Працівник не дає згоди на обробку персональних даних: що робити?

Як повинні чинити адміністрація і кадрова служба підприємства при відмові працівника надати згоду на збір і обробку персональних даних:
1.Якщо працівник прийнятий на роботу в 2011 році?
2.Якщо працівник прийнятий на роботу в період до 1 січня 2011 року?
3.Якщо працівник, що працює на підприємстві станом на 1 січня 2011 року, висуває вимогу знищити свої персональні дані і заперечує проти їх обробки?
1. Згідно зі статтею 2 Закону України «Про захист персональних даних» від 1 червня 2010 року №2297-VI (далі – Закон №2297) згодою суб'єкта персональних даних є будь-яке документоване, зокрема письмове, добровільне волевиявлення фізичної особи про надання дозволу на обробку його персональних даних відповідно до сформульованої мети їх обробки. Отже, згода на обробку персональних даних повинна даватися відповідно до сформульованої мети їх обробки.
Звертаємо увагу, що відповідно до частини 1 статті 6 Закону №2297 мета обробки персональних даних має бути сформульована в законах, інших нормативно-правових актах, положеннях, засновницьких або інших документах, що регулюють діяльність власника бази персональних даних, і відповідати законодавству про захист персональних даних.
Так, Кодекс законів про працю України визначає правові принципи і гарантії здійснення громадянами України права розпоряджатися своїми здібностями до продуктивної і творчої праці і регулює трудові стосунки усіх працівників. Окрім цього, Кодексом встановлений обов'язок працедавця отримати від працівника певні документи: «При укладенні трудового договору громадянин зобов'язаний надати паспорт або інший документ, що засвідчує особу, трудову книжку, а у випадках, передбачених законодавством, – також документ про освіту (спеціальності, кваліфікації), про стан здоров'я та інші документи» (ст. 24 КЗпП).
Варто підкреслити, що обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб'єкта персональних даних, або у випадках, передбачених законами України, в порядку, встановленому законодавством (ч. 5 ст. 6 Закону №2297). Проте, якщо процедури обробки персональних даних працівника виходять за межі дозволу, наданого власникові відповідно до трудового законодавства тільки для здійснення його повноважень, необхідно отримати згоду від працівника. Наприклад, якщо до працедавця звертається страхова компанія з проханням надати відомості про працівників підприємства з метою запропонувати їм послуги зі страхування здоров'я і життя тощо.
У вищезгаданих випадках Державна служба України з питань захисту персональних даних рекомендує при зборі персональних даних осіб шляхом заповнення паперового документу (трудового договору, заяви) передбачити в ньому відповідний пункт (графу) про надання суб'єктом згоди на обробку його персональних даних.
Окрім того, рекомендуємо кадровим службам пояснювати працівникові, що його дані оброблятимуться лише в межах трудового законодавства з дотриманням вимог Закону №2297, адже обробка даних про фізичну особу без її згоди не допускається, окрім випадків, визначених законом, і тільки в інтересах національної безпеки, економічного благополуччя і прав людини (ч. 6 ст. 6 Закону №2297).
2. Згода суб'єкта персональних даних на обробку цих даних не надається, якщо власник продовжує обробляти персональні дані суб'єкта відповідно до правовідносин на основі вільного волевиявлення фізичної особи, що склалися до набуття чинності Законом №2297.
Якщо працівник відмовляється надавати згоду на обробку персональних даних, Державна служба України з питань захисту персональних даних рекомендує обробляти його дані в межах, визначених трудовим законодавством. Якщо дії власника з обробки персональних даних працівника виходять за межі трудового законодавства, має бути отримана згода від працівника, тобто будь-яке документоване, зокрема письмове, добровільне волевиявлення працівника про надання дозволу на обробку його персональних даних відповідно до сформульованої мети їх обробки.
3. У базах персональних даних знищенню підлягають персональні дані у випадках, визначених статтею 15 Закону №2297 (зокрема, закінчення терміну зберігання даних, визначеного згодою суб'єкта персональних даних на обробку цих даних або законом; припинення правовідносин між суб'єктом персональних даних і власником або розпорядником бази, якщо інше не передбачене законом; набирання законної сили рішення суду про вилучення даних про фізичну особу з бази персональних даних та ін.), і в порядку, встановленому відповідно до вимог закону.
Слід пам'ятати, що склад і зміст персональних даних працівника мають бути не більшими щодо певної мети їх обробки і не повинні зберігатися довше, ніж це необхідно відповідно до їх законного призначення.
У той же час відповідно до Переліку типових документів, які утворюються в діяльності органів державної влади і місцевого самоврядування, інших підприємств, установ і організацій, з вказівкою термінів зберігання документів, затвердженого наказом Головного архівного управління при Кабінеті Міністрів України від 20 липня 1998 року №41, особові справи працівників, а також справи, що містять особові картки працівників підприємства, і деякі інші кадрові документи, зберігаються 75 років – «В».
Кадровим службам варто було б пояснити працівникові, що вимагає знищити його персональні дані, що зберігання персональних даних необхідне для того, щоб при потребі працівник міг отримати архівні довідки, копії документів, що містять відомості про нього, які можуть бути використані при оформленні пенсії, для підтвердження трудового стажу тощо.
Окрім того, суб'єкт персональних даних згідно зі статтею 8 Закону №2297 має право пред'являти мотивовану вимогу щодо зміни або знищення своїх персональних даних будь-яким власником і розпорядником цієї бази, якщо ці дані обробляються незаконно або є недостовірними.
www.hrliga.com
Підготував Анатоль БАС