Юстиция Беларуси.- 2015.-№10.-С.59-63.
ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ В
БЕЛАРУСИ И ПОЛЬШЕ
Ольга ГАВРУТИКОВА,
кандидат юридических наук, заведующий кафедрой общеправовых и гражданско-правовых дисциплин Юридического колледжа БГУ
АННОТАЦИЯ
Целью настоящего исследования является анализ правовой защиты персональных данных работников на примере Польши и Беларуси. В качестве основного был использован сравнительно-правовой метод научного познания. В результате проведенного анализа законодательства автор вносит предложения по совершенствованию правового регулирования защиты персональных данных работников в Республике Беларусь, а именно обосновывает необходимость принятия специального закона, создания специализированного государственного органа, уполномоченного осуществлять контроль и надзор за защитой персональных данных, закрепления в трудовом законодательстве ряда обязанностей нанимателя и работника, направленных на защиту персональных данных работников.
Каждый день граждане сталкиваются с необходимостью предоставить информацию о себе государственным органам, банкам, иным государственным и частным организациям, в том числе и при устройстве на работу кандидат, а в будущем работник, предоставляет определенный круг своих персональных данных нанимателю. Правовое регулирование защиты персональных данных работников направлено в первую очередь на предоставление гражданам возможности осуществления контроля над обработкой своих персональных данных и установление правил сбора, хранения, предоставления, изменения, уничтожения персональных данных нанимателями, их уполномоченными лицами, а также ответственности за их нарушение. Цель статьи - сравнительно-правовой анализ защиты персональных данных работников на примере Польши и Беларуси.
Правовое регулирование защиты
персональных данных работников в Польше
В основу польского законодательства о защите персональных данных легли положения Конвенции о защите физических лиц в отношении автоматизированной обработки данных личного характера от 28 января 1981 года №108, Директивы 95/46/ЕС Европейского парламента и Совета Европейского Союза от 24 октября 1995 года о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных, Директивы 2002/58/ЕС Европейского Парламента и Совета Европейского Союза от 12 июля 2002 года в отношении обработки персональных данных и защиты конфиденциальности в секторе электронных средств связи, ст. 8 Хартии Европейского союза об основных правах и ст. 16 Договора о функционировании Европейского союза.
Конституция Республики Польша в ст. 47 закрепляет право каждого на правовую охрану частной, семейной жизни, чести и достоинства, а также на принятие решений о своей личной жизни. Статья 51 Конституции устанавливает, что никто не может быть обязан иначе, как на основании закона, раскрывать информацию, касающуюся его личности. Государственная власть не может получать, собирать и предоставлять иную информацию о гражданах, нежели ту, которая необходима в демократическом правовом государстве. Каждый имеет право на доступ к касающимся его официальным документам и базам данных. Каждый имеет право требовать опровержения, а также удаления ложных, неполных или собранных противоречащим закону способом сведений. Принципы и порядок сбора и предоставления информации устанавливаются законом.
29 августа 1997 года в Польше был принят Закон «О защите персональных данных» (далее - Закон о защите персональных данных), согласно ст. 1 которого каждый человек имеет право на защиту своих персональных данных. Обработка персональных данных может осуществляться в публичных интересах, интересах субъекта данных или в интересах третьих лиц, в границах и при условии соблюдения процедур, предусмотренных данным Законом. Закон распространяется на государственные органы власти, местные органы самоуправления, административно-территориальные единицы, общественные организации, а также на физических и юридических лиц, структурные подразделения, не являющиеся юридическими лицами, если они по роду своей коммерческой или профессиональной деятельности или для выполнения уставных целей связаны с обработкой персональных данных (ст. 3) (далее - администраторы данных). Под персональными данными понимается любая информация, касающаяся идентифицированного или опознаваемого физического лица. В свою очередь, опознаваемое физическое лицо - это любое физическое лицо, которое может быть прямо или косвенно идентифицировано, в частности, ссылкой на его идентификационный номер или на один или несколько специфических факторов, описывающих его физические, физиологические, умственные, экономические, культурные или социальные особенности (ст. 6 Закона о защите персональных данных).
Органом надзора за защитой персональных данных является Главный инспектор по защите персональных данных (далее - Главный инспектор), который назначается и освобождается от должности Сеймом Республики Польша с согласия Сената. Главный инспектор осуществляет свою деятельность при помощи Бюро Главного инспектора по защите персональных данных (далее - Бюро). При необходимости [стр.59-60] структурные подразделения Бюро могут быть созданы в рамках административно-территориальных единиц. В обязанности Главного инспектора входит контроль за осуществлением обработки данных в соответствии с законодательством о защите персональных данных; издание административных решений и рассмотрение жалоб, касающихся применения норм о защите персональных данных; ведение реестра баз данных и реестра администраторов информационной безопасности, а также предоставление информации о зарегистрированных базах данных и зарегистрированных администраторах информационной безопасности; оценка законопроектов, касающихся защиты персональных данных и другое (ст. 12 Закона о защите персональных данных).
В целях надлежащего исполнения обязанностей Главный инспектор, его заместитель, а также любой работник Бюро (инспекторы) имеют право проходить с 6 часов до 22 часов по предъявлении персонального разрешения и служебного удостоверения в любые помещения, где находятся базы данных или проводится обработка данных, проводить необходимый осмотр или осуществлять иные контролирующие действия для оценки осуществления обработки данных в соответствии с законодательством, требовать предоставления письменных или устных объяснений, а также вызывать и допрашивать любое лицо в пределах, необходимых доя установления фактических обстоятельств дела, ознакомления со всеми документами и всеми данными, имеющими прямое отношение к субъекту проверки, а также делать их копии и другое (ст. 14 Закона о защите персональных данных).
В случае нарушения законодательства в сфере защиты персональных данных Главный инспектор самостоятельно либо по заявлению заинтересованного лица посредством административного решения выносит предписание восстановить нарушенное право (ст. 18 Закона о защите персональных данных).
По результатам проверки инспектор может потребовать возбуждения дисциплинарного или иного предусмотренного законом производства в отношении виновного лица, о результатах которого и принятых решениях инспектор должен быть уведомлен (ст. 17 Закона о защите персональных данных). Если в результате проверки будет установлено, что действие или бездействие руководителя организации, ее работника либо иного физического лица, являющегося администратором данных, содержат признаки состава преступления, Главный инспектор сообщает об этом в следственные органы с приложением доказательств (ст. 19 Закона о защите персональных данных).
По общему правилу, обработка персональных данных разрешается либо с письменного согласия субъекта данных (кроме случаев, когда обработка заключается в удалении персональных данных), либо для осуществления прав и обязанностей, вытекающих из законных оснований; для исполнения договора, в котором субъект данных является одной из сторон, или по его желанию для выполнения действий, предшествующих заключению договора; для выполнения предусмотренных законом задач, направленных на достижение общественных благ; для реализации законных интересов администраторов данных либо получателей данных, при условии, что обработка не нарушает права и свободы субъекта данных (ст. 23 Закона о защите персональных данных).
Администратор данных обязан использовать технические и организационные средства, обеспечивающие защиту обрабатываемых персональных данных, соответствующую степени опасности и категории защищаемых данных (ст. 36 Закона о защите персональных данных). Администратор данных может назначить администратора информационной безопасности, основными задачами которого являются обеспечение предупреждения нарушения законодательства в сфере защиты персональных данных путем проверки порядка обработки персональных данных на предмет соответствия требованиям законодательства в данной сфере и составление отчета для администратора данных, осуществления надзора за обработкой и обновлением документации, описывающей средства и способы обработки данных, обеспечения ознакомления лиц, управомоченных на обработку персональных данных с законодательством в этой сфере, а также ведение реестра баз данных, обрабатываемых администратором данных (ст. 36а Закона о защите персональных данных). В случае если администратор данных не назначает администратора информационной безопасности, то его функции выполняет непосредственно сам администратор данных.
Отдельный раздел Закона предусматривает ответственность за нарушение законодательства с сфере защиты персональных данных: наказание варьируется от штрафа до лишения свободы сроком до 3 лет. Например, лицо, которое будучи администратором данных либо будучи обязанным защищать персональные данные, раскрывает их либо предоставляет к ним доступ неуполномоченным лицам, наказывается штрафом, ограничением свободы либо лишением свободы на срок до 2 лет (ст. 51 Закона о защите персональных данных).
Трудовой кодекс Республики Польша от 26 июня 1974 года (в ред. 2014 года) в ст. 221 закрепляет право нанимателя требовать от кандидата на работу предоставления следующих персональных данных: имени, фамилии, имен родителей, даты рождения, адреса места жительства, сведений об образовании и предыдущих местах работы. Непосредственно от работника наниматель имеет право потребовать также предоставления иных персональных данных, в частности имени, фамилии и даты рождения детей работника, если эти сведения необходимы для реализации работником каких-либо правомочий, предусмотренных трудовым законодательством, а также идентификационного номера работника. Наниматель может требовать и от кандидата на работу, и от работника предоставления иных данных, но только в том случае, если такая обязанность предусмотрена специальным законодательством (например, сведений об отсутствии судимости за некоторые виды преступлений для занятия ряда выборных должностей в системе органов местного самоуправления). В части, не урегулированной ст. 22[1] Трудового кодекса Республики Польша, на персональные данные работников распространяется законодательство об охране персональных данных, в том числе рассмотренный нами ранее Закон о защите персональных данных.
Согласно указанному Закону, как упоминалось ранее, под персональными данными понимается любая информация, касающаяся идентифицированного или опознаваемого физического лица. В то же [стр.60-61] время под обработкой данных понимаются любые действия, связанные с персональными данными, такие как сбор, фиксация, хранение, изменение, распространение и удаление, в том числе те, которые производятся в информационных системах (ст. 7). Все эти действия касательно персональных данных работника можно найти в Распоряжении Министра труда и социальной политики о порядке ведения нанимателями документации в сфере трудовых отношений и порядке ведения личных дел работников от 28 мая 1996 года.
В соответствии с §1 данного Распоряжения наниматель может требовать от кандидата на работу предоставления следующих документов: заполненной личной анкеты с необходимым количеством фотографий (аналог личного листка по учету кадров); свидетельств о работе с предыдущих мест работы (аналог трудовой книжки) или других документов, подтверждающих периоды работы, приходящиеся на тот календарный год, в котором кандидат трудоустраивается; при необходимости - документов, подтверждающих профессиональную квалификацию; свидетельства об окончании гимназии в случае, если кандидат трудоустраивается с целью получить профессию; медицинского заключения об отсутствии противопоказаний для выполнения конкретной работы в случаях, предусмотренных законодательством. Помимо этого, кандидат на работу может по своему желанию дополнительно предоставить документы, подтверждающие свои умения и профессиональные достижения, свидетельства о работе с предыдущих мест работы или другие документы, подтверждающие периоды работы за иные календарные годы, а также документы, являющиеся основанием для реализации различных правомочий, связанных с трудовым правоотношением.
Наниматель не может требовать данные, относящиеся к сфере личной тайны [1, с. 174-175]. Статья 27 Закона о защите персональных данных запрещает обработку данных, раскрывающих расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в партиях, религиозных организациях и профсоюзах, информацию о состоянии здоровья, генетическом коде, налогах, половой жизни, а также данных о наличии судимости, постановлений о привлечении к ответственности, штрафов, иных постановлений, вынесенных судом или административным органом. Обработка таких данных возможна только в строго определенных законом случаях, в том числе для выполнения функций администратора данных, относящихся к приему на работу работников и иных лиц, при условии, что круг обрабатываемых данных установлен законодательством.
Спорным в польских научных кругах является вопрос о допустимости добровольного предоставления персональных данных, не очерченных законом, работником (кандидатом на работу) нанимателю. Речь идет о ситуации, когда наниматель пытается получить необходимые ему, но не предусмотренные законодательством данные не путем прямого требования. Добровольность предоставления таких данных подвергается сомнению с точки зрения целого ряда факторов, характеризующих юридическую связь между работником (кандидатом на работу) и нанимателем. Эго подтверждается и судебной практикой.
