Работник отозвал согласие на обработку персональных данных

Что делать, если работник (или кандидат на вакансию) по каким-либо причинам отказывается дать работодателю согласие на обработку его персональных данных? Такой отказ может иметь место как на этапе трудоустройства, так и после принятия человека на работу. Рассказываем, как действовать работодателю в подобной ситуации.

По общему правилу работник должен дать согласие на обработку его персональных данных (свободно, своей волей и в своем интересе), а само согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 Закона N 152-ФЗ).

Другими словами, заставить работника дать согласие нельзя, причем в случае возникновения спора доказать, что работник дал согласие на обработку его персональных данных, должен именно работодатель (ч. 3 ст. 9 Закона N 152-ФЗ).

Работник может отозвать свое согласие на обработку персональных данных в любое время. Продолжить обработку без него работодатель сможет при наличии определенных оснований, указанных в Законе N 152-ФЗ (ч. 2 ст. 9 Закона N 152-ФЗ).

Поскольку обработку персональных данных работодатель выполняет для реализации возложенных на него как сторону трудового договора функций, полномочий и обязанностей, то наличие согласия работника на их обработку не обязательно. Судебная практика также исходит из того, что не требуется согласия на обработку персональных данных работника, если она осуществляется в рамках трудовых правоотношений и в целях исполнения трудового договора (Апелляционное определение Оренбургского областного суда от 21.06.2017 по делу N 33-4566/2017).

Работодатель не может привлечь к дисциплинарной ответственности работника, который отказался подписывать согласие. Также отсутствуют основания для увольнения работника, который не дает согласия на обработку персональных данных. А отказ гражданина от подписания соглашения (представления согласия) об обработке персональных данных на этапе трудоустройства не является основанием для отказа от заключения с ним трудового договора.

Данная позиция находит отражение в разъяснениях Роскомнадзора. Ведомство обращает внимание, что можно без согласия работника обрабатывать его персональные данные, если объем таких данных не превышает установленные перечни, а также соответствует целям трудового законодательства.

Когда можно обрабатывать персональные данные без согласия работника

В разъяснениях Роскомнадзора содержится конкретизация случаев, когда получения согласия от работника на обработку персональных данных не требуется.

Так, согласие на обработку персональных данных не потребуется:

1. в ситуациях, предусмотренных коллективным договором, правилами внутреннего трудового распорядка, а также иными ЛНА работодателя, принятыми в порядке, установленном ст. 372 ТК РФ;
2. когда работодатель исполняет свою обязанность по опубликованию и размещению персональных данных работников в Интернете, если такая обязанность предусмотрена законодательством. Например, медицинская организация обязана информировать граждан в доступной форме, в том числе через Интернет, об осуществляемой медицинской деятельности и о медицинских работниках, об уровне их образования и об их квалификации. Похожая обязанность установлена для образовательных учреждений, на сайте которых должны содержаться персональные данные педагогических работников и руководителей;
3. если работодатель обрабатывает специальные категории персональных данных, в том числе сведения о состоянии здоровья, относящиеся к вопросу о возможности выполнения работником трудовой функции (п. 2.3 ч. 2 ст. 10 Закона N 152-ФЗ). В остальных случаях их обработка без согласия работника не допускается!
4. при передаче персональных данных работника третьим лицам в случаях, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника (абз. 2 ст. 88 ТК РФ);
5. для передачи персональных данных работников в Социальный фонд России;
6. в условиях передачи персональных данных работников налоговой службе, в военные комиссариаты, профсоюзные органы (по запросу в целях контроля за соблюдением трудового законодательства), поскольку работодатель должен исполнять обязанности, предусмотренные трудовым законодательством, иными нормативными правовыми актами, содержащими нормы трудового права (ст. 22 ТК РФ). Так, обязанность вести воинский учет и направлять соответствующую персональную информацию о работниках в военкоматы установлена абз. 4 п. 1 ст. 4 Федерального закона от 28.03.1998 N 53-ФЗ "О воинской обязанности и военной службе";
7. в случаях, связанных с выполнением работником должностных обязанностей, в том числе при его командировании;
8. при получении и исполнении запросов от органов прокуратуры, правоохранительных органов, органов безопасности, от государственных инспекторов труда при осуществлении ими государственного надзора и контроля за соблюдением трудового законодательства;
9. в отношении близких родственников работника без их согласия в объеме, предусмотренном унифицированной формой N Т-2 (в случае использования ее работодателем), а также при получении алиментов, оформлении допуска к государственной тайне, социальных выплат и пр.;
10. для пропускного режима на предприятии при условии, что он организован работодателем самостоятельно. Если же пропускной режим осуществляет иная организация и в ЛНА порядок его организации не прописан, то обработка персональных данных, а также их передача третьим лицам без согласия сотрудников запрещены;
11. для представления сведений в банк, обслуживающий платежные карты работников, если в ЛНА, договоре на выпуск карты предусмотрена передача работодателем персональных данных работников либо работодатель действует на основании доверенности на представление интересов работников при заключении договора с кредитной организацией на выпуск банковской карты и ее обслуживание.

