Защита данных работников: гид для работодателей

Любая компания в Молдове, у которой есть сотрудники, ежедневно обрабатывает персональные данные, даже если сама об этом не задумывается: удостоверения личности и резюме при приёме на работу, зарплатные и банковские данные для расчётного листа, больничные листы, оценки эффективности, иногда доступ по отпечатку пальца или камеры наблюдения в офисе. С 23 августа 2026 года все эти обработки подпадают под действие Закона № 195/2024 о защите персональных данных, который заменяет Закон 133/2011.

Что такое закон о защите персональных данных

Персональные данные — это любая информация, которая может прямо или косвенно идентифицировать физическое лицо: имя, адрес, телефон, электронная почта, данные о местоположении, IP-адрес, семейное положение, фотография, привычки и предпочтения, онлайн-идентификаторы и подобные сведения. Закон о защите персональных данных регулирует, как организация — компания, государственное учреждение, НКО — может собирать, использовать, хранить и удалять эти данные; в Республике Молдова применение закона контролирует Национальный центр по защите персональных данных (CNPDCP).

На практике любая организация, чья деятельность связана с физическими лицами — клиентами, сотрудниками, кандидатами, партнёрами, посетителями, — уже обрабатывает персональные данные, даже если никогда не называла это так внутри компании. Нынешний подход не построен вокруг штрафов — он построен вокруг ответственности: оператор должен быть в состоянии показать, по запросу, какие данные он обрабатывает, зачем и какими мерами их защищает, а не просто избегать точечного наказания.

При этом остаётся часто упускаемый угол: данные о собственных сотрудниках и кандидатах, которые многие фирмы никогда не инвентаризировали, потому что по привычке связывают «защиту данных» исключительно с базой клиентов.

Это руководство рассматривает исключительно позицию работодателя: какие данные о сотрудниках и кандидатах вы на самом деле обрабатываете, какое правовое основание у вас есть для каждой категории и что нужно сделать, в каком порядке, до и после этой даты. Полное сравнение двух законов — в нашем гиде о переходе от Закона 133/2011 к Закону 195/2024.

Какие данные о сотрудниках на самом деле обрабатывает любая компания

Отдел кадров или бухгалтерия обычной молдавской фирмы, как правило, работает со всеми категориями ниже — часто ни разу не составив их перечень:

• Идентификационные данные: имя, IDNP, серия и номер удостоверения личности, домашний адрес.
• Контактные данные: личный телефон, личная почта, контакт для экстренной связи.
• Зарплатные и банковские данные: оклад, счёт IBAN, удержания, надбавки.
• Медицинские данные: больничные листы, справки о профпригодности, иногда сведения об инвалидности.
• Данные о найме: резюме, сопроводительные письма, рекомендации, результаты собеседований — включая данные отклонённых кандидатов.
• Дисциплинарные дела и оценки: взыскания, предупреждения, оценки эффективности.
• Биометрические данные и данные доступа: учёт рабочего времени по отпечатку пальца или карте, коды доступа в офис.
• Видеозаписи и GPS: камеры наблюдения в офисе или на складе, GPS-слежение за корпоративными автомобилями.

У каждой из этих категорий свой уровень риска, а некоторые — медицинские и биометрические данные — относятся к особой категории, требующей дополнительных мер.

Согласие сотрудника не решает всё

Самая частая ошибка работодателей — приложить форму согласия к личному делу при приёме на работу и считать вопрос закрытым. Проблема в том, что в трудовых отношениях сотрудник находится в подчинённом положении по отношению к работодателю, и согласие, данное под давлением необходимости сохранить рабочее место, как правило, не считается свободно выраженным.

Для основных обработок в рамках трудовых отношений правильное основание — не согласие, а:

• Исполнение трудового договора — для расчёта зарплаты, графика, должностных обязанностей.
• Юридическая обязанность — для отчётности в Национальную кассу социального страхования, Государственную налоговую службу, учёта больничных.
• Законный интерес, документированный и соразмерный — для таких ситуаций, как безопасность офиса или предотвращение мошенничества, при условии письменного обоснования и оценки влияния на сотрудника.

Согласие остаётся действительным основанием только для по-настоящему добровольных обработок, где сотрудник может отказаться без каких-либо последствий — например, добровольная публикация фотографии на сайте компании.

