Пунктом первым ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» установлено, что под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
В соответствии с положениями ст. 86 Трудового кодекса Российской Федерации (далее – ТК РФ) в целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать ряд требований. В частности, обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
При этом нормами той же статьи на работодателя возложена обязанность по защите персональных данных работника от неправомерного их использования или утраты.
Из положений ст. 87 ТК РФ вытекает, что порядок хранения и использования персональных данных работников устанавливается работодателем в соответствующих локальных нормативных актах, с которыми работники должны быть ознакомлены под роспись.
Согласно ст. 90 ТК РФ лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном ТК РФ и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
При этом, согласно разъяснениям Министерства труда и социальной защиты Российской Федерации, изложенным в письме от 11.03.2024 № 14-6/ООГ-1418, к дисциплинарной ответственности за разглашение персональных данных работника можно привлечь лишь в том случае, если на него возложены обязанности по обработке персональных данных и который при обработке персональных данных нарушил законодательство Российской Федерации.