Например, Высший Административный Суд по делу о письменном добровольном предоставлении работниками нанимателю отпечатков пальцев установил, что согласие работников не делает законным нарушение норм об охране персональных данных, поскольку выраженное по желанию нанимателя письменное согласие работника на снятие и обработку его отпечатков пальцев нарушает права работника и свободу выражения его юли. В данном случае суд усмотрел зависимость работника от нанимателя. Таким образом, можно сделать вывод, что ст. 22[2] Трудового кодекса Республики Польша содержит нормы, защищающие персональные данные работника в большей степени, чем нормы Закона о защите персональных данных (напомним, что Закон в ст. 23 разрешает обработку данных с письменного согласия субъекта данных) [1, с. 177].
Представляет интерес и следующая позиция польского правоприменителя. Наниматель может искать информацию о работнике (кандидате на работу) косвенным путем, например посредством получения характеристик от предыдущих нанимателей. Однако такие действия могут нарушить личные неимущественные права работника (кандидата на работу), если они осуществляются без ведома и согласия субъекта данных. Считается, что наниматель может получать такую информацию от предыдущих нанимателей, только если на это выразил свое согласие работник (кандидат на работу). Из этого правила законодательством могут быть предусмотрены исключения, например, в тех случаях, когда для занятия конкретной должности законодатель требует от лица незапятнанной репутации [1, с. 177]. Отметим, что в Беларуси п. 11 Декрета Президента Республики Беларусь от 15 декабря 2014 г. №5 «Об усилении требований к руководящим кадрам и работникам организаций» (далее - Декрет №5) наниматели управомочены при приеме на работу работника запрашивать характеристику с предыдущих мест его работы, которая выдается в течение 5 календарных дней со дня получения соответствующего запроса.
Определение круга персональных данных и способа их приобретения в ст. 221 Трудового кодекса Республики Польша свидетельствует о том, что наниматель не может получить иные данные о работнике (кандидате на работу) или получить их иным способом, за исключением случаев, если это предусмотрено специальным законодательством. В частности, это означает и недопустимость проведения исследований кандидатов на работу (без их согласия) с помощью полиграфа [2, с. 124].
В соответствии с п. 9а ст. 94 Трудового кодекса Республики Польша наниматель обязан вести необходимую документацию в сфере трудовых правоотношений, а также личные дела работников, а п. 9b ст. 94 устанавливает обязанность нанимателя хранить документацию в сфере трудовых правоотношений и личные дела работников в надлежащих условиях, препятствующих их повреждению или уничтожению. Неисполнение нанимателем данных обязанностей является нарушением прав работников и влечет наложение штрафа от 1 000 до 30 000 злотых (п. п. 6 и 7 ст. 281 Трудового кодекса Республики Польша). Требования к помещениям, годным для хранения указанной документации, устанавливаются специальным законодательством. [стр.61-62]
Правовое регулирование защиты персональных данных
работников в Республике Беларусь
В Республике Беларусь в настоящий момент отсутствует единый нормативный правовой акт, регулирующий правоотношения в сфере защиты персональных данных физических лиц. Если термин «персональные данные» раскрывается в ряде законодательных актов, то термин «персональные данные работника» в национальном законодательстве не закреплен.
Так, в соответствии с абз. 24 ст. 1 Закона Республики Беларусь от 10 ноября 2008 года «Об информации, информатизации и защите информации» (далее - Закон об информации) персональные данные - основные и дополнительные персональные данные физического лица, подлежащие в соответствии с законодательными актами Республики Беларусь внесению в регистр населения, а также иные данные, позволяющие идентифицировать такое лицо.
Статья 2 Закона Республики Беларусь от 21 июля 2008 года «О регистре населения» определяет персональные данные физических лиц как совокупность основных и дополнительных персональных данных, а также данных о реквизитах документов, подтверждающих основные и дополнительные персональные данные конкретных физических лиц.
