Согласие на обработку персональных данных работников: зачем нужно и когда его получать

Работодатель обрабатывает персональные данные сотрудников — паспортные данные, СНИЛС, банковские реквизиты. Но отдельное согласие работника требуется не во всех случаях. 

Его необходимость зависит от цели обработки и правового основания. Если операция прописана в Трудовом или Налоговом кодексах, то согласие не нужно. Но письменное разрешение сотрудника обязательно, если действия работодателя выходят за рамки его прямых обязанностей: оформление полиса ДМС, передача контактов партнёрам, публикация фотографии сотрудника на корпоративном сайте. 

В статье рассказали, что относится к персональным данным работника, зачем они работодателю и какой срок хранения согласия на обработку персональных данных. 

Что относится к персональным данным работника

Персональные данные — это любая информация, которая определяет личность человека, согласно Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных». 

Персональные данные работника можно разделить на три группы:

• Общие сведения — ФИО, год, дата и место рождения, адрес проживания, семейное положение, образование, доходы

• Специальные сведения — расовая и национальная принадлежность, политические взгляды, состояние здоровья, 

• Сведения о судимости — информация о наличии или отсутствии судимости, фактах уголовного преследования 

• Биометрические данные — фото и голос, видео, отпечатки пальцев, радужная оболочка глаз

Данные о работнике нужны работодателю для заключения трудового договора, начисления зарплаты и других кадровых процедур. Но использовать сведения о сотруднике своевольно нельзя — закон строго защищает их. 

Все персональные данные сотрудника находятся в его личном деле, где хранятся необходимые для работы документы. Это паспорт, СНИЛС, трудовая книжка, документы воинского учёта, справка о налогах и другие. 

Зачем работодателю обрабатывать персональные данные сотрудников

Сбор и обработка данных работника — это необходимость бизнеса. Работодателю нужна личная информация для решения конкретных задач. Например:

• Оформления трудовых отношений

• Ведения кадрового учета

• Начисления и выплаты заработной платы

• Исполнения налоговых и иных обязательных требований

• Предоставления гарантий и компенсаций

• Организации обучения

• Обеспечения безопасности

• Исполнения других обязанностей работодателя

ТК РФ ограничивает цели обработки данных работников. Ст. 86 ТК РФ прямо связывает обработку с соблюдением законодательства, трудоустройством, обучением и продвижением работников, их безопасностью, контролем работы и сохранностью имущества.

Нужно ли брать согласие на обработку персональных данных при приеме на работу

Обычно при приёме на работу согласие на обработку персональных данных не требуется. Но это работает только в том случае, если работодатель запрашивает информацию, необходимую для заключения трудового договора и выполнения своих обязанностей. Например, паспорт нужен для оформления договора, а реквизиты банковского счёта — для начисления зарплаты. 

Запрошенная информация всегда должна соответствовать целям обработки. Так, работодатель не вправе требовать избыточные данные. Например, для начисления зарплаты достаточно реквизитов одного банковского счёта,  а не данных обо всех счетах. 

Согласие на обработку данных нужно, если действия работодателя выходят за рамки трудового договора. Например, если компания передаёт данные в страховую для оформления ДМС, в фитнес-клуб для пропуска. Для каждого из этих действий нужно отдельное согласие. 

Когда согласие работника действительно нужно

По ст. 86 ТК РФ, если необходимые сведения можно получить только у третьей стороны, работника следует заранее уведомить и получить его письменное согласие.

Когда работодатель может обрабатывать данные без согласия

Иногда работодатель вправе обрабатывать персональные данные без согласия работника. Например, для предоставления данных в СФР или налоговые органы после увольнения сотрудника, согласно ст. 6 ФЗ № 152. 

Также не нужно согласия для выдачи расчётного листка и начисления зарплаты. Для этого компания обрабатывает массу информации — оклад, количество дней отпуска, прогулы, номер счёта. Но всё это происходит внутри трудовых отношений, поэтому согласия не требует. 

Не потребуется согласие работника для покупки билетов на поезд или самолёт для служебной поездки. Да, компания использует для этого паспортные данные. Но командировка — это распоряжение руководства строго в рамках трудового договора. 

Совет: не берите у работника универсальное согласие «на всякий случай» или на все операции сразу. Роскомнадзор и суд признают такой документ недействительным. Для начала чётко определите законное правовое основание для каждого конкретного действия и только потом необходимость согласия. 

