В целях обеспечения защиты персональных данных, хранящихся у работодателя, работники имеют право на:
полную информацию об их персональных данных и обработке этих данных;
свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;
определение своих представителей для защиты своих персональных данных;
доступ к медицинской документации, отражающей состояние их здоровья, с помощью медицинского работника по их выбору;
требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований настоящего Кодекса или иного федерального закона. При отказе работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения ;
требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;
обжалование в суд любых неправомерных действий или бездействия работодателя при обработке и защите его персональных данных.
Комментарий к статье 89 ТК РФ
В целях обеспечения защиты персональных данных, хранящихся у работодателя, в комментируемой статье закреплены права работника на полную информацию об этих данных, их обработке, свободный к ним доступ, включая право на получение соответствующих копий, и т.п.
В комментируемой статье закреплен принцип достоверности персональной информации, находящейся у работодателя, либо переданной работодателем третьим лицам в течение всего процесса обработки такой информации.
Субъект персональных данных вправе требовать от оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также вправе принимать предусмотренные законом меры по их защите.
Работник имеет право на обжалование в суд любых неправомерных действий или бездействия работодателя при обработке и защите его персональных данных.
Другой комментарий к статье 89 ТК РФ
1. Работник как субъект персональных данных наделен рядом прав, направленных на защиту его персональных данных, обрабатываемых его работодателем.
Одним из основных прав работника является право на получение информации о его персональных данных.
Право на получение информации гарантировано Конституцией РФ и ст.8 ФЗ "Об информации, информационных технологиях и защите информации".
В законодательстве предусмотрены случаи предоставления работникам конкретных персональных данных. Например, ст.62 ТК РФ предусматривает право работника на получение от работодателя копий документов, связанных с работой, в том числе содержащих персональные данные работника. Работодатель обязан предоставить соответствующие копии в течение трех рабочих дней (см. комментарий к ст.62).
В ст.14 ФЗ "Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования" предусмотрено право застрахованного лица (работника) получить копию сведений о себе, представленных страхователем (работодателем) в Пенсионный фонд России для индивидуального (персонифицированного) учета. В случае несогласия со сведениями, содержащимися в его индивидуальном лицевом счете, работник может обратиться с заявлением об исправлении указанных сведений в органы Пенсионного фонда России, включая его Правление, либо в суд.
В соответствии со ст.11 ФЗ "О муниципальной службе в РФ" муниципальный служащий имеет право на ознакомление со всеми материалами своего личного дела, с отзывами о профессиональной деятельности и другими документами до внесения их в его личное дело, а также на приобщение к личному делу его письменных объяснений.
Часть 7 ст.14 ФЗ "О персональных данных" закрепляет перечень информации о персональных данных, которую работник имеет право получить от работодателя.
Если персональные данные по поручению работодателя обрабатываются другим лицом, то работник вправе потребовать сведения о наименовании и месте нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона.
Перечисленные сведения должны быть предоставлены работнику в доступной для него форме. Не допускается включение в них сведений, не относящихся к работнику.
Сведения об обрабатываемых работодателем персональных данных должны быть предоставлены по запросу работника. ФЗ "О персональных данных" предусматривает, что в запросе должны быть указаны паспортные данные субъекта, а также сведения, подтверждающие участие субъекта в отношениях с оператором (номер и дату заключения договора), подпись. На наш взгляд, при направлении соответствующего запроса работником в период трудовых отношений указания соответствующих сведений не требуется. По аналогии со ст.62 ТК РФ необходимо только письменное заявление работника. В том случае, если запрос направляется лицу, которое осуществляет обработку персональных данных по поручению оператора-работодателя, либо при обработке персональных данных претендентов на работу у данного потенциального работодателя, либо при получении соответствующей информации от бывшего работодателя необходимо указать и паспортные данные, и основание обработки персональных данных. Представляется, что порядок направления запроса и его содержание могут быть предусмотрены в локальных нормативных актах работодателя.
Соответствующий запрос может быть направлен в форме электронного документа с электронной цифровой подписью. Такой способ оформления запроса может быть использован дистанционными работниками.
Работодатель должен сообщить перечисленные выше сведения работнику в течение тридцати календарных дней с даты получения запроса. Следует отметить, что по ст.62 ТК РФ срок предоставления документов, требуемых работником, составляет три рабочих дня. Считаем, что аналогичный срок должен быть предусмотрен и для предоставления работнику информации о персональных данных, обрабатываемых работодателем (за исключением потенциальных работников и бывших работников). В том случае, если работник запрашивает какой-либо документ, связанный с обработкой и хранением его персональных данных, то срок предоставления должен составлять три рабочих дня.
Кодекс практики МОТ закрепляет правило о регулярном получении работниками информации о содержащихся у работодателя персональных данных. ТК РФ таких требований не содержит. Однако соответствующая обязанность может быть закреплена в ЛНА работодателя и (или) коллективном договоре.
ФЗ "О персональных данных" также предусматривает правила относительно повторных запросов сведений, перечисленных в ч.7 ст.14 указанного закона.
2. Работник имеет право на доступ к своим персональным данным.
Указанное право распространяется на любые персональные данные работника (обычные, специальные, биометрические), независимо от способа их обработки (автоматизированная, неавтоматизированная, трансграничная передача, обработка в информационных системах).
