Согласия сотрудников на обработку персональных данных. Новые требования РКН и как их применять на практике
Роскомнадзор напомнил компаниям ситуации, в которых сначала требуется получить согласие сотрудников, а потом уже обрабатывать их персональные данные. Особый вид обработки: распространение персональных данных — на него требуется отдельное согласие. От передачи данных распространение отличается тем, что персональные данные становятся доступны неопределенному кругу лиц.
К согласиям на обработку персональных данных РКН предъявляет определенные требования, которые будет проще выполнять, используя шаблоны в конце статьи.
Эту статью мы сделали в видео формате. Ролик можете посмотреть в удобное время и разместить для своих сотрудников на корпоративном портале.
This is a modal window.
Для вашего удобства сделали карточки, в которых найдете подробную информацию по согласиям в отдельных ситуациях, а также примеры формулировок для документа.
1. Кадровик нашел резюме соискателя на сайте для поиска работы
Если кандидат разместил резюме в открытом доступе в интернете, тем самым сделал его доступным неограниченному кругу лиц. Согласие в этом случае получать не требуется, п. 10 ч. 1 ст. 6 Закона о персданных, абз. 12 п. 5 Разъяснений Роскомнадзора от 14.12.2012.
Не нужно получать согласие соискателя на обработку персональных данных, если от имени соискателя по договору действует кадровое агентство или он сам ищет работу и разместил резюме на сайте. Если же соискатель направил резюме по электронной почте, кадровик в случае спора должен подтвердить, что резюме направил соискатель. Например, в ответ на личное письмо с приглашением на собеседование.
Если в вашей компании соискатели заполняют анкеты, в них должна быть информация о сроке, в который вы рассматриваете анкету и принимаете решение о приеме либо об отказе в приеме на работу.
Типовую форму анкеты соискателя вы можете разместить на сайте компании, а согласие на обработку персональных данных соискатели дадут, если проставят отметку в специальном поле, Разъяснения Роскомнадзора от 14.12.2012.
2. Позвонили из банка, в котором работник хочет взять кредит
Если сотрудник банка спрашивает, числится ли в штате работник и каков размер его зарплаты, вы не можете предоставить банку такую информацию без согласия работника. Эта ситуация не связана с исполнением трудового договора. Расскажите сотруднику, что банк просит его данные, и попросите оформить письменное согласие на передачу сведений.
Прежде чем передавать сведения о сотруднике, вы должны получить его письменное согласие. Для этого направьте работнику уведомление. Напишите в уведомлении, например: «В Компанию поступил запрос из Банка о занимаемой вами должности, размере заработной платы и периоде работы в Компании. Чтобы отдать эти сведения, мы должны получить ваше письменное согласие. Просим вас сообщить о своем решении и в случае согласия оформить документы в отделе кадров».
Работник изучит уведомление и решит, согласен ли он передать информацию о себе третьим лицам. В согласии передать сведения в банк он может написать следующее: «Я даю согласие Компании обрабатывать персональные данные, а именно: передать в Банк мои данные: ... Цель передачи и обработки сведений: предоставление информации для получения кредита. Способ передачи информации: в письменной форме по почте».
3. Опубликовали в газете заметку с похвалой работника
Если газета — внутреннее корпоративное издание или ресурс, к которому имеют доступ только сотрудники организации, это не распространение персональных данных, так как можно точно определить круг таких субъектов, которые получат доступ к персональным данным. Получать согласие на распространение данных в этой ситуации не нужно. Другое дело, что желательно получить согласие на обработку персональных данных, кроме распространения, в котором перечислить персональные данные и указать цель: «Для размещения в корпоративной газете».
Эту позицию поддерживает и Минцифры. Чиновники рассмотрели ситуацию доступа к данным сотрудников на ресурсе или в мобильном приложении, которые доступны только зарегистрированным пользователям, пояснили, что не считают это распространением персональных данных, письмо Минцифры от 21.12.2021.
