Согласие работника на обработку ПДн

Глава 14 Трудового кодекса РФ даёт работодателю самостоятельное основание для обработки персональных данных работника — исполнение обязанностей, возложенных трудовым законодательством. Отдельное согласие по ст. 9 закона 152-ФЗ на эту часть обработки не требуется, поскольку применяется основание из ч. 1 ст. 6 152-ФЗ — исполнение обязанностей, возложенных на оператора законом.

Работодателю не нужно объяснять работнику при приёме, что он «согласен» на обязательную часть обработки — она следует из самого факта трудовых отношений, а не из волеизъявления. Подробности по каждой позиции из второй половины таблицы — в следующем разделе.

За пределами обязательного кадрового и бухгалтерского учёта работодателю нужно отдельное основание — как правило, согласие. Типичные ситуации:

• публикация фото и биографии сотрудника на корпоративном сайте, в соцсетях компании, в презентациях для клиентов — требует согласия на охрану изображения по ст. 152.1 Гражданского кодекса РФ и отдельного согласия на обработку персональных данных для этой цели;
• добровольное медицинское страхование (ДМС) — передача данных работника страховой компании для оформления полиса выходит за пределы обязанностей работодателя по ТК РФ и требует согласия работника на передачу его данных третьему лицу;
• корпоративные пропуска с фотографией и биометрией — если система контроля доступа использует биометрические данные, применяется отдельный режим по ст. 10.1 закона 152-ФЗ, требующий письменного согласия;
• рассылка внутренних и внешних материалов на личную почту или телефон работника вне служебных обязанностей — например, поздравления, опросы, приглашения на корпоративные мероприятия от партнёров;
• передача данных за пределы обязательной отчётности — например, партнёру-подрядчику, который ведёт кадровое администрирование по договору аутсорсинга, если это не предусмотрено законом напрямую.

Состав согласия работника не отличается от общих требований ч. 4 ст. 9 закона 152-ФЗ: ФИО и паспортные данные работника, наименование и адрес работодателя, цель обработки, точный перечень данных, перечень действий и способов обработки, срок действия и порядок отзыва, подпись.

Особенность в формулировке цели — она должна быть конкретной и не совпадать с формулировкой обязательной кадровой обработки. «Обработка персональных данных в целях трудовых отношений» — слишком широко и рискует перекрыть собой обе категории обработки, что затрудняет доказывание того, какая часть велась по закону, а какая по согласию. Правильнее сформулировать цель узко: «размещение фотографии и краткой биографии работника на корпоративном сайте компании» или «передача персональных данных работника страховой организации для оформления договора добровольного медицинского страхования» с указанием конкретного получателя данных.

Если данные передаются третьему лицу — страховой компании, банку-эмитенту зарплатных карт по отдельной программе, подрядчику, — в согласии нужно назвать этого получателя по п. 6 ч. 4 ст. 9 закона 152-ФЗ, а не ограничиваться общей фразой «третьим лицам».

При проверке кадровой документации чаще всего всплывают четыре повторяющихся дефекта.

• Общее согласие «на всё» при трудоустройстве. Часть компаний просит подписать одно широкое согласие вместе с трудовым договором, покрывающее и обязательную кадровую обработку, и публикацию фото, и передачу в ДМС, и рассылки. Такое согласие уязвимо: оно не даёт работнику возможности принять часть условий и отклонить другую, а закон требует конкретности цели.
• Отсутствие согласия на зарплатный проект. Передача данных работника банку для открытия зарплатной карты обычно укладывается в исполнение обязанностей работодателя, но если сотрудник вправе выбрать банк или отказаться от зарплатного проекта, отдельное согласие на передачу его данных именно в выбранный банк не будет лишним.
• Забытое согласие бывших сотрудников на публикацию. Если фото и биография сотрудника опубликованы на сайте, а он уволился, работодателю нужно решить вопрос об удалении — прежнее согласие давалось в рамках трудовых отношений, которые прекратились, и его дальнейшее действие стоит зафиксировать отдельно или удалить материал.
• Смешение согласия работника и согласия на обработку данных для сайта. Если сотрудник указан в разделе «команда» на сайте компании как публичная персона, это отдельная цель обработки, требующая собственного согласия, отличного от кадрового.

Работник вправе в любой момент отозвать данное им согласие на обработку данных за пределами обязательного кадрового учёта — на основании ч. 2 ст. 9 закона 152-ФЗ. Это право не связано с тем, продолжает ли работник трудовые отношения с работодателем.

Отзыв согласия не может служить основанием для увольнения или иного ущемления трудовых прав работника, если отозванное согласие касалось обработки, выходящей за пределы обязанностей работодателя по Трудовому кодексу РФ. Например, отказ работника от размещения своего фото на сайте компании не влияет на исполнение им трудовой функции и не может быть поводом для дисциплинарных мер.

После отзыва работодатель обязан прекратить соответствующую обработку и уничтожить данные в порядке ст. 21 закона 152-ФЗ, сохранив при этом ту часть данных работника, которая обрабатывается по другому законному основанию — кадровому и бухгалтерскому учёту, отчётности перед государственными органами.