Разведите категории субъектов и правовые режимы
Единый «кадровый пакет согласий» не отражает реальную обработку. До подготовки документов работодатель разделяет категории лиц, цели и применимые нормы.
Кандидат ещё не состоит с компанией в трудовых отношениях. Для резюме, результатов собеседования, рекомендаций и проверки сведений определяется самостоятельная цель подбора, источник данных, срок хранения и основание обработки. Если кандидат не принят, бессрочное сохранение его анкеты «на будущее» требует отдельного обоснования и информирования.
После заключения трудового договора работодатель обрабатывает сведения для исполнения договора и обязанностей, установленных трудовым, налоговым, пенсионным, страховым и иным законодательством. Однако наличие трудовых отношений не разрешает собирать любые сведения. Статья 86 Трудового кодекса связывает обработку с соблюдением закона, содействием в трудоустройстве, обучении и продвижении, обеспечением безопасности, контролем количества и качества работы и сохранностью имущества.
Сведения о супруге, ребёнке, родственнике или контактном лице относятся к персональным данным другого субъекта. Работник не всегда вправе предоставить их компании по своему усмотрению. Работодатель устанавливает конкретное основание: оформление установленной законом гарантии, налогового вычета, страховой программы, пропуска либо действие в чрезвычайной ситуации.
Составьте матрицу кадровых процессов
Проверяется не абстрактный перечень документов, а каждый фактический процесс. Для него фиксируют цель, данные, субъектов, основание, систему, получателей, доступ, срок и действие после прекращения цели.
| Кадровый процесс | Что установить | Типичная ошибка |
|---|---|---|
| Подбор кандидатов | Источник резюме, проверяемые сведения, участники отбора, срок хранения и возможность включения в кадровый резерв. | Хранить все отклики бессрочно и использовать для новых целей без отдельной проверки. |
| Оформление и исполнение трудового договора | Какие реквизиты нужны по закону и договору, кто вносит их в кадровую систему и кто видит личное дело. | Копировать документы целиком, когда для цели достаточно отдельных реквизитов. |
| Зарплата и обязательная отчётность | Состав сведений, получатели, системы расчёта и нормативные сроки хранения. | Объяснять всю обработку одним общим согласием работника. |
| Охрана труда и медицинские сведения | Какая специальная норма требует сведения, кому доступен результат и что не должно попадать руководителю. | Передавать диагнозы и медицинские документы шире необходимого. |
| Обучение и оценка | Цель оценки, критерии, источники, получатели результата и последствия автоматизированных решений. | Использовать данные наблюдения для скрытых целей, не указанных работнику. |
| Удалённая работа и корпоративные системы | Устройства, журналы, геолокация, контроль активности, доступ поддержки и срок хранения логов. | Собирать постоянную телеметрию только потому, что это позволяет программа. |
| Пропускной режим и безопасность | Идентификатор, события входа, зоны, получатели, связь с охраной и срок хранения. | Приравнивать любой пропуск к биометрии либо, наоборот, не замечать распознавание лица. |
| Увольнение и архив | Какие сведения остаются по закону, какие доступы закрываются и какие рабочие копии уничтожаются. | Оставлять бывшего работника в облачных сервисах, рассылках и общих каталогах. |
Матрица — практический инструмент, а не установленная законом обязательная форма. Расхождения между HR, бухгалтерией, ИТ и службой безопасности нужно устранить до подготовки документов.
Определите основания и границы согласия
Согласие работника — одно из возможных оснований обработки, а не разрешение работодателю действовать без цели и ограничений. Сначала определяется обязанность или законный кадровый процесс, затем проверяется, требуется ли согласие именно для конкретного действия.
Обработка, необходимая для исполнения трудового договора и обязанностей работодателя, может иметь иное предусмотренное законом основание. Например, расчёт заработной платы, ведение кадровых документов и обязательная отчётность не становятся законными только после подписания универсального согласия.
Письменное согласие может требоваться при получении сведений у третьей стороны, отдельных передачах, дополнительных программах или обработке биометрических персональных данных. Но форма согласия не исправляет избыточность. Если цель можно достичь без копии паспорта, постоянной геолокации или записи разговоров, согласие не снимает вопрос о необходимости и соразмерности.
При фактической невозможности отказа формальное слово «добровольно» не доказывает свободу решения. Проверяются реальная альтернатива и последствия отказа.