Зачем тогда работодатели просят работников подписывать согласие

Деятельность компании не ограничивается только Трудовым и Налоговым кодексами. Согласие работника нужно для определённых целей:

• Для операций, которые действительно основаны на согласии — оформление полиса ДМС, организация корпоративного обучения, покупка фитнес-абонемента

• Чтобы официально зафиксировать волеизъявление сотрудника — это защита работодателя при проверке Роскомнадзора или в суде

• При получении определённой информации из внешних источников — связаться с прошлым местом работы или отправить запрос в вуз для подтверждения подлинности диплома

• Для отдельных способов передачи или использования информации — публикация личной информации на сайте компании, в корпоративном приложении или на рекламном баннере

Важно: сам факт наличия подписанного согласия не освобождает работодателя от остальных обязанностей по защите персональных данных. Так, компания должна обеспечить техническую безопасность и своевременно уничтожать данные.

Что должно быть в согласии работника

Согласие на обработку персональных данных — это добровольное разрешение, которое дал сотрудник работодателю, хранить, использовать и передавать его личную информацию. 

Так, согласие должно содержать следующую информацию:

• Данные работника — ФИО, адрес, паспортные данные

• Данные работодателя — название компании, ФИО предпринимателя, юридический адрес

• Цель обработки — конкретная и законная цель. Например, оформление полиса ДМС

• Перечень обрабатываемых документов — ФИО, дата рождения, должность, данные о зарплате и другие

• Разрешённые действия — сбор, хранение, использование, передача информации и другие

• Срок действия согласия — период актуальности документа. Если срок не указан, то согласие действительно до достижения целей обработки

• Порядок отзыва согласия — как работник может отозвать согласие

• Подпись и дата — личная подпись работника и текущая дата

Работодатель обязан объяснить, что будет если сотрудник откажется подписывать согласие. Например, если он не предоставит данные в страховую компанию, то работодатель не сможет оформить ДМС. 

Важно: согласие на обработку биометрических данных и специальных категорий всегда оформляется в письменном виде. 

Пример согласия на обработку персональных данных
 

________________________________________
(наименование работодателя)

«___» ______________ 20___ г.

СОГЛАСИЕ

на обработку персональных данных работника

Я, ________________________________________________________________________________,
(фамилия, имя, отчество полностью)
дата рождения: «___» ______________ ______ г., паспорт: серия ______ № ________________,
выдан ____________________________________________________________________________,
(кем и когда выдан)
зарегистрированный(-ая) по адресу: _________________________________________________,
__________________________________________________________________________________,
работающий(-ая) в _________________________________________________________________
(полное наименование работодателя)
в должности ____________________________________________, по трудовому договору № _____
от «___» ______________ ______ г., в соответствии со статьёй 9 Федерального закона от
27.07.2006 № 152-ФЗ «О персональных данных» даю согласие ____________________________
(наименование работодателя — оператора персональных данных)
на обработку моих персональных данных на следующих условиях.

1. Цели обработки персональных данных

Обработка персональных данных осуществляется в целях ведения кадрового делопроизводства; оформления, исполнения и прекращения трудовых отношений; начисления и выплаты заработной платы и иных причитающихся выплат; исполнения обязанностей работодателя, предусмотренных трудовым, налоговым и иным законодательством Российской Федерации; организации обучения и повышения квалификации работника — при необходимости.

2. Перечень персональных данных

Согласие предоставляется на обработку следующих персональных данных: фамилия, имя, отчество; дата и место рождения; паспортные данные; адрес регистрации и фактического проживания; контактный номер телефона и адрес электронной почты; сведения об образовании, квалификации и трудовом стаже; сведения о занимаемой должности и трудовой деятельности; сведения, содержащиеся в трудовом договоре и кадровых документах; банковские реквизиты, необходимые для перечисления заработной платы; иные персональные данные, обработка которых необходима для указанных целей и допускается законодательством Российской Федерации.

3. Действия с персональными данными

Я даю согласие на совершение следующих действий с моими персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу в случаях и объёме, предусмотренных законодательством Российской Федерации и настоящим согласием, обезличивание, блокирование, удаление и уничтожение персональных данных. Обработка может осуществляться как с использованием средств автоматизации, так и без их использования.

4. Передача персональных данных

Передача персональных данных третьим лицам допускается при наличии соответствующего правового основания, в том числе в случаях, предусмотренных законодательством Российской Федерации, либо в пределах отдельного согласия, если оно необходимо.

5. Срок действия согласия и порядок отзыва

Настоящее согласие действует с даты его подписания до достижения целей обработки персональных данных либо до прекращения иных законных оснований для обработки. Я вправе отозвать настоящее согласие путём направления письменного заявления работодателю по адресу: _________________________________
__________________________________________________________________________________. Отзыв согласия не исключает возможности дальнейшей обработки персональных данных при наличии иных законных оснований, предусмотренных законодательством Российской Федерации.

6. Подтверждение согласия

Подтверждаю, что настоящее согласие предоставлено мной свободно, своей волей и в своём интересе. Мне разъяснены мои права в области защиты персональных данных.

