О персональных данных — копия паспорта в личном деле

Возможно ли хранить в личном деле работника копии документов, являющихся персональными данными (паспорта, ИНН, СНИЛС, диплома, и т.д.), если работник в заявлении на обработку персональных данных дал свое согласие на хранении в его личном деле вышеперечисленных документов?

Рассмотрев вопрос, мы пришли к следующему выводу:
Хранение в личных делах работников копии паспорта, ИНН, СНИЛС, документов об образовании и других документов, содержащих персональные сведения, возможно, если работодатель обеспечил одновременное соблюдение определенных условий.

Обоснование вывода:
Любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу — субъекту персональных данных, признается персональными данными (п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», далее — Закон N 152-ФЗ).

Ни нормами Трудового кодекса РФ, ни нормами Закона N 152-ФЗ не установлено прямого запрета на копирование работодателем документов, предоставляемых работником при приеме на работу и в процессе трудовой деятельности, а также на хранение работодателем копий этих документов. Однако, поскольку копии паспортов сотрудников и членов их семьи, свидетельств о браке, свидетельств о рождении детей содержат в себе информацию, относящуюся к определенным физическим лицам, обработка такой информации подчиняется требованиям Закона N 152-ФЗ.

Статья 86 ТК РФ предоставляет работодателю право обрабатывать персональные данные работника исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

Согласно ч. 1 ст. 9 Закона N 152-ФЗ согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. По смыслу разъяснений Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 14.12.2012 «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве» конкретным и информированным является такое согласие субъекта персональных данных, которое содержит не только информацию, позволяющую однозначно сделать вывод об объеме обрабатываемых персональных данных и способах обработки с указанием действий, совершаемых с персональными данными, но и информацию о целях обработки таких данных.

Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки (ч.ч. 2, 5 ст. 5 Закона N 152-ФЗ).

Обобщая приведенные нормы, мы приходим к выводу о том, что для законного хранения копии паспорта, ИНН, СНИЛС, диплома и других документов, содержащих персональные сведения работников, работодатель должен обеспечить одновременное соблюдение следующих условий:
— от работника должно быть получено согласие на хранение его персональных данных, указанных в копиях документов, необходимость обработки которых не обусловлена достижением целей, поименованных в пунктах 2-11 части первой ст. 6 Закона N 152-ФЗ;
— работодателем должны быть заранее определены конкретные цели хранения персональных данных, содержащихся в копиях документов работников, при этом такие цели не должны противоречить законодательству;
— объем персональных данных, указанных в копиях документов работника, не должен превышать объем данных, которые работодателю необходимо использовать в соответствии с заявленными целями обработки;
— обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
Как показывает судебная практика, при хранении копий документов, предоставленных работниками при приеме на работу или в процессе их трудовой деятельности, есть вероятность возникновения претензий со стороны контролирующих органов в связи с избыточностью обрабатываемых работодателем персональных данных работников. Так, в некоторых случаях суды признают незаконным хранение работодателем копий документов работников, в частности копии паспорта, свидетельства о присвоении ИНН, СНИЛС, военного билета и т.д., даже при наличии согласия работника на обработку его персональных данных (смотрите, например, постановления ФАС Северо-Кавказского округа от 21.04.2014 N Ф08-1921/14 и от 11.03.2014 N Ф08-480/14, Пятнадцатого арбитражного апелляционного суда от 14.03.2014 N 15АП-22502/13, Семнадцатого арбитражного апелляционного суда от 10.06.2015 N 17 АП-5329/15).

Поэтому для того, чтобы ответить на вопрос о законности хранения упомянутых документов, необходимо прежде всего определить, для достижения каких конкретных, заранее определенных и законных целей работодатель хранит копии личных документов работника. Если такие цели отсутствуют или хранение копий паспорта, свидетельства с указанием ИНН, документов об образовании и т.д. является избыточным с точки зрения достижения целей обработки персональных данных работников, хранение таких копий противоречит требованиям закона. В этом случае, как мы полагаем, работодателю следует вернуть копии документов работнику или уничтожить их (ст. 21 Закона N 152-ФЗ).

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.

Можно ли хранить копии документов работника (например, паспорта) в его личном деле?

Риски: само по себе наличие у работодателя копий паспортов в личных делах может свидетельствовать об избыточности информации о работниках (их персональных данных) по сравнению с требуемыми действующим законодательством, то есть о нарушении законодательства о персональных данных. Возможности: хранение копии паспорта возможно, если есть конкретная и законная цель для хранения и обработки таких данных и согласие от работника.

Работодатель обязан вести личные дела, если это определено нормативными правовыми актами. В личные дела гражданских служащих вносятся данные и сведения в соответствии с ч. 3 ст. 42 Федерального закона от 27.07.2004 N 79-ФЗ.

