Персональные данные в сфере трудовых отношений. Часть 2. Защита персональных данных в период трудовых отношений (Турысбекулы Мади, ведущий юрист АО «Mega Center Management»; Муратбек Багжана, юрист АО «АИФН «Mega Center Plus»)

Корреспонденты на фрагмент
Поставить закладку
Посмотреть закладки
Добавить комментарий

Персональные данные в сфере трудовых отношений.
Часть 2. Защита персональных данных в период трудовых отношений

Турысбекулы Мади

Ведущий юрист АО «Mega Center Management»

Муратбек Багжана

Юрист АО «АИФН «Mega Center Plus»

В первой части нашей публикации мы вкратце затронули возможные правовые риски, с которыми работодатель может столкнуться в период поиска кандидата (соискателя) на свободные вакансии.

Вторая часть будет посвящена рискам, которые подстерегают работодателя с момента приема кандидата на работу (оформление трудовых отношений), в период трудовых отношений и до момента прекращения трудовых отношений.

Из наиболее распространенных случаев (ситуаций) нарушений положений Закона РК «О персональных данных и их защите» (далее - Закон), мы рассмотрим следующие:

1. Сбор и обработка персональных данных (далее - ПДн) кандидата без получения соответствующего согласия;

2. Заполнение анкеты, как способ сбора и обработки ПДн;

3. Отказ в приеме на работу (заключении трудового договора) при не предоставлении кандидатом ПДн, запрашиваемых работодателем или при отказе от подписания согласия на сбор и обработку ПДн;

4. Сбор и обработка ПДн, не относящихся к трудовым отношениям, т.е. в случаях, не предусмотренных Законом и трудовым законодательством Республики Казахстан или несовместимая с целями сбора ПДн.

1. Сбор и обработка ПДн кандидата без получения соответствующего согласия.

Как нами упоминалось ранее, при получении работодателем резюме с электронного сервиса, от третьих лиц или в случае самостоятельного (работодателем) сбора ПДн кандидата из других источников, существует риск нарушения работодателем положений Закона, поскольку высока вероятность, что действия работодателя:

· выходят за пределы первоначально предоставленного согласия кандидата (в ситуации с электронным сервисом) или

· согласие на сбор и обработку ПДн не было предоставлено работодателю вовсе (при получении резюме от третьих лиц либо при сборе ПДн работодателем самостоятельно).

Чтобы избежать обвинений в нарушении положений Закона, рекомендуем пригласить кандидата по телефону на собеседование. И, перед непосредственно собеседованием, получить подпись кандидата на согласии, типовая форма которого должна быть утверждена, как и сама политика по сбору и обработке ПДн.

Отметим, что не каждая информация, полученная работодателем от третьих лиц или собранная самостоятельно, может быть отнесена к персональным данным. К примеру, при наличии у работодателя только имени (без фамилии и отчества) и номера телефона кандидата, считаем, что такие сведения нельзя отнести к ПДн, поскольку не позволяют идентифицировать субъекта ПДн.

Поясним свою позицию. В соответствии с пп. 1) ст. 1 Закона РК «О связи» абонентом признается физическое или юридическое лицо, с которым заключен договор на оказание услуг связи. Согласно п. 1 ст. 15 ГК РК (Общая часть): «Гражданин приобретает и осуществляет права и обязанности под своим именем, которое включает фамилию и имя, а также по желанию отчество». Исходя из чего следует, что имя гражданина (без указания его фамилии, отчества), а также номер его телефона, не позволяют работодателю идентифицировать человека в том объеме, чтобы такая информация попадала под понятие ПДн.

В случае, если собеседование провести в формате оффлайн невозможно, тогда необходимо будет перед собеседованием направить кандидату сообщение на электронный адрес, с предложением провести собеседование в режиме онлайн (с указанием даты и времени), а также просьбой - предоставить обратную связь на предложение работодателя. При получении письменного ответа (в ответ на электронное сообщение) от кандидата с согласием на прохождение собеседования в режиме онлайн, такие действия кандидата могут быть признаны в дальнейшем, как согласие на сбор и обработку его ПДн.

