Персональные данные в кадровом электронном документообороте что должен предусмотреть работодатель

Кадровый электронный документооборот меняет формат хранения данных сотрудников. Разбираем, кто становится оператором персональных данных при переходе на КЭДО, чем согласие на ЭДО отличается от согласия на обработку персональных данных и что проверить по 152-ФЗ перед внедрением.

Закон 377-ФЗ разрешил работодателям вести кадровые документы электронно и отказаться от бумаги. Правила закрепили статьи 22.1–22.3 Трудового кодекса, а формат документов и подписи расписал приказ Минтруда от 20.09.2022 № 578н. Компании переходят на кадровый электронный документооборот ради скорости, но забывают пересмотреть защиту персональных данных сотрудников в новой системе. По 152-ФЗ электронный кадровый документ несёт те же риски, что и бумажная папка с личными делами. Доступ к бумажной папке ограничивал ключ от шкафа кадровика. Доступ к электронной системе ограничивают логины и права в интерфейсе.

Что меняется в обработке персональных данных

При переходе на КЭДО у компании появляется новая информационная система. В ней хранятся паспортные данные сотрудников, СНИЛС, адреса, зарплата и сведения об электронной подписи каждого работника. Раньше эти данные лежали в папках отдела кадров, доступ ограничивал физический ключ от сейфа. Теперь доступ регулируют логины, роли в системе и права администратора. Раньше утечка означала украденную папку. Сейчас риск другой. Он приходит из взлома личного кабинета, ошибки в настройках доступа или инцидента у стороннего провайдера ЭДО.

Кто становится оператором персональных данных

Работодатель выбирает один из трёх вариантов ведения КЭДО, и от выбора зависит, кто отвечает за персональные данные.

Первый вариант. Единая цифровая платформа «Работа в России». Оператором инфраструктуры здесь выступает государство, но с работодателя это не снимает ответственность за корректность данных и за организацию доступа сотрудников.

Второй вариант. Собственная информационная система компании. Работодатель остаётся оператором персональных данных в полном объёме и сам отвечает за все требования 152-ФЗ, включая уровень защищённости ИСПДн.

Третий вариант. Система стороннего провайдера ЭДО, к которой компания подключается по договору. Здесь с провайдером обязателен договор поручения на обработку персональных данных. Без него передача данных сотрудников в чужую систему нарушает 152-ФЗ, даже если сам провайдер к утечке не причастен.

Согласие на КЭДО и согласие на обработку персональных данных не одно и то же

Работодателей часто путает то, что переход на электронный документооборот регулирует Трудовой кодекс, а обработку персональных данных в этом документообороте регулирует 152-ФЗ. Это два разных согласия, и оформить нужно оба.

Согласие на переход к электронному документообороту по статье 22.2 ТК РФ нужно получить у сотрудников, которые имели трудовой стаж по состоянию на 31 декабря 2021 года. Работник вправе отказаться, и отказ не может быть причиной увольнения или отказа в приёме на работу. У сотрудников без стажа на эту дату отдельное согласие не берут, их только уведомляют о переходе на КЭДО.

Согласие на обработку персональных данных в системе КЭДО оформляют отдельно по 152-ФЗ, и оно нужно независимо от даты трудоустройства. Форма согласия называет конкретную систему, перечень данных и цель обработки. Общей фразы про переход на электронный документооборот для этого недостаточно.

Что проверить перед внедрением

Уровень защищённости. Электронное хранение персональных данных меняет модель угроз. Раньше опасность исходила от утраты бумаги, теперь ещё и от взлома системы, компрометации учётных записей и ошибок при интеграции с бухгалтерией или системой пропусков. Уровень защищённости ИСПДн стоит пересчитать заново,

Калькулятор уровня защищённости (УЗ)

Договор поручения. Данные может обрабатывать сторонний провайдер вместо собственной системы или платформы «Работа в России». Тогда договор поручения обязателен. В нём нужно прописать конкретные меры защиты, а не только порядок оплаты и доступа к сервису.

Сроки хранения. Электронный кадровый документ хранится не меньше, чем требует архивное законодательство для аналогичного бумажного документа. Автоматическое удаление данных при увольнении сотрудника без учёта сроков хранения кадровых архивов создаёт отдельное нарушение.

Права доступа. В электронной системе легко выдать лишние права на всякий случай. Каждый сотрудник с доступом к персональным данным коллег должен быть в списке допущенных лиц, а список нужно регулярно пересматривать.

Частые вопросы

Нужно ли отдельное согласие на обработку персональных данных, если сотрудник уже подписал согласие на переход к КЭДО?

Да. Согласие на электронный документооборот по Трудовому кодексу и согласие на обработку персональных данных по 152-ФЗ решают разные задачи. Одно другое не заменяет.

Может ли работодатель отказать в приёме на работу из-за отказа от КЭДО?

Нет. Отсутствие согласия на электронный документооборот или отсутствие у работника электронной подписи не может быть причиной отказа в приёме на работу или увольнения.

Нужен ли договор поручения, если компания использует платформу «Работа в России»?

Нет. Оператором инфраструктуры здесь выступает государственная платформа. Коммерческий провайдер в эту схему не входит. При подключении через стороннего оператора ЭДО договор поручения обязателен.

Что грозит, если персональные данные сотрудников утекут из системы КЭДО?

Ответственность наступает по общим правилам 152-ФЗ для оператора персональных данных, независимо от того, произошла утечка из своей системы или из системы подрядчика. Причина в системе провайдера не освобождает работодателя от обязанностей перед сотрудниками.

Перед стартом КЭДО стоит свести три проверки в один список: кто оператор персональных данных в выбранной схеме, какие согласия нужно собрать заново и какой уровень защищённости требует новая система.

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд