О предоставлении персональных данных работников третьим лицам

Внимания защите персональных данных (ПД) с каждым годом уделяется все больше. И работники все чаще обращаются в суды с исками о взыскании с работодателей морального вреда, если такие сведения передаются третьим лицам без согласия субъекта. Из статьи вы узнаете, кому можно сообщать персональные данные работника без его согласия и когда такое согласие необходимо.

Условия сообщения персональных данных
третьим лицам

По общему правилу ст. 88 ТК РФ работодатель вправе осуще­ствлять передачу персональных данных работника третьим лицам, в том числе в коммерческих целях, только с его предварительного письменного согласия. При этом перед передачей ПД работодатель должен предупредить третье лицо о том, что они могут быть использованы только в тех целях, для которых сообщаются, и получить у него подтверждение того, что такое требование будет им выполнено.

При предоставлении персональных данных работника работодатель должен соблюдать следующие требования:

– осуществлять передачу сведений в пределах одной организации в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под подпись;

– разрешать доступ к ПД работников только специально уполномоченным лицам, и они должны иметь право получать только те данные работника, которые необходимы для выполнения конкретных функций;

– не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;

– сообщать ПД работника представителям работников в порядке, установленном Трудовым кодексом и иными федеральными законами, и ограничивать эту информацию только теми данными работника, которые необходимы для выполнения указанными представителями их функций.

Когда согласие на предоставление персональных данных не нужно?

Случаи, когда согласие работника на сообщение персональных данных не требуется, представим в таблице.

* При условии, что в договоре о выпуске карт (коллективном договоре, локальном нормативном акте организации) предусмотрено право работодателя передавать персональные данные работников либо работодатель действует на основании доверенности на представление интересов работников.

Можно ли сообщать персональные данные
близким родственникам работника?

Нужно или не нужно согласие работника на передачу его ПД, например сведений о зарплате, его близким родственникам – законодательно не определено.

В Разъяснениях Роскомнадзора говорится только о том, нужно ли работодателю запрашивать согласие у самих родственников в необходимых случаях. В частности, поясняется, что допускается обработка персональных данных близких родственников работника без их согласия:

– в объеме, предусмотренном личной карточкой по унифицированной форме Т-2, утвержденной Постановлением Госкомстата России от 05.01.2004 № 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты»;

– в случаях, установленных законодательством РФ, – получение алиментов, оформление допуска к государственной тайне, оформление социальных выплат.

В иных случаях получение согласия близких родственников работника обязательно.

Однако бывают обстоятельства, когда родственникам приходится запрашивать персональные данные работника. Например, в случае его смерти. В части 7 ст. 9 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее – Закон № 152‑ФЗ) в отношении этой ситуации лишь установлено, что в случае смерти субъекта персональных данных (работника) согласие на обработку его ПД дают в письменной форме его наследники, если такое согласие не было дано субъектом ПД при жизни.

К сведению

Согласно ст. 14 СК РФ близкими родственниками считаются родители, дети, дедушки, бабушки и внуки, полнородные и неполнородные (имеющие общих отца или мать) братья и сестры. А согласно ст. 5 УПК РФ к близким родственникам кроме перечисленных относятся супруг, супруга, усыновители и усыновленные.

Поскольку законом установлена ответственность за нарушение порядка работы с персональными данными, а умерший на передачу уже не может согласиться, при обращении родственника с просьбой предоставить ПД умершего сотруднику кадровой службы надо запросить у родственника письменное заявление с указанием цели такого запроса. И если данные нужны, например, для получения наследства, пенсий или социальных гарантий, сведения следует предоставить. Вместе с заявлением с родственника надо запросить документ, подтверждающий родство (свидетельство о рождении, о браке и др.).

Описанная ситуация, конечно, не единственная. Запросить документы, содержащие персональные данные, родственники могут и при жизни работника. И здесь следует отнесись к передаче сведений с осторожностью и большой ответственностью, поскольку работник может обратиться в суд с требованием о возмещении работодателем морального вреда.

