Почему работодатель должен знать, как обрабатываются данные сотрудников

Работодатель обязан понимать, какие данные сотрудников он обрабатывает, кому и на каком основании они передаются и в каких системах хранятся — это ключевой элемент управления правовыми и репутационными рисками.

Работники — субъекты с повышенным риском жалоб

В трудовых отношениях работник находится в зависимом положении, поэтому при конфликте у него есть стимул обратиться в трудовую инспекцию, прокуратуру или Роскомнадзор (РКН). Пробелы в работе с персональными данными быстро становятся «точкой давления»:
·  работник может заявить о незаконной обработке;
·  инициировать проверку контролирующих органов;
·  потребовать прекращения обработки и уничтожения данных.

Массовый отзыв согласий: как это ломает процессы

Опасна ситуация, когда обработка данных сотрудников построена на их согласиях. При конфликте работник может отозвать согласия — в том числе массово.

Последствия для работодателя:

·  прекращается основание для обработки в HR‑системах, системах доступа, учёте рабочего времени;

·  работник формально не может исполнять трудовую функцию;

·  уволить его за это нельзя — отсутствие согласия не является дисциплинарным проступком.

Работодатель оказывается в ловушке: данные обрабатывать без основания нельзя, а без данных работа сотрудника невозможна.

Почему согласия недостаточно

Согласие — самое хрупкое основание, его можно отозвать в любой момент. Работодатель должен обеспечить устойчивые правовые основания:

·      исполнение трудового договора, должностных инструкций, локальных актов работодателя;

·      обязанности по законодательству (отчётность в ФНС, ПФР, ФСС, воинский учёт);

·      законные интересы работодателя (безопасность, контроль доступа, видеонаблюдение — при соблюдении условий).

Для каждого случая нужно зафиксировать:
·      какие данные обрабатываются и с какой целью;
·      правовое основание;
·      получателей данных;
·      информационные системы, где данные обрабатываются;
·      сроки хранения и порядок уничтожения.
 
Что сделать прямо сейчас

1.Провести аудит обработки данных сотрудников:
-  составить реестр ИСПДн;
-  зафиксировать цели, категории данных, основания, получателей и сроки обработки.

2.Пересмотреть документы:
-  заменить согласия на иные основания;
- актуализировать положения о персональных данных.

3.Настроить процедуры:
- порядок реагирования на отзывы согласий;
-  алгоритм при запросах и проверках РКН;
- обучение HR и руководителей.
 
Если появились вопросы или вы видите риски в обработке данных работников — обращайтесь.

Я помогаю работодателям:

·  провести экспресс‑аудит обработки персональных данных работников;

·  выстроить юридически корректные основания вместо согласий;

·  подготовить документы и процедуры для проверок РКН и трудовых споров;

·  обучить HR и руководителей правильному обращению с данными.

Напишите — обсудим вашу ситуацию и подберём формат работы для вашей компании.