Также следует сказать, что не требуется согласие от кандидата на сбор и обработку общедоступных ПДн. Касательно трудовых отношений, к таким общедоступным ПДн могут быть отнесены данные кандидата, размещенные на электронных сервисах по поиску работы. Но, опять же, с ранее упомянутой нами оговоркой, - такие ПДн могут собираться и обрабатываться исключительно в пределах электронного сервиса. Работодателю следует помнить, что не всякие общедоступные ПДн могут быть использованы им без получения согласия от кандидата. К примеру, общедоступные ПДн, размещенные в телефонных/ адресных справочниках с согласия субъекта ПДн, нельзя использовать в целях приглашения кандидата на собеседование с предложением занять вакантную должность, поскольку цели сбора и обработки ПДн кандидата в этом случае не совпадают с той целью, которую преследуют собственники/оператора базы ПДн, создавшие телефонные/адресные справочники.

Поскольку Закон не затрагивает вопрос о содержании согласия на сбор и обработку ПДн, мы бы рекомендовали в типовую форму такого согласия в обязательном порядке включать следующие данные (информацию):

a. Фамилию, имя, отчество (при наличии), ИИН, а также контактные данные (номер телефона) лица, подписывающего согласие. Это позволит идентифицировать человека, подписывающего согласие;

b. Полный перечень ПДн (кандидата или работника), в отношении которых работодатель осуществляет сбор и обработку ПДн;

c. Цели сбора и обработку ПДн;

d. Полный перечень действий, которые совершает работодатель в отношении ПДн, полученных от кандидата/ работника. В числе таких действий, рекомендуем указывать: сбор, обработку, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение, дополнение), извлечение, использование, передачу (распространение, предоставление, доступ, опубликование), в том числе трансграничную (если работодатель имеет регулярные деловые отношения с деловыми партнерами, находящимся за пределами Республики Казахстан), блокирование, обезличивание, удаление, уничтожение;

e. Период времени (срок), в течение которого действует такое согласие. Рекомендуем указывать срок действия бессрочным либо на максимально возможный срок, чтобы исключить неблагоприятные последствия для компании работодателя;

f. Дату, место и время подписания такого согласия.

Вышеперечисленный перечень данных (информации) не является исчерпывающим и по желанию работодателя может быть расширен, но, в тех пределах, которые предоставлены работодателю (как собственнику или оператору базы ПДн) Законом, а также иными нормативными правовыми актами Республики Казахстан.

2. Заполнение анкеты, как способ сбора и обработки ПДн.

В нашей стране встречается практика заполнения типовых форм анкет кандидатами на вакантную должность. Оговоримся сразу, что это не является нарушением действующего законодательства Республики Казахстан. Вместе с тем, хотим отметить, что типовая форма анкеты должна быть оформлена таким образом, чтобы исключить нарушение положений Закона.

Так, в частности, мы бы рекомендовали работодателям в обязательном порядке:

· указать срок рассмотрения анкеты кандидата, а также срок для предоставления обратной связи кандидату (прием на работу или отказ в приеме на работу). Это вытекает из содержания абзаца 2 п. 2 ст. 12, подпункта 1) ст. 18, подпункта 1) п. 1 ст. 24 Закона;

· предусмотреть цели сбора и обработки ПДн, данные (имя/наименование и адрес) оператора базы ПДн, ФИО кандидата, сроки обработки ПДн, источник получения ПДн, перечень действий, которые будет совершать работодатель с ПДн и способ обработки ПДн;

· оставить место (строку/ поле), в котором кандидат расписывается, подтверждая свое согласие на сбор и обработку ПДн;

· составить анкету таким образом, чтобы кандидат имел возможность ознакомиться со своими ПДн, но, не имел возможности ознакомиться с ПДн других работников или третьих лиц;

· не запрашивать у кандидата ПДн, которые не совместимы с целями трудоустройства и исполнения должностных обязанностей.

