В современном мире персональные данные стали ценным активом, а их защита — важной задачей для каждого человека. Особенно актуален вопрос защиты личной информации от неправомерного использования работодателем.
Согласно статистике Роскомнадзора, в 2024 году было зафиксировано более 5 000 обращений граждан по фактам нарушений обработки персональных данных именно в трудовых отношениях.
В этой статье мы детально разберем, как защитить свои персональные данные от работодателя и предотвратить их передачу третьим лицам с учетом последних изменений в законодательстве на 2025 год.
Что понимается под персональными данными в трудовых отношениях?
Персональные данные работника — это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу.
Согласно статье 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», к ним относятся:
- Фамилия, имя, отчество;
- Дата и место рождения;
- Адрес регистрации и фактического проживания;
- Семейное, социальное, имущественное положение;
- Образование, профессия;
- Информация о доходах;
- Состояние здоровья;
- Биометрические данные;
- Иная информация, которая может идентифицировать человека.
В контексте трудовых отношений к персональным данным также относятся сведения о трудовой деятельности: размер заработной платы, должностные обязанности, наличие дисциплинарных взысканий или поощрений, копии больничных листов, документов об образовании и другие данные, которые работник предоставляет при трудоустройстве.
Важно понимать, что вся эта информация защищена законом, и работодатель не имеет права распоряжаться ей по своему усмотрению. Любые действия с персональными данными должны осуществляться в строгом соответствии с законодательством.
Законодательная база защиты персональных данных в 2025 году
С 1 июля 2025 года вступают в силу масштабные изменения в Федеральный закон № 152-ФЗ, которые значительно усиливают защиту персональных данных граждан. Эти поправки были приняты в рамках реализации «Концепции развития законодательства в области персональных данных до 2025 года» и направлены на приведение российского законодательства в соответствие с современными цифровыми реалиями.
Основные нормативные акты, регулирующие обработку персональных данных работника:
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
- Статья 85-90 Трудового кодекса Российской Федерации;
- Глава 14 Трудового кодекса Российской Федерации;
- Постановление Правительства РФ от 15.09.2022 № 2631 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- Кодекс Российской Федерации об административных правонарушениях (статьи 13.11-13.13).
Нововведения 2025 года ужесточают требования к работодателям как операторам персональных данных. Теперь перед началом обработки персональных данных работодатель обязан не просто уведомить Роскомнадзор, но и получить в определенных случаях предварительное согласие работника на каждый конкретный вид обработки данных. Также вводится обязанность employers проводить оценку воздействия на защиту персональных данных для всех новых процессов обработки.
Какие права имеет работник в отношении своих персональных данных?
Каждый работник обладает комплексом прав, обеспечивающих защиту его персональных данных.
Согласно статье 14 Федерального закона № 152-ФЗ, работник имеет право:
- На доступ к своим персональным данным;
- На уточнение своих персональных данных в случае их неточности или неполноты;
- На блокирование или уничтожение персональных данных, если они являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- На отзыв согласия на обработку персональных данных;
- На обжалование действий или бездействия работодателя при обработке персональных данных;
- На возмещение убытков и компенсацию морального вреда в судебном порядке в случае нарушений.
Особое внимание стоит уделить праву на отзыв согласия на обработку персональных данных. С 2025 года это право существенно расширено — работник может отозвать согласие на обработку отдельных категорий персональных данных, при этом сохранив трудовые отношения с работодателем. Например, можно отозвать согласие на обработку биометрических данных или данных о состоянии здоровья, если их обработка не является обязательной для выполнения трудовых обязанностей.
Как дается согласие на обработку персональных данных?
Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.
С 2025 года вступили в силу новые требования к форме и содержанию такого согласия:
- Согласие должно быть оформлено в письменной форме или электронном виде с использованием усиленной квалифицированной электронной подписи;
- В согласии должны быть отдельно перечислены категории персональных данных, которые подлежат обработке;
- Должны быть указаны конкретные цели обработки персональных данных;
- Должны быть перечислены конкретные действия с персональными данными, на совершение которых дается согласие;
- Должен быть указан срок, на который дается согласие, а также способ его отзыва.
Обратите внимание: работодатель не вправе требовать от работника согласия на обработку персональных данных, не необходимых для выполнения трудовых обязанностей. Например, если работодатель требует согласия на обработку данных о состоянии здоровья, но характер работы не предполагает медицинских противопоказаний, такое требование является незаконным.
Когда работодатель может передавать персональные данные третьим лицам?
Передача персональных данных работника третьим лицам — один из самых сложных вопросов в трудовых отношениях. Законодательство устанавливает строгие ограничения на такую передачу.
Согласно статье 88 Трудового кодекса Российской Федерации, работодатель может передавать персональные данные работника третьим лицам только в следующих случаях:
- При наличии письменного согласия работника;
- В случаях, когда это необходимо для предупреждения угрозы жизни и здоровью работника;
- В других случаях, предусмотренных федеральным законом.
