HR запросил данные сотрудника у вуза или клиники: когда это может нарушить 152-ФЗ

Кадровику нужно подтвердить диплом работника, уточнить сведения о стаже, семейном положении или медицинском заключении. Самый короткий путь кажется очевидным: обратиться напрямую в университет, государственный орган или медицинскую организацию.

Но персональные данные работника по общему правилу должны поступать от него самого. Если компания хочет получить сведения у третьей стороны, сначала нужно определить правовое основание такого запроса.

Поэтому путь от запроса HR до записи в кадровой системе лучше выстроить заранее. До получения информации нужно понять, зачем она требуется, можно ли получить ее у самого работника, нужно ли письменное согласие, есть ли специальное основание в законе, вправе ли источник раскрыть сведения и кто внутри компании согласует такой запрос.

Пункт 3 ст. 86 ТК РФ устанавливает базовое правило: персональные данные работника нужно получать у него самого.

На практике о нем легко забыть, когда HR требуется быстро подтвердить информацию. Сведения об образовании находятся у учебного заведения, об актах гражданского состояния у органов ЗАГС, отдельные данные о стаже и страховании в государственных системах, а медицинская организация может располагать сведениями, связанными с профпригодностью.

Сам факт того, что организация располагает нужной информацией, не дает работодателю права запросить ее напрямую.

До обращения к третьей стороне нужно определить, почему сведения не получают непосредственно у работника и какое основание применяется в конкретной ситуации.

Если персональные данные можно получить только у третьей стороны, п. 3 ст. 86 ТК РФ требует заранее уведомить об этом работника и получить его письменное согласие, если к ситуации не применяется специальное законодательное регулирование.

Работнику сообщают цели получения сведений, предполагаемые источники и способы их получения, характер запрашиваемых данных и последствия отказа дать согласие.

В согласии фиксируют цель и источник получения данных, перечень сведений и действий с ними, обязательные сведения о субъекте и операторе, срок действия согласия, способ его отзыва и подпись. Нужно учитывать и остальные требования ч. 4 ст. 9 152-ФЗ, в том числе сведения о лице, которому поручается обработка, если такое поручение предусмотрено.

В отдельных ситуациях порядок получения информации прямо регулируется законом. Тогда согласие не подменяет применимое правовое основание.

Например, для некоторых видов работы законодательство устанавливает ограничения, связанные с судимостью, и обязанность представить соответствующую справку. Но это не дает работодателю универсального доступа к сведениям о судимости в государственных системах. Нужно соблюдать установленный законом способ получения информации.

Это отдельный этап проверки, который легко пропустить.

Даже правильно оформленное согласие работника само по себе не обязывает университет, медицинскую организацию или государственный орган раскрыть информацию работодателю. Передающая сторона должна иметь собственное законное основание для предоставления сведений.

Особенно чувствительны медицинские данные. Статья 13 Федерального закона № 323-ФЗ охраняет врачебную тайну, а ст. 10 152-ФЗ устанавливает специальные условия обработки сведений о здоровье.

Дополнительно работодателю необходимо учитывать ст. 88 ТК РФ. Она запрещает запрашивать сведения о состоянии здоровья работника, не относящиеся к возможности выполнения им трудовой функции. Поэтому даже письменное согласие работника не дает работодателю неограниченного права получать медицинскую информацию. Для кадровой задачи может быть достаточно предусмотренного законодательством медицинского заключения без раскрытия диагноза и истории лечения. 

В предусмотренных законом случаях медицинские сведения могут передаваться без согласия пациента. В остальных нужно учитывать требования к письменному согласию на их разглашение.

Поэтому перед отправкой запроса проверяют обе стороны процесса: вправе ли работодатель получить информацию и вправе ли конкретный источник ее предоставить.

Первый этап начинается внутри HR. Кадровик определяет, какие сведения нужны для конкретной задачи и почему без них ее нельзя решить. Одновременно проверяется, можно ли получить информацию непосредственно у работника.

Это помогает соблюдать принцип минимизации. Если для кадровой задачи достаточно подтвердить квалификацию, нет причины автоматически запрашивать весь массив сведений об обучении.

