, объективная сторона, субъект и субъективная сторона.
Если нет состава - нет наказания.
А судя по новой редакции ст. 13.11 КоаП некоторые составы правонарушений еще придется подаказывать, устанавливая не только фактические обстоятельства, но и причинно-следственные связи. И затык в том, что разъяснений пока нет. Да и судебная практика заставит себя ждать.