Слепое пятно
Когда речь заходит про персональные данные, все думают про клиентов. Форма на сайте, база в CRM, согласие на рассылку.
Про сотрудников не думает почти никто. А данных о них компания хранит больше и глубже, чем о любом клиенте: паспорт, адрес регистрации, СНИЛС, ИНН, сведения о детях, медицинские справки, банковские реквизиты.
По закону это те же персональные данные, с теми же требованиями и той же ответственностью. Разница только в том, что клиент может пожаловаться и уйти, а сотрудник находится внутри и знает, где что лежит.
Что именно у вас хранится
Пройдите мысленно по кадровому обороту небольшой компании.
При приёме. Копия паспорта, трудовая книжка или сведения о ней, СНИЛС, ИНН, документы об образовании, реквизиты для зарплаты.
По ходу работы. Больничные, заявления на отпуск, справки, сведения о детях для вычетов, иногда медосмотры.
В переписке. Сканы документов, которые сотрудник прислал в чат или на почту. Это самая забываемая категория, и обычно самая небрежно хранимая.
У подрядчиков. Бухгалтерия на аутсорсе получает всё то же самое.
В резервных копиях и старых папках. Данные людей, которые уволились три года назад.
Последний пункт - отдельная тема. Хранить кадровые документы дольше положенного не безопаснее, а рискованнее: ответственность за них остаётся, а польза давно кончилась.
Три вещи, которые проверяются быстро
Без юриста и без бюджета, за один вечер.
Где лежат сканы документов. Если ответ «в чате с бухгалтером» или «в папке на рабочем столе» - это то, что нужно поправить первым. Копия паспорта в переписке живёт вечно и уезжает вместе с телефоном.
Кто имеет доступ. К кадровым документам не должен иметь доступ весь офис. Проверьте общие папки: там часто оказывается то, чего там быть не должно.
Что с уволенными. Данные людей, которые давно ушли, обычно лежат там же, где и были, и никто про них не помнит.
Про клиентские данные компания вспоминает, потому что о них спрашивают проверяющие и клиенты. Про кадровые не спрашивает никто - ровно до того момента, когда обиженный бывший сотрудник решает написать жалобу.
Что это меняет практически
Три следствия, о которых стоит знать.
Уведомление в Роскомнадзор. Раньше многие маленькие компании не подавали его на том основании, что обрабатывают только данные своих сотрудников. Это исключение убрали. Разбирали в отдельном тексте.
Требование к месту хранения. Данные россиян должны храниться в России. Кадровые документы в зарубежном облачном хранилище - тот же вопрос, что и клиентская переписка в чужом облаке.
Ответственность при утечке. Утечка кадровых данных - это утечка персональных данных, со всеми последствиями. Про оборотные штрафы писали отдельно.
Разумный минимум
Что стоит сделать небольшой компании, не превращая это в проект на квартал.
Собрать кадровые документы в одно место с ограниченным доступом. Не в общей папке и не в переписке.
Убрать сканы из чатов. Разово пройти по перепискам, где присылали документы, перенести и удалить.
Ограничить круг доступа. Обычно это руководитель и тот, кто ведёт кадры. Больше никто.
Не собирать лишнего. Самый недооценённый пункт. Данные, которых у вас нет, не могут утечь и не требуют защиты. Если вы просите документ «на всякий случай», лучше не просить.
Удалять то, что больше не нужно хранить. Сроки хранения кадровых документов установлены, и они конечны.
Отдельно стоит внести кадровые хранилища в карту данных компании - иначе про них снова забудут.
Оговорка
Мы не юридическая фирма и консультаций по трудовому праву не даём. Сроки хранения кадровых документов, состав обязательных согласий и требования к их оформлению - вопросы, где детали решают, и они менялись за последние два года.
Текст выше - про то, что стоит проверить и о чём вспомнить. За точными формулировками идите к юристу или кадровику.
Где здесь мы
Прямого продукта под кадровый учёт у нас нет, и придумывать его для связки в статье было бы нечестно.
Косвенная часть та же, что и в остальных текстах этого раздела: сканы документов чаще всего оседают в переписке, потому что переписка - самый простой способ что-то передать. Корпоративный мессенджер за 5 990 рублей в месяц даёт место, где доступ управляется администратором, а данные лежат на серверах в России по 152-ФЗ. Установка и настройка входят в подписку, запуск за 5 дней от заявки.
Кадровый документооборот он не ведёт. Но убрать паспорта из личных чатов помогает.
Что делать дальше
Найдите в своей переписке последний присланный скан паспорта или другого документа сотрудника. Он там почти наверняка есть.
Перенесите его туда, где ему место, и удалите из чата. Дальше по тому же принципу пройдите остальные - это займёт вечер и снимет самый очевидный риск.