Если работодатель решил вести личные дела в своей организации, то порядок формирования документов работников в личные дела разрабатывается им самостоятельно и закрепляется в ЛНА. При этом важно не хранить лишнюю информацию о работниках, чтобы не нарушить принципы обработки персональных данных.

Согласно ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований ТК РФ и иных федеральных законов.

Персональные данные работников

Одним из принципов обработки персональных данных является то, что содержание и объем обрабатываемых данных должны соответствовать заявленным целям обработки (ч. 5 ст. 5 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»). Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

За нарушение принципов обработки персональных данных, несовместимой с целями их сбора, Роскомнадзор может привлечь работодателя к административной ответственности по ч. 1 или 2 ст. 13.11 КоАП РФ и выписать предупреждение или административный штраф:

– на должностных лиц – от 5 000 до 20 000 руб.;

– на юридических лиц – от 30 000 до 75 000 руб.

В ст. 65 ТК РФ документы работника определены как предъявляемые при приеме на работу.

Предполагается, что они именно предъявляются работодателю, а не передаются ему на хранение или для снятия копий.

Хранение копий паспорта гражданина РФ, СНИЛС, документов об образовании подпадает под понятие «обработка персональных данных», т.к. копии содержат персональные данные работника. Но работодатели часто хранят копии на случай «а вдруг проверяющие из налоговой, ФСС, прокуратуры и т.д. запросят». Такое объяснение не подходит для цели обработки персональных данных. А если нет законной конкретной цели, то нет и согласия на обработку персональных данных, содержащихся в копиях документов. Законная цель обработки персональных данных работника – исполнение договора, стороной которого является субъект персональных данных (подп. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ).

Даже если работник согласен передать копии работодателю, законной цели при этом не возникает. То есть нет законной конкретной цели – нет права хранить копии.

Проверяющие из Роскомнадзора применяют принципы, определенные ст. 5 Федерального закона от 27.07.2006 N 152-ФЗ:

обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
обработке подлежат только персональные данные, которые отвечают целям их обработки;
содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Цели обработки персональных данных не должны быть избыточными по отношению к заявленным целям.

Требования к содержанию согласия на обработку персональных данных определены в ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ. К обязательным сведениям в согласии относятся цель обработки персональных данных и перечень действий с персональными данными.

Хранение копий документов работника должно ограничиваться достижением заранее определенных, конкретных целей, которые не должны быть избыточными по отношению к заявленным целям обработки.

Пример законных и конкретный целей обработки персональных данных

для целей добровольного медицинского страхования работников;
для размещения информации о ФИО работника, его должности на внутреннем сайте работодателя.

Пример незаконной цели обработки персональных данных: на случай, если запросят проверяющие из налоговой, ФСС, прокуратуры и т.д.

Наличие у работодателя копий документов работников может свидетельствовать об избыточности информации о работниках (их персональных данных) по сравнению с тем, что требуется действующим законодательством.

Копия паспорта может содержать биометрические персональные данные, т.е. данные об особенностях физиологических и биологических особенностях человека. Например, на копии можно увидеть особенности строения овала лица, формы глаз, носа и т.д.

В соответствии со ст. 11 Федерального закона «О персональных данных» биометрические персональные данные обрабатываются только с согласия работника. В согласии нужно прописать цели, которые бы не нарушали принципы обработки персональных данных, не допускали излишней их обработки и были бы конкретными и законными.

Таким образом:

– Сбор и хранение в документах по кадровому учету копий документов работника, когда это не предусмотрено нормативными правовыми актами и согласием работника, является превышением объема обрабатываемых персональных данных работника, установленного Конституцией РФ, ТК РФ и иными федеральными законами. Подобный вывод есть в судебной практике (см., например, Постановления Пятнадцатого арбитражного апелляционного суда от 14.03.2014 N 15АП-22502/2013 по делу N А53-12557/2013, ФАС Северо-Кавказского округа от 21.04.2014 по делу N А53-13327/2013).

– Если есть конкретная цель, собирать и хранить копии правомерно. Хранение копий документов работника законно только в том случае, если работодатель определил конкретную цель их обработки (хранения), не допускающую излишней обработки персональных данных. Цель должна быть прописана в согласии на обработку персональных данных. При отсутствии такой цели и согласия хранение копий документов, даже если работодатель определит возможность, является нарушением законодательства о персональных данных. Запрашивать информацию у работника лучше в каждом конкретном случае. При передаче личных дел в архив на хранение (а они должны храниться 75 лет) все копии документов, содержащих персональные данные, должны быть уничтожены.

Как правильно хранить копии документов в личном деле работника

Может ли работодатель хранить копии паспорта, СНИЛС, документов об образовании работника в его личном деле? Этот вопрос часто задают слушатели курсов по кадровому учету в Контур.Школе. Ответим на него в статье.

