Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Согласие на передачу персональных данных третьим лицам». Также Вы можете бесплатно проконсультироваться у юристов онлайн прямо на сайте.
В Приказе приводится перечень обязательных сведений субъекта персональных данных, которые должны содержаться в согласии на обработку:
- ФИО;
- контактная информация (номер телефона, адрес электронной почты или почтовый адрес);
- сведения об операторе-организации;
- сведения об операторе-физическом лице;
- сведения об операторе-гражданине, являющимся ИП;
- сведения об информационных ресурсах оператора, через которые неограниченному кругу лиц предоставляется доступ к данным и производятся иные действия с персональными данными;
- цель обработки персональных данных;
- категории и перечень персональных данных, на обработку которых дается согласие субъекта: персональные данные (ФИО, год, месяц, дата рождения, место рождения, адрес, семейное положение и др.), специальные категории персональных данных и биометрические данные;
- срок действия согласия.
По желанию субъекта персональных данных заполняется следующая информация:
- категории и перечень данных, для обработки которых субъект устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов;
- условия, при которых полученные данные могут передаваться оператором только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных.
Согласие на предоставление персональных данных третьим лицам
Роскомнадзор решил помочь бизнесу и разработал специальный конструктор для формирования шаблона согласия. Рекомендуемый документ соответствует всем необходимым требованиям и учитывает особенности деятельности конкретного оператора.
Конструктор создавался с учетом правоприменительной практики и обращений операторов по оформлению согласия на обработку персональных данных, разрешенных для распространения.
Сервис Роскомнадзора предлагает заполнить поля, после этого шаблон рассматривается экспертами ведомства. При необходимости оператору даются рекомендации по доработке документа. Результаты проверки отправляются на электронный адрес, указанный в форме.
В дальнейшем оператор может использовать проверенную форму согласия в своей работе.
Персональными данными по Закону № 152-ФЗ считается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПД).
На передачу или распространение данных о ком-либо требуется согласие их субъекта, за исключением случаев, установленных законодательством (согласие не требуется при передаче ПД определенным органам и в определенных случаях).
К сведению: не требуется согласие работника на передачу персональных данных третьим лицам в целях предупреждения угрозы жизни и здоровью работника, в ФСС, ПФ РФ, налоговые органы, военные комиссариаты, прокуратуру, правоохранительные органы, ГИТ, суд (Разъяснения Роскомнадзора «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве»).
Ранее в Законе № 152-ФЗ было такое определение: общедоступные персональные данные – это ПД, доступ неограниченному кругу лиц к которым предоставлен с согласия субъекта ПД или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. То есть эти данные размещались их субъектом или с его согласия в общедоступных источниках. Статья 8 Закона № 152-ФЗ относит к таким источникам справочники, адресные книги. Это также могут быть социальные сети и другие интернет-ресурсы.
К общедоступным сведениям относились фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии, фото и др. Общедоступные сведения в любое время могли быть исключены из общедоступного источника по требованию субъекта ПД либо по решению суда или иных уполномоченных государственных органов.
Основные требования к согласию установлены ст. 10.1 Закона № 152-ФЗ.
Составляя согласие, работодатель должен предоставить работнику возможность определить список тех персональных данных, которые он разрешает распространять, по каждой категории (общие, специальные, биометрические).
В согласии должно быть четко сформулировано, на что конкретно согласен работник. Если он не согласен с распространением или не указал специальные условия обработки для некоторых категорий персональных данных и их перечень – такие сведения можно только обрабатывать, без распространения (передачи, предоставления и иных действий) неограниченному кругу лиц.
Если из согласия не совсем понятно, что можно делать с ПД, а что нельзя, лучше ничего не публиковать.
Обратите внимание: молчание или бездействие работника ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных для распространения.
Получает согласие работодатель в первую очередь непосредственно от работника. А с 1 июля 2021 года его можно будет оформить с использованием инфосистемы Роскомнадзора.
Работодатель обязан опубликовать информацию об условиях обработки персональных данных и запретах, наложенных субъектом, в течение трех дней после получения согласия. Где ее публиковать – пока непонятно. Придется ждать разъяснений Роскомнадзора.
Нельзя запретить публиковать персональные данные, если они распространяются в государственных, общественных и иных публичных интересах, определенных законами РФ.
