Если работник не дает согласия на обработку персданных

Персональные данные – ​это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Об этом говорит п. 1 ст. 3 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных»¹. К персональным данным относится любая персонифицированная информация о человеке – ​Ф.И.О., его возраст, гражданство, семейное положение, фотография, место работы и должность (профессия) и т.д. Поскольку работодатель напрямую работает с данной информацией (собирает ее, хранит, передает третьим лицам), то он обязан соблюдать требования законодательства о персональных данных. Особый интерес в этой связи представляют ситуации, когда работник отказывается дать письменное согласие на обработку своих персданных либо отзывает его. Разберем их, ориентируясь на разъяснения Роскомнадзора и судебную практику. А начнем с того, что напомним общие правила работы с персональными данными сотрудников.

Общие положения о порядке обработки персональных данных работника

В ст. 86 ТК РФ установлены обязательные для работодателя (и его представителей) требования при обработке персональных данных работников:

1) действовать исключительно в целях:

• обеспечения соблюдения законов и иных нормативных правовых актов;
• содействия работникам в трудоустройстве, получении образования и продвижении по службе;
• обеспечения личной безопасности работников;
• контроля количества и качества выполняемой работы;
• обеспечения сохранности имущества;

2) получать персональные данные работника у него самого. Если они могут быть получены только у третьей стороны, то нужно уведомить об этом работника и получить от него письменное согласие. В этом случае работодателю следует сообщить сотруднику:

• о целях, предполагаемых источниках и способах получения персданных;
• их характере и последствиях отказа работника дать письменное согласие на их получение;

3) обеспечить защиту персональных данных от неправомерного использования или утраты за счет собственных средств;

4) знакомить работников под подпись с локальными нормативными актами (ЛНА), устанавливающими порядок обработки персональных данных;

5) не запрещать работникам отказываться от своих прав на сохранение и защиту тайны и др.

По общему правилу работник должен дать согласие на обработку его персональных данных (свободно, своей волей и в своем интересе), а само согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 Закона № 152‑ФЗ). Другими словами, заставить работника дать согласие нельзя, причем в случае возникновения спора доказать, что работник дал согласие на обработку его персональных данных, должен именно работодатель (ч. 3 ст. 9 Закона № 152‑ФЗ).

А еще работник может отозвать свое согласие на обработку персданных в любое время. Продолжить обработку без него работодатель сможет при наличии определенных оснований, указанных в Законе № 152‑ФЗ (ч. 2 ст. 9 Закона № 152‑ФЗ). Забегая вперед, скажем, что один из таких случаев – ​для заключения и/или исполнения договора с участием субъекта персональных данных (п. 5 ч. 1 ст. 6 Закона № 152‑ФЗ). Поскольку обработку персональных данных работодатель выполняет для реализации возложенных на него как сторону трудового договора функций, полномочий и обязанностей, то наличие согласия работника на их обработку не обязательно. Судебная практика также исходит из того, что не требуется согласия на обработку персональных данных работника, если она осуществляется в рамках трудовых правоотношений и в целях исполнения трудового договора (см., например, апелляционное определение Оренбургского областного суда от 21.06.2017 по делу № 33-4566/2017).

Работодатель не может привлечь к дисциплинарной ответственности работника, который отказался подписывать согласие. Также отсутствуют основания для увольнения работника, который не дает согласия на обработку персональных данных. А отказ гражданина от подписания соглашения (представления согласия) об обработке персональных данных на этапе трудоустройства не является основанием к отказу от заключения с ним трудового договора.

Данная позиция находит отражение, в частности, в разъяснениях Роскомнадзора². Ведомство обращает внимание, что можно без согласия работника обрабатывать его персональные данные, если объем таких данных не превышает установленные перечни, а также соответствует целям трудового законодательства. Далее подробнее рассмотрим основания, которые дают право работодателю, по мнению Роскомнадзора, обойтись без согласия работника при обработке его персданных.

