Что это такое
Определение обработки в законе намеренно широкое — под него подпадает практически любое взаимодействие с данными, включая простое хранение личного дела работника в шкафу или в файле на компьютере. Это значит, что почти вся кадровая работа технически является обработкой персональных данных и должна иметь под собой законное основание.
Ст. 6 152-ФЗ перечисляет исчерпывающий список оснований, при наличии хотя бы одного из которых обработка законна: согласие субъекта данных; обработка необходима для исполнения договора, стороной которого является субъект (для работника — трудовой договор); обработка необходима для достижения целей, предусмотренных законом (например, отчётность в налоговую, СФР); обработка осуществляется в статистических или иных исследовательских целях с обезличиванием; иные основания, прямо указанные в законе. Для трудовых отношений основным и наиболее частым основанием служит именно исполнение трудового договора и требований ТК РФ — не отдельное согласие, как ошибочно иногда полагают.
Обработка должна быть ограничена целями, для которых собирались данные, — принцип целевого использования: нельзя, собрав данные для целей начисления зарплаты, использовать их без дополнительных оснований, например, для маркетинговой рассылки или передачи третьим лицам вне связи с трудовыми отношениями.
Отдельно закон требует, чтобы объём и характер обрабатываемых данных соответствовали заявленным целям — принцип минимизации. Если для оформления пропуска достаточно ФИО и фотографии, запрашивать у работника дополнительно данные о его семейном положении или увлечениях без отдельной обоснованной цели — уже избыточная обработка, формально нарушающая закон, даже если сами данные не используются во вред работнику.
Частые вопросы
Всегда ли нужно согласие работника на обработку его персональных данных?
Нет, если есть иное законное основание — исполнение трудового договора, требование закона. Отдельное согласие требуется для случаев, выходящих за рамки этих оснований (например, размещение фото работника на сайте компании для маркетинговых целей).
Можно ли использовать данные, собранные для одной цели, в других целях без дополнительных согласований?
Нет, принцип целевого ограничения обработки прямо запрещает использование данных в целях, не совместимых с изначальной целью сбора, без нового правового основания.
Что считается «прекращением обработки»?
Удаление или уничтожение персональных данных по достижении целей обработки или истечении срока хранения, либо их обезличивание — обработка не может продолжаться бессрочно без правового основания на дальнейшее хранение (например, установленных законом сроков хранения кадровых документов).
Как BLS помогает
BLS определяет корректные правовые основания для каждого вида обработки персональных данных работников и выстраивает процессы в соответствии с принципом целевого ограничения.