Если газета — это общедоступный ресурс, например в интернете, то информацию о сотруднике можно разместить только после того, как получите его письменное согласие на распространение персональных данных, ч. 15 ст. 10.1 Закона № 152-ФЗ. В согласии сотрудник должен перечислить сведения об информационных ресурсах, на которых распространяете сведения, приказ РКН от 24.02.2021 № 18.
Пример формулировки: «Заявляю о согласии на распространение АО «Афиша» моих персональных данных с целью размещения информации обо мне на сайте afisha.ru, стенде «Лучшие сотрудники компании» и ведомственной газете «Профессиональный вестник».
4. Оформляете работнику пропуск на территорию компании
Если пропускной режим в вашей компании контролирует сторонняя организация, то согласия работников получить обязательно.
Получать согласие на обработку персональных данных не нужно, если:
— компания самостоятельно осуществляет пропускной режим;
— обработка соответствует порядку, который предусмотрели в коллективном договоре или локальном акте.
А вот фото на пропуске — это биометрические данные, ст. 11 Закона о персданных, разъяснения Роскомнадзора от 02.09.2013, определение ВС от 05.03.2018 № 307-КГ18-101. Поэтому, прежде чем использовать фото, получите письменное согласие работника. Такое согласие понадобится и в случае, если хотите организовать проход по отпечаткам пальцев например.
Формулировка в согласии может быть такой: «Даю согласие на автоматизированную, а также без использования средств автоматизации обработку моих биометрических персональных данных: фотографии, для оформления пропуска на территорию работодателя».
5. Ведете видеонаблюдение в офисе
Если с учетом технических возможностей определить личность человека на основе видеозаписи нельзя, то получать согласие на обработку биометрических персональных данных не нужно. Суды указывают, что видеосъемка на рабочем месте правомерна.
Пример
В одном из дел работодатель ввел видеонаблюдение для обеспечения безопасности. Порядок видеосъемки прописал в ЛНА. Получил согласия работников на обработку персональных данных. Один из работников посчитал, что видеокамеры нарушают право на неприкосновенность частной жизни, и потребовал их демонтировать. Суд указал, что видеосъемка на рабочем месте сама по себе не нарушает права работника. Устанавливать внутренний трудовой распорядок и принимать ЛНА — право работодателя, апелляционное определение Астраханского облсуда от 11.11.2020 по делу № 33-3643/2020.
Если видеосъемку ведете в целях охраны труда для наблюдения за условиями труда и работы на отдельных рабочих местах, то есть не используете видеозаписи для идентификации сотрудников, это не считается обработкой биометрических персональных данных. Для таких целей согласия сотрудников не требуются.
Спорная ситуация возникает, если работодатель планирует использовать видеозаписи как доказательства дисциплинарных проступков или хищений. Есть суды, которые считают, что получать согласие работника на обработку персональных данных при этом необязательно, так как его личность работодателю и так известна, решение Ленинского районного суда г. Пензы от 26.03.2020 по делу № 2-500/2020. Однако есть и противоположная практика. Например, в одном деле работник оспорил взыскание в том числе из-за того, что не давал согласия на видеонаблюдение, с помощью которого установили проступок, определение Восьмого КСОЮ от 12.05.2020 по делу № 88-6027/2020.
Учитывая разную практику и положения Закона № 152-ФЗ, рекомендуем получить согласие работников на обработку их биометрических персональных данных при видеонаблюдении и обработке полученных видеозаписей. Это уменьшит не только риск признания взыскания незаконным, но и претензий со стороны РКН. Дополните бланк согласия на обработку персданных положениями о биометрических данных, которые получите посредством видеосъемки. Или составьте отдельный документ.
Требования РКН к содержанию согласий
Согласие на обработку персональных данных работник может дать в любой форме. Главное, чтобы вы могли подтвердить, что получили его. Если возникнет спор, доказать получение согласия должен работодатель. Поэтому согласие нужно оформить письменно. В системе электронного документооборота — в электронной форме, подписанное электронной подписью.