Подпись работника: ____________________ / ______________________________________

(подпись)                                      (фамилия, имя, отчество)

Дата подписания: «___» ______________ 20___ г.

Скачать Согласие на обработку персональных данных работника.docx

Форма согласия на обработку персональных данных работника

Закон не требует оформлять любое согласие в бумажный документ. Форма документа может быть разной. Главное — согласие должно быть конкретным, предметным, информированным, однозначным. 

Бумажный вариант с личной подписью сотрудника нужен в следующих случаях:

• Обработка специальных категорий персональных данных — раса, национальная принадлежность, состояние здоровья, политические взгляды

• Обработка биометрических персональных данных — отпечатки пальцев, ДНК, рост, вес, голос, изображение лица

• Распространение персональных данных — публикация персональной информации на сайте компании или в открытых источниках

• Международная передача персональных данных 

• Случаи, предусмотренные другими ФЗ, — если отраслевые нормы требуют документа с личной подписью гражданина

В остальных случаях согласие на обработку персональных данных может быть оформлено в любом виде. Например, через систему кадрового электронного документооборота или электронное письмо, отправленное с корпоративной почты. 

На какой срок оформляется согласие

Срок действия согласия на обработку персональных данных работника не установлен законом автоматически. Работодатель сам определяет этот срок, чётко прописывая его в тексте документа или правилах информационной системы. 

Период действия согласия зависит от цели, ради которой собираются данные. Главное правило — если цель достигнута, то согласие теряет актуальность. 

Например, согласие на передачу данных страховой компании для оформления ДМС будет действовать до момента увольнения сотрудника или истечения срока договора со страховой. А согласие для оформления разового пропуска для посещения профессионального мероприятия актуально только до момента самого мероприятия. После проведения встречи обрабатывать данные нельзя. 

При этом срок хранения согласия на обработку персональных данных составляет три года, с момента истечения его срока или отзыва, согласно Перечню, утверждённому Приказом Росархива от 20.12.2019 № 236. 

Может ли работник отказаться подписывать согласие

Работник вправе отказаться подписывать согласие на обработку персональных данных. Закон запрещает принуждать сотрудников к подписанию таких документов. 

Если обработка реально основана на согласии

Согласие должно быть добровольным и сознательным. Если работник не согласен подписывать согласие, то работодатель не имеет права его за это наказать. 

В этом случае согласие влияет только на конкретную услугу или опцию. Например, работник против публикации своего фото на сайте компании, и работодатель должен это принять. На трудовые обязанности это никак не влияет. 

Если обработка допускается законом без согласия

Отсутствие подписи под универсальным согласием само по себе не означает, что работодатель обязан прекратить любую обработку персональных данных. Если закон даёт работодателю право обрабатывать данные без согласия, компания продолжит это делать. 

Например, компания продолжит использовать ФИО и паспортные данные сотрудника для покупки билетов на поезд или самолёт в рабочую поездку. 

Можно ли отозвать согласие на обработку персональных данных

Да, работник вправе отозвать согласие в любое время. При этом работодатель не может ограничить сотрудника в этом праве локальным актом или другими внутренними документами компании. 

В случае отзыва согласия работодатель прекращает работу с данными в течение 30 дней. Порядок отзыва прописан в самом согласии или в политике в отношении обработки персональных данных. 

Какие ошибки работодатели допускают чаще всего

1. Берут одно универсальное согласие «на все»

2. Считают согласие единственным основанием любой обработки

3. Не указывают конкретные цели

4. Собирают больше данных, чем необходимо

5. Используют данные для цели, которой не было при их получении

6. Не разграничивают обработку и распространение

7. Не учитывают специальные требования к отдельным категориям данных

8. Продолжают хранить или использовать сведения без актуальной цели и основания

9. Скачивают типовую форму из интернета без адаптации под реальные процессы компании

Главное: когда работодателю нужно согласие работника

Чтобы не совершать кадровых ошибок, перед запросом информации у сотрудника ответьте на три вопроса.

Для какой конкретной цели нужны данные

Чётко сформулируйте цель. Например, передать данные в банк для выпуска зарплатной карты или разместить фото на сайте компании. 

Есть ли для этой обработки основание в законе, трудовом договоре или иных применимых нормах

Проверьте, обязывает ли вас закон запрашивать согласие на обработку персональных данных. Если вы рассчитываете зарплату по окладу, то это исполнение трудового договора и согласие не нужно. 

Если самостоятельного основания нет — требуется ли согласие работника

Если закон не обязывает вас брать согласие, то законных оснований на обработку данных у вас автоматически нет. Лучше под каждую конкретную цель требовать согласие.