Что следует делать работодателям, чтобы обеспечить охрану персональных данных работников, и как уведомлять Роскомнадзор о намерении обрабатывать персональные данные, с учетом изменений законодательства, вступивших в силу 1 сентября 2022 года? Об этом вы расскажем в нашей новой статье.
Работа с персональными данными работников: ответы на вопросы (Часть 1)
Как получить согласие на обработку и распространение персональных данных работника?
Одним из условий обработки персональных данных работников является получение работодателем согласия работников на это. При этом закон выделяет ряд случаев, когда согласие не является обязательным.
Согласий на обработку персональных данных может быть два. С 1 марта 2021 года в закон введено новое понятие – "Персональные данные, разрешенные для распространения". Речь идет о случаях, когда персональные данные распространяются оператором среди неограниченного круга лиц. Раньше оператор персональных данных мог обрабатывать и распространять персональные данные физлица-работника, получив от него только один документ – письменное согласие на обработку его персональных данных. Теперь этого недостаточно. Если оператор хочет распространять данные, ему придется получить не только согласие на обработку, но и новый документ – согласие на распространение персональных данных. Оба вида согласий могут быть получены у работника как по отдельности, так и вместе.
Когда согласие на обработку персональных данных не требуется?
Работодатель может осуществлять обработку персональных данных работника без его согласия для осуществления оператором обязанностей, возложенных на него законом. Речь идет об обязанности работодателя предоставлять персональные данные работника во внебюджетные фонды, в трудовую инспекцию, в профсоюзы, в прокуратуру и правоохранительные органы, в налоговые органы и военные комиссариаты, в Роскомнадзор и его территориальные органы, при реализации международных соглашений, при осуществлении правосудия, исполнения судебного акта и иных актов, предусмотренных законодательством об исполнительном производстве, для предоставления государственной или муниципальной услуги в соответствии с Федеральным законом от 27.07.2010 № 210-ФЗ, для исполнения договора, стороной, выгодоприобретателем или поручителем по которому является работник, для защиты жизни, здоровья и иных интересов работника, для реализации прав и законных интересов оператора и третьих лиц или для достижения общественно значимых целей, если при этом не нарушаются права и свободы субъекта персональных данных, для осуществления профессиональной деятельности журналиста и законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных, в статистических или иных исследовательских целях при условии обезличивания персональных данных.
Ответственность за обработку или распространение персональных данных без согласия работника
Если согласие на обработку или распространение персональных данных обязательно, но оно не было получено, либо не были соблюдены требования к составу сведений, которые должны быть в таком согласии, обработка персональных данных признается незаконной и может стать поводом для привлечения к ответственности на основании ч. 2 ст. 13.11 КоАП РФ в виде штрафа на граждан - от 6 000 до 10 000 рублей, на должностных лиц - от 20 000 до 40 000 рублей, на организации - от 30 000 до 150 000 рублей.
Как получить согласие на обработку персональных данных без их распространения?
С 1 марта 2021 года законодательство о защите персональных данных предусматривает необходимость получать у субъекта персональных данных разные согласия на их обработку в зависимости от того, планируется ли распространять такие данные среди неограниченного круга лиц или нет. Соответственно, субъект персональных данных может дать как простое согласие на обработку персональных данных, так и согласие на распространение персональных данных.
Содержание согласия на обработку персональных данных
Согласие на обработку персональных данных без их последующего распространения среди неограниченного круга лиц должно содержать фамилию, имя, отчество субъекта персональных данных, адрес субъекта персональных данных, номер основного документа, удостоверяющего личность субъекта персональных данных, сведения о дате выдачи указанного документа и выдавшем его органе, фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего личность представителя субъекта персональных данных, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя, наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных, цель обработки персональных данных, перечень персональных данных, на обработку которых дается согласие субъекта персональных данных, наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу, перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных, срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом, подпись субъекта персональных данных.
Оформление согласия на обработку персональных данных
Действующее законодательство содержит перечень случаев, в которых согласие на обработку персональных данных обязательно должно быть оформлено в письменной форме. В частности, получить письменное согласие необходимо при обработке биометрических персональных данных, при трансграничной передаче персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, при принятии решения, порождающего юридические последствия в отношении субъекта персональных данных или иным образом затрагивающего его права и законные интересы и т.д.