В случае, когда типовая форма анкеты будет составлена надлежащим образом, получать отдельное согласие на сбор и обработку ПДн кандидата, - не требуется.

В рамках настоящей публикации мы не будем перечислять минимальный перечень документов, которые кандидат должен предоставить работодателю для заключения трудового договора в соответствии со ст. 32 Трудового кодекса Республики Казахстан. В то же время считаем необходимым предостеречь работодателей от возможного нарушения положений Закона, при запросе у кандидата тех или иных документов, данных и информации.

К числу ПДн, которые работодатель собирает от кандидата на этапе оформления трудовых отношений, можно отнести (не ограничиваясь):

1. Фамилия, имя, отчество (при его наличии);

2. Адрес постоянной регистрации, а также номер телефона (домашний и/или мобильный);

3. Данные документа, удостоверяющего личность (удостоверение личности, паспорт, вид на жительство, удостоверение лица без гражданства или удостоверение беженца);

4. ИИН;

5. Данные документа об образовании, квалификации, информация о наличии специальных знаний или профессиональной подготовки.

Поскольку оформление трудовых отношений без предоставления документов, предусмотренных ст. 32 Трудового кодекса Республики Казахстан, невозможно, следовательно, работодатель, вправе самостоятельно собирать и обрабатывать ПДн кандидата из других доступных источников (законным способом).

Такой вывод напрашивается исходя из смысла подпункта 8) ст. 9 Закона, в соответствии с которым, работодатель, как оператор базы ПДн, вправе осуществлять сбор и обработку ПДн без согласия кандидата, поскольку последний не исполняет свою обязанность по предоставлению ПДн в соответствии с законами Республики Казахстан.

Однако, если работодатель столкнется с отказом кандидата в предоставлении документов в соответствии со ст. 32 Трудового кодекса Республики Казахстан, содержащих его ПДн и получение документов/ПДн из других источников невозможно, работодатель вправе отказать такому кандидату в приеме на работу и заключении трудового договора до момента предоставления кандидатом обязательных к предъявлению документов.

Как нами отмечалось ранее, ПДн кандидата должны собираться и обрабатываться только при наличии письменного согласия кандидата на сбор и обработку его ПДн. При оформлении трудовых отношений и заключении трудового договора, считаем, что согласие на сбор и обработку ПДн кандидата должно быть подписано раньше других документов (приказа, трудового договора и т.д.), поскольку такой шаг позволит работодателю быть уверенным, что все последующие действия ответственного работника работодателя (сбор документов, подготовка приказа, трудового договора и др. документов) являются законными.

Хотим обратить ваше внимание на тот факт, что отраслевое законодательство Республики Казахстан может предусматривать обязательное предоставление кандидатом на вакантную должность дополнительной информации (данных), помимо тех, которые предусмотрены ст. 32 Трудового кодекса Республики Казахстан. В качестве примеров, когда кандидат обязан предоставить работодателю информацию, содержание ПДн, можно привести следующее:

· в соответствии с абзацем 2 п. 3 ст. 54 Закона РК «Об использовании воздушного пространства Республики Казахстан и деятельности авиации»: «Лица, непосредственно связанные с выполнением и обеспечением полетов воздушных судов и их техническим обслуживанием, обслуживанием воздушного движения, допускаются к профессиональной деятельности при наличии действующего свидетельства на право осуществления такой деятельности и медицинского сертификата»;

· в соответствии с абзацем 2 п. 3 ст. 86 Кодекса РК «О здоровье народа и системе здравоохранения», при поступлении на работу кандидаты обязаны проходить предварительный обязательный медицинский осмотр. Делается это с целью «… выяснения пригодности к выполнению обязанностей по профессии или учебе, а также предупреждения общих, профессиональных и нераспространения инфекционных и паразитарных заболеваний».

Не секрет, что работодатели не прочь осуществлять сбор и обработку не только ПДн, но и других данных и информации, как в отношении кандидата, так и в отношении действующих работников. Такое желание вполне объяснимо, поскольку любая информация в наше время становится не только полезной, но, и необходимой. А информация о кандидате/ работнике, который будет занимать/ занимает руководящую должность, является жизненно важной, поскольку может предотвратить финансовые потери работодателя.