Так произошло, когда сотрудник отдела кадров выдал справку 2‑НДФЛ бывшей гражданской жене работника Ш. без его разрешения. Эта справка понадобилась ей для представления в суд для взыскания с Ш. алиментов на их общего ребенка. И поскольку они работали в одной организации, женщина обратилась за справкой и получила ее.

Первая инстанция не усмотрела нарушения прав Ш., но апелляционная и кассационная инстанции пришли к следующему выводу: справка о доходах физического лица по форме 2‑НДФЛ представляет собой документ, содержащий персональные данные физического лица (сведения о его доходах и налогах, паспортные данные), и могла быть выдана работодателем только по заявлению этого лица или с его согласия. Однако работодателем суду не были представлены доказательства обращения работника с заявлением о выдаче ему либо третьему лицу справки 2‑НДФЛ. В связи с этим иск был удовлетворен. Правда, вместо 300 000 руб., которые требовал работник, суд взыскал с работодателя только 3 000 руб. (Определение Первого кассационного суда общей юрисдикции от 28.03.2022 по делу № 88-6426/2022).

Возможно, если бы брак был официальным, судьи приняли бы другое решение. В частности, в отношении передачи паспортных данных. Но в этом конкретном случае то обстоятельство, являлась ли женщина официальной или гражданской женой, судьями не учитывалось. Иск удовлетворили в соответствии с нормами законодательства о персональных данных.

Нужно ли согласие работника на передачу персональных данных учредителю?

Вполне логично, что учредитель может запросить ту или иную информацию о сотрудниках, в том числе и персональные данные. Например, о заработной плате, об образовании. Но одно дело, когда эти сведения передаются в пределах одной организации и в соответствии с положениями локального акта. Такое возможно, например, в коммерческих организациях. Структура же государственных учреждений несколько сложнее, их учредители представляют собой отдельные вышестоящие органы государственной и муниципальной исполнительной власти (министерства, администрации и т. д.). Соответственно в этих случаях передача осуществляется уже не в пределах одной организации, а как третьим лицам.

И поскольку учредители не относятся к лицам, которым персональные данные предоставляются без согласия работника, они тоже обязаны соблюдать требования законодательства о защите ПД. Поэтому документы, содержащие такие данные, можно предоставить учредителю (вышестоящему органу) лишь при наличии согласия работников на обработку их персональных данных, в котором указана эта цель – передача учредителю. Если работник не согласен, предоставить можно обезличенные данные. Например, сделать копию документа, в которой скрыты Ф. И. О. работников.

К сведению

Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность данных конкретному субъекту (ст. 3 Закона № 152‑ФЗ).

Такую позицию занимают суды.

Так, суд рассмотрел дело об увольнении работницы З. – специалиста отдела кадров, которое она посчитала незаконным.

Работодатель уволил З. по пп. «в» п. 6 ч. 1 ст. 81 ТК РФ (увольнение в связи с однократным грубым нарушением трудовых обязанностей – разглашением охраняемой законом тайны (государственной, коммерческой, служебной и иной), ставшей известной работнику в связи с исполнением им трудовых обязанностей, в том числе разглашением персональных данных другого работника). Основанием для увольнения стал факт передачи ПД заместителя генерального директора М. государственного учреждения культуры учредителю (министерству) в отсутствие согласия М. и согласия руководителя учреждения. Сотруднику учредителя были переданы личная карточка, личное дело и трудовая книжка М. О передаче ПД стало известно из приказа министерства, юрист учреждения инициировал служебную проверку в отношении З. По результатам проверки факт передачи З. персональных данных был установлен, и ее привлекли к дисциплинарной ответственности в виде увольнения.