Обрабатывать можно без согласия

В разъяснениях Роскомнадзора содержится конкретизация случаев, когда получения согласия от работника на обработку персональных данных не требуется.

Так, согласие на обработку персональных данных не потребуется:

1) в ситуациях, предусмотренных коллективным договором, правилами внутреннего трудового распорядка, а также иными ЛНА работодателя, принятыми в порядке, установленном ст. 372 ТК РФ;

2) когда работодатель исполняет свою обязанность по опубликованию и размещению персональных данных работников в Интернет, если такая обязанность предусмотрена законодательством. Например, медорганизация обязана информировать граждан в доступной форме, в том числе через Интернет, об осуществляемой медицинской деятельности и о медицинских работниках, об уровне их образования и об их квалификации³. Похожая обязанность установлена для образовательных учреждений⁴, на сайте которых должны содержаться персональные данные педагогических работников и руководителей;

3) если работодатель обрабатывает специальные категории персональных данных, в том числе сведения о состоянии здоровья, относящиеся к вопросу о возможности выполнения работником трудовой функции (п. 2.3 ч. 2 ст. 10 Закона № 152‑ФЗ). В остальных случаях их обработка без согласия работника не допускается! Напомним, к специальным категориям относятся также данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни и т.п.;

4) при передаче персональных данных работника третьим лицам в случаях, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника (абз. 2 ст. 88 ТК РФ);

5) для передачи персональных данных работников в Социальный фонд России (п. 2 ст. 12 Федерального закона от 16.07.1999 № 165‑ФЗ «Об основах обязательного социального страхования», ч. 2 ст. 15 Федерального закона от 01.04.1996 № 27‑ФЗ «Об индивидуальном (персонифицированном) учете в системах обязательного пенсионного страхования и обязательного социального страхования», п. 2 ст. 14 Федерального закона от 15.12.2001 № 167‑ФЗ «Об обязательном пенсионном страховании в Российской Федерации»);

6) в условиях передачи персональных данных работников налоговой службе, в военные комиссариаты, профсоюзные органы (по запросу в целях контроля за соблюдением трудового законодательства), поскольку работодатель должен исполнять обязанности, предусмотренные трудовым законодательством, иными нормативными правовыми актами, содержащими нормы трудового права, коллективным договором, соглашениями, локальными нормативными актами и трудовыми договорами (ст. 22 ТК РФ). Так, обязанность вести воинский учет и направлять соответствующую персональную информацию о работниках в военкоматы установлена абз. 4 п. 1 ст. 4 Федерального закона от 28.03.1998 № 53‑ФЗ «О воинской обязанности и военной службе»;

7) в случаях, связанных с выполнением работником должностных обязанностей, в том числе при его командировании (в соответствии с подп. «б» п. 13 Правил предоставления гостиничных услуг в Российской Федерации, утв. постановлением Правительства РФ от 18.11.2020 № 1853; нормативными правовыми актами в сфере транспортной безопасности);

8) при получении и исполнении, в рамках установленных полномочий, мотивированных запросов от органов прокуратуры, правоохранительных органов, органов безопасности, от государственных инспекторов труда при осуществлении ими государственного надзора и контроля за соблюдением трудового законодательства. Хотя Роскомнадзор в своих Разъяснениях это не конкретизирует, но сюда же можно отнести и запросы суда (см. ст. 57 ГПК РФ и ст. 66 АПК);

9) в отношении близких родственников работника без их согласия в объеме, предусмотренном унифицированной формой № Т-2⁵ (в случае использования ее работодателем), а также при получении алиментов, оформлении допуска к государственной тайне, социальных выплат и пр.;

10) для пропускного режима на предприятии при условии, что он организован работодателем самостоятельно либо если указанная обработка соответствует порядку, предусмотренному коллективным договором, локальными актами работодателя. Если же пропускной режим осуществляет иная организация, и в ЛНА порядок его организации не прописан, то обработка персональных данных, а также их передача третьим лицам без согласия сотрудников запрещена;

11) для предоставления сведений в банк, обслуживающий платежные карты работников, если в ЛНА, коллективном договоре, договоре на выпуск карты предусмотрена передача работодателем персональных данных работников либо работодатель действует на основании доверенности на представление интересов работников при заключении договора с кредитной организацией на выпуск банковской карты и ее обслуживание.

