Персональные данные работников: когда согласие действительно нужно, а когда нет

Работодатели привыкли действовать по принципу: чем больше согласий на обработку персональных данных подписал сотрудник, тем безопаснее. На практике сейчас такой подход создает дополнительные риски.

Согласие - не универсальный документ «на все случаи жизни». Прежде чем просить работника его подписать, нужно ответить на другой вопрос: на каком основании работодатель вообще обрабатывает конкретные данные?

Если основание уже предусмотрено законом или связано с исполнением трудового договора, отдельное согласие НЕ требуется. Более того, формальное согласие «на всякий случай» может показать при проверке, что работодатель неправильно определил правовое основание, цель или объем обработки персональных данных.

Когда согласие работника не нужно

Типичный пример — обычный кадровый учет.

Работодатель получает и использует персональные данные сотрудника для оформления трудовых отношений, начисления заработной платы, предоставления гарантий и компенсаций, ведения обязательного кадрового учета и исполнения требований законодательства.

В таких ситуациях обработка производится не потому, что сотрудник ее «разрешил», а потому, что работодатель обязан или вправе это делать в силу закона и трудовых отношений.

Поэтому, например, НЕ требуется отдельное согласие:

• на обработку данных в целях ведения кадрового учета, если объем данных соответствует этой цели;
• на использование необходимых данных кадровой службой и бухгалтерией внутри организации;
• на передачу предусмотренных законом сведений в СФР, ФНС, Роструд, МВД и другие государственные органы.

Общий принцип следует из ст. 5 и 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: у обработки должна быть определенная цель и законное основание. Для трудовых отношений также необходимо учитывать положения ст. 86 ТК РФ.

На практике ошибка выглядит так: при приеме на работу сотруднику дают одно большое согласие, где одновременно перечислены кадровый учет, бухгалтерия, налоги, пропускной режим, фотографии, сайт компании, корпоративные мероприятия и еще десяток целей.

Такой документ не делает обработку автоматически законной. Для каждой цели все равно придется понимать, какие данные обрабатываются, зачем и на каком основании.

Когда без согласия не обойтись

Противоположная ситуация возникает, когда работодатель хочет использовать данные сотрудника за пределами того, что необходимо для исполнения закона или трудового договора, и другого самостоятельного основания для обработки нет.

В этом случае согласие действительно может потребоваться.

Особое внимание стоит обратить как минимум на три ситуации.

Распространение персональных данных. Например, публикация информации о работнике для неограниченного круга лиц. Обычного согласия на обработку персональных данных для этого недостаточно. Закон № 152-ФЗ отдельно регулирует персональные данные, разрешенные субъектом для распространения, — ст. 10.1 Закона № 152-ФЗ. В таком согласии необходимо четко определить, какие сведения сотрудник разрешает распространять и на каких условиях.

Биометрические данные. Здесь важно не путать любую фотографию с биометрией. Сам факт наличия фотографии работника еще не означает, что работодатель обрабатывает биометрические данные. Значение имеет то, используется ли изображение или иная характеристика человека именно для установления его личности.

Например, отдельного анализа требуют системы распознавания лиц для прохода в офис, использование отпечатков пальцев, распознавание голоса и иные технологии идентификации работника. Для такой обработки требования существенно строже.

Специальные категории персональных данных. К ним относятся, в частности, сведения о состоянии здоровья, национальности, религиозных убеждениях и некоторые другие данные. Их обработка ограничена законом и в каждом случае требует отдельной проверки правового основания. Одного общего кадрового согласия здесь недостаточно.

Каким должно быть настоящее согласие

Если после анализа выяснилось, что согласие действительно является необходимым основанием для обработки данных, его нельзя превращать в формальность.

Согласие должно быть конкретным и понятным работнику: для какой цели берут данные, какие именно сведения будут обрабатываться, каким способом, в течение какого срока и предполагается ли их передача третьим лицам.

Кроме того, согласие должно оформляться отдельно от иных документов, которые подписывает работник. Не стоит прятать его в текст трудового договора, анкеты или другого кадрового документа.

И главное: согласие должно быть действительно необходимым. То есть работодатель обращается к нему потому, что для конкретной обработки нет другого законного основания, а не потому, что кадровику привычнее собрать еще одну подпись.

Что делать работодателю со старыми согласиями

Самая неприятная ситуация — когда за несколько лет в личных делах накопились универсальные согласия «на все персональные данные и любые действия с ними».

Просто продолжать собирать такие документы точно не стоит.

Первое, что необходимо сделать, — провести аудит. По каждой цели обработки следует определить:

цель → состав данных → операция с данными → правовое основание.

Если обработка осуществляется на основании закона или в связи с исполнением трудовых отношений, нужно прекратить использовать согласие как основное основание.

Отдельно следует проверить согласия на распространение данных, биометрию и специальные категории персональных данных.

Со старыми документами сложнее. Самостоятельно уничтожать ранее подписанные сотрудниками согласия без оформления соответствующей процедуры я бы не советовала. Рекомендую следующий алгоритм: выявить избыточные согласия, предложить сотрудникам их отозвать, а затем в зависимости от ситуации вернуть документы работникам либо уничтожить их с надлежащим оформлением. При этом отзыв лишнего согласия сам по себе не прекращает обработку данных, если у работодателя существует другое законное основание для нее.

Также важно помнить: отзыв согласия — право сотрудника, а не его обязанность. Заставить работника отозвать ранее выданное согласие работодатель не вправе.

В чем главная ошибка работодателей

На практике проблема обычно не в том, что компания забыла получить очередное согласие.

Проблема возникает раньше — когда никто не определил, зачем конкретные данные вообще нужны работодателю и на каком основании он с ними работает.

Поэтому правильный порядок сегодня обратный привычному: сначала определить цель обработки и законное основание, а уже потом решать, требуется ли согласие сотрудника.

Иногда результатом грамотной работы с персональными данными становится не появление новых согласий, а наоборот — заметное сокращение их количества.

И это как раз тот случай, когда меньше документов может означать более качественное соблюдение закона.