Личное дело сотрудника и KVKK в Турции: кто имеет доступ, как защитить номер T.C. и IBAN

Руководитель группы просит работника прислать IBAN в WhatsApp, чтобы перевести аванс. Другой руководитель спрашивает: «Можно мне посмотреть дела моей команды?» А сотрудник интересуется: «Что лежит в моем деле и кто его видел?» Все три вопроса ведут в одно место: личное дело — это не просто папка с документами, а система учета, в которой хранятся персональные данные, и ее правила прописаны в KVKK — законе Турции о защите персональных данных. Ниже шаг за шагом разбираем, какие данные есть в личном деле сотрудника, когда согласие не требуется, кто к каким данным может иметь доступ и как защитить чувствительные поля.

Обязанности работодателя по KVKK в отношении личного дела — законно обрабатывать идентификационные и контактные данные работника, сведения о его зарплате, здоровье и т. п., информировать работника и не допускать несанкционированного доступа к данным (Закон Турции № 6698, ст. 4, ст. 10 и ст. 12).

Какие персональные данные хранятся в личном деле сотрудника?

Согласие по KVKK для личного дела: нужно ли явное согласие?

Исходное правило закона такое: персональные данные нельзя обрабатывать без явного согласия субъекта. Но та же статья разрешает обработку без согласия, если есть одно из оснований. Для трудовых отношений важнее всего следующие (ст. 5):

• Обработка прямо предусмотрена законом.
• Обработка данных сторон договора необходима, если она напрямую связана с заключением или исполнением договора.
• Обработка необходима, чтобы оператор данных выполнил свою правовую обязанность.
• Обработка необходима для установления, осуществления или защиты права.
• Обработка необходима для законных интересов оператора данных при условии, что она не нарушает основные права и свободы субъекта.

Поэтому вместо того, чтобы собирать общее «согласие по KVKK» на каждый документ, надежнее определить, на каком основании обрабатывается каждая группа данных. Для данных особой категории правило строже: их обработка запрещена и возможна только при одном из перечисленных оснований; среди них — необходимость выполнить правовые обязанности в сфере занятости, охраны труда и социального обеспечения, и при этом обязательно принимать достаточные меры, установленные Советом по защите персональных данных (ст. 6).

Даже если согласие не нужно, уведомление нужно всегда. При получении данных работодатель сообщает работнику (ст. 10):

• Кто является оператором данных и, если есть, его представителем.
• С какой целью будут обрабатываться данные.
• Кому и с какой целью данные могут передаваться.
• Способ сбора данных и его правовое основание.
• Права работника, перечисленные в ст. 11.

Кто имеет доступ к личному делу?

Закон не дает списка тех, кому разрешен доступ; в качестве принципа он требует, чтобы данные были связаны с целью обработки, ограничены и соразмерны (ст. 4), и чтобы несанкционированный доступ был предотвращен (ст. 12). Закон Турции о труде № 4857 также требует, чтобы работодатель использовал сведения о работнике добросовестно и законно и не раскрывал сведения, в сохранении тайны которых работник обоснованно заинтересован (ст. 75). Обязанность хранить тайну у каждого, кто имеет доступ к данным, сохраняется и после ухода с должности (KVKK, ст. 12).

Таблица ниже — не правило из закона, а пример распределения доступа, основанный на принципе соразмерности. Адаптируйте его под свою организацию.

Как защитить номер T.C. и IBAN работника?

Номер T.C. и IBAN не входят в перечень данных особой категории из ст. 6 KVKK; но это персональные данные, и оператор обязан принять необходимые технические и организационные меры, чтобы предотвратить их незаконную обработку, несанкционированный доступ и утрату (ст. 12). За невыполнение обязанностей по безопасности данных закон предусматривает административный штраф (ст. 18); суммы обновляются, поэтому актуальные цифры проверяйте в объявлениях Управления по защите персональных данных.

• Маскируйте номер T.C. и IBAN на экране и в списках; полное значение показывайте только там, где оно действительно нужно.
• Привяжите доступ к роли и записывайте каждый доступ к документам в журнал.
• Запретите запрашивать номер T.C. и IBAN через WhatsApp или электронную почту; определите защищенный канал.
• Не указывайте номер T.C. в названиях файлов.
• Регулярно проверяйте, кому видны эти поля в общих папках и на распечатках.
• Назначьте ответственного, который при незаконном попадании данных в чужие руки как можно скорее уведомит субъекта данных и Совет (ст. 12).

Что делать, если работник запросит свои данные или потребует их удалить?

Согласно ст. 11 KVKK каждый может обратиться к оператору данных и узнать, обрабатываются ли его персональные данные, а если да — получить сведения об этом, цель обработки и третьих лиц, которым они переданы; он может потребовать исправить неполные или неверные данные. По запросу на удаление или уничтожение оператор, если все основания обработки отпали, выполняет запрос не позднее чем через тридцать дней и сообщает об этом субъекту; если основания не отпали, он может отказать, объяснив причину (Положение об удалении данных, ст. 12). Для документов личного дела, срок обязательного хранения которых еще не истек, причиной отказа служит этот срок.

Чек-лист KVKK для личного дела

1. Перечислите в письменном реестре, какие группы данных вы храните в личных делах.
2. Определите правовое основание для каждой группы данных: закон, договор, правовая обязанность, законный интерес или явное согласие.
3. Выдавайте работникам текст уведомления при приеме на работу и фиксируйте, что он выдан.
4. Привяжите данные особой категории (здоровье, судимость, членство в профсоюзе) к отдельной, более узкой группе доступа.
5. Подготовьте матрицу доступа по ролям и пересматривайте ее не реже раза в год.
6. Установите правила маскирования и каналов передачи для таких полей, как номер T.C. и IBAN.
7. Закрепите сроки хранения и уничтожения в письменной политике.
8. Пропишите, кто, кого и в какой срок уведомляет при утечке данных.

Где бумажные дела и общие папки оставляют данные личного дела без защиты?

Даже запертый шкаф открыт для всех, у кого есть ключ, и неизвестно, кто и когда в него заглядывал. В общей папке медицинское заключение, расчетный лист и заявление с IBAN могут лежать в одном каталоге; каждый, кто откроет папку, увидит все. Проблема не в добросовестных сотрудниках, а в том, что доступ нельзя разграничить: данные видит и тот, кому они не нужны, а при утечке становится невозможно выяснить, кто имел доступ.

Доступ по ролям, маскирование и журнал доступа в электронном личном деле

В YazSis KurumsalPortal, в модуле Цифровое личное дело и управление HR, доступ к личному делу контролируется правами: отдел кадров, уполномоченные руководители и работники видят только те данные, которые открыты для их роли. Чувствительные поля, такие как номер T.C. и IBAN, маскируются. Доступ к документам записывается в журнал доступа к документам, а в платформе также ведется журнал аудита. Подробнее о настройке прав — на странице модуля Управление меню и правами.

Эти средства контроля помогают выстроить процесс с учетом KVKK. Портал сам по себе не заменяет ваши правовые обязанности: подготовить текст уведомления, определить правовое основание для каждой группы данных и написать политику хранения должна сама компания. Система работает на собственном сервере клиента, а работники заходят в нее из браузера телефона, без установки приложения.

Если хотите увидеть доступ по ролям, маскирование и журнал доступа на примере личного дела, загляните на страницу Цифровое личное дело и управление HR.