Проверка сотрудника может быть необходима не только при приеме на работу. Работодатель может оценивать риски перед повышением, назначением на должность с расширенными полномочиями, предоставлением доступа к коммерческой тайне или при возникновении подозрений в нарушении внутренних правил.
Но у такой проверки есть важная особенность: служба безопасности не может собирать любую информацию о человеке только потому, что она кажется интересной или потенциально полезной.
Проверяя сотрудника, работодатель должен понимать, какие сведения ему действительно необходимы и для чего они будут использоваться. Закон № 152-ФЗ связывает обработку персональных данных с конкретными и законными целями и не допускает получение избыточной информации. Поэтому глубина проверки должна определяться не желанием узнать о человеке как можно больше, а реальной задачей, которую компании необходимо решить.
Поэтому вопрос «как проверить сотрудника» правильнее ставить иначе: какую именно информацию необходимо проверить для решения конкретной рабочей задачи и на каком законном основании это можно сделать?
Зачем работодателю проверять действующего сотрудника
Проверка не обязательно означает, что работодатель подозревает человека в нарушении.
Во многих компаниях контроль сотрудников является частью обычной системы кадровой и корпоративной безопасности. Например, дополнительная проверка может потребоваться, если сотрудник:
- получает доступ к коммерческой тайне;
- переходит на должность с материальной ответственностью;
- начинает управлять крупными бюджетами;
- получает доступ к клиентским базам;
- участвует в закупках;
- начинает самостоятельно выбирать поставщиков;
- получает расширенные полномочия по работе с контрагентами;
- переводится в подразделение с повышенным уровнем риска;
- становится ответственным за финансовые или информационные ресурсы.
Отдельная ситуация — появление конкретных оснований для проверки. Например, выявлена пропажа имущества, обнаружено нарушение регламента, появились признаки конфликта интересов или зафиксирована попытка передачи служебной информации.
В этом случае проверка должна быть связана с конкретной задачей, а не превращаться в сбор максимально большого объема информации о сотруднике.
Статья 86 ТК РФ допускает обработку персональных данных работника в тех случаях, когда она связана с трудовыми отношениями и необходима работодателю для конкретных задач. В числе таких задач — соблюдение закона, оценка работы сотрудника, его продвижение, обеспечение безопасности и сохранности имущества компании.
Что именно можно проверять законно
Универсального перечня «всего, что работодатель имеет право проверить о сотруднике» не существует.
Законность зависит от цели проверки, характера информации, способа ее получения и правового основания для обработки.
На практике проверка может включать несколько направлений.
1. Сведения, связанные с трудовой деятельностью
Это наиболее очевидная часть проверки.
Работодатель вправе анализировать информацию, которая непосредственно связана с выполнением сотрудником его трудовых обязанностей. Например:
- соблюдение внутренних регламентов;
- выполнение должностных обязанностей;
- соблюдение установленных процедур;
- результаты работы;
- нарушения корпоративных правил;
- использование предоставленных полномочий;
- соблюдение требований по сохранности имущества;
- действия в информационных системах компании в рамках установленных процедур контроля.
При этом сама формулировка «мы проверяем сотрудника» не дает работодателю неограниченных полномочий.
Информация должна использоваться для конкретной законной цели и в необходимом объеме.
2. Документы и сведения, предоставленные самим работником
Основной принцип ТК РФ заключается в том, что необходимые сведения работодатель получает непосредственно от самого сотрудника. Обращение к сторонним источникам требует дополнительных оснований: работника нужно заранее уведомить, а в предусмотренных законом ситуациях — получить его письменное согласие. При этом сотруднику должна быть раскрыта информация о том, зачем нужны эти данные, откуда они будут получены, как планируется их использовать и что произойдет в случае отказа предоставить согласие.
Это важный момент для корпоративных проверок.
Например, нельзя исходить из логики: «Если информация где-то есть, значит, служба безопасности вправе ее получить и использовать». Наличие сведений в интернете или в иной базе само по себе еще не отвечает на вопрос о законности их обработки.
Проверка документов, судимости, долгов и судебных дел: где границы
Именно здесь у работодателей часто возникает больше всего вопросов.
Судимость
Информация о судимости имеет особый правовой режим и не относится к сведениям, которыми работодатель может свободно распоряжаться при обычной проверке. Для государственных и муниципальных органов порядок работы с такими данными определяется их установленными полномочиями. Другие организации вправе получать и использовать сведения о судимости только при наличии предусмотренного федеральным законом основания.