В Законе Республики Беларусь от 13 июля 2006 года «О переписи населения» (далее - Закон о переписи населения) персональные данные определены как первичные статистические данные о конкретном респонденте, сбор которых осуществляется при проведении перешей населения.
Кроме этого, согласно ст. 2 модельного закона «О персональных данных», принятого постановлением Межпарламентской Ассамблеи государств - участников Содружества Независимых Государств от 16 октября 1999 г. №14-19, персональные данные - информация (зафиксированная на материальном носителе) о конкретном человеке, которая отождествлена или может быть отождествлена с ним. К персональным данным относятся биографические и опознавательные данные, личные характеристики, сведения о семейном, социальном положении, образовании, профессии, служебном и финансовом положении, состоянии здоровья и прочие.
Статья 28 Конституции Республики Беларусь закрепляет право каждого на защиту от незаконного вмешательства в его личную жизнь, в том числе от посягательства на тайну его корреспонденции, телефонных и иных сообщений, на его честь и достоинство. Статья 34 Конституции гарантирует гражданам Республики Беларусь право на получение, хранение и распространение полной, достоверной и своевременной информации о деятельности государственных органов, общественных объединений, о политической, экономической, культурной и международной жизни, состоянии окружающей среды. Государственные органы, общественные объединения, должностные лица обязаны предоставить гражданину Республики Беларусь возможность ознакомиться с материалами, затрагивающими его права и законные интересы. Пользование информацией может быть ограничено законодательством в целях защиты чести, достоинства, личной и семейной жизни граждан и полного осуществления ими своих прав. Статья 17 Закона об информации относит персональные данные к информации, распространение и (или) предоставление которой ограничено. Часть 1 ст. 24 Закона о переписи населения устанавливает, что персональные данные являются конфиденциальными, не подлежат распространению (разглашению), в том числе представлению в государственные органы и иные организации.
В соответствии со ст. 26 Трудового кодекса Республики Беларусь при заключении трудового договора наниматель обязан потребовать, а гражданин должен предъявить нанимателю:
1) документ, удостоверяющий личность; документы воинского учета (для военнообязанных и лиц, подлежащих призыву на воинскую службу);
2) трудовую книжку, за исключением впервые поступающего на работу и совместителей;
3) документ об образовании или документ об обучении, подтверждающий наличие права на выполнение данной работы;
4) направление на работу в счет брони для отдельных категорий работников в соответствии с законодательством;
5) индивидуальную программу реабилитации инвалида (для инвалидов);
6) декларацию о доходах и имуществе, страховое свидетельство, медицинскую справку о состоянии здоровья и другие документы о подтверждении иных обстоятельств, имеющих отношение к работе, если их предъявление предусмотрено законодательными актами.
Наниматели также вправе при приеме на работу работника запрашивать характеристику с предыдущих мест его работы, которая выдается в течение пяти календарных дней со дня получения соответствующего запроса (п. 11 Декрета №5).
При приеме на работу наниматель должен завести на работника, относящегося к категории руководителей, специалистов, научных работников, государственных служащих личное дело. Данное требование устанавливает Инструкция о порядке формирования, ведения и хранения личных дел работников, утвержденная постановлением Комитета по архивам и делопроизводству при Совете Министров Республики Беларусь от 26 марта 2004 г. №2.
Личное дело - это совокупность документов, содержащих наиболее полные сведения о работнике и его трудовой деятельности. В состав личного дела входят личный листок по учету кадров (содержит паспортные данные, сведения об образовании, гражданстве, месте жительства, предыдущих местах работы, семейном положении, участии в профсоюзах, отношении к воинской службе, контактные и другие данные работника); автобиография; копии документов об образовании, повышении квалификации, переподготовке; заявление и копия (выписка) приказа о приеме на работу; декларация о доходах; обязательство о выполнении мер по предупреждению коррупции; трудовые договоры (контракты); договор о материальной ответственности; характеристики и аттестационные листы; заявление и копии (выписки) приказов о переводе, увольнении и другие; списки научных трудов и изобретений и иные документы.