К сожалению, на практике не редко происходят ситуации, когда работодатель, перед оформлением трудовых отношений и даже до получения согласия на сбор и обработку ПДн, просит кандидата заполнить анкету, внеся в нее не только ПДн, но, и информацию, которая никак не может быть связана с профессиональными качествами кандидата. К примеру, информацию (в том числе, ПДн) о родственниках кандидата. Такие просьбы могут сопровождаться заверениями, что запрашиваемая информация необходима для успешного оформления всех необходимых документов и заключения трудового договора.

Кандидаты, в большинстве случаев (как правило, в виду правовой безграмотности) соглашаются и заполняют такие анкеты.

Однако, мы бы хотели предостеречь работодателей от чрезмерной активности в вопросе сбора информации, которая напрямую не касается цели оформления трудовых отношений, выполнения трудовых обязательств/ функций. Это позволит избежать лишних обвинений работодателя в нарушении положений не только Закона, но, и других нормативных правовых актов.

Так, в частности, при заполнении анкеты, считаем, нет необходимости запрашивать у кандидата ПДн его близких и членов семьи или иных лиц. Если существует такая необходимость, то можно ограничиться именем и номером телефона лиц, с которыми кандидат рекомендует связаться, в случае наступления непредвиденных ситуаций (к примеру, при получении производственной травмы или иного несчастного случая).

В вопросе сбора и обработки ПДн кандидатов и работников, по нашему мнению, очень хорошая практика сложилась на территории Европейского союза, где помимо Генерального регламента по защите персональных данных (General Data Protection Regulation), существует ряд других нормативных актов и рекомендаций, не являющихся нормами права. Среди таких документов мы бы выделили Рекомендацию Комитета Министров Совета Европы CM/ Rec (2015) 5 «Об обработке персональных данных при приеме на работу», принятую 01.04.2015 г.[1]

В вышеуказанной Рекомендации CM/ Rec (2015) 5, упоминается ряд принципов и ограничений, предусмотренных для работодателя, в том числе:

· работодатель должен свести к минимуму обработку ПДн до тех данных, которые необходимы для достижения цели в каждом конкретном случае. Применительно к теме нашей публикации такие цели могут касаться вопросов найма кандидата на работу, выполнения трудовых (должностных) функций, возложенных на работника трудовым/ коллективным договором или законодательством, а также прекращения трудовых отношений;

· работодатель должен получить (собирать) ПДн от самого кандидата/работника, являющегося субъектом ПДн. В ситуациях, когда работодателю необходимо получить ПДн от третьих лиц, работодатель обязан уведомить об этом кандидата/ работника;

· работодатель должен воздержаться от запроса у кандидата/ работника доступа к информации, которой кандидат/ работник делится с третьими лицами в Интернете, в особенности, через социальные сети;

· работодатель должен использовать ПДн только для тех целей, ради которых и осуществлялся сбор таких ПДн. В исключительных случаях, когда использование ПДн необходимо для иных целей, работодатель должен принять достаточные меры, исключающие неправильное (нецелевое) использование ПДн, а также уведомить работника о необходимости использования ПДн для других целей.

Также интересной представляется рекомендация, связанная с возможными вопросами работодателя в отношении состояния здоровья кандидата/ работника или необходимостью прохождения медицинского обследования. Такие действия (постановка вопросов и направление на медицинское обследование) могут быть совершены, если:

a) это необходимо с целью определить профпригодность на вакантную должность или выполняемую работу;

b) выполняются требования профилактической медицины (в целях профилактики заболеваний и укрепления здоровья);

c) это необходимо в целях предоставления гарантии реабилитации или соблюдения иных требований к рабочей среде;

d) это направлено на защиту жизненно важных интересов субъекта ПДн иных работников и иных лиц;

e) это позволяет предоставлять социальные льготы;

f) поступает соответствующий запрос из суда.