Согласие на обработку персональных данных, кроме распространения. Согласие должно быть конкретным, информированным и сознательным, предметным и однозначным, ч. 1 ст. 9 Закона № 152-ФЗ, и должно включать, ч. 4 ст. 9 Закона № 152-ФЗ:
- фамилию, имя, отчество, адрес работника, реквизиты документа, удостоверяющего его личность, включая дату выдачи и сведения о выдавшем его органе;
- наименование и адрес работодателя;
- цель обработки персональных данных;
- перечень персональных данных, которые подлежат обработке;
- фамилию, имя, отчество и адрес лица или наименование организации, осуществляющих обработку персональных данных по поручению работодателя, если она поручена такому лицу или организации;
- перечень действий с персональными данными, на совершение которых субъект дает согласие;
- общее описание используемых способов обработки персональных данных;
- срок, в течение которого действует согласие, а также способ его отзыва;
- подпись работника.
Если планируете хранить информацию о работнике, включите подробности в форму согласия на обработку — лишним не будет.
Убедитесь, что в шаблонах согласий есть место для формулировки целей обработки персональных данных. А сотрудники, когда заполняют шаблон, четко называют такую цель. Подсказывайте им точные формулировки. Можете записать примеры формулировок и использовать их по ситуации.
Так как сотрудники обязаны предоставлять вам персональные данные, а вы обязаны получать согласия сотрудников на обработку персональных данных, то теперь вы должны разъяснять им последствия отказа предоставлять персональные данные или дачи согласие на их обработку, ч. 2 ст. 18 Закона № 152-ФЗ.
Согласие на распространение персональных данных. Требования к содержанию согласия установил Роскомнадзор, приказ от 24.02.2021 № 18. Убедитесь, что предоставляете работникам возможность определить, какие персональные данные он разрешает распространять.
В согласии он вправе запретить передавать определенные персональные данные неограниченному кругу лиц, установить условия обработки данных. При этом запреты или условия обработки данных нельзя устанавливать, когда персональные данные обрабатывают в государственных, общественных и иных публичных интересах, установленных законом.
Если сотрудник в согласии установил запреты и условия обработки его персональных данных, не позднее трех рабочих дней опубликуйте эту информацию на том же ресурсе, через который распространяете данные о работнике, ч. 10 ст. 10.1 Закона № 152-ФЗ.
Если из согласия не следует, что работник согласился распространять сведения о себе, либо если в согласии нет категорий и списка персональных данных, сведения распространять нельзя. Молчание или бездействие работника не считается согласием. Передавать или распространять персональные данные нельзя и в случае, если получили требование работника прекратить обработку сведений.
Отзыв согласия на обработку персональных данных. Сотрудник пишет отзыв согласия в произвольной форме. Требование должно включать в себя: ФИО сотрудника, номер телефона, адрес электронной почты или почтовый адрес, а также перечень персональных данных, обработка которых подлежит прекращению. Рекомендуем сделать шаблон письменного отзыва и приложить его к Положению.
Если работник отозвал согласие на обработку, вы должны уничтожить данные в течении 30 дней с даты поступления отзыва, п. 5 ст. 21 Закона № 152-ФЗ. Не забудьте удалить как бумажные материалы, так и материалы на электронных носителях. Уничтожайте данные таким способом, который исключает их восстановление.
Как и кому теперь можно передавать персональные данные сотрудников. Новые правила, запреты и штрафы
Передавать персональные данные сотрудников третьим лицам становится сложнее, даже если делать это аккуратно. В статье разбираем безопасные способы сообщить информацию о сотрудниках в госорганы, другим компаниям и частным лицам.
Для того, чтобы вы могли на практике отработать ситуации, в которых требуется передавать персональные данные сотрудников, сделали мини-курс. Проходите два урока и сдавайте итоговый тест, чтобы получить сертификат.
Мини-курс «Как передавать персональные данные работников, чтобы избежать штрафов»
Новые ограничения для передачи сведений в интернете
Все пользуются интернетом, чтобы передавать сведения о сотрудниках и клиентах. Недавно Роскомнадзор фактически закрыл один из каналов передачи персональных данных — это иностранные мессенджеры. Обратите внимание: ограничения касаются не всех.
Федеральный закон, проект которого Государственная дума приняла в третьем чтении, устанавливает штраф до 700 тысяч рублей за передачу персональных данных и финансовой информации через Telegram, Skype, WhatsApp и другие иностранные мессенджеры. Составлять протоколы о правонарушениях будет Роскомнадзор, а штрафовать — суд.