Доступ работника к персональным данным должен быть бесплатным. Работник имеет право на получение копии любой записи, которая содержит персональные данные работника.
Право доступа к своим персональным данным может быть ограничено законодательством, например, в том случае, если персональные данные работника составляют государственную тайну. Случаи, когда право на доступ работника к его персональным данным может быть ограничено, названы в ч.8 ст.14 ФЗ "О персональных данных".
Реализация права работника на доступ к его персональным данным на практике может быть ограничена отнесением таковых к коммерческой тайне работодателя, что, на наш взгляд, недопустимо. В этой ситуации противопоставляются два права: право работника на доступ к его персональным данным и право работодателя на отнесение сведений к коммерческой тайне. При разрешении указанного противоречия следует учитывать:
- во-первых, признаки коммерческой тайны, а именно потенциальную коммерческую ценность сведений, отнесенных к ней;
- во-вторых, перечень сведений, которые не могут составлять коммерческую тайну, например, сведения о системах оплаты труда (ст.5 ФЗ "О коммерческой тайне");
- в-третьих, тот факт, что требование о конфиденциальности персональных данных принадлежит работнику как субъекту персональных данных.
Поэтому право работника приоритетнее.
Если доступ к персональным данным не может быть предоставлен работнику в силу указанных выше причин, то работодатель должен дать мотивированный ответ работнику в срок, не превышающий тридцати календарных дней со дня обращения работника. В ответе должна быть сделана ссылка на ч.8 ст.14 ФЗ "О персональных данных" или иной федеральный закон, в силу которого доступ к персональным данным не может быть предоставлен работнику.
3. Работник вправе определить своих представителей для защиты персональных данных. Такими представителями могут выступать как профессиональные союзы при осуществлении ими защиты прав работников, так и иные представители (представительные органы работников).
В некоторых случаях в качестве представителей несовершеннолетних работников могут выступать их законные представители (родители, опекуны и попечители). В отношении недееспособных работников представителями могут быть опекуны таких лиц в соответствии с гражданским законодательством. Часть 6 ст.9 ФЗ "О персональных данных" предусматривает, что в случае недееспособности субъекта персональных данных согласие на обработку его персональных данных может быть дано его законным представителем.
Представитель, действующий от имени работника, должен иметь документ, удостоверяющий соответствующее право, а также должен подтвердить то, что работник уполномочил данное лицо на получение доступа к персональным данным работника.
В случае необходимости доступа к медицинским данным работник может воспользоваться помощью медицинского специалиста. Работник вправе самостоятельно выбрать такого специалиста.
4. ТК РФ предусматривает требования относительно выявления работником неверных и неполных персональных данных: если при ознакомлении со своими персональными данными, обрабатываемыми работодателем, работник обнаружит неверные или неполные сведения, он вправе требовать их исправления или исключения работодателем.
В случае отказа работодателя исключить или исправить персональные данные у работника есть право в письменной форме мотивированно заявить о своем несогласии с такими персональными данными.
ФЗ "О персональных данных" устанавливает дополнительные требования при выявлении неправомерной обработки персональных данных или выявлении неточных персональных данных. Ввиду отсутствия соответствующих норм в ТК РФ следует применять эти нормы.
При обработке работодателем персональных данных оценочного характера работник вправе направить работодателю заявление, содержащее его собственную точку зрения. Оценка работника может осуществляться при приеме на работу, проведении аттестации. В силу ТК РФ после ознакомления с результатами аттестации работник вправе заявить работодателю о своем несогласии с выводами аттестационной комиссии. Однако комментируемый закон не предоставляет работнику права требовать исправления данных оценочного характера. У работника есть право оспорить результаты аттестации в установленном законом порядке.
Требование об исключении и исправлении неверных или неполных персональных данных дополнено обязанностью работодателя известить всех лиц, получивших такие неверные или неполные персональные данные, обо всех произведенных исключениях, исправлениях и дополнениях. ТК РФ не устанавливает сроков такого извещения. Предполагаем, что данная обязанность должна быть исполнена немедленно в целях недопущения наступления негативных последствий от такой обработки. Поэтому в ТК РФ следует предусмотреть такой срок.
5. В случае нарушений требований ТК РФ об обработке и защите персональных данных работника, а также требований ФЗ "О персональных данных" и других нормативных правовых актов в этой сфере работник вправе обжаловать действия работодателя. Согласно ст.391 ТК РФ индивидуальные трудовые споры по заявлению работника о неправомерных действиях (бездействиях) работодателя при обработке и защите персональных данных рассматриваются непосредственно в судах. Следовательно, данные споры не могут быть рассмотрены КТС.
Например, апелляционным определением Верховного суда Республики Саха (Якутия) от 23 октября 2013 года по делу N 33-4172/13 удовлетворен иск о признании незаконным бездействия, выразившегося в нарушении норм защиты персональных данных работника при их получении и обработке, содержащихся в дополнительном соглашении к трудовому договору, компенсации морального вреда, поскольку распечатка с интернет-сайта и протокол осмотра с участием нотариуса указывают на неправомерное использование третьими лицами персональных данных работника, находившихся кроме истца только у работодателя (ответчик).