Персональные данные сотрудников в процессе работы: что можно, а что нельзя

Для уже работающего сотрудника действует другой набор вопросов, чем на этапе найма: трудовой договор подписан, кадровая процедура запущена — но это не превращает все дальнейшие операции с его данными в автоматически законные.

Что можно без согласия — базовый кадровый и бухгалтерский учёт

Ведение кадрового и бухгалтерского учёта, расчёт и выплата зарплаты, передача данных в налоговую, Социальный фонд, военный комиссариат — все эти операции прямо предусмотрены законом как обязанности работодателя. Согласие сотрудника на них не требуется: правовым основанием здесь служит само законодательство, а не отдельное разрешение конкретного человека.

Передача данных третьим лицам — отдельное согласие

Как только операция выходит за рамки этих обязательных кадровых процедур, ситуация меняется. Показательный пример — оформление добровольного медицинского страхования. Если работодатель передаёт данные сотрудника страховой компании для ДМС, это не входит в обязательный кадровый минимум, который прямо требует закон, — это выбор самого работодателя, предоставляющего сотруднику такую льготу. Поэтому здесь нужно отдельное согласие сотрудника на передачу его данных именно этой страховой компании, даже если вся остальная кадровая работа с теми же данными велась без какого-либо согласия на законных основаниях.

Та же логика действует при передаче данных аутсорсеру, который ведёт бухгалтерию компании, если это не покрывается прямой законной обязанностью, а является организационным решением самой компании.

Распространение данных — публикация фото сотрудника

Отдельный, часто упускаемый случай — публикация фотографии сотрудника на сайте компании, в соцсетях или на странице «наша команда». Это не просто обработка персональных данных, а их распространение — то есть доведение до неопределённого круга лиц, а не использование внутри компании для конкретной задачи.

Для такой публикации нужно отдельное согласие, оформленное по правилам статьи 10.1 закона № 152-ФЗ, — оно отличается от обычного согласия на обработку персональных данных и не покрывается им автоматически. Согласие на кадровый учёт или на передачу данных в налоговую не даёт работодателю права публиковать фотографию сотрудника в открытом доступе — это принципиально другая по характеру операция с данными, требующая собственного документа.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Нажимая кнопку "Отправить", я даю свое Согласие на обработку моих персональных данных в соответствии с Федеральным законом от 27.07.2006 года № 152-ФЗ «О персональных данных» на условиях и для целей, определенных Политикой конфиденциальности

Нажимая кнопку "Отправить", я даю свое согласие на получение сообщений информационного (рекламного) характера в соответствии с Федеральным законом от 13.03.2006 г № 38-ФЗ «О рекламе» на условиях и для целей, определенных Политикой конфиденциальности, Согласием на осуществление рекламной рассылки

Отправить

Биометрия, специальные категории и полиграф — отдельные строгие режимы

Есть ещё несколько операций, которые требуют отдельного согласия сотрудника и не покрываются обычным кадровым учётом: обработка биометрических персональных данных — фото, видео, отпечатков пальцев, — если они используются для идентификации конкретного человека; обработка специальных категорий данных, в первую очередь сведений о состоянии здоровья, кроме случаев, прямо предусмотренных законом (например, обязательных медицинских осмотров для определённых категорий работников); и использование полиграфа.

Каждая из этих тем — предмет отдельного строгого регулирования. Подробно про биометрические данные и про специальные категории мы уже писали в блоге отдельно, здесь важно только зафиксировать сам факт: все эти три случая выходят за рамки обычного кадрового учёта и требуют самостоятельного согласия.

Одна цель — одно согласие

Общее правило, которое объединяет все перечисленные выше случаи: согласие должно быть конкретным, информированным и предметным. Нельзя объединить в одном документе согласие сразу на несколько разных операций — например, на передачу данных страховой компании, публикацию фотографии на сайте и использование полиграфа. Для каждой из этих целей нужен отдельный документ с чётким описанием именно этой конкретной операции, а не общая формулировка «согласен на обработку моих персональных данных работодателем во всех целях».

Если нужна помощь

Определить, какие операции с данными сотрудников требуют отдельного согласия, и оформить документы корректно помогают специалисты сервиса «Роском Онлайн».

Частые вопросы

Нужно ли согласие сотрудника на передачу данных в налоговую или Социальный фонд?

Нет, это прямо предусмотренная законом обязанность работодателя, отдельного согласия не требуется.

Можно ли передать данные сотрудника страховой компании для ДМС без согласия?

Нет, оформление ДМС выходит за рамки обязательных кадровых процедур, поэтому нужно отдельное согласие.

Достаточно ли обычного согласия на обработку персональных данных, чтобы опубликовать фото сотрудника на сайте?

Нет, публикация — это распространение данных, для него нужно отдельное согласие по правилам статьи 10.1 закона.

Можно ли оформить одно согласие сразу на несколько разных операций с данными сотрудника?

Нет, одна цель — одно согласие; для каждой операции (передача третьим лицам, публикация фото, полиграф) нужен отдельный документ.

Нужно ли согласие на использование полиграфа при работе с действующим сотрудником? Да, использование полиграфа — одна из операций, требующих отдельного согласия сотрудника.