Если для конкретной ситуации законом предусмотрена необходимость оформления согласия на обработку персональных данных в письменной форме с личной подписью субъекта персональных данных, его следует оформить письменно. Кроме того, согласие может быть оформлено в виде электронного документа. В этом случае для его подписания понадобится электронная подпись. Если письменная форма согласия законом не предусмотрена, оно может быть оформлено другими способами, например, путем проставления субъектом персональных данных отметки в соответствующем поле при заполнении данных на сайте. Заверять такое согласие электронной подписью не требуется.
Однако даже если закон не предусматривает обязательного письменного согласия на обработку персональных данных сотрудника, рекомендуется по возможности оформлять его письменно. В случае возникновения претензий со стороны работника такой документ может подтвердить право работодателя на обработку данных. Дело в том, что согласно ч. 3 ст. 9 Закона № 152-ФЗ доказывать наличие согласия должен именно оператор персональных данных, то есть работодатель. При отсутствии доказательств закон будет на стороне работника.
Как получить согласие на обработку персональных данных, разрешенных для распространения?
Такое согласие может быть дано работником наряду с обычным согласием на обработку персональных данных – они действуют независимо друг от друга.
Перечень реквизитов, которые обязательно должны присутствовать в согласии на обработку персональных данных, разрешенных субъектом к распространению, закреплен в приказе Роскомнадзора от 24.02.2021 № 18.
Такое согласие должно содержать фамилию, имя, отчество субъекта персональных данных, контактную информацию, сведения об операторе-организации – наименование, адрес, указанный в Едином государственном реестре юридических лиц, идентификационный номер налогоплательщика, основной государственный регистрационный номер, сведения об операторе-физлице – фамилия, имя, отчество, место жительства или место пребывания, сведения об операторе-гражданине, являющемся индивидуальным предпринимателем, – фамилия, имя, отчество, идентификационный номер налогоплательщика, основной государственный регистрационный номер, сведения об информационных ресурсах оператора, посредством которых будут осуществляться предоставление доступа неограниченному кругу лиц и иные действия с персональными данными субъекта персональных данных, цель обработки персональных данных, категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных, персональные данные, специальные категории персональных данных, категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень установленных условий и запретов, условия, при которых полученные персональные данные могут передаваться оператором, осуществляющим обработку персональных данных, только по его внутренней сети, обеспечивающей доступ к информации для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных, срок действия согласия.
Согласие на обработку персональных данных, разрешенных для распространения, может быть представлено оператору персональных данных непосредственно – то есть на бумаге, с личной подписью субъекта персональных данных, в электронном виде – через информационную систему Роскомнадзора. Правила предоставления согласия этим способом, действующие с 1 марта 2022 года, утверждены Роскомнадзором. Чтобы получить согласие этим способом, оператору персданных следует подключить свой сайт к Единой системе идентификации и аутентификации, после подписания субъектом персданных согласия получить из Роскомнадзора сведения о факте предоставления согласия, о цели обработки персональных данных, об информационных ресурсах оператора, посредством которых будет осуществляться предоставление доступа неограниченному кругу лиц к персональным данным, о категориях и перечне персональных данных, для обработки которых установлены условия и запреты, о перечне установленных запретов и условий в отношении персональных данных.
Нужно ли согласие работника на предоставление сведений о его зарплате банку или членам его семьи?
Не представлять сведения о заработной плате работника никаким третьим лицам, включая банки и членов его семьи, если работник не давал на это своего согласия. Обосновывается это следующим. Персональными данными признаются любые сведения, которые прямо или косвенно относятся к определенному или определяемому физическому лицу. Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять их без согласия субъекта персональных данных.
В письме Роскомнадзора от 07.02.2014 № 08КМ-3681 отмечается, что сведения о размере заработной платы относятся к персональным данным работника. Учитывая эти разъяснения, сообщать размер заработной платы третьим лицам без согласия работника нельзя. Это может повлечь наказание на основании ч. 2 ст. 13.11 КоАП РФ, которая предусматривает ответственность в виде штрафа от 6 000 до 10 000 руб. – на граждан, от 20 000 до 40 000 руб. – на должностных лиц и ИП, от 30 000 до 150 000 руб. – на организации.