Поэтому формула «служба безопасности может самостоятельно проверить судимость любого сотрудника» слишком упрощенная.
В отдельных сферах законодательство действительно устанавливает специальные требования к лицам, которые могут занимать определенные должности. Но для обычного работодателя нельзя автоматически считать проверку сведений о судимости универсальным правом на любой случай.
Долги и исполнительные производства
Информация об имущественных обязательствах человека также не должна собираться просто «на всякий случай».
Если работодатель рассматривает конкретный риск — например, сотрудник получает доступ к денежным средствам или занимает должность, связанную с управлением финансами, — необходимость и правовое основание проверки должны оцениваться отдельно.
Сам факт наличия у человека долгов не означает автоматически, что работодатель вправе использовать любые сведения о его финансовом положении при принятии кадровых решений.
Судебные дела
Публично доступная информация о судебных процессах может использоваться в рамках проверки, если такая обработка соответствует установленной цели и требованиям законодательства о персональных данных.
При этом важно не просто найти информацию о человеке, а убедиться, что речь действительно идет о нужном сотруднике. Совпадение фамилии, имени и даже других отдельных признаков еще не гарантирует достоверность идентификации.
Можно ли проверять связи сотрудника с контрагентами
Да, но здесь также важно разделять служебный риск и личную жизнь сотрудника.
Если работник участвует в закупках, выборе поставщиков, согласовании договоров или других операциях, связанных с контрагентами, проверка потенциального конфликта интересов может быть обоснованной.
Например, службе безопасности может потребоваться выяснить:
- связан ли сотрудник с поставщиком;
- не участвует ли он в принятии решений по компании, с которой имеет личные или деловые связи;
- не возникает ли конфликт интересов;
- не используются ли служебные полномочия в личных целях;
- не получает ли сотрудник необоснованную выгоду от определенных решений.
Здесь важно проверять именно связь, имеющую отношение к работе, а не пытаться составить максимально подробный профиль личной жизни человека.
Подробнее о выявлении подобных рисков можно прочитать в статье «Как выявить конфликт интересов при найме и работе персонала».
Можно ли контролировать корпоративную почту и действия в рабочих системах
Контроль корпоративных ресурсов — отдельное направление.
Работодатель может организовывать контроль использования принадлежащих компании информационных систем, но такой контроль должен быть заранее организован и понятен сотрудникам. Необходимо определить цели контроля, его порядок, перечень обрабатываемой информации и круг лиц, имеющих к ней доступ.
Например, если компания использует систему контроля утечек информации, правила работы с ней должны быть встроены в общую систему защиты персональных данных и информационной безопасности.
Само наличие у компании технической возможности получить определенную информацию еще не означает, что ее можно без ограничений собирать и использовать.
При использовании корпоративной почты, рабочих программ и других информационных систем компании важно заранее установить правила их использования и обработки связанных с ними персональных данных. Закон № 152-ФЗ предусматривает, что оператор должен определить, для каких целей обрабатывается информация, какие категории данных используются, каким способом и в течение какого срока они хранятся. Кроме того, необходимо обеспечить их защиту с помощью правовых, организационных и технических мер.
Подробнее о техническом контроле можно прочитать в материале «Что такое DLP-система и когда бизнесу уже пора ее внедрять».
Когда возникает проблема с персональными данными
Практически любая проверка сотрудника так или иначе затрагивает персональные данные.
Поэтому главный принцип здесь достаточно простой:
Нельзя собирать больше информации, чем необходимо для конкретной цели проверки.
При определении состава персональных данных необходимо исходить из задачи, для которой они понадобились компании. Если для ее решения достаточно нескольких конкретных сведений, получать дополнительную информацию без объективной необходимости не следует. Требование соразмерности объема данных поставленной цели закреплено в Федеральном законе № 152-ФЗ.
Например, если задача состоит в проверке соблюдения сотрудником закупочной процедуры, не возникает автоматически оснований для сбора сведений о его личной жизни, родственниках или взглядах.
Чем шире проверка, тем важнее заранее определить:
- зачем она проводится;
- какие риски необходимо проверить;
- какие сведения для этого нужны;
- откуда эти сведения будут получены;
- на каком основании они обрабатываются;
- кто получит доступ к результатам;
- сколько времени информация будет храниться.
Такой подход позволяет превратить проверку из бессистемного сбора информации в управляемую процедуру.
Какие сведения о работнике нельзя использовать без дополнительных оснований
Персональные данные имеют разный правовой режим, и для некоторых из них установлены дополнительные ограничения. К таким сведениям относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни.