Изменения касаются государственных служащих и финансовых организаций. Госслужащим нельзя использовать иностранные мессенджеры в рамках выполнения госзаказа или муниципального задания. Финорганизации не смогут подключать зарубежные мессенджеры к своим информационным системам.
Коммерческие компании по-прежнему могут использовать для передачи сведений о своих сотрудниках, при соблюдении всех требований к защите данных, с помощью в том числе иностранных мессенджеров. Но безопаснее сведения таким способом больше не передавать. Используйте для пересылки в интернете защищенные каналы, в том числе корпоративную почту со специальными настройками и т. п.
Ситуации, в которых кадровики передают персональные данные сотрудников
В большинстве ситуаций, когда вы передаете персональные данные работника третьим лицам, он должен дать на это свое письменное согласие, абз. 2 ст. 88 ТК. Исключение: передать сведения необходимо для предупреждения угрозы жизни и здоровью работника, в иных предусмотренных законом ситуациях.
В согласии на передачу персональных данных в страховую компанию нужно указать, что сведения будут обрабатываться для заключения и действия договора ДМС. В банк — для одобрения кредитной заявки сотрудника и заключения с ним кредитного договора.
Передача персональных данных третьим лицам. Когда третье лицо — не госорган или фонд — просит предоставить сведения работника, прежде чем передавать сведения о сотруднике, вы должны получить его письменное согласие. Для этого направьте работнику уведомление. Работник изучит сведения и решит, согласен ли он передать информацию о себе третьим лицам. Если согласия не будет, то и передавать сведения вы не должны.
Передача персональных данных в госорганы, фонды и другие полномочные организации и граждане. Государственные органы, СФР, суды и некоторые граждане по закону могут получать сведения без согласия субъекта персональных данных. Если кадровик откажется представить такие сведения, потому что сотрудник не подписал согласие, это будет нарушением Закона о персональных данных.
В таблице со ссылками на законы перечислили случаи, в которых полномочные органы имеют право требовать определенную информацию о сотрудниках, а кадровики должны ее предоставить, не спрашивая согласия у владельцев персональных данных. Вместо ПФР и ФСС кадровики теперь передают сведения в СФР.
Ситуации, в которых кадровики обязаны передавать персональные данные работника без его письменного согласия
СКАЧАТЬБез согласия сотрудников вы направляете кадровые отчеты в государственные органы и внебюджетные фонды. Проверяйте полномочия должностных лиц, которые присылают запросы.
Работодатели обязаны отвечать на мотивированные запросы государственных юридических бюро. Раньше такие запросы могли направлять только адвокаты.
Как только убедитесь, что они вправе получить определенные сведения, передавайте им персональные данные, не получив согласие сотрудника, причем в срок, указанный в запросе. Если запрос получил руководитель компании, вы обязаны предоставить ему сведения, чтобы он ответил на запрос.
Когда вы передаете персональные данные сотрудников на законных основаниях, сотрудники не смогут обжаловать такие действия.
Еще в одной ситуации сотрудница пыталась обвинить компанию в распространении порочащих сведений. Но так как персональные данные были в характеристике, написанной для суда, действия компании признали законными. Компания не распространяла порочащие сведения.
Трансграничная передача персональных данных. С марта действуют новые правила. Трансграничная передача данных — это передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу, п. 11 ч. 1 ст. 3 Закона от 27.07.2006 № 152-ФЗ. Трансграничная передача возникает, когда данные передают на территорию иностранного государства или иностранному физическому лицу или организации.
У компании есть учредители — иностранцы. Чтобы принять сотрудников на руководящие должности, кадровики должны согласовать кандидатуру со всеми учредителями. Для согласования документы с персональными данными кандидатов передают учредителям, которые живут в других странах. Это трансграничная передача данных.
Передавать данные можно в страны, которые участвуют в Конвенции № 108. Также передавать данные можно в страну, которая хоть и не участвует в Конвенции № 108, но «обеспечивает адекватную защиту прав субъектов персональных данных», приказ Роскомнадзора от 05.08.2022 № 128.