Работодатель должен помнить, что он:

обязан вести личные дела, если это определено нормативными правовыми актами, как, например, у органов исполнительной власти;
не обязан вести личные дела работников, если это не определено нормативными правовыми актами;
если не обязан вести личные дела, но решил делать это в своей организации, только он может ответить на вопрос, какие документы должны попадать в личные дела при их формировании. При этом работодателю важно разобраться с принципами обработки персональных данных.

Если вы решили вести личные дела работников

Первоочередная задача работодателя, который начинает формировать документы работников в личные дела, — разработать локальный нормативный акт: стандарт или положение о порядке формирования личных дел. Именно там следует раскрыть вопросы, как оформлять личные дела, формировать в них кадровые документы.

Распространенная ошибка: работодатель хранит лишнюю информацию о работниках на всякий случай. Этим он нарушает принципы обработки персональных данных.

За нарушение принципов обработки персональных данных, несовместимой с целями их сбора, Роскомнадзор может привлечь работодателя к административной ответственности по ч.1 ст. 13.11 КоАП РФ и выписать предупреждение или административный штраф:

на граждан в размере от 1 000 до 3 000 руб.;
на должностных лиц — от 5 000 до 10 000 руб.;
на юридических лиц — от 30 000 до 50 000 руб.

Что надо знать о персональных данных работников

Внести сведения и хранить копии — большая разница

В ст. 65 Трудового кодекса документы работника определены как предъявляемые при приеме на работу. Предполагается, что они именно предъявляются работодателю, а не передаются ему на хранение или для снятия копий.

Все, что необходимо сделать отвечающему за кадровое делопроизводство, — внести необходимые сведения в личную карточку Т-2. В этом случае не надо получать согласие работника на обработку его персональных данных.

А вот хранение копий паспорта гражданина РФ, СНИЛС, документов об образовании подпадает под понятие «обработка персональных данных», т.к. копии содержат персональные данные работника. Но работодатели часто хранят копии на случай «а вдруг проверяющие из налоговой, ФСС, прокуратуры и т.д. запросят». Такое объяснение не подходит для цели обработки персональных данных. А если нет законной конкретной цели, то нет и согласия на обработку персональных данных, содержащихся в копиях документов.

Обработка персональных данных допускается для исполнения договора, стороной которого является субъект персональных данных (подп. 5 ч. 1 ст. 6 федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон «О персональных данных»).

Можно ли хранить копии, если есть согласие от работников?

Даже если работник согласен передать копии работодателю, законной цели при этом не возникает. Разберемся, что такое «законная конкретная цель».

Нет цели — нет права хранить копии

Проверяющие из Роскомнадзора применяют принципы, определенные ст. 5 Закона «О персональных данных»:

обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
обработке подлежат только персональные данные, которые отвечают целям их обработки;
содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Цели обработки персональных данных не должны быть избыточными по отношению к заявленным целям.

Требования к содержанию согласия на обработку персональных данных определены в ч. 4 ст. 9 Закона «О персональных данных». К обязательным сведениям в согласии относятся цель обработки персональных данных и перечень действий с персональными данными.

Хранение копий документов работника должно ограничиваться достижением заранее определенных, конкретных целей, которые не должны быть избыточными по отношению к заявленным целям обработки.

Пример законных и конкретный целей обработки персональных данных:

для целей добровольного медицинского страхования работников;
для размещения информации о Ф. И. О. работника, его должности на внутреннем сайте работодателя.

Хранение копии паспорта

Ксерокопия паспорта может содержать биометрические персональные данные, т.е. данные об особенностях физиологических и биологических особенностях человека. Например, на копии можно увидеть особенности строения овала лица, формы глаз, носа и т.д.

В соответствии со ст. 11 Закона «О персональных данных» биометрические персональные данные обрабатываются только с согласия работника. В согласии нужно прописать цели, которые бы не нарушали принципы обработки персональных данных, не допускали излишней их обработки и были бы конкретными и законными.

Выводы и рекомендации

Определите правомерность своих действий:

Если вы собираете и храните в документах по кадровому учету копии документов работника, когда это не предусмотрено нормативными правовыми актами и согласием, то вы превышаете объем обрабатываемых персональных данных работника, установленный Конституцией РФ, ТК РФ и иными федеральными законами. Подобный вывод есть в судебной практике, в частности в Постановлениях Пятнадцатого арбитражного апелляционного суда от 14.03.2014 № 15АП-22502/2013 по делу № А53-12557/2013, ФАС Северо-Кавказского округа от 21.04.2014 по делу № А53-13327/2013. Именно после появления этих дел и начались многочисленные вопросы относительно хранения копий документов работника.
Если у вас есть конкретная цель, собирать и хранить копии правомерно. Помните, что хранение копий документов работника законно только в том случае, если работодатель определил конкретную цель их обработки (хранения), не допускающую излишней обработки персональных данных. Цель должна быть прописана в согласии на обработку персональных данных. При отсутствии такой цели и согласия хранение копий документов, даже если работодатель определит возможность, является нарушением законодательства о персональных данных.

