Ответственность за хранение персональных данных на уволенных сотрудников

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному, либо определяемому физическому лицу.

В кадровых процессах к ним относятся не только сведения из личного дела. Работодатель обычно обрабатывает:

• ФИО;
• дату и место рождения;
• паспортные и контактные данные;
• сведения об образовании;
• квалификацию и стаж;
• сведения, необходимые для воинского учета;
• информацию о заработной плате;
• налоговые сведения;
• сведения, связанные с социальными гарантиями.

В предусмотренных законом случаях в кадровом контуре могут находиться сведения о состоянии здоровья, судимости и другие данные, обработка которых допускается только при наличии соответствующего основания.

Во время работы организация также создает данные, связанные с сотрудником: табельный номер, корпоративный адрес электронной почты, логины, идентификаторы в HRM, CRM и других системах, историю обучения, сведения о доступе в помещения и информационные ресурсы.

Эти данные тоже подпадают под требования законодательства о персональных данных, если позволяют прямо или косвенно отнести информацию к конкретному человеку.

После прекращения трудового договора меняется состав целей обработки. Часть целей достигается вместе с окончанием трудовых отношений, но некоторые обязанности работодателя сохраняются.

Поэтому решение об уничтожении принимают не по общему статусу человека как бывшего сотрудника, а применительно к каждой категории данных, документу и цели обработки.

Если закон требует хранить кадровые, налоговые, бухгалтерские или архивные документы, отзыв согласия не отменяет такую обязанность. Обработку можно продолжать на другом предусмотренном законом основании, но только в необходимом объеме и в течение установленного срока.

Одновременно у работодателя могут оставаться сведения, для которых прежняя цель уже достигнута и иного основания для продолжения обработки нет.

Например, это могут быть:

• сведения, собранные для завершенного корпоративного проекта;
• данные внутреннего профиля, которые больше не используются;
• необязательные копии документов, дальнейшее хранение которых невозможно обосновать;
• данные учетных записей сотрудника в корпоративных системах и др.

Основания и сроки прекращения обработки и уничтожения персональных данных установлены статьей 21 Закона № 152-ФЗ.

Для работодателя особенно важны несколько ситуаций.

Если выявлена неправомерная обработка, оператор должен прекратить ее или обеспечить ее прекращение в срок не более трех рабочих дней с даты выявления.

Если обеспечить правомерность невозможно, персональные данные необходимо уничтожить или обеспечить их уничтожение в срок не более десяти рабочих дней с даты выявления нарушения.

В кадровом контуре проблема нередко связана с избыточностью данных.

Например, после увольнения организация может продолжать хранить копии паспорта, документа со СНИЛС или диплома. Само наличие такой копии еще не позволяет автоматически признать обработку неправомерной, но работодатель должен уметь объяснить, зачем продолжает хранить именно копию документа, на каком основании и в течение какого срока.

Если для действующей цели достаточно обработки реквизитов документа, а необходимость копии подтвердить невозможно, ее дальнейшее хранение может оказаться избыточным.

После достижения цели оператор должен прекратить обработку и уничтожить персональные данные в срок не более 30 дней, если продолжение обработки не допускается договором, соглашением с субъектом либо другим предусмотренным законом основанием.

Например, компания получила согласие бывших сотрудников на использование контактных данных для программы alumni. Если программа закрыта, цель достигнута и иного основания для сохранения этих данных нет, они подлежат уничтожению.

При отзыве согласия оператор прекращает обработку и уничтожает их в срок не более 30 дней.

Исключение возникает, когда продолжение обработки допускается на ином основании из п. 2−11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст 11 152-ФЗ.

Поэтому отзыв согласия не приводит к автоматическому уничтожению кадровых документов, которые работодатель обязан хранить по закону.

Бывший сотрудник вправе обратиться к оператору с требованием прекратить обработку его персональных данных.

По общему правилу оператор должен выполнить такое требование в срок не более десяти рабочих дней.

Срок можно продлить не более чем на пять рабочих дней, направив субъекту мотивированное уведомление с указанием причин продления.

При этом закон прямо предусматривает случаи, когда обработка может продолжаться без согласия субъекта. Поэтому работодатель должен разделить данные, обработку которых он вправе продолжить, и сведения, для которых соответствующего основания больше нет.

Если уничтожить ПДн в сроки, предусмотренные частями 3, 4−5.1 статьи 21, невозможно, оператор должен их заблокировать и обеспечить уничтожение в срок не более шести месяцев, если другой срок не установлен федеральным законом.

Наличие внутреннего регламента, например с годовым или трехлетним циклом хранения backup, само по себе не позволяет игнорировать срок статьи 21 в отношении данных, которые уже подлежат уничтожению.

Если выборочное удаление технически невозможно, нужно определить, как данные будут исключены из обычного использования, кто сможет получить к ним доступ и каким образом будет обеспечено окончательное уничтожение в установленный законом срок.

Блокирование не должно оставлять данные доступными для обычных кадровых, аналитических или иных операций.

При этом если конкретные данные продолжают храниться на самостоятельном законном основании (например, в составе документа, для которого действует обязательный архивный срок), обязанность уничтожить их только по причине увольнения не возникает.