Получите согласие работника на трансграничную передачу данных. Если направляете сведения на территорию страны, которая обеспечивает адекватную защиту, запрашивать у работника согласие на трансграничную передачу персональных данных не нужно. Но если передаете сведения другому оператору за границу, придется запросить согласие работника на передачу данных третьему лицу, ст. 7 Закона № 152-ФЗ.
Следите, чтобы сотрудник подписывал согласие только после того, как укажет конкретную цель трансграничной передачи персональных данных. За обработку, которая не совместима с целями сбора данных, могут привлечь к ответственности.
Для загранкомандировки работник в согласии на трансграничную передачу напишет: «Осуществление необходимых мероприятий, связанных с моим выездом и пребыванием за границей».
Какая ответственность предусмотрена за нарушение правил передачи персональных данных
Из-за изменений в части передачи персональных данных в иностранных мессенджерах госслужащими и финансовыми компаниями в КоАП появится новая статья 13.11.2. Штрафы по этой статье:
- для должностных лиц — от 30 000 до 50 000 рублей;
- для компаний — от 100 000 до 700 000 рублей.
Какой штраф заплатите, если нарушаете правила передачи персональных данных, ст. 13.11 КоАП
Когда вы уволите сотрудника во время его больничного и будете правы
Закон запрещает увольнять по инициативе компании сотрудника, у которого есть открытый листок нетрудоспособности, ч. 6 ст. 81 ТК. Трудовой договор с таким работником расторгнуть можно, но только после того, как больничный закончится. Иначе уволенный пойдет в суд, его восстановят на работе, а с организации взыщут зарплату за время вынужденного прогула и даже моральный вред, если сотрудник попросит об этом.
Шпаргалка Как суды оценивают ситуации, в которых работника уволили, пока но был на больничном
Но суды удовлетворяют не все иски уволенных. Расскажу о ситуациях, когда судьи занимают сторону работодателя, и обращу внимание на условия, при которых суд может отменить увольнение.
Работник скрыл, что у него есть больничный
Сотрудники знают, что работодатель не сможет их уволить во время больничного, и пользуются этим запретом. При этом действуют они не всегда порядочно. Например, работодатель уволил сотрудника и только в суде узнал, что в день увольнения у сотрудника был больничный.
Верховный суд еще в 2004 году разъяснил судам: в делах о восстановлении на работе они должны убедиться, что сотрудники не злоупотребляли правом. В частности, недопустимо, чтобы работники скрывали временную нетрудоспособность. Если работник действовал недобросовестно, ему откажут в иске о восстановлении на работе. Работодатель не должен отвечать за недобросовестные действия сотрудника, п. 27 постановления Пленума ВС от 17.03.2004 № 2.
Но иногда уволенные хитрят и заявляют в суде, что уведомляли работодателя о наличии больничного.
Листайте, чтобы посмотреть, что решил суд
Если сотрудник будет заявлять в суде, что он уведомлял работодателя о больничном по электронной почте, а работодатель будет оспаривать это, то суд может назначить независимую судебную компьютерно-техническую экспертизу. Эксперт установит, отправлялось такое уведомление или нет, при этом не имеет значения, сохранилось оно в почте или было удалено.
Но если сотруднику удастся доказать, что он своевременно известил работодателя об открытом больничном, то суд встанет на сторону уволенного.
Листайте, чтобы посмотреть, что решил суд
Чтобы избежать подобных неприятностей, пропишите в локальном акте, например, в ПВТР, порядок уведомления о больничном. К примеру: «работник обязан в первый день открытия больничного уведомить об этом по электронной почте непосредственного руководителя». Ознакомьте с порядком уведомления всех сотрудников под подпись. Но если даже работник уведомит о больничном иначе, не так, как прописано в локальном акте, а, например, по телефону, считайте, что он уведомил о больничном.
Предупредите ответственных лиц, руководителей отделов, что они обязаны своевременно уведомлять отдел кадров обо всех сообщениях сотрудников о причинах их отсутствия на рабочем месте.
