Согласие на обработку персональных данных работника

Нужно ли согласие на обработку данных при трудоустройстве?

Обычно при приеме сотрудника на работу его согласие на обработку персональных данных не требуется (ст. 6 Федерального закона от 27 июля 2006 г. № 152-ФЗ (далее – Закон № 152-ФЗ), ст. 86 Трудового кодекса РФ (далее – ТК РФ)). Но это при условии, что работодатель запрашивает лишь ту информацию, которая необходима для исполнения трудового договора и соблюдения требований законодательства. Например, паспортные данные нужны для оформления договора, а реквизиты счета – для перечисления зарплаты (ст. 57, 136 ТК РФ).

Объем запрошенных данных должен соответствовать целям их обработки (ст. 5 Закона № 152-ФЗ). Работодатель не вправе требовать от сотрудника избыточную информацию. Например, он не может настаивать на передаче реквизитов всех банковских счетов, ведь для перечисления зарплаты достаточно сведений об одном.  

Иногда согласие на обработку данных необходимо. Например, когда работодатель отправляет их в другие компании для оформления визитов сотрудников в фитнес-клуб или на курсы иностранных языков в рамках корпоративной программы. Но это частные случаи, которые выходят за рамки стандартных трудовых отношений.

Что делать, если работник отказывается подписать согласие?

Бывает, работодатели просят дать согласие на обработку данных «на всякий случай», дабы исключить вероятность их незаконного использования. Но если человек не хочет подписывать согласие, это не повод отказывать ему в приеме на работу или применять дисциплинарное взыскание после трудоустройства.

Работодателю несговорчивость сотрудника навредить не может, поскольку необходимые данные он вправе обрабатывать и без согласия. Нарушением это не считается.

Можно ли отозвать согласие?

Работник вправе отозвать согласие на обработку данных в любое время (ч. 2 ст. 9 Закона № 152-ФЗ).

Однако работодатель может продолжить их обработку без согласия при наличии законных оснований. Сохранение трудовых отношений как раз и есть такое основание.

Что должно быть в согласии работника и сколько его хранить?

Согласие на обработку персональных данных должно включать (ч. 4 ст. 9 Закона № 152-ФЗ):

• Ф.И.О. работника, его адрес и паспортные данные (номер, когда выдан и кем). Если от имени работника действует представитель, то нужны его данные и реквизиты доверенности или иного документа, подтверждающего полномочия;
• наименование или Ф.И.О. и адрес работодателя. Если данные обрабатывает другое лицо по поручению работодателя, то нужны его наименование или Ф.И.О. и адрес;
• цель обработки данных;
• перечень данных, которые обрабатываются;
• перечень действий, осуществляемых с данными;
• описание используемых способов обработки данных;
• срок действия согласия;
• способ отзыва согласия;
• подпись работника.

Хранить согласие на обработку данных работодатель должен 3 года после истечения срока его действия или отзыва. Но при условии, что иной срок хранения не предусмотрен законом или договором (п. 441 Перечня, утв. Приказом Росархива от 20 декабря 2019 г. № 236).

Что грозит за разглашение и незаконную обработку данных?

За разглашение персональных данных без согласия работника предусмотрены дисциплинарная, материальная, гражданско-правовая, административная и уголовная ответственность (ст. 90 ТК РФ).

Например, если сотрудник передал посторонним данные коллеги, тем самым грубо нарушив свои трудовые обязанности, – его могут уволить (подп. «в» п. 6 ч. 1 ст. 81, ст. 192 ТК РФ).

За разглашение данных привлекают к ответственности по ст. 13.14 Кодекса РФ об административных правонарушениях (далее – КоАП РФ). Должностных лиц наказывают штрафом в размере от 40 000 до 50 000 рублей или дисквалификацией на срок до 3 лет, а компании – штрафом в размере от 100 000 до 200 000 рублей.

И это не единственная статья, по которой привлекают к административной ответственности за нарушения в области персональных данных. КоАП РФ стремительно обрастает новыми составами, да и размеры штрафов увеличиваются.

Например, за обработку персональных данных в ситуациях, не предусмотренных законом, или несовместимую с целями их сбора налагается штраф: на граждан – от 2000 до 6000 рублей, на должностных лиц – от 10 000 до 20 000 рублей, на компании – от 60 000 до 100 000 рублей (ч. 1 ст. 13.11 КоАП РФ). За обработку данных без согласия штрафы больше в несколько раз, максимальный – 700 000 рублей для компаний (ч. 2 ст. 13.11 КоАП РФ).

Также участились случаи привлечения к административной ответственности за непредставление или несвоевременную подачу в Роскомнадзор уведомления об обработке персональных данных (ст. 19.7 КоАП РФ).

А если распространить личную или семейную тайну человека без его согласия, могут привлечь к ответственности по ст. 137, 155 Уголовного кодекса РФ.