Сроки хранения определяются не только Законом № 152-ФЗ.

Для кадровых документов применяется Перечень типовых управленческих архивных документов, утвержденный приказом Росархива от 20.12.2019 № 236*, а также специальные положения трудового, налогового, бухгалтерского и архивного законодательства.

Для отдельных документов по личному составу предусмотрены длительные сроки хранения. При этом конкретный срок зависит от вида документа, даты его создания и содержания.

Например, для части приказов по личному составу Перечень № 236 предусматривает хранение 50 или 75 лет в зависимости от даты создания документов, тогда как другие кадровые документы могут храниться пять или три года.

Поэтому в локальной документации нельзя устанавливать один общий срок для всех персональных данных работников.

Формат документа сам по себе срок хранения не сокращает. Если документ создается и хранится в электронной форме, установленный для соответствующего вида документа срок также должен соблюдаться.

Практически удобнее вести матрицу сроков хранения. В ней для каждой категории фиксируют:

• цель обработки;
• правовое основание;
• документ или категорию данных;
• систему или носитель;
• срок либо условие прекращения обработки;
• действие после окончания срока.

Такая матрица связывает требования законодательства с реальными данными в HR, бухгалтерии, ИТ-системах и архиве.

*152-ФЗ уже не распространяется на организацию архивного хранения.

Кадровые данные редко находятся в одной системе.

Резюме кандидата может поступить из сервиса подбора, затем попасть в HRM-систему, систему кадрового электронного документооборота, бухгалтерскую программу, систему обучения и корпоративный каталог.

Отдельные сведения могут сохраняться:

• в электронной почте;
• рабочих таблицах;
• облачных папках;
• системах контроля доступа;
• корпоративных каталогах;
• резервных копиях;
• сервисах подрядчиков.

Из-за этого увольнение сотрудника должно запускать согласованный процесс между HR, бухгалтерией, ИТ, информационной безопасностью и ответственным за организацию обработки ПДн.

Закрытие учетной записи решает вопрос с доступом, но не определяет дальнейшую судьбу документов и данных, оставшихся в связанных системах.

Сначала нужно составить карту данных бывшего сотрудника: какие сведения находятся в системе, зачем они были собраны, куда передаются и кто имеет к ним доступ.

Затем для каждого массива определяется дальнейшее действие.

Данные могут:

• продолжить храниться на действующем основании;
• быть заблокированы в предусмотренных законом случаях;
• быть уничтожены;
• после соответствующего преобразования использоваться для аналитики в виде сведений, которые больше не позволяют прямо или косвенно определить физическое лицо.

Особого внимания требуют интеграции и ручные выгрузки.

Даже если запись удалена из основной HRM-системы, ее копии могут сохраниться:

• в бухгалтерской программе;
• BI-отчете;
• рабочей таблице руководителя;
• почтовом вложении;
• облачной папке;
• системе подрядчика.

Процесс уничтожения нельзя считать завершенным только потому, что данные исчезли из одной основной системы. Необходимо проверить остальные предусмотренные маршруты и места хранения.

Внешний провайдер может обрабатывать персональные данные по поручению работодателя.

Действующая часть 3 статьи 6 152-ФЗ требует определить в поручении:

• перечень персональных данных;
• перечень операций с ними;
• цели обработки;
• обязанность соблюдать конфиденциальность;
• требования части 5 статьи 18 и статьи 18.1;
• обязанность предоставлять оператору по его запросу документы и информацию, подтверждающие выполнение установленных требований;
• обязанность обеспечивать безопасность ПДн;
• требования к защите по статье 19;
• требование уведомлять оператора об инцидентах, предусмотренных частью 3.1 статьи 21.

Формулировки договора должны соответствовать фактическим функциям сервиса.

Работодателю также необходимо понимать:

• как провайдер выполняет команду на блокирование и уничтожение;
• как реализовано удаление активной записи;
• что происходит с данными в резервных копиях;
• как учитываются установленные законом сроки;
• кто оформляет акт и выгрузку из журнала при уничтожении;
• каким образом подтверждающие документы передаются оператору.

Если сервис технически не поддерживает обязательный для компании сценарий, наличие правильной договорной формулировки проблему не устраняет.

При сборе персональных данных граждан Российской Федерации, в том числе через интернет и HR-сервисы, запись, систематизация, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся за пределами Российской Федерации, не допускаются, кроме исключений, прямо предусмотренных частью 5 статьи 18 152-ФЗ.

При этом соблюдение локализации не отменяет необходимости отдельно анализировать последующую трансграничную передачу.

Если персональные данные передаются иностранной компании, иностранной службе поддержки либо другому иностранному юридическому или физическому лицу, необходимо отдельно определить наличие трансграничной передачи и выполнить применимые требования до ее начала.

Рабочий процесс лучше заранее закрепить в регламенте и связать с датой прекращения трудовых отношений.