Поэтому, если работник изначально не даст или в последующем отзовет свое согласие на обработку персональных данных в перечисленных случаях, работодатель вправе продолжить такую обработку с соблюдением установленных законодательных требований.

Когда требуется согласие на обработку персональных данных

В основном все ситуации, когда запрашивать согласие на обработку персональных данных необходимо, связаны с тем, что правоотношения не являются трудовыми и, следовательно, не подпадают под п. 5 ч. 1 ст. 6 Закона N 152-ФЗ (для заключения и/или исполнения договора). Тогда работодателю надо обязательно получить согласие на обработку и передачу (а иногда и распространение) персональных данных с указанием целей такой обработки.

Наиболее часто встречающиеся случаи, когда требуется согласие работника на обработку его персональных данных:

• передача персональных данных работников банкам, которые обслуживают платежные карты для начисления заработной платы. Исключение мы называли выше;
• при привлечении сторонних организаций для ведения кадрового и бухгалтерского учета;
• размещение в открытом доступе информации о специалистах компании, если такая обязанность не предусмотрена законом;
• передача информации о сотрудниках страховым организациям для заключения договоров добровольного страхования;
• передача данных работников третьим лицам для организации любого рода мероприятий (корпоративных, представительских, учебных, рабочих и пр.);
• передача данных сотрудников для оказания услуг связи.

Если работник изначально не даст или в последующем отзовет свое согласие на обработку персональных данных в таких случаях, работодателю придется прекратить их обработку, предупредив работника письменно о последствиях отказа или отзыва.

С одной стороны, это снимет с работодателя ответственность в ситуации, если работник обвинит его в нарушении прав, например, когда ему не оформят полис ДМС из-за того, что он не дал согласия на обработку соответствующих данных о себе. С другой - возможно, что после разъяснения работодателем неблагоприятных последствий сотрудник одумается и оформит (в том числе заново) письменное согласие.

Последствия отзыва ранее предоставленного согласия на обработку персональных данных состоят в том, что работодатель по общему правилу должен прекратить обработку этих данных и уничтожить их (ч. 5 ст. 21 Закона о персональных данных). В противном случае работодатель может быть привлечен к административной ответственности.

Но, обратите внимание! Согласно законодательству РФ об архивном деле, работодатель обязан обеспечить хранение документов, в том числе кадровых документов по этому работнику в течение сроков, установленных законодательством РФ (Федеральный закон от 22.10.2004 N 125-ФЗ, Приказ Росархива от 20.12.2019 N 237).

А что касается персональных данных работников, которые содержатся в электронных базах данных, например, в программе 1С - обязан ли работодатель в случае отзыва согласия работника удалить его данные из этих электронных баз и программ? Или обезличить эти данные? Законодательством этот вопрос не урегулирован.

Каких-либо разъяснений надзорных органов или судебной практики по этому вопросу не обнаружено. Тем не менее считаем, что отзыв согласия на обработку персональных данных не дает оснований уничтожения данных работника в электронных базах данных, если эти данные были заведены в целях исполнения трудового договора.

Таким образом, при отзыве согласия на обработку персональных данных работником никакие приказы по приему, увольнению работника, его отпускам и т.п. работодатель уничтожать не должен. Это же касается и сведений, занесенных в программы бухгалтерского и кадрового учета.

Если же у работодателя хранятся персональные данные работника, которые используются не в рамках трудовых отношений (информация на сайте, фотографии, сведения о ДМС и др. случаи), то эти данные в течение 30 дней необходимо уничтожить.

Порядок документального оформления факта уничтожения персональных данных осуществляется в соответствии с Требованиями к подтверждению уничтожения персональных данных, утвержденными Приказом Роскомнадзора от 28.10.2022 N 179.

Уничтожение персональных данных осуществляется комиссией, созданной работодателем. Приказ составляется в произвольной форме. В нем указывается состав комиссии - председатель и ее члены (например, начальник кадровой службы, главный бухгалтер, руководители структурных подразделений, секретарь организации и пр.), цель создания комиссии, функции, сроки ее работы, какие персональные данные и на каких носителях (бумажных, электронных) подлежат уничтожению, способы уничтожения персональных данных на бумажных носителях (электронных носителей) и другие необходимые сведения.

Способами уничтожения персональных данных могут быть:

• для бумажных носителей персональных данных - разрезание, гидрообработка, сжигание, механическое уничтожение. Например, пропуск документов через шредер, имеющий 5-ю или 6-ю степень измельчения;
• для электронных носителей - стирание на устройстве гарантированного уничтожения информации, физическое уничтожение микросхем диска и т.п.

Итак, в случае отзыва согласия оператор обязан прекратить работу с персональными данными, которые не связаны с заключением и исполнением трудового договора.

Если хранение личных сведений больше не требуется для их обработки, нужно уничтожить такую информацию. Для этого работодателю предоставляется срок не более 30 дней с момента поступления отзыва. Кроме того, оператор обязан прекратить обработку персональных данных в течение 10 рабочих дней с момента получения требования субъекта личных сведений о прекращении работы с его данными.

С уважением,
Специалисты Линии консультаций

Статью подготовила:
Новосёлова С.Л.
Руководитель Линии консультаций
23.09.2024