Работник может в любой момент потребовать запретить распространение своих ПД. Это требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта ПД и перечень данных, обработка которых подлежит прекращению. Действие согласия прекращается с момента получения работодателем такого требования.
Обратиться с запретом на распространение своих ПД субъект может к любому лицу, обрабатывающему его данные, при несоблюдении этим лицом требований ст. 10.1 Закона № 152-ФЗ. Можно и обратиться в суд. Распространение данных должно прекратиться:
-
в течение трех рабочих дней с момента обращения;
-
или в срок, указанный в постановлении суда;
-
или в течение трех рабочих дней с момента вступления решения суда в законную силу.
Положения ст. 10.1 Закона № 152-ФЗ не распространяются на случаи обработки персональных данных органами власти.
К сведению: уведомлять Роскомнадзор о том, что сотрудники дали согласие распространять информацию о них, не нужно (п. 4 ч. 2 ст. 22 Закона № 152-ФЗ).
Важнейшее нововведение Федерального закона № 519-ФЗ от 30.12.2020 – это презумпция неправомерности распространения и обработки общедоступных личных сведений третьими лицами. Гражданам, желающим удалить свои персональные данные из общего доступа, больше не придется доказывать неправомерность их обработки третьими лицами.
Теперь обязанность предоставить доказательства законности распространения и обработки общедоступных персональных данных лежит на каждом лице, осуществившем их распространение (п. 2 ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ).
По новым правилам физлица в любое время вправе обратиться к любому оператору персональных данных с требованием прекратить передачу (распространение, предоставление и доступ) своих общедоступных персональных данных. Обосновывать данное требование не нужно. Оператор персданных обязан удалить персональные данные физлица из общего доступа по факту получения соответствующего требования.
Неправомерная (без соответствующего согласия) обработка и распространение общедоступных персональных данных, равно как и отказ от их удаления из общего доступа по требованию граждан, влечет для организаций и ИП штрафы по ч. 1 ст. 13.11 КоАП РФ. Эта норма предусматривает для ИП и должностных лиц организаций в размере от 5 000 до 10 000 рублей, а для самих организаций – от 30 000 до 50 000 рублей.
Но уже с 27 марта 2021 года штрафы за совершение вышеуказанных нарушений будут в значительной степени увеличены (Федеральный закон от 24.02.2021 № 19-ФЗ). Так, штраф для ИП и должностных лиц организаций составит от 10 000 до 20 000 рублей, а для организаций – от 60 000 до 100 000 рублей.
Повторное нарушение повлечет взыскание штрафа с должностных лиц организаций в размере от 20 000 до 50 000 рублей, с ИП – в размере от 50 000 до 100 000 рублей, а с организаций – в размере от 100 000 до 300 000 рублей (новая ч. 1.1 ст. 13.11 КоАП РФ).
Одновременно будут увеличены штрафы и за саму обработку персональных данных без получения соответствующего согласия в письменной форме (ч. 2 ст. 13.11 КоАП РФ). Сейчас обработка персональных данных без согласия гражданина грозит физлицам штрафом в размере от 3 000 до 5 000 рублей, должностным лицам – от 10 000 до 20 000 рублей, а организациям – от 15 000 до 75 000 рублей. Такие же штрафы назначаются и за обработку персональных данных с нарушением требований к составу сведений, включаемых в согласие.
С 27 марта обработка персональных данных без разрешения повлечет наложение на физлиц штрафа в размере от 6 000 до 10 000 рублей. Должностным лицам организаций и ИП совершение этих нарушений обойдется штрафом в размере от 20 000 до 40 000 рублей, а организациям – от 30 000 до 150 000 рублей.
Согласие на обработку персональных данных – это письменное разрешение гражданина Российской Федерации, которое он дает заинтересованной стороне на получение, сбор, хранение и использование персональных сведений о себе.
Также документ гарантирует человеку то, что информация о нем будет применяться для строго определенных целей и будет защищена от неправомерных действий.
Сейчас согласие необходимо писать почти повсеместно:
- при подаче документов на ребенка в садик или школу;
- при трудоустройстве;
- при заключении договора с банком, страховой компанией и т.д.
Иными словами, везде, где гражданин предоставляет свои личные документы или документы лица, представителем которого он является, заполняет различного рода тесты и анкеты, он подписывается такое согласие.