Например:

1. HR сообщает об увольнении ответственным подразделениям.
2. ИТ прекращает доступ к корпоративным ресурсам.
3. Владельцы систем определяют дальнейшую судьбу профилей и связанных с ними данных.
4. HR и бухгалтерия выделяют документы, которые должны продолжить храниться.
5. Ответственный за организацию обработки ПДн проверяет основания и сроки.
6. Данные, не имеющие дальнейшей цели и основания, передаются на уничтожение в предусмотренном порядке.
7. Результат подтверждается установленными документами.

Деактивация учетной записи прекращает возможность ее использования.

Уничтожение персональных данных по смыслу 152-ФЗ означает действия, после которых становится невозможно восстановить содержание ПДн в информационной системе и (или) уничтожаются материальные носители.

Для электронных данных используются функции информационной системы либо иные технические средства, обеспечивающие невозможность восстановления содержания персональных данных.

Простого помещения файла в корзину или деактивации учетной записи недостаточно, если содержимое ПДн после этого остается восстанавливаемым и продолжает находиться в ИСПДн.

Бумажные носители уничтожают способом, который исключает восстановление содержащейся на них информации.

Если документы передаются для уничтожения специализированной организации, работодатель должен организовать процесс так, чтобы у него оставалось подтверждение выполнения требований приказа № 179.

Передача документов с персональными данными как обычной макулатуры без контролируемой процедуры не подтверждает надлежащее уничтожение.

Требования установлены приказом Роскомнадзора от 28.10.2022 № 179.

Приказ действует до 1 марта 2029 года.

При обработке без использования средств автоматизации уничтожение подтверждается актом.

При автоматизированной обработке необходимы:

• акт об уничтожении;
• выгрузка из журнала регистрации событий в информационной системе персональных данных.

При одновременной автоматизированной и неавтоматизированной обработке также используются акт и соответствующая выгрузка из журнала.

Акт должен содержать:

• наименование или ФИО и адрес оператора;
• сведения о лице, обрабатывающем ПДн по поручению оператора, если оно участвовало в обработке;
• ФИО субъекта либо другую информацию, позволяющую определить человека, чьи данные уничтожены;
• ФИО и должность лица или лиц, уничтоживших ПДн, и их подписи;
• перечень категорий уничтоженных ПДн;
• сведения о материальных носителях при неавтоматизированной обработке либо наименование ИСПДн при автоматизированной;
• способ уничтожения;
• причину уничтожения;
• дату уничтожения.

Выгрузка из журнала должна содержать предусмотренные приказом сведения о субъекте, категориях уничтоженных данных, информационной системе, причине и дате уничтожения.

Если выгрузка из журнала не позволяет указать отдельные сведения, которые должны в ней содержаться, приказ № 179 не разрешает произвольно заменить ее другим документом. Недостающие сведения включаются в акт об уничтожении.

Акт и выгрузка хранятся три года с момента уничтожения персональных данных.

Этот срок необходимо учитывать и при работе с внешним HR-провайдером: оператору стоит заранее определить, кто формирует документы и каким образом они передаются работодателю.

Само наличие данных бывшего сотрудника у работодателя не является нарушением.

Риск возникает, если организация:

• не может объяснить цель и правовое основание дальнейшей обработки;
• сохраняет избыточные сведения без необходимости;
• нарушает установленные сроки;
• не исполняет законное требование субъекта;
• не обеспечивает уничтожение ПДн;
• не подтверждает уничтожение в предусмотренном порядке.

Конкретная квалификация зависит от обстоятельств.

Имеет значение:

• существовало ли законное основание обработки;
• требовалось ли согласие;
• поступало ли обращение бывшего сотрудника;
• какие сроки применялись;
• было ли исполнено требование субъекта;
• соблюден ли порядок уничтожения.

Соответствующие составы административных правонарушений предусмотрены статьей 13.11 КоАП РФ.

Поэтому говорить о едином «штрафе за хранение данных после увольнения» некорректно. Сначала нужно установить, какое именно требование нарушено и в отношении каких данных.

Увольнение сотрудника должно запускать единый процесс для кадровых документов, информационных систем и прав доступа.

Перед закрытием процедуры проверьте:

1. Какие данные и документы необходимо хранить после увольнения и в течение какого срока.
2. Какие сведения собирались только для целей действующих трудовых отношений и больше не нужны.
3. Где находятся данные: в кадровых и бухгалтерских системах, облачных сервисах, почте, рабочих папках, интеграциях, архивах, резервных копиях и у подрядчиков.
4. Какие учетные записи и права доступа необходимо закрыть, а какие журналы событий продолжают храниться на самостоятельном основании.
5. Какие данные подлежат уничтожению, кто выполняет эту операцию и чем подтверждается результат.
6. Укладывается ли жизненный цикл резервных копий в требования статьи 21 для данных, подлежащих уничтожению.
7. Какие сведения передаются на архивное хранение.
8. Соответствуют ли договоры с HR-провайдерами фактической обработке, требованиям к поручению, срокам хранения и процедуре уничтожения.

Периодический аудит помогает выявить данные бывших сотрудников, которые продолжают находиться в активных системах без актуальной цели или правового основания.

Но устойчивый процесс начинается раньше: с карты систем, матрицы сроков хранения и заранее распределенной ответственности между HR, ИТ, бухгалтерией и ответственным за организацию обработки персональных данных.