Поэтому если работник изначально не даст или в последующем отзовет свое согласие на обработку персональных данных в перечисленных случаях, работодатель вправе продолжить такую обработку с соблюдением установленных законодательных требований.

Совсем по-другому следует действовать в случаях, когда нельзя обойти запрет на обработку персданных без согласия работника. Об этом рассказываем далее.

Согласие на обработку требуется

В основном все ситуации, когда запрашивать согласие на обработку персональных данных необходимо, связаны с тем, что правоотношения не являются трудовыми и, следовательно, не подпадают под п. 5 ч. 1 ст. 6 Закона № 152‑ФЗ (для заключения и/или исполнения договора). Тогда работодателю надо обязательно получить согласие на обработку и передачу (а иногда и распространение) персональных данных с указанием целей такой обработки.

Перечислим наиболее часто встречающиеся случаи, когда требуется согласие работника на обработку его персданных:

• передача персональных данных работников банкам, которые обслуживают платежные карты для начисления заработной платы. Исключение мы называли выше;
• при привлечении сторонних организаций для ведения кадрового и бухгалтерского учета;

• размещение в открытом доступе информации о специалистах компании, если такая обязанность не предусмотрена законом (исключение см. выше);

• передача информации о сотрудниках страховым организациям для заключения договоров добровольного страхования (см. Пример 1);
• передача данных работников третьим лицам для организации любого рода мероприятий (корпоративных, представительских, учебных, рабочих и пр.);
• передача данных сотрудников для оказания услуг связи.

Как видите, перечень действий с персональными данными, когда от работника потребуется согласие на обработку, довольно широк. Поэтому лучше подстраховаться и запросить с работников согласия, чем не сделать этого и в спорной ситуации у вас их не окажется.

При этом если работник изначально не даст или в последующем отзовет свое согласие на обработку персональных данных в таких случаях, работодателю придется прекратить их обработку, предупредив работника письменно (под его личную подпись) о последствиях отказа или отзыва (см. Пример 2). С одной стороны, это снимет с работодателя ответственность в ситуации, если работник обвинит его в нарушении прав, например, когда ему не оформят полис ДМС из-за того, что он не дал согласия на обработку соответствующих данных о себе (подробнее об ответственности говорим ниже). С другой – ​возможно, что после разъяснения работодателем неблагоприятных последствий сотрудник одумается и оформит (в том числе заново) письменное согласие.

Ответственность за обработку персональных данных работника без его согласия

За обработку персональных данных без согласия работника установлена административная ответственность⁶. На основании ч. 2 ст. 13.11 КоАП РФ обработка персональных данных без письменного согласия работника влечет наложение административного штрафа:

• на граждан в размере от 6000 до 10 000 рублей;
• должностных лиц и работодателей – ​индивидуальных предпринимателей – ​от 20 000 до 40 000 рублей;
• юридических лиц – ​от 30 000 до 150 000 рублей.

За повторное совершение данного правонарушения штрафы кратно увеличены и составят:

• для граждан – ​от 10 000 до 20 000 рублей;
• должностных лиц – ​от 40 000 до 100 000 рублей;
• индивидуальных предпринимателей – ​от 100 000 до 300 000 рублей;
• юридических лиц – ​от 300 000 до 500 000 рублей.

Повторным, напомним, считается совершение однородного административного правонарушения в течение 1 года со дня вступления в законную силу постановления о назначении административного наказания. Однородным правонарушением считается правонарушение, ответственность за совершение которого предусмотрена одной статьей КоАП РФ.