Включать подобную информацию в стандартную проверку сотрудника только ради более подробного изучения его личности не следует. Закон допускает обработку этих категорий данных лишь при наличии предусмотренных им оснований.
Поэтому при планировании проверки службе безопасности необходимо заранее определить, действительно ли конкретная информация связана с поставленной рабочей задачей и есть ли законные основания для ее использования.
Отдельно регулируется работа со сведениями о судимости. Они также имеют специальный правовой режим, поэтому работодатель не может относиться к ним как к обычным персональным данным и собирать их без учета установленных законом оснований.
Можно ли использовать полиграф
Полиграф может применяться как один из инструментов проверки, но его нельзя рассматривать как универсальный способ установить достоверность любой информации.
Проверка на полиграфе должна проводиться с учетом требований законодательства, характера трудовых отношений и прав сотрудника. Кроме того, результаты такого исследования сами по себе не должны подменять полноценную проверку обстоятельств.
Если компания использует полиграф, важно заранее определить:
- цель исследования;
- круг проверяемых вопросов;
- порядок проведения;
- основания для его проведения;
- правила обращения с результатами;
- круг лиц, которым доступна информация.
Для компаний, которые используют этот инструмент при кадровой проверке, важна не сама процедура, а ее корректное место в общей системе оценки рисков.
О случаях, когда применение этого инструмента действительно оправдано при работе с персоналом, подробнее рассказываем в статье «Полиграф при приеме на работу: когда он действительно оправдан».
Как обеспечить конфиденциальность проверки
Даже законно полученная информация может создать проблему, если компания неправильно организует доступ к ней.
Результаты проверки не должны становиться доступными всем сотрудникам компании. Информацию о работнике следует передавать только тем специалистам, которым она необходима по работе, и в объеме, соответствующем их полномочиям. При этом при передаче персональных данных важно сохранять их конфиденциальность в соответствии с требованиями ТК РФ.
На практике это означает, что результаты проверки сотрудника не должны свободно передаваться:
- руководителям всех подразделений;
- коллегам;
- другим работникам компании, которым эта информация не нужна;
- внешним лицам без соответствующего основания.
Например, если проверка связана с возможным нарушением сотрудником внутренних правил, руководителю не обязательно передавать весь собранный материал. Для принятия управленческого решения ему достаточно предоставить сведения, которые непосредственно относятся к рассматриваемой ситуации и необходимы для дальнейших действий.
Сам сотрудник также имеет права в отношении своих персональных данных и их обработки.
Что нельзя делать службе безопасности
При организации проверки важно не только определить допустимые действия, но и заранее исключить очевидно рискованные подходы.
Не стоит собирать информацию «на будущее»
Если компания не может объяснить, зачем ей нужны конкретные сведения о сотруднике, их сбор может оказаться избыточным.
Нельзя считать общедоступность информации автоматическим разрешением на ее использование
То, что сведения можно найти в интернете, не отменяет требований законодательства о персональных данных.
Кто должен иметь доступ к результатам проверки
Результаты проверки не стоит распространять среди всех сотрудников компании. Получать такую информацию должны только те работники, которым она нужна для выполнения своих должностных обязанностей и принятия соответствующих решений.
Нельзя самостоятельно делать выводы на основании неподтвержденной информации
Совпадение имени, фотографии, места работы или других отдельных признаков еще не доказывает, что найденные сведения относятся к конкретному человеку.
Нельзя превращать проверку в наблюдение за личной жизнью
Если информация не связана с трудовыми обязанностями, безопасностью компании или другой законной целью обработки данных, необходимость ее получения должна быть отдельно обоснована.
Как правильно оформить проверку сотрудника внутри компании
Чтобы проверка была управляемой, компании стоит заранее определить внутренний порядок ее проведения.
Обычно он включает несколько элементов.
- Определение основания.
Фиксируется, почему возникла необходимость проверки: перевод сотрудника, расширение полномочий, выявленный инцидент, подозрение на конфликт интересов и т. д.
- Формулирование цели.
Нужно определить, какой именно вопрос должна решить проверка.
Например: установить, есть ли признаки конфликта интересов при выборе поставщика.
- Определение необходимого объема информации.
После постановки цели становится понятно, какие данные действительно понадобятся.
- Определение источников.
Важно заранее определить, откуда можно получить необходимые сведения и какие основания для этого существуют.
- Проведение проверки.
Собираются и сопоставляются данные, относящиеся к поставленной задаче.
