人事に関連するHRオペレーターエラー

2006年7月27日の連邦法N 152-since「個人データについて」の採択から10年以上が経過しましたが、Roskomnadzorの監督活動は、誰もがその応用の実践をマスターしたことを示しています。 特に、2016年の統計では、オペレーターの典型的な間違いの1つがはっきりと見えており、ほとんどの場合、人員の仕事（明らかに、最も一般的な活動として）に関連しています。

「個人データの処理の対象となる個人データの書面による同意の内容とロシア連邦の法律の要件との不一致（2006年7月27日の連邦法第9条第4部第152-「個人データについて」）-2016年に特定された総数の約9％違反。」

この問題をもう一度見てみましょう。 さらに、法律の革新により、罰金が大幅に増加しました。



だから、アートによると。 2017年11月13日、ロシア連邦の行政法典で、役人の最大罰金は1,000ルーブルの罰金であり、会社の場合は1万ルーブルまででした。



2017年7月1日、行政責任を強化する改正が施行されました（連邦法17.02.17 No. 13-FZ日付）。 この改正は、アートに追加の違反をもたらします。 13.11管理コードおよび罰金の引き上げ。 特に、法律は次の違反に対する法人の責任を導入しています。

• 法律で規定されていない場合の個人データの処理（行政法第13.11条第1部）-3万から5万ルーブルの罰金。
• 法律がそのような同意を必要とする場合、書面による同意なしに個人データを処理する（行政犯罪法第13.11条第2部）-15〜70千ルーブルの罰金。
• そのような義務が法律で規定されている場合の個人データの処理に関するポリシーの運営者による非公開（行政犯罪法13条11項の第3部）-15,000〜30000ルーブルの罰金。

従業員は管理上の責任を負う場合がありますが、それだけではありません。 さらに、彼は材料（ロシア連邦労働法243条7項）の懲戒（項目「c」、ロシア連邦労働法81条1項の6項）、さらに刑事責任（ロシア連邦刑法137条2部）を負っています。



問題のある従業員（たとえば、顧客ベースをUSBフラッシュドライブにコピーして競合他社に転送したこと）と、会社の個人データの処理を担当する従業員の両方に対して責任を負います。

従業員の同意を得てどうしますか？

Roskomnadzorは、その推奨事項（文書の全文はここで入手可能です ）で、従業員から1つを取得できない場合の5つの主要なポイントを特定します。



従業員、公務員の個人データの処理は、雇用主によって処理された個人データの量が確立されたリストを超えない限り、これらの人々の適切な同意を取得する必要はなく、労働法、国家公務員に関するロシア連邦の法律によって提供される処理の目的にも準拠しています



雇用主は、適切に同意することなく、労働協約で規定されている場合に従業員の個人データを処理する権利を有します。これには、原則として、労働協約の付属書である労働協約、雇用主の現地の行為が含まれます。 ロシア連邦労働法の372。



さらに、以下の場合には、雇用主による個人データの処理に対する同意の受領は必要ありません。



1.従業員の個人データのインターネット上での公開および投稿を含む処理の義務は、ロシア連邦の法律によって規定されています。





2. 2004年1月5日付けのロシア連邦国家統計委員会の決議により承認された統一書式N T-2により規定された金額の従業員の近親者の個人データの処理N 1「労働会計と支払いに関する統一会計文書の承認について」、またはロシア連邦の法律によって制定されました（慰謝料の受領、国家機密への入場の登録、社会的支払の登録）。



また、従業員の近親者の同意を得ることは、個人データの処理の前提条件です。



3.記事のパート2のパラグラフ2.3の規定に基づいて、従業員が労働機能を実行する可能性の問題に関連する健康状態に関する情報を含む、従業員の個人データの特別なカテゴリの処理 労働法の枠組み内での「個人データに関する」連邦法の10。



4.従業員の生命と健康に対する脅威を防ぐために必要な場合、およびロシア連邦労働法または他の連邦法で規定されている他の場合に、従業員の個人データを第三者に転送する場合。





従業員である公務員の同意は、 出向時を含む公務の遂行に関連する場合に個人データを転送する際には必要ありません（1997年4月25日にロシア連邦政府により承認された、ロシア連邦のホテルサービスの提供に関する規則に準拠） N 490、輸送の安全性の分野における規制上の法的行為）。







以下の場合、従業員の個人データの給与計算用の支払いカードを開いて維持するクレジット組織への転送は 、彼の同意なしに実行されることに注意してください。

1. 従業員と銀行カードを発行する契約が直接締結され、雇用主による従業員の個人データの転送に関するテキストが提供されています。
2. 雇用主は、銀行カードの発行とその後のサービスに関して信用機関と契約を締結する際に、従業員の利益を代表する委任状を有します。
3. 対応する報酬の形態とシステムは、労働協約（ロシア連邦労働法第41条）で規定されています。