Согласие должно соответствовать конкретной цели, составу данных, действиям, получателям и сроку. Нельзя одним текстом без разграничения охватить кадровый учёт, публикацию фотографии, передачу страховщику, маркетинговую съёмку, геолокацию и распознавание лица.
Отзыв согласия также не всегда означает немедленное уничтожение всех сведений: обработка может продолжаться при наличии другого законного основания. Работодатель обязан определить, какие данные сохраняются по закону, а какие действия после отзыва прекращаются.
Разберите HR-системы и права доступа
Кадровая система — не просто место хранения документов. Она определяет, кто получает сведения, какие копии создаются, куда передаются данные и какие действия остаются в журналах.
Для каждой системы назначают ответственное лицо за соответствующий кадровый процесс и отдельно фиксируют администратора, поставщика, место размещения баз, интеграции, резервные копии и удалённую поддержку. Если поставщик обрабатывает данные по поручению работодателя, договор должен содержать требования части 3 статьи 6 Федерального закона № 152-ФЗ. Если поставщик самостоятельно определяет цели, его нельзя автоматически называть только техническим исполнителем.
Доступ предоставляется конкретным работникам в объёме их функций, а не подразделению без ограничений.
Проверяются:
| Зона | Контрольный вопрос |
|---|---|
| Роли доступа | Какие поля доступны каждой роли и кто утверждает выдачу прав. |
| Администрирование | Может ли поставщик или привлечённый им специалист по ИТ-поддержке видеть данные при обслуживании системы. |
| Выгрузки | Кто формирует Excel-файлы, куда они сохраняются и когда удаляются. |
| Журналы | Какие действия записываются, кто анализирует журналы и каков срок хранения. |
| Интеграции | Какие данные передаются в бухгалтерию, обучение, пропуска, страхование и аналитику. |
| Удалённая работа | На каких устройствах доступны данные и разрешено ли локальное копирование. |
| Изменение роли | Закрывается ли доступ при переводе, отпуске, увольнении или смене поставщика либо лица, осуществляющего поддержку. |
Российское размещение кадровой системы не отвечает автоматически на вопросы локализации всего процесса и трансграничной передачи. Отдельно проверяются иностранные получатели, поддержка из другой страны и синхронизация с глобальными сервисами.
Оформите видеонаблюдение
Трудовой кодекс не устанавливает единой специальной процедуры видеонаблюдения. Поэтому законность оценивается по цели, необходимости, открытости, зонам съёмки, составу записи, локальным документам, информированию, доступу и сроку хранения.
Сначала работодатель формулирует конкретную задачу: безопасность людей, сохранность имущества, пропускной режим, расследование происшествий или контроль количества и качества работы. Формула «для общего контроля» слишком неопределённа. Камера должна быть связана с заявленной целью, а зона обзора — ограничена тем, что действительно требуется.
Наблюдение закрепляют локальным нормативным актом или согласованным комплектом локальных документов. В них указывают места и время съёмки, цели, наличие записи звука, лиц с доступом, основания просмотра, срок хранения, порядок выгрузки, передачи и уничтожения. Работников знакомят с документами в предусмотренном порядке. Для посетителей обеспечивают заметное информирование о наблюдении с учётом помещения и фактического процесса.
Письменное согласие оценивается отдельно. Официальные ответы Роструда содержат разные позиции: в одних требуется письменное согласие, в других при открытом наблюдении и надлежащем оформлении оно не признаётся обязательным. Эти ответы не являются нормативными актами. Поэтому работодатель должен определить и документировать основание обработки по Федеральному закону № 152-ФЗ и Трудовому кодексу, а при отсутствии достаточного иного основания — получить письменное согласие на обработку персональных данных. Такое согласие в любом случае не оправдывает скрытую или избыточную съёмку.
Высокий риск создают камеры в зонах повышенной приватности, постоянная съёмка без связи с трудовой задачей и запись звука без отдельного обоснования. Аудиозапись требует самостоятельной оценки.
Видеозапись не всегда является биометрическими персональными данными. Биометрический режим возникает, когда оператор использует физиологические или биологические характеристики для установления личности. Обычное наблюдение и алгоритмическое распознавание лица — разные процессы.
Отдельно проверьте СКУД и пропускной режим
Система контроля и управления доступом может использовать карточку, номер пропуска, мобильный идентификатор, фотографию, отпечаток или распознавание лица. Название системы не определяет правовой режим: важны данные и способ установления личности.