В отношении информации, которая касается здоровья кандидата/ работника, отметим, что для сбора такой информации должны быть законные основания. К примеру, в соответствии с подпунктом 1) п. 1 ст. 26 ТК РК не допускается заключение трудового договора на выполнение работы, противопоказанной лицу по состоянию здоровья на основании медицинского заключения. Исходя из чего считаем, что если кандидат/работник отказывается от предоставления информации о состоянии его здоровья, то у работодателя (с учетом положений 2 п. 3 ст. 86 Кодекса РК «О здоровье народа и системе здравоохранения») есть полное право отказать кандидату в приеме на работу (заключении трудового договора).

В отношении работника, который отказывается предоставить сведения о своем здоровье, работодатель может поступить в соответствии с положениями ТК РК, отстранив такого работника, если работник обязан, в силу требований действующего законодательства Республики Казахстан:

- пройти медицинский осмотр либо предсменное медицинское освидетельствование (подпункт 4) п. 2 ст. 48 ТК РК), либо

- действия или бездействие работника повлекли или могли повлечь за собой тяжкие последствия для его жизни и здоровья (подпункт 6) п. 2 ст. 48 ТК РК).

Также важно помнить о требованиях, которые предъявляются к работодателю нормами действующего законодательства Республики Казахстан. Так, в частности, в соответствии с п. 3 ст. 38 ТК РК, работодатель не вправе допускать перевод работника на другую работу при противопоказаниях для работника по состоянию здоровья, подтвержденных медицинским заключением.

А согласно п. 2 ст. 43 ТК РК, в случае письменного отказа работника от временного перевода на другую не противопоказанную по состоянию здоровья работу либо при наличии акта, удостоверяющего отказ работника от представления письменного отказа от временного перевода по таким основаниям, трудовой договор с работником прекращается по основанию, предусмотренному подпунктом 3) пункта 1 статьи 58 ТК РК.

С учетом вышеизложенного мы бы рекомендовали работодателям предпринять следующие меры, позволяющие, как минимум, снизить правовые риски:

a. До начала оформления документов (трудовой договор, приказ и т.д.) получить от кандидата подпись на согласии на сбор и обработку ПДн. При отказе кандидата от подписания такого согласия, необходимо объяснить, что такой отказ может стать основанием для работодателя в отказе от заключения трудового договора, поскольку невозможно оформлять и подписывать необходимые документы не получив согласие на сбор и обработку ПДн;

b. Не запрашивать у кандидата информацию и данные (в том числе ПДн), если они напрямую не связаны с вопросами найма кандидата на работу, выполнения трудовых (должностных) функций, возложенных на работника трудовым/ коллективным договором или законодательством, а также прекращения трудовых отношений. Отказ кандидата от предоставления ПДн (в том числе в отношении близких родственников), не может стать основанием для отказа в заключении трудового договора;

c. Осуществлять сбор и обработку ПДн работников в строгом соответствии с ограничениями, предусмотренными Законом и иными нормативными правовыми актами. То есть, не запрашивать у работника те ПДн, которые никак не связаны с исполнением работником должностных (трудовых) обязанностей (функций). В случае расширения и/или изменения должностных обязанностей работника, что, в свою очередь, влечет за собой необходимость запроса дополнительных ПДн, - подписать с таким работником новое согласие на сбор и обработку ПДн;

d. При отказе работника от предоставления ПДн, которые работник обязан предоставить в силу требований действующего законодательства Республики Казахстан, - действовать в соответствии с положениями ТК РК (т.е. отстранить от работы или перевести на другую работу, либо прекратить с таким работником трудовой договор).

Поставить закладку
Посмотреть закладки
Добавить комментарий

[1] Recommendation CM/Rec(2015)5 of the Committee of Ministers to member States on the processing of personal data in the context of employment (Adopted by the Committee of Ministers on 1 April 2015, at the 1224th meeting of the Ministers’ Deputies) https://search.coe.int/cm/Pages/result_details.aspx?ObjectID=09000016805c3f7a