После этого юрист или ответственный за ПДн проверяет правовую модель. Нужно установить, применяются ли условия п. 3 ст. 86 ТК РФ, требуется ли письменное согласие, есть ли специальная норма закона и вправе ли выбранный источник раскрывать информацию.

Проверять это после получения ответа поздно: обработка к этому моменту уже началась.

Если требуется согласие, его оформляют до запроса. Работник должен понимать, откуда поступят сведения, какой их состав нужен работодателю, для какой цели и как долго продолжится обработка.

Следующий этап — сам запрос. В нем указывают конкретную цель и объем требуемой информации. Если компания опирается на норму закона, учитывается установленный ею порядок. Если данные получают с согласия работника, запрос не должен выходить за разрешенные им цель и состав сведений.

После ответа информация становится частью кадрового процесса. Нужно определить, кто получит к ней доступ, где она будет храниться, попадет ли в кадровую систему и сколько продлится обработка.

Получение данных у внешнего источника не заканчивается в момент получения письма или справки. С этого момента начинается дальнейшая обработка внутри компании.

Если персональные данные получены не от самого работника, необходимо также проверить требования ч. 3 ст. 18 152-ФЗ. При отсутствии предусмотренных законом исключений оператор обязан до начала обработки предоставить субъекту информацию об операторе, цели и правовом основании обработки, перечне данных, предполагаемых пользователях, правах субъекта и источнике получения сведений. Если работник уже надлежащим образом проинформирован, повторное уведомление может не потребоваться. 

Такая таблица не заменяет анализ конкретной ситуации. Она нужна, чтобы запрос не ушел во внешнюю организацию раньше, чем определено основание с обеих сторон.

Даже при наличии законного основания работодатель не получает право собирать весь доступный массив.

Если кадровой задаче достаточно подтверждения квалификации, полная академическая история может оказаться избыточной. Тот же принцип работает с другими источниками.

Перед отправкой запроса полезно сократить его до тех сведений, без которых кадровую задачу действительно нельзя решить.

Одна из типичных проблем возникает, когда компания пытается опереться на универсальное согласие на обработку ПДн, подписанное в первый рабочий день.

Для получения сведений у внешнего источника работник должен понимать конкретную механику: откуда поступит информация, какой состав данных запросит компания, для чего и что произойдет с ними после получения.

Если документ этого не описывает, он не отражает конкретный процесс.

Когда в компании действует несколько кадровых согласий, их можно сверить в рамках разработки и актуализации документов по 152-ФЗ.

Правильно оформленный запрос решает только первую часть задачи.

Полученная информация становится частью обработки ПДн работника. Поэтому компании нужно определить место хранения и круг сотрудников с доступом. На практике полезно сохранять сведения о том, откуда поступили данные и кто с ними работал.

Путь можно представить последовательно: внешний запрос, получение ответа, кадровая система, доступ сотрудников, дальнейшее хранение.

Если первые этапы оформлены корректно, но документ затем оказывается в общей папке без ограничений, риск никуда не исчезает.

Один шаблон согласия не показывает, как работает процесс целиком. Нужно понимать, зачем запрашиваются сведения, откуда они поступают, на каком основании, кто направляет запрос и что происходит с информацией после получения.

Проверьте кадровые запросы к третьим лицам

Опишите, какие сведения HR получает из внешних источников. Специалист Б-152 поможет определить, какие согласия, основания, документы и процессы стоит включить в проверку.

Оставить заявку

Ошибки при получении данных у третьих лиц могут квалифицироваться по ст. 13.11 КоАП РФ.

Если законодательство требует письменного согласия, а компания обрабатывает ПДн без него либо нарушает требования к содержанию такого согласия, может применяться ч. 2 ст. 13.11 КоАП РФ. Для юридических лиц предусмотрен штраф от 300 000 до 700 000 рублей. За повторное нарушение по ч. 2.1 — от 1 000 000 до 1 500 000 рублей.

Если письменное согласие получено, но компания совершает действия за его пределами либо продолжает обработку без законного основания, могут применяться другие составы. По ч. 1 штраф для юридических лиц составляет от 150 000 до 300 000 рублей, по ч. 1.1 за повторное нарушение — от 300 000 до 500 000 рублей.

Конкретная квалификация зависит от обстоятельств нарушения.

Финансовый риск при этом не единственный. Работник может оспаривать действия работодателя, если компания не способна подтвердить основание получения и последующего использования информации.