Просят копию паспорта: 6 способов защититься

По копии чужого паспорта мошенник может взять кредит, оформить банковскую карту, арендовать квартиру и вывезти из нее мебель и технику. А получить копию просто — в интернете их продают по сто рублей за штуку.

Чаще всего копии документов продают нечестные сотрудники нормальных компаний. Они получают их легально: при устройстве на работу, заселении в гостиницу, оформлении микрозайма. Человек может и не знать, что его паспорт гуляет по интернету: это выясняется, когда к нему в дверь стучатся коллекторы. Поэтому когда вас просят прислать фото паспорта, это повод перестраховаться.

Вот что сделать, чтобы защитить копию паспорта или хотя бы помешать мошенникам ей воспользоваться.

Оценить контрагента

Одно дело, когда фото паспорта просит прислать солидное госучреждение, совсем другое — если это небольшой таксопарк. Компания может выглядеть благополучно, но при этом находиться на грани закрытия или существовать только в виде странички в «Инстаграме» или воображении мошенника.

Закажите выписку из реестра ФНС и посмотрите, чем на самом деле занимается компания, сколько в ней сотрудников, какой уставный капитал, нет ли информации о недостоверных сведениях.

Если вам предложили удаленную работу в ИТ-агентстве и попросили прислать фото паспорта, а по выписке компания занимается продажами, да еще и зарегистрирована по недостоверному адресу, это повод задуматься. Возможно, с таким контрагентом лучше вообще не иметь никаких дел — и тем более не отправлять ему копию паспорта.

Предложить обойтись без фото паспорта

Во многих ситуациях достаточно паспортных данных, без графического изображения страниц: например, при составлении договора купли-продажи или доверенности. Предложите другой стороне такой вариант: вместо фото паспорта вы присылаете распечатку данных в виде текста, а при подписании договора показываете документ, чтобы контрагент мог их проверить.

Такой вариант безопаснее: кредит или банковскую карту на текстовые данные оформить не получится.

Закрыть часть данных на фото

Банки принимают только копии паспортов без изменений, правок или пометок. А вот для небольших компаний можно эту копию немного изменить: если закрыть часть фото листом бумаги, для мошенника она станет менее полезной.

Хорошая идея — закрыть свою подпись, чтобы ее не скопировали. Даже если мошенник все-таки использует фото вашего паспорта, потом будет намного проще доказать подлог. Перед дальней поездкой распечатайте несколько таких копий, чтобы не искать принтер в дороге.

Написать на копии паспорта, когда и для кого ее сделали

Для банков копия паспорта с такой надписью не годится — у службы безопасности сразу возникнут вопросы к сотруднику, оформившему кредит. Но вариант сработает, если копию паспорта требуют в гостинице или при приеме на работу. Напишите, например, «Копия сделана для гостиницы „Ромашка“» или «Копия сделана для Иванова Петра, отдел кадров фирмы „Рога и копыта“» — и поставьте дату. А еще попросите сотрудника, которому отдаете копию, поставить на ней свою подпись.

Для копии в электронном виде отсканируйте версию с надписью или напечатайте текст поверх документа в графическом редакторе. Хорошо, если надпись перекроет часть вашего фото: так ее сложнее будет удалить.

Сделать копию низкого качества

Чем выше качество копии паспорта, тем проще с нее снять еще одну копию, поэтому цветная фотография в высоком разрешении на черном рынке ценится выше размытой черно-белой. Но отделу кадров или службе безопасности качество не важно — им нужно только проверить вашу личность. Поэтому идеальная копия — это черно-белое изображение, на котором с трудом можно разобрать текст, а фото владельца документа похоже на черный квадрат с разводами.

Нужные фильтры есть в большинстве графических редакторов. Можно даже инвертировать цвета — получится что-то вроде негатива.

Помнить о своем праве защищать персональные данные

Контрагент может отказаться принимать копию паспорта с пометками, и в случае с банками такой отказ обоснован. Но если отказ пришел из другой организации, скорее всего, это произвол. «Всегда так делаем» и «начальник распорядился» не считается законным основанием для отказа принять копию документа.

Постарайтесь объяснить, что закон разрешает вам защищать свои персональные данные так, как вы считаете нужным, и все действия с вашими персональными данными возможны только с вашего согласия. А проверить точность данных в копии паспорта никто не мешает — вот оригинал.

ст. 9 ФЗ «О персональных данных»: согласие на обработку персональных данных

И если все-таки отправили копию своего паспорта контрагенту, а потом передумали, у вас есть право отозвать согласие на обработку персональных данных. Компания будет обязана уничтожить все копии ваших документов.