Особые категории: медицинские и биометрические данные

Медицинские данные (больничные листы, справки о профпригодности) и биометрические данные (отпечаток пальца, распознавание лица для учёта рабочего времени) — это особые категории с более высоким уровнем защиты. На практике это означает:

• Строго ограниченный доступ к этим данным — только для тех, кому они нужны по должностным обязанностям (обычно HR, а не любой руководитель).
• Оценку воздействия на защиту данных (DPIA) перед внедрением биометрической системы на уровне всей компании.
• Чёткое обоснование того, почему менее навязчивые альтернативы (карта доступа, журнал прихода) недостаточны.

Если ваша фирма уже использует учёт по отпечатку пальца, это не значит, что от него нужно отказаться, — но стоит задокументировать, почему был выбран именно этот способ и как защищён доступ к биометрической базе.

Мониторинг на рабочем месте: почта, интернет, GPS, камеры

Наблюдение за сотрудниками — рабочая почта, интернет-трафик, видеокамеры, GPS на служебных автомобилях — разрешено, но не безусловно. Базовые принципы такие:

• 1. Необходимость и соразмерность: вы отслеживаете только то, что действительно нужно для заявленной цели (безопасность, защита имущества компании), а не всё, что технически возможно.
• 2. Прозрачность: сотрудники должны быть проинформированы до начала мониторинга — через внутренний регламент или отдельную памятку, а не постфактум, во время трудового спора.
• 3. Без непропорционального контроля: систематическое чтение личной переписки или постоянное отслеживание местоположения сотрудника вне рабочего времени, как правило, выходит за рамки того, что можно обосновать.
• 4. DPIA для системного масштабного мониторинга: если вы ведёте видеонаблюдение по всему офису или отслеживаете GPS всего автопарка, эта оценка становится актуальной, а не факультативной.

Самое частое слабое место, которое мы видим у компаний в Молдове, — отсутствие обновлённого внутреннего регламента, где явно указано, что именно отслеживается, зачем и у кого есть доступ к записям.

Наём персонала: данные кандидатов, которые ещё не сотрудники

Процесс найма порождает персональные данные ещё до заключения трудового договора, и эти данные часто забыты в почтовом ящике рекрутера ещё долго после того, как позиция закрыта. Несколько практических правил:

• Информируйте кандидатов при подаче резюме, сколько времени вы храните их данные, если они не были отобраны.
• Установите разумный срок хранения резюме отклонённых кандидатов и удаляйте их системно после истечения срока, а не вручную, «когда будет время».
• Если хотите сохранить резюме для будущих вакансий, спросите явное согласие кандидата на это — это именно тот тип добровольной обработки, для которого согласие работает.

Что нужно сделать работодателю, по порядку

• 1. Проведите инвентаризацию всех систем, содержащих данные сотрудников: расчёт зарплаты, HR, учёт доступа, камеры, GPS на транспорте.
• 2. Пересмотрите правовое основание для каждой категории данных и уберите формы «согласия» там, где это не подходящее основание.
• 3. Обновите внутренний регламент, добавив политику мониторинга (почта, интернет, камеры, GPS) и информацию об обработке кадровых данных.
• 4. Подготовьте памятку об обработке данных для сотрудников и отдельную — для кандидатов, объясняющую, какие данные собираются, с какой целью и сколько хранятся.
• 5. Обновите договоры с поставщиками расчёта зарплаты, HR-систем и внешней бухгалтерии, добавив условия обработки данных, требуемые законом.
• 6. Ограничьте доступ к личным делам и медицинским данным по ролям, а не через общую папку, доступную всем в компании.
• 7. Определите политику хранения: сколько времени вы храните резюме отклонённых кандидатов, дела бывших сотрудников, видеозаписи.
• 8. Подготовьте процедуру уведомления об инцидентах, затрагивающих данные сотрудников — кто принимает решение, кто уведомляет CNPDCP, как правило в течение 72 часов.
• 9. Решите, нужен ли вам ответственный за защиту данных (DPO), штатный или внешний — для большинства МСБ это не обязательно, но полезно при большом объёме кадровых данных.
• 10. Обучите отдел кадров и руководителей, имеющих доступ к личным делам сотрудников, — именно они принимают повседневные решения об обработке.

Что меняется в текущей работе HR после 23 августа 2026 года

Соответствие закону не заканчивается в день его вступления в силу — именно тогда начинается часть, связанная с поддержанием. На практике отдел кадров должен уметь, по запросу:

• Обновлять реестр деятельности по обработке каждый раз, когда появляется новая система (платформа для найма, новый поставщик расчёта зарплаты).
• Отвечать на запросы сотрудников о доступе, исправлении или удалении их данных в установленные законом сроки.
• Документировать любой инцидент безопасности, затрагивающий кадровые данные, даже незначительный, чтобы иметь возможность доказать, что он был обработан правильно.