К «другим случаям» относятся, например, передача данных в Пенсионный фонд Российской Федерации, Федеральную налоговую службу, военкоматы и другие государственные органы в рамках их полномочий.
С 2025 года ужесточены требования к передаче персональных данных за пределы территории Российской Федерации. Теперь такая передача возможна только в страны, являющиеся участницами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, либо в страны, обеспечивающие адекватную защиту прав субъектов персональных данных согласно решению Роскомнадзора.
Практические шаги по защите персональных данных от работодателя
Чтобы эффективно защитить свои персональные данные от неправомерного использования работодателем, рекомендуется предпринять следующие шаги:
- Внимательно ознакомьтесь с документами, которые вы подписываете при трудоустройстве. Не подписывайте согласие на обработку персональных данных, если в нем не конкретизированы цели и способы обработки, либо если оно предусматривает обработку данных, не связанных с трудовой деятельностью.
- Требуйте предоставления полной информации об обработке ваших персональных данных. Согласно части 1 статьи 14 Федерального закона № 152-ФЗ, вы имеете право получать информацию об обработке ваших персональных данных, включая юридическое лицо, которое осуществляет обработку, цели обработки, перечень данных и многое другое.
- Ограничьте круг передаваемых данных только той информацией, которая непосредственно необходима для выполнения трудового договора. Не предоставляйте избыточные данные, такие как сведения о ваших увлечениях, религиозных или политических взглядах, если они не имеют отношения к работе.
- Фиксируйте все случаи передачи персональных данных. Если вы подозреваете, что работодатель передает ваши данные третьим лицам без оснований, требуйте письменного разъяснения о целях и правовых основаниях такой передачи.
- Используйте право на отзыв согласия на обработку персональных данных. С 2025 года отзыв согласия на обработку персональных данных возможен в любое время, и работодатель обязан прекратить их обработку в течение 10 рабочих дней, если только обработка не осуществляется на ином законном основании.
- Направляйте запросы о предоставлении информации об обработке ваших персональных данных. По новым правилам 2025 года, работодатель обязан ответить на такой запрос в течение 15 календарных дней.
Что делать при нарушении прав на защиту персональных данных?
Если вы обнаружили, что работодатель нарушает ваши права в области защиты персональных данных, следует предпринять следующие действия:
- Направьте письменное обращение работодателю с требованием прекратить нарушение и устранить его последствия. В обращении укажите, какие именно права были нарушены и каким образом.
- Обратитесь в Роскомнадзор с жалобой на неправомерную обработку персональных данных. С 2025 года Роскомнадзор наделен правом проводить внеплановые проверки по жалобам граждан на нарушения в области обработки персональных данных без предварительного уведомления.
- Подайте заявление в прокуратуру по месту нахождения работодателя. Прокуратура вправе провести проверку и вынести представление об устранении нарушений.
- Обратитесь в суд с требованием о защите ваших прав. Вы можете потребовать компенсации морального вреда, убытков, а также прекращения обработки персональных данных.
С 2025 года увеличены размеры административных штрафов за нарушения в области обработки персональных данных. Согласно статье 13.11 Кодекса Российской Федерации об административных правонарушениях, для юридических лиц штрафы могут достигать 500 000 рублей, а при повторных нарушениях — до 1 000 000 рублей.
Новые возможности защиты с 2025 года
С 2025 года вводятся новые механизмы защиты персональных данных:
- Право на забвение — работник вправе требовать удаления своих персональных данных, если цели их обработки достигнуты или утратили актуальность;
- Право на переносимость данных — работник может требовать передачи своих персональных данных другому лицу в машиночитаемом формате;
- Обязательность проведения оценки воздействия на защиту персональных данных для всех новых процессов обработки;
- Усиление ответственности за несанкционированную передачу персональных данных третьим лицам.
Также с 2025 года вводится понятие «субъекта персональных данных повышенной защиты» — к ним относятся лица, чьи персональные данные подлежат особой защите в силу их профессиональной деятельности или социального статуса. К таким субъектам могут относиться, например, работники правоохранительных органов, судьи, сотрудники спецслужб и их близкие родственники.
Заключение
Защита персональных данных от неправомерного использования работодателем — это не только право, но и ответственность каждого работника. С 2025 года законодательство предоставляет больше возможностей для контроля над своими персональными данными и пресечения их незаконной передачи третьим лицам.
Помните, что защита персональных данных начинается с вашей собственной бдительности. Внимательно читайте документы, которые подписываете, задавайте вопросы о целях обработки данных, используйте свои права для контроля над личной информацией. В случае нарушений не бойтесь обращаться в контролирующие органы и суд — закон на вашей стороне.