Формирование, ведение и оперативное хранение личных дел осуществляет кадровая служба организации [стр.62-63] (специалист по кадрам). Контроль за оформлением и хранением личных дел возлагается на руководителя организации.
Личные дела хранятся в кадровой службе отдельно от других дел и подлежат строгому учету. Для учета и обеспечения сохранности личных дел ведется журнал (книга) учета личных дел. При увольнении или переводе работника, ответственного за учет и сохранность личных дел, имеющиеся личные дела передаются другому работнику по акту приема-передачи дел. Личные дела с разрешения руководителя организации могут выдаваться во временное пользование работникам организации либо сторонним организациям в порядке, установленном законодательством Республики Беларусь. Личные дела уволенных работников подлежат передаче в архив организации.
Кроме документов, входящих в личное дело работника, у нанимателя могут находится и иные документы, содержащие персональные данные работника, такие как приказы о наложении дисциплинарных взысканий, справки о месте жительства, составе семьи, размере заработной платы и другие.
Кроме этого, Инструкция о порядке организации и ведения воинского учета военнообязанных, утвержденная постановлением Министерства обороны Республики Беларусь от 31 мая 2011 г. №21, предусматривает обязанность нанимателя осуществлять ведение воинского учета в организации. Персонально-первичный воинский учет работающих военнообязанных содержит биографические данные, данные о прохождении военной службы, службы в резерве, военных сборов, трудовой деятельности. В зависимости от количества состоящих на воинском учете граждан в организации для ведения воинского учета создается подразделение (назначается работник). Персональный состав указанного подразделения и его задачи (должностное обязанности работника) определяются в приказе руководителя организации. Руководителе организации обеспечивает подразделение (работника) специально оборудованным помещением и железными шкафами, необходимыми для сохранности документов. В организациях ведется персонально-первичный воинский учет граждан по личным карточкам. Личные карточки на военнообязанных и другие документы воинского учета должны храниться в опечатываемых хранилищах (железных шкафах), к которым имеют доступ только руководитель организации и назначенный работник. При увольнении с работы граждан, состоящих на воинском учете, о них в недельный срок сообщается в военный комиссариат района (обособленное подразделение), их личные карточки из картотеки изымаются.
Таким образом, перечень сведений, составляющих персональные данные работника, достаточно широк. Национальное законодательство содержит лишь минимальный набор гарантий их защиты. В целях совершенствования правового регулирования защиты персональных данных работника представляется необходимым, в том числе с учетом положительного опыта зарубежных государств, в частности Польши:
· принять Закон «О защите персональных данных»;
· создать специализированный государственный орган, уполномоченный осуществлять контроль и надзор за защитой персональных данных;
· разработать Типовое положение о защите персональных данных в организации;
· предусмотреть в качестве обязательного такой локальный нормативный правовой акт, как Положение о защите персональных данных в организации;
· закрепить обязанность нанимателя хранить документацию в сфере трудовых правоотношений в надлежащих условиях, препятствующих их повреждению или уничтожению, а также установить ответственность за неисполнение данной обязанности;
· установить обязанность нанимателя ввести должность специалиста, ответственного за защиту персональных данных в организации (либо возлагать эти функции на другого работника в зависимости от численности работников организации);
· предусмотреть обязанность нанимателя при приеме на работу провести инструктаж по вопросам защиты персональных данных. Последнее даст нанимателю основание для привлечения работника, не соблюдающего нормы данного положения, к дисциплинарной ответственности. При этом в случае, если трудовая функция работника предполагает осуществление обработки персональных данных, необходимо провести обучающие курсы, содержанием которых могут стать вопросы правового регулирования защиты персональных данных, полномочия нанимателя как держателя персональных данных, полномочия специалиста по защите персональных данных в организации, юридическая ответственность за нарушение норм о защите персональных данных, организационно-технические аспекты защиты персональных данных у нанимателя, анализ существующих угроз в сфере обработки информации, обязанности работников организации в сфере осуществления действий, связанных с обработкой персональных данных, в том числе нуждающихся в повышенной защите, практические рекомендации в сфере безопасной обработки информации в организации, анализ действующих в организации процедур информационной безопасности и другое.