Поэтому качество процесса определяется не количеством подписанных согласий, а тем, может ли компания документально восстановить всю цепочку обработки.

Иногда HR обращается во внешнюю организацию, чтобы быстрее подтвердить диплом или стаж, хотя письменное согласие еще не оформлено.

В другом случае согласие есть, но составлено слишком широко: в нем нет конкретного источника, цели и объема получаемых сведений.

Бывает и обратная ситуация. Сам запрос оформлен правильно, но после получения ответа документ сохраняется в общей папке или остается доступен сотрудникам, которым он больше не нужен.

Отдельно нужно контролировать сведения о родственниках работников. В кадровых анкетах могут появляться данные о супруге или детях. Если конкретный процесс не предусмотрен законом, основания обработки ПДн самих родственников оцениваются отдельно.

Кадровику не нужно самостоятельно разбирать все правовые нюансы каждого внешнего источника.

Практически процесс можно разделить между несколькими ролями. HR формулирует кадровую задачу и минимальный состав сведений. Юрист или ответственный за ПДн проверяет основание, необходимость письменного согласия и возможность получения информации у выбранного источника.

После согласования HR оформляет необходимые документы и направляет запрос. Владелец кадровой системы отвечает за корректный доступ и дальнейшее хранение полученных данных.

Компания может заранее определить типовые сценарии, по которым HR действует по утвержденной процедуре, и ситуации, где запрос обязательно проходит отдельное согласование.

Это внутреннее организационное решение, а не самостоятельное требование закона.

Если сведения пришли не от самого работника, через несколько месяцев должно быть возможно восстановить их источник.

Особенно это важно, когда значение из справки или письма вручную переносится в HR-систему. В самой системе со временем может остаться только результат, а происхождение информации потеряется.

Практически полезно связать работника с видом полученных сведений, источником, целью, основанием, датой запроса и получения ответа и местом дальнейшего хранения.

Перед обращением к третьей стороне:

1. Определите конкретную кадровую задачу и минимальный состав данных.

2. Проверьте условия получения сведений у третьей стороны, включая требования п. 3 ст. 86 ТК РФ.

3. Определите правовое основание и право источника раскрыть информацию.

4. Если требуется письменное согласие, заранее уведомите работника и получите его до запроса.

5. Укажите в запросе конкретную цель и объем сведений.

6. После получения информации зафиксируйте источник и ограничьте доступ.

7. Не применяйте сведения для целей, которых не охватывал исходный процесс.

8. При изменении цели или состава данных заново проверьте основание обработки.

Если по нескольким пунктам нет однозначного ответа, полезно проверить весь кадровый процесс через аудит соответствия требованиям 152-ФЗ, а не ограничиваться текстом одного согласия.

Да, но сначала нужно определить основание. По п. 3 ст. 86 ТК РФ данные должны поступать от самого работника. Если их можно получить только у третьей стороны, действуют требования о предварительном уведомлении и письменном согласии. Для отдельных случаев законодательство устанавливает специальные правила.

Нет. В предусмотренных законом случаях обработка может строиться на другом основании. При этом законная цель работодателя сама по себе не дает ему права получать любые сведения из внешних источников. Нужно учитывать порядок доступа и специальные ограничения.

Если документ не описывает конкретную цель, источник и получаемые сведения, он не отражает конкретный процесс получения ПДн у третьего лица.

Нужно определить цель запроса, источник, перечень сведений, действия с ПДн и включить обязательные реквизиты ч. 4 ст. 9 152-ФЗ. Работника также заранее информируют о способах получения данных и последствиях отказа по п. 3 ст. 86 ТК РФ.

Состав запроса должен соответствовать кадровой цели. Если для нее достаточно подтверждения квалификации, собирать дополнительные сведения об обучении не нужно.

Определить порядок хранения и доступа и связать сведения с конкретной кадровой целью. Получение информации не отменяет дальнейших обязанностей работодателя как оператора ПДн.

Если новая цель или состав выходят за пределы действующего согласия, до начала соответствующей обработки нужно определить новое правовое основание и при необходимости оформить новое согласие.

Реклама: ООО «Б152», ИНН 5050091524, erid: 2W5zFGrchVc