Для обычного пропуска проверяют цель, реквизиты, журнал событий, зоны, доступ и срок хранения. Логи входа нельзя без отдельного основания превращать в систему оценки производительности.
Если система сравнивает лицо, голос, отпечаток или иной физиологический признак для установления личности, проводится отдельная квалификация по статье 11 Федерального закона № 152-ФЗ и Федеральному закону № 572-ФЗ. Хранение фотографии на карточке и автоматическое создание биометрического шаблона не следует описывать как одно и то же действие.
До запуска устанавливают:
| Вопрос | Что проверить |
|---|---|
| Идентификатор | Карта, код, мобильное устройство, изображение или биометрический шаблон. |
| Цель | Доступ в здание, отдельную зону, учёт рабочего времени или расследование события. |
| Получатель | Работодатель, арендодатель, охранная организация, поставщик системы или компания группы. |
| Журнал | Какие события сохраняются и кто может строить отчёты. |
| Альтернатива | Может ли работник получить доступ без биометрического способа, когда это требуется законом или условиями добровольности. |
| Отказ и ошибка | Что происходит при несогласии, техническом сбое или ложном несовпадении. |
| Прекращение | Как закрывается доступ и уничтожаются идентификаторы после увольнения. |
Пропускной режим в бизнес-центре часто означает участие нескольких операторов. Договор аренды или охраны не решает автоматически, кто определяет цели и кто отвечает на запросы работников. Роли устанавливаются по фактическим решениям и доступу к данным.
Оформите передачи третьим лицам и группе
Передача данных работника банку, страховщику, учебной платформе, компании группы или облачному поставщику требует конкретной цели, основания и правильной квалификации получателя. Внутри группы компаний данные не становятся «внутренними» автоматически.
Статья 88 Трудового кодекса устанавливает специальные требования к передаче данных работника. Работодатель ограничивает объём необходимыми сведениями, предупреждает получателей о допустимых целях и обеспечивает конфиденциальность. Письменное согласие требуется в предусмотренных законом случаях, но исключения также должны опираться на конкретную норму, а не на удобство процесса.
При поручении обработки договор закрепляет данные, операции, цели, конфиденциальность и меры защиты. Собственные цели получателя выходят за пределы поручения и оцениваются отдельно.
Для облачного HR-сервиса проверяют местонахождение баз, удалённый доступ и привлечённых поставщиком лиц. Иностранный бренд сам по себе не доказывает трансграничную передачу, а российское договорное лицо не исключает её. Нужна фактическая карта инфраструктуры и получателей.
Перед публикацией сведений о работнике на сайте, в социальных сетях или корпоративном каталоге отдельно определяют, является ли это распространением персональных данных и требуется ли согласие по статье 10.1 Федерального закона № 152-ФЗ. Разрешение использовать фотографию в пропуске не означает согласия на рекламную публикацию.
Установите хранение, прекращение и контроль изменений
Для кадровых данных не существует одного срока «хранить пять лет» или «до отзыва согласия». Срок определяется целью, специальной нормой, архивными обязанностями, договором и необходимостью защиты прав.
Сроки устанавливаются отдельно для документов, кадровой системы, видеозаписей, журналов, резервных копий и выгрузок.
После увольнения закрывают учётные записи, удалённый доступ, пропуска, рассылки и права в общих папках. Действующие доверенности проверяют отдельно и при необходимости оформляют их отмену и уведомление заинтересованных лиц. Данные, которые должны сохраняться по закону, отделяют от оперативных копий. Нельзя оставлять полный профиль бывшего работника доступным всем прежним руководителям только потому, что архивные документы ещё хранятся.
При достижении цели или возникновении иного основания для прекращения оператор выполняет действия по статье 21 Федерального закона № 152-ФЗ. Уничтожение подтверждается с учётом требований приказа Роскомнадзора № 179; удаление одной записи из интерфейса не всегда означает уничтожение копий и резервов.
Повторная проверка проводится при подключении новой HR-системы, изменении камер, введении аудиозаписи, распознавания лица или геолокации, передаче функции внешнему поставщику, изменении страны поддержки, объединении компаний и изменении кадрового процесса. Универсальной периодичности закона нет, но контроль не должен зависеть только от жалобы или проверки.
Нужна помощь по теме «Персональные данные»?
Связанная услуга: Правовой аудит обработки персональных данных и сопровождение оператора