Но суд первой инстанции выяснил, что на обработку его персональных данных в период трудовых отношений в организации М. давал согласие, согласно которому министерством могли быть истребованы сведения в отношении него, то есть его ПД. Кроме этого, суд установил, что работодателем была нарушена процедура привлечения к дисциплинарной ответственности, в том числе не была учтена тяжесть совершенного проступка, и восстановил З. в прежней должности. Апелляционной и кассационной инстанциями это решение было оставлено в силе (см. Определение Пятого кассационного суда общей юрисдикции от 07.10.2021 № 88-6486/2021).

Однако существуют обстоятельства, при которых передача персональных данных работника учреждения без отдельного согласия на передачу сведений учредителю будет законной.

М. В., работающая в должности учителя в школе, обратилась с иском к отделу образования, опеки и попечительства администрации муниципального района (далее – отдел образования) о возложении обязанностей по прекращению обработки сведений конфиденциального характера, по прекращению использования банковского счета, по уничтожению персональных данных, по прекращению передачи персональных данных третьим лицам и взыскании компенсации морального вреда.

Судом было установлено, что в соответствии с трудовым договором с М. В. работодатель имеет право и обязан осуществлять обработку и обеспечивать защиту персональных данных работника по правилам законодательства Российской Федерации. Обработка и защита ПД работников школы регламентируется специальным локальным нормативным актом – положением, с которым все работники ознакомлены под подпись. Кроме этого, М. В. давала согласие на обработку своих персональных данных.

Между школой и отделом образования было заключено соглашение на передачу полномочий по комплексному обслуживанию, в соответствии с этим соглашением экономический отдел, входящий в структуру отдела образования, принимает сметы расходов, муниципальных заданий, корректирует расчеты, планирует штаты и контингент по отрасли «Образование». Централизованная бухгалтерия, входящая в структуру отдела образования, осуще­ствляет бухгалтерский учет, начисление заработной платы, прочих выплат, расчет налогов и сборов, обработку первичной документации для формирования расчетно-платежных ведомостей, формирование отчетов по страховым взносам, подготовку и сдачу персонифицированных отчетов по сотрудникам в ПФ РФ. В связи с этим школа передала в отдел образования персональные данные М. В., касающиеся ее трудовой деятельности, для последующего начисления и выплаты заработной платы.

Суд сделал такой вывод: поскольку отдел образования является главным распорядителем бюджетных средств школы и в соответствии с соглашением о передаче полномочий осуществляет экономическое планирование и финансовое обеспечение деятельности, он вправе получать от работодателя М. В. информацию о сотрудниках, занимающих штатные должности, о категориях персонала, среднесписочной численности и фонде оплаты труда с конкретизацией штатных единиц, без получения дополнительного согласия на передачу персональных данных, касающихся трудовой деятельности.

В удовлетворении иска суд первой инстанции М. В. отказал. Апелляционная инстанция с решением согласилась (Апелляционное определение Волгоградского областного суда от 21.12.2017 по делу № 33-20304/2017).

* * *

Подведем итоги.

Основное правило, которое должны соблюдать кадровики, – не сообщать персональные данные третьим лицам без согласия работника. К третьим лицам при этом относится и учредитель государственного учреждения (вышестоящий орган). Поэтому, если в согласии работника на обработку ПД не указан учредитель, запросите у работника отдельное согласие. Но отдельного согласия не требуется, если передача информации учредителю связана с выплатой сотруднику заработка.

Также нужно помнить, что сообщать можно только те данные, которые отвечают заявленным целям. То есть если запрашиваются сведения об образовании, передавайте только их, ничего лишнего.

Не следует рисковать и передавать сведения о работнике без его согласия его близким родственникам. Если понадобится, такие сведения родственник сможет получить по запросу суда.

Сообщая персональные данные работников третьим лицам, имейте в виду, что если работник пойдет в суд и выиграет, то с работодателя взыщут компенсацию морального вреда, а кадровика могут привлечь к дисциплинарной ответственности вплоть до увольнения.