5.アクセス体制の組織が雇用主によって独立して実施される場合、または処理が労働協約で定められた手順に従っている場合、雇用主の地域の行為は、アートに従って採用された場合、雇用主のオフィスビルおよび敷地へのアクセス体制の実施中の従業員の個人データの処理。 ロシア連邦労働法の372。



人事および会計のためにサードパーティ組織を誘致する場合、雇用主はアートのパート3によって確立された要件を遵守する必要があります。 「個人データに関する」連邦法の6。個人データを転送する従業員の同意を得ることを含む。

よくある間違い

すべてが非常にシンプルで明確なようですが、エラーは何ですか？ 最近の国際会議「個人データの保護」で、Mikhail Emeliannikov氏は講演で、監査資料から次のデータを引用しました。

書面による個人データの処理に対する従業員の同意、いくつかの目的のための個人データの処理に関する情報、およびオペレーターに代わって個人データを処理する複数の人物の表示。 申請者の個人データの処理に同意することは、個人データを処理する1つの目的を示すという点で、法第9条第4部第4項の要件を満たしていません。 同意には、オペレーターの代わりに個人データを処理する数人の指示が含まれていますが、条項6、パート4、記事の要件を満たしていません 9 No.152-「個人データについて」は、オペレーターに代わって個人データを処理する人（1人）への指示に関して。

そして、同じことから、状況を理解するための裁判所のもう一つの明示的な指示：

明らかにされた違反を排除するために、会社は従業員の個人データを処理するための標準の書面による同意書を作成および使用する必要があります。

裁判所の結論：...個人データを処理する目的がロシア連邦の労働法の範囲を超えている場合、従業員の個人データを第三者に転送する各ケースについて、従業員の書面による個別の同意を取得する必要があります。



事件番号A40-17595 / 16での2016年8月16日No. 09AP-30182 / 2016-AKの第9仲裁裁判所の決定

今日、訴訟が行われているのはこれらの一見些細な間違いです。

さらに、個人データ自体の定義は完全に不明確なままです。 この問題についても、司法慣行が積み重なっています。



通常、どの組織にも、少なくとも標準セットがあり、さまざまなアクセス制御システム（アクセス制御および管理システム）からのプラス/マイナスデータ、つまり：

1. 姓、名前、愛称;
2. 年、月、日、生年月日;
3. 住所
4. 結婚、社会、財産の状態;
5. 教育、職業、地位、収入;
6. 生体認証の個人データ。

裁判所の決定の実践により、個人データのリストがさらに拡張されます。たとえば、裁判所は個人データを認識しました

1. 市民の死亡に関する情報（2014年9月25日のケースNo. A49-2005 / 2014のヴォルガ連邦地方行政裁判所の命令）;
2. 携帯電話番号（2015年1月13日、事件番号33-9241 / 2015年のアルタイ地方裁判所の控訴裁定）;
3. 市民の写真（2015年4月9日のケース番号33-5232 / 2015年のスベルドロフスク地方裁判所の判決に対する控訴）。

最近、明確な傾向がありました-個人データを構成する情報のリストはより広くなっています。 したがって、欧州司法裁判所は、事件番号582/14（Patrick Breyr v。Germany）の10/19/16の判決において、特定の条件下でインターネットユーザーのIPアドレスも個人データとして認識できることを認めました。



それにもかかわらず、法律は、従来の文書流通および自動化された形式でのデータ処理の両方において、個人データのセキュリティを確保することを要求しています。

法律の要件を遵守する方法は？

法律は、個人データは機密情報を指すと規定しています（法律No. 152-FZの第7条）。 オペレーターおよびそれらにアクセスした他の人物は、第三者に開示しないこと、および被験者の同意なしに個人データを配布しないことを要求されます。 オペレーターは、個人データのセキュリティを確保する必要があります。 測定値は、自動化ツールを使用するか手動でデータ処理の方法に依存します。



自動化なしで個人データを保護するための推奨措置が提供されています（08年9月15日のロシア連邦政府の法令687号で承認された法第152-の第19条および規則の第13-15項）。 そのような手段の1つは、会社の内部文書で、個人データを処理するか、個人データにアクセスできる人のリストを定義することです。 また、さまざまな目的で処理される個人データキャリアを個別に保存する必要があります。



個人データの自動処理では、承認された情報システムでの処理中に個人データを保護するための要件が​​適用されます。 11月1日のロシア連邦政府令、12 No. 1119、および2月18日、13 No. 21のロシアFSTEC命令。これらの要件を満たすためには、多くの組織的および技術的措置が必要です。 インテグレーター企業の専門家を引き付ける必要があるかもしれません。



自動処理を使用すると、当社に連絡して、コンプライアンスの問題に関する頭痛の種の少なくとも一部を軽減し、コストを削減することもできます。 人事記録をリードする「理想的なオペレーター」のイメージに近づけることができる、少なくとも2つのソリューションを提供します。

• 「クラウド連邦法152」 。
• 1C賃貸料およびホスティング 。