Сколько стоит игнорировать этот вопрос

Закон 195/2024 позволяет CNPDCP налагать штрафы напрямую, без отдельной процедуры. В зависимости от типа нарушения санкции могут достигать до 1 000 000 леев или 1% годового оборота — за нарушения, связанные с реестром обработки, мерами безопасности или уведомлением об инцидентах, — либо до 2 000 000 леев или 2% годового оборота за более серьёзные нарушения, при этом применяется большая из двух сумм.

Переходные положения предусматривают также поэтапное применение: в первый год после вступления в силу взыскивается 10% установленного штрафа, во второй год — 40%, а с третьего года — полная сумма. Это не год отсрочки: нарушение фиксируется и наказывается уже сейчас, снижен лишь взыскиваемый размер на переходный период. Точные проценты этого поэтапного применения мы не нашли явно подтверждёнными с полной уверенностью, поэтому указываем их здесь с осторожностью — если вам нужна точная цифра, проверьте её напрямую в тексте закона или у юридического консультанта.

Помимо штрафа, практический риск для работодателя более конкретен: сотрудник или бывший сотрудник, подавший жалобу в CNPDCP, запускает проверку, которая будет смотреть именно на описанное выше — правовое основание, внутренний регламент, доступ к личным делам.

Частые вопросы

Что такое закон о защите персональных данных? Это нормативный акт, устанавливающий, как организация может собирать, использовать, хранить и удалять информацию, идентифицирующую физическое лицо — имя, адрес, телефон, электронную почту, изображение, данные о местоположении и подобные сведения. В Республике Молдова применение этого закона контролирует Национальный центр по защите персональных данных (CNPDCP).

На кого распространяется закон о защите персональных данных? На любую организацию — компанию, государственное учреждение, НКО — чья деятельность связана с физическими лицами: клиентами, сотрудниками, кандидатами, партнёрами, посетителями. Практически любая действующая фирма уже обрабатывает такие данные, даже если никогда не инвентаризировала их как таковые.

Нужно ли мне согласие сотрудника, чтобы рассчитать ему зарплату? Нет. Обработка зарплатных данных основана на исполнении трудового договора и юридических обязанностях по отчётности, а не на согласии.

Могу ли я мониторить рабочую почту сотрудников? Да, если это необходимо, соразмерно и сотрудники заранее проинформированы через внутренний регламент. Скрытый или чрезмерный мониторинг рискован.

Подпадают ли офисные камеры видеонаблюдения под действие закона? Да. Должна быть чёткая цель (обычно безопасность), заметное информирование сотрудников и посетителей, а для масштабных систем — оценка воздействия.

Сколько времени я могу хранить резюме отклонённых кандидатов? Закон не устанавливает единой фиксированной цифры, но вы должны определить разумный срок, сообщить его кандидатам и соблюдать — с системным удалением, а не бессрочным хранением.

Обязательно ли нужен ответственный за защиту данных для отдела кадров? Не всегда. Он обязателен только для определённых категорий операторов; для большинства МСБ рекомендован, но не обязателен, а внешний DPO снижает затраты.

Какой реальный риск, если ничего не делать? Штрафы до 1 000 000–2 000 000 леев или 1–2% годового оборота, налагаемые напрямую CNPDCP, плюс коммерческий риск жалобы от сотрудника или бывшего сотрудника.

Подготовьте отдел кадров вовремя

Соответствие в части данных сотрудников зачастую требует больше усилий, чем в части данных клиентов, потому что затрагивает разные системы (расчёт зарплаты, доступ, видеонаблюдение) и повседневные решения, которые принимают руководители, а не только HR. Наши услуги кибербезопасности охватывают аудит защиты данных, контроль доступа к HR-системам и роль внешнего ответственного за защиту данных. Хранение, резервное копирование и ограничение доступа к базам кадровых данных мы закрываем через услуги баз данных.

*Эта статья носит информационный характер и не является юридической консультацией. Для конкретной ситуации вашей фирмы сверьтесь с текстом закона на datepersonale.md или обратитесь к юристу.*

Запросите аудит кадровых данных и узнайте, где именно находится ваша компания относительно действующего сейчас режима.