Работник открыл больничный сразу после увольнения
Бывает так, что еще утром сотрудник был здоров, находился на рабочем месте и исполнял трудовые обязанности. А после объявления приказа об увольнении и вручении трудовой книжки в тот же день «заболел» и открыл больничный. Потом подает на работодателя в суд, ссылаясь на то, что его уволили во время больничного.
Чтобы доказать в суде, что сотрудник злоупотребил правом, фиксируйте не только дату, но и время, когда сотрудника знакомили с приказом об увольнении. Просите его проставить точное время на приказе и при получении трудовой книжки. Можно даже попросить его указать в приказе об увольнении «открытого больничного не имею» или «препятствий для прекращения трудового договора по инициативе работодателя нет».
Если сотрудник откажется подписать приказ об увольнении или проставить время, оформите акт. Сделайте запись на самом приказе, на котором не будет подписи работника, о том, что он отказался поставить подпись, и сошлитесь на акт. Сохраняйте данные пропускной системы о времени ухода уволенного с работы.
Пригласите свидетелей, даже если увольняемый не отказывается подписывать и получать документы. В дальнейшем они могут подтвердить не только время подписания, но и то, что сотрудник был здоров и о больничном не заявлял.
Если сотрудник работал в последний рабочий день, сохраните доказательства, которые подтвердят, что он был здоров: вел переписку, общался с клиентами.
При увольнении работника по п. 5 ч. 1 ст. 81 ТК за неоднократное неисполнение трудовых обязанностей, тщательно оформляйте документы о привлечении к дисциплинарным взысканиям. Человек, который неоднократно не исполнял трудовые обязанности и за это же был уволен, не вызовет доверия у судей. Они расценят его обращение за больничным как злоупотребление правом.
Установите в организации, что увольняемые обязаны отрабатывать последний день полностью, оформляйте увольнение только в конце этого дня. Так у увольняемого будет меньше возможности посетить поликлинику до ее закрытия и получить больничный.
Кадровик оформила документы на дисциплинарное взыскание в период больничного
До применения дисциплинарного взыскания работодатель должен затребовать от сотрудника письменное объяснение. Если по истечении двух рабочих дней сотрудник объяснение не представит, то составляют акт.
Дисциплинарное взыскание применяют не позднее месяца со дня обнаружения проступка, не считая, в частности, времени болезни работника, ст. 193 ТК. Руководствуясь этой нормой, суды делают вывод, что во время болезни нельзя не только увольнять сотрудника, но и спрашивать с него объяснение.
Дождитесь выхода сотрудника на работу с больничного и только потом запрашивайте у него объяснение по факту нарушения трудовых обязанностей.
Если работник откажется от дачи объяснений, то подождите два рабочих дня и потом издавайте приказ об увольнении. Если поторопитесь и запросите объяснение во время больничного, то суд признает увольнение незаконным, если даже приказ об увольнении вынесен после окончания больничного.
Листайте, чтобы посмотреть, что решил суд
Суды руководствуются указанной позицией Верховного суда и признают увольнения незаконными, если объяснения с работника взяли, когда он находился на больничном, определения Третьего КСОЮ от 21.09.2022 № 88-13631/2022, Шестого КСОЮ от 30.06.2022 по делу № 88-12621/2022, 2-1752/2021.
Кадровик уведомляла о предстоящем увольнении работника на больничном
В некоторых случаях работодатель обязан уведомить сотрудника о предстоящем увольнении. Например, не прошедшего испытательный срок и о прекращении срочного трудового договора предупреждают за три дня, о сокращении штата — за два месяца, ч. 1 ст. 71, ч. 1 ст. 79, ч. 2 ст. 180 ТК.
Закон не запрещает уведомлять работника, который находится на больничном, о предстоящем увольнении. Но важно уволить его, когда он уже выйдет с больничного. При этом повторно предупреждать об увольнении не нужно. В уведомлении об увольнении можно сделать оговорку «будете уволены такого-то числа либо в первый рабочий день после выхода с больничного». Так сотрудник поймет, что работодатель не отменит увольнение из-за его болезни, а лишь перенесет дату.