- Проверка достоверности.
Информация из одного источника не всегда достаточна. Важные выводы желательно подтверждать несколькими независимыми источниками.
- Подготовка результата.
В отчете фиксируются установленные факты, использованные источники и выявленные риски. Предположения и неподтвержденные сведения не должны выдаваться за доказанные обстоятельства.
- Ограничение доступа к результатам проверки.
Итоговые материалы следует передавать только тем сотрудникам, которым они нужны для дальнейшей работы и принятия соответствующих решений. Такой порядок помогает сохранить конфиденциальность полученных сведений и одновременно снизить риск неправомерного использования персональных данных.
Чем законная проверка отличается от вмешательства в личную жизнь
Главное различие — связь проверки с конкретной законной целью работодателя.
Представим две ситуации.
В первом случае сотрудник отвечает за закупки. Компания выявляет признаки необоснованного выбора определенного поставщика и проверяет наличие возможного конфликта интересов.
Во втором случае компания без конкретной причины пытается собрать максимум сведений о личной жизни этого же сотрудника.
Внешне обе ситуации могут называться «проверкой сотрудника», но правовая и фактическая природа у них совершенно разная.
Поэтому перед началом проверки полезно задать простой вопрос:
«Какое рабочее решение мы должны принять по итогам этой проверки?»
Если на него невозможно ответить, вероятно, необходимо сначала определить цель и границы процедуры.
Когда стоит привлекать внешнюю службу безопасности
Внутренний кадровый отдел может проводить стандартные проверки, связанные с трудовыми отношениями. Но более сложные ситуации требуют специализированного подхода.
Внешняя служба безопасности может потребоваться, когда необходимо:
- провести комплексную проверку действующего сотрудника;
- разобраться в возможном конфликте интересов;
- проверить обстоятельства потенциального нарушения;
- исследовать цепочку действий при финансовом инциденте;
- установить связь сотрудника с контрагентами;
- провести внутреннюю проверку по факту возможного хищения;
- проверить соблюдение требований корпоративной безопасности;
- провести комплексное исследование перед назначением на особо ответственную должность.
Если к проверке привлекается сторонняя организация, условия работы с персональными данными необходимо заранее закрепить в договоре или отдельном поручении. Закон № 152-ФЗ позволяет передавать обработку данных другому лицу при соблюдении установленных требований. В документах важно указать, какие именно сведения передаются исполнителю, с какой целью они используются, какие операции с ними допускаются и какие меры должны применяться для обеспечения их безопасности и конфиденциальности.
То есть передача проверки внешней компании не снимает с работодателя ответственности за правильную организацию обработки персональных данных.
Как СБ 365 проводит проверку сотрудников
Профессиональная проверка сотрудника начинается не со сбора максимального количества информации, а с определения задачи.
В СБ 365 проверка может строиться вокруг конкретного риска: конфликта интересов, нарушения внутренних процедур, возможного хищения, утечки информации, злоупотребления полномочиями или других обстоятельств, имеющих значение для безопасности бизнеса.
Работа включает несколько последовательных этапов:
- определение цели и основания проверки;
- формирование перечня необходимых сведений;
- выбор допустимых источников информации;
- сбор и сопоставление данных;
- проверку выявленных фактов;
- оценку связанных с ними рисков;
- подготовку итогового заключения.
Отдельное внимание уделяется конфиденциальности. Полученная в ходе проверки информация должна использоваться в рамках поставленной задачи и предоставляться только тем лицам, которым она необходима.
Некорректная работа с персональными данными может привести для компании к различным правовым последствиям. В зависимости от обстоятельств нарушения и его тяжести ответственность может быть дисциплинарной, материальной, гражданско-правовой или административной, а в отдельных случаях — уголовной.
Проверка сотрудника должна быть обоснованной
Проверка сотрудника — нормальный инструмент корпоративной безопасности, если она проводится для конкретной цели и в установленных законом пределах.
Работодатель может контролировать соблюдение трудовых обязанностей, защищать имущество и информацию компании, выявлять конфликты интересов и проверять обстоятельства возможных нарушений. При этом объем собираемых данных должен соответствовать цели проверки, а работа с персональными данными — требованиям законодательства.
Главный принцип здесь — не «узнать о сотруднике как можно больше», а получить только те сведения, которые действительно необходимы для решения конкретной задачи бизнеса.
Именно такой подход позволяет одновременно защищать интересы компании, соблюдать права работников и снижать юридические риски самой организации.