При выстраивании таких отношений традиционно возникает вопрос: получать ли у работников согласие на обработку ПД? Если объем обрабатываемых учреждением сведений не превышает установленные перечни и соответствует целям обработки, предусмотренным трудовым законодательством, согласие работников не нужно. Не требуется и согласие родственников сотрудника, когда собираемые данные — это только сведения, необходимые для заполнения его личной карточки (состав семьи — Ф.И.О. каждого, степень родства, год рождения). На это указывалось еще несколько лет назад, в Разъяснениях от 14.12.2012.
Но в некоторых ситуациях получать согласие работников все же надо.
Функции по оформлению трудовых отношений с работниками, расчету зарплаты, бухучету переданы на аутсорсинг специализированной организации (централизованной бухгалтерии). Как сказано в Разъяснениях от 14.12.2012, при привлечении сторонних организаций для ведения кадрового и бухгалтерского учета работодатель обязан соблюдать требования, установленные ч. 3 ст. 6 Закона N 152-ФЗ, в том числе получить согласие работников на передачу их персональных данных. Содержание согласия должно быть конкретным и информированным, то есть включать информацию, позволяющую сделать однозначный вывод о целях, способах обработки (с указанием действий, совершаемых с ПД) и объеме обрабатываемых данных. Согласие можно оформить в виде отдельного документа либо внести в текст трудового договора.
За неполучение оператором письменного согласия субъекта ПД (если оно необходимо) или несоответствие содержания согласия установленным требованиям предусмотрено административное наказание. В силу п. 2 ст. 13.11 КоАП РФ совершение подобного проступка грозит штрафом в размере от 10 000 до 20 000 руб. (для должностных лиц) и от 15 000 до 75 000 руб. (для юридических лиц).
Так произошло, например, в случае, когда оператор ПД нарушил требования к составу сведений, включаемых в письменное согласие работника на обработку его ПД третьими лицами. В согласии отсутствовали:
- наименования и адреса организаций, осуществляющих обработку ПД работника по поручению оператора;
- цели обработки (изготовление визиток, осуществление предрейсового медицинского осмотра, бронирование билетов и гостиниц);
- перечень ПД, на обработку которых дается согласие.
Территориальный орган Роскомнадзора оштрафовал оператора на 15 000 руб., а суды впоследствии признали это законным (Постановление Санкт-Петербургского городского суда от 18.06.2018 N 4а-763/2018 по делу N 5-1224/2017-69).
В помещениях учреждения установлены камеры видеонаблюдения, с помощью которых контролируется качество выполнения сотрудниками работы и обеспечивается сохранность имущества. В Разъяснениях от 30.08.2013 говорится, что к биометрическим персональным данным относятся физиологические или биологические характеристики человека, в том числе его изображение (фотография и видеозапись), позволяющие установить личность и использующиеся оператором для этой цели. Иными словами, при отнесении персональных данных к биометрическим важно ориентироваться именно на цель обработки.
Контроль качества работы, выполняемой сотрудником, и фиксация его действий в целях выявления возможных противоправных деяний предполагают установление личности субъекта ПД. А значит, его письменное согласие на обработку ПД необходимо (ч. 1 ст. 11 Закона N 152-ФЗ).
В то же время согласие посетителей учреждения при осуществлении на его территории видеосъемки не требуется. Ведь если видеоматериалы не используются для установления личности снятого человека, они не относятся к биометрическим ПД. В этой ситуации достаточно разместить в местах видеосъемки соответствующие текстовые или графические предупреждения (см. Разъяснения от 30.08.2013).
Учреждение обрабатывает личные данные соискателей на замещение вакантных должностей. Такая обработка тоже должна проводиться с согласия претендентов. Исключением будут случаи, когда от имени соискателя действует кадровое агентство, с которым тот заключил договор, и когда соискатель самостоятельно опубликовал резюме в Интернете, сделав его доступным неограниченному кругу лиц.
При получении резюме по электронной почте или факсу работодателю следует дополнительно проверить факт направления резюме самим соискателем. Это можно сделать, например, пригласив соискателя на личную встречу с уполномоченными сотрудниками работодателя, ответив соискателю по электронной почте (см. Разъяснения от 14.12.2012). При отказе в приеме на работу сведения, предоставленные соискателем, должны быть уничтожены в течение 30 дней (ч. 4 ст. 21 Закона N 152-ФЗ).
Роскомнадзор относит к нарушениям отсутствие согласия соискателя на обработку ПД, а суды поддерживают в этом контролирующий орган (см., например, Постановление АС МО от 15.01.2018 N Ф05-18981/2017 по делу N А40-81171/17-149-793).
Более подробно с данным материалом Вы можете ознакомиться в СПС КонсультантПлюс
Статья: Работа с персональными данными: проверяем, нет ли ошибок (Смолева М.Е.) («Руководитель автономного учреждения», 2018, N 9) {КонсультантПлюс}
