Согласие работника на обработку персональных данных

Статья 86 Трудового кодекса РФ и пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ позволяют работодателю обрабатывать персональные данные работника без согласия в следующих случаях:

• Заключение и исполнение трудового договора — ФИО, дата рождения, паспортные данные, ИНН, СНИЛС, адрес, образование, квалификация, стаж работы;
• Исполнение требований законодательства — предоставление сведений в ПФР, ФНС, ФСС, военкомат, Росстат, по запросам суда и правоохранительных органов;
• Ведение воинского учёта — обработка данных для военно-учётного стола (Федеральный закон от 28.03.1998 № 53-ФЗ);
• Обеспечение безопасности работника — обработка данных в целях контроля пропускного режима, предотвращения угроз жизни и здоровью.

Отдельное письменное согласие работника необходимо получить в случаях, когда обработка выходит за рамки трудового договора и требований закона:

1. Передача данных третьим лицам — банку для оформления зарплатной карты, страховой компании для ДМС, туроператору для оформления командировки, охранному предприятию для оформления пропуска;

2. Обработка данных о здоровье — сведения об инвалидности, медицинские заключения, данные о беременности (если не связаны с обеспечением безопасных условий труда);

3. Обработка биометрических данных — фотография для пропуска, отпечатки пальцев для СКУД (система контроля и управления доступом);

4. Размещение данных работника в открытом доступе — фото и ФИО на корпоративном сайте, в каталоге сотрудников, визитных карточках, рекламных материалах;

5. Обработка данных родственников — для оформления налоговых вычетов, полисов ДМС на членов семьи, предоставления путёвок;

6. Получение данных от третьих лиц — запрос характеристики с предыдущего места работы, проверка данных об образовании в учебном заведении;

7. Обработка данных в маркетинговых целях — рассылка корпоративных новостей на личную почту, поздравления, опросы удовлетворённости.

• Получение «универсального» согласия при приёме на работу на все возможные цели — это противоречит принципу конкретности целей;
• Отсутствие согласия на передачу данных в банк для зарплатного проекта — одно из самых частых нарушений;
• Размещение фото сотрудника на сайте без согласия — нарушение статьи 152.1 ГК РФ;
• Получение справок о судимости без правового основания — допустимо только для определённых должностей (педагоги, охранники).

Налоговые вычеты. Для получения стандартного налогового вычета на детей (статья 218 НК РФ) работник предоставляет работодателю свидетельства о рождении детей, что влечёт обработку персональных данных детей.

Полис ДМС на членов семьи. Если работодатель оформляет добровольное медицинское страхование для семей сотрудников, обрабатываются данные супруга/супруги и детей: ФИО, дата рождения, паспортные данные, сведения о здоровье.

Путёвки и отдых. Оформление путёвок в санаторий или детский лагерь через работодателя предполагает обработку данных членов семьи.

Выплаты при рождении ребёнка, бракосочетании, смерти родственника. Социальные выплаты по коллективному договору требуют подтверждающих документов с персональными данными родственников.

Пропускной режим. Если родственники работника посещают рабочую территорию (например, на корпоративных мероприятиях), их данные обрабатываются для оформления пропусков.

Обработка персональных данных родственников работника не охватывается трудовым договором — родственники не являются стороной трудовых отношений. Поэтому работодателю необходимо правовое основание.

Вариант 1: Согласие от самого родственника. Наиболее надёжный вариант. Родственник подписывает отдельное согласие, в котором оператором указан работодатель. Подпись может быть собрана через работника.

Вариант 2: Согласие через работника по доверенности. Работник получает от родственника нотариальную доверенность на представление интересов, включая право дачи согласия на обработку ПДн. На практике используется редко из-за необходимости нотариального оформления.

Вариант 3: Работник подтверждает согласие родственника. Работник в тексте своего согласия указывает, что он получил согласие родственника на передачу данных работодателю. Этот вариант менее надёжен, но широко используется на практике.

В согласии работника можно включить следующий блок:

Я подтверждаю, что мною получено согласие следующих членов моей семьи на обработку их персональных данных работодателем: [ФИО, степень родства]. Цели обработки: оформление полиса ДМС, получение налоговых вычетов. Перечень данных: ФИО, дата рождения, реквизиты документа, удостоверяющего личность, СНИЛС.

Важно: Роскомнадзор в ходе проверок может запросить подтверждение наличия согласий родственников. Формулировка «я подтверждаю, что получил согласие» снижает риски, но не исключает их полностью. Рекомендуется получать подписанное согласие от каждого родственника.