Правила поведения пользователей на сайте
Закон четко определяет это понятие: под персональными данными понимается вся информация, которая напрямую относится к человеку, как к физическому лицу. Это:
- фамилия, имя, отчество;
- дата и место рождения;
- сведения из паспорта, трудовой книжки и прочих документов;
- а также некоторые характеристики его личности.
При этом следует отметить, что согласие на обработку персональных данных требуется даже несмотря на то, что далеко не все эти сведения имеют характер конфиденциальных и закрытых.
В частности их условно можно поделить на три основных вида:
- общедоступные данные (ФИО, пол, дата, место рождения, гражданство и т.п.)
- биометрические (физиологические особенности индивида, его внешние параметры)
- специальные (народность, религия, здоровье и т.д.). Сюда же в некоторой степени относится и информация о месте работы человека, его отношениях с законодательством, привычках и т.п.
По закону, согласие на обработку персональных действий строго необходимо только тогда, когда оно касается двух последних из вышеназванных категорий, однако зачастую оно пишется и в отношении той информации, которая имеет позицию общедоступной.
Когда человек устраивается на работу, он дает представителю работодателя свои личные документы: паспорт, трудовую книжку, СНИЛС, свидетельство об образовании, медкнижку, военный билет и т.д. Как только эти бумаги попадают на стол специалиста по кадрам, они получают статус конфиденциальных (что обеспечивается статьей 14 Трудового Кодекса РФ), поэтому для их дальнейшего использования (а без этого в кадровом делопроизводстве никак не обойтись), необходимо заручиться письменным согласием работника (п. 8 ст. 65 ТК РФ).
В этом документе должно быть подробно расписано, как, с какой целью и какие конкретно сведения из персональных данных будут применяться, обрабатываться и храниться.
Следует отметить, что по закону, вся персональная информация, предоставленная работодателю, может использоваться только в служебных целях.
Законодательство РФ однозначно говорит о том, что согласие должно быть только и исключительно добровольным, то есть работодатель не имеет права принудить подчиненного подписать данный документ, поэтому в практике кадровых специалистов встречаются люди, которые отказываются подписывать согласие на обработку персональных данных.
Обычно это бывает вызвано тем, что они не понимают истинного назначения документа: защитить права работника, а напротив, опасаются, что личные сведения о них попадут в руки недобросовестных граждан.
В этих случаях закон допускает обработку персональных данных без согласия работника, но только тогда, когда это нужно для реализации условий и целей ранее заключенного трудового договора.
Здесь отдельно следует акцентировать внимание на том, что это касается только тех сотрудников организации, которые уже зачислены в ее штат, а вот в отношении новых работников согласие на обработку персональных данных получить необходимо – без него в большинстве случаев человека на сегодняшний день даже невозможно принять на работу. Связано это с тем, что между сторонами еще не заключен трудовой договор, а значит, у работодателя еще нет и обязанности его исполнять.
Логично, что администрация предприятия стремится избежать ситуаций, когда, например, даже в таких мелочах, как выписка пропуска на территорию компании, отсутствие согласия на обработку персональных данных может сыграть свою негативную роль.
Как уже говорилось выше, действия, которые работодатель может совершать с персональными данными работников, четко прописываются в тексте согласия.
Если полномочия в какой-то степени превышаются, а, тем более, если происходит какое-то злоупотребление, ответственность может наступить самая серьезная: начиная от дисциплинарной и административной, вплоть до уголовной.
Для того, чтобы сотрудник имел четкое представление о том, не выходит ли запрашиваемая у него информация за рамки нужной по закону или не превышаются ли полномочия работников предприятия по тексту согласия, следует заранее проанализировать документ (возможно даже воспользовавшись помощью квалифицированного юриста) и только тогда ставить под согласием свою подпись.
В частности, данные о том, отбывал ли гражданин срок в местах лишения свободы, нужна только тогда, когда должность, на которую он претендует, напрямую требует отсутствия судимости (иными словами, если соискатель хочет работать менеджером по рекламе, такие данные он имеет право не предоставлять).
Законодательство гласит о том, что представители организаций должны извещать Роскомнадзор об обработке поступивших в их распоряжение всех персональных данных (статья 22 закона № 152-ФЗ). Посмотреть, исполняет ли работодатель эту норму закона можно на сайте данной госструктуры.
Можно ли отозвать согласие
Обычно действие с согласием на обработку персональных данных происходит так: устраиваясь на работу, человек подписывает документ, после чего благополучно о нем забывает. Но в некоторых случаях, возникает необходимость об отзыве ранее подписанного согласия. Как правило, это бывает, когда работодатель нарушает условия хранения, использования и обеспечения закрытости поступившей в его распоряжение информации, а также при увольнении.
Для того, чтобы оформить отзыв достаточно всего лишь написать заявление в свободной форме, потребовать в нем прекратить сбор, обработку, использование, хранение персональных данных и уничтожить всю информацию о подчиненном (сослаться надо на закон № 152-ФЗ: п. 1 ст. 9 и п. 5 ст. 22).
Это требование должно быть выполнено не позже чем через месяц после написания отзыва.
Форма документа не регламентирована, а значит может составляться по шаблону, разработанному фирмой самостоятельно. Но следует помнить, что статья 9 ФЗ от 27.07.2006 № 152-ФЗ содержит перечень обязательных требований.
Новые правила с 2021 года
1 марта произошли изменения в ФЗ от 27.07.2006 № 152-ФЗ, которые внес ФЗ от 30.12.2020 № 519-ФЗ.
Рассмотрим основные нововведения.
1. Появился документ «Согласие на распространение ПДн сотрудника».
Теперь, получив от сотрудника согласие на обработку ПДн, компания не может их распространять. Для этих целей необходимо получить от физ. лица отдельный документ, который позволяет оператору распространять данные, например, размещать их на сайте компании, на доске почета, передавать банку и другое. В этом документе важно предоставить сотруднику возможность указать какую именно информацию он разрешает распространять работодателю.
2. Молчание субъекта ПДн не может быть расценено, как согласие на распространение ПДн. Это актуально и для бездействия сотрудника (п. 8 ст. 10.1 Закона № 152-ФЗ).
3. Любые ПДн о физ. лице можно публиковать только при наличии его письменного согласия, даже если лицо самостоятельно их разместило в общедоступном месте (интернет или социальные сети). Раньше такие личные данные можно было распространять без получения согласия от их владельца (п. 2 ст. 10.1 Закона № 152-ФЗ).
В случае, если сотрудник не дал согласия на распространение ПДн, но при этом дал согласие на обработку, то работодатель не в праве передавать информацию третьим лицам (п. 4 ст. 10.1 Закона № 152-ФЗ).
Правило не распространяется на передачу ПДн гос. органам (ИФНС, ФСС, ПФР, полиции и другим).
Стоит отметить, что сотрудник и вовсе может отказаться от дачи согласия на обработку ПДн. Но это не значит, что работодатель не вправе обрабатывать такие данные. Это возможно в случаях, указанных в ч. 2 ст. 9 Закона № 152-ФЗ. Одним из которых является выполнение возложенных законом обязанностей на компанию.
Получить согласие на распространение ПДн можно двумя способами:
1. Непосредственно у физ. лица, то есть с личной подписью на бумаге;
2. Через информационную систему Роскомнадзора. Любое физ. лицо может подключиться к системе для того, чтобы указать какие ПДн и кому он разрешает распространять.
Оператор, в свою очередь, также имеет возможность подключиться к данной системе и не получать от конкретного физического лица письменное согласие, а использовать информацию, содержащуюся в системе Роскомнадзора. Это возможность станет доступной с 1 июля 2021 года.
Компаниям и ИП однозначно стоит уделить внимание новшествам, описанным выше, так как штрафные санкции увеличились вдвое.
Начиная с 27 марта 2021 г. за работу с ПДн сотрудников без их письменного согласия ИП ждет штраф от 20 000 до 40 000 руб., организации, при аналогичном нарушении должны будут уплатить от 30 000 до 150 000 руб.
Если же ИП нарушит законодательство повторно, то штраф будет составлять от 100 000 до 300 000 руб., а для компаний — от 300 000 до 500 000 руб. (ч. 2 ст. 13.11 КоАП). Наказание за такое правонарушение может последовать в течение года (ст. 4.5 КоАП РФ).
Подведем итог: правила обработки личных данных касаются абсолютно всех физических и юридических лиц.
В этой связи, работодателям целесообразно брать с сотрудников:
1. согласия на обработку персональных данных;
2. согласия на распространение персональных данных.
Документы составляются в соответствии с требованиями действующего законодательства.
Игнорирование правил обработки и распространения данных может привести к серьезным финансовым потерям.
Особенности передачи персональных данных работников
К нам обратилась компания, которую привлекли к административной ответственности в виде штрафа в размере 45 тыс. руб. по ч. 1 ст. 5.27 КоАП РФ. Госинспекция труда при проверке обнаружила отсутствие локального акта, устанавливающего порядок внутренней передачи ПД работников. Также было вынесено предписание об устранении выявленных нарушений, так как не был составлен перечень лиц, имеющих право на обработку ПД сотрудников.
- К нам обратилась компания, которая была оштрафована на 60 тыс. руб. по ч. 2 ст. 13.11 КоАП РФ. Основание – передача ПД работников без их согласия сторонней организации, оказывающей бухгалтерские услуги. После проверки документов выяснилось, что компания получала согласие на обработку ПД от каждого работника при заключении трудового договора, считая, что этого достаточно для передачи ПД третьим лицам.
- Региональная сеть частных медицинских клиник была оштрафована на 35 тыс. руб. по ч. 2 ст. 13.11 КоАП РФ. Основание – размещение Ф.И.О. и данных о медицинском образовании сотрудников на официальном сайте без их согласия.
- Работник взыскал с работодателя компенсацию морального вреда за передачу ПД при ответе на запрос адвоката (Решение Сыктывкарского городского суда Республики Коми по делу № 2-969/2019 от 14 марта 2019 г.).
- Работодатель получил предписание от Роскомнадзора об устранении нарушений порядка передачи ПД работников третьему лицу: было неверно оформлено согласие, и в договоре с третьим лицом не указан перечень действий с ПД (постановление Арбитражного суда Московского округа по делу № А40-81171/2017 от 15 января 2018 г.).
- Создайте локальный акт, в котором подробно должны быть расписаны процедура передачи ПД, цели и объем передаваемых данных, структурные подразделения, которые имеют право работать с ПД.
- Приказом или локальным актом определите список лиц согласно штатному расписанию, которые вправе заниматься обработкой ПД работников. Документ должен содержать перечень ПД, обрабатываемых каждым работником.
- Письменно ознакомьте каждого работника с локальными актами и приказами.
Согласие на обработку персональных данных: бланк 2021
- Возьмите письменное согласие работника на передачу его ПД третьему лицу в строгом соответствии с ч. 4 ст. 9 Закона о персональных данных.
- В заключенном с третьим лицом договоре необходимо указать следующие условия:
- работодатель поручает исполнителю обработку ПД в соответствии с ч. 3 ст. 6 Закона о персональных данных;
- исполнитель обязуется соблюдать принципы и правила обработки ПД, предусмотренные Законом о персональных данных;
- перечень действий (операций) с ПД, которые будут совершаться исполнителем при обработке ПД работника;
- цели обработки ПД;
- исполнитель обязуется соблюдать конфиденциальность ПД и обеспечивать безопасность при их обработке;
- требования к защите обрабатываемых ПД согласно ст. 19 Закона о персональных данных.
1 Абзац 4 п. 4 Разъяснений Роскомнадзора от 14 декабря 2012 г. «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве».
2 Абзац 9 п. 4 тех же разъяснений Роскомнадзора.
3 Абзац 2 п. 5 тех же разъяснений Роскомнадзора.
В пункте 3 статьи 6 закона «О персональных данных» говорится о том, что оператор в ряде случаев может поручить обработку персональных данных, доверенных ему правообладателем, третьим лицам.
При такой передаче соблюдаются следующие условия:
- если она предусмотрена законом, между сторонами не заключаются соглашение или договор об условиях обработки;
- если передача происходит по соглашению, стороны заключают договор, раскрывающий условия соглашения;
- согласие на передачу сведений у правообладателя получает только лицо, передающее данные;
- лицо, получающее информацию для обработки, не обязано получать отдельное согласие у субъекта персональных данных;
- в рамках реализации договора оформляется поручение оператора, в котором содержатся сведения о перечне действий, совершаемых доверенным лицом, о целях обработки, а также требования обеспечивать конфиденциальность и защиту ПД;
- в соглашении (договоре) указываются требования к защите персональных данных, определяемых их категорией (общедоступные, биометрические, иные) и требованиями ФСТЭК РФ.
Ответственность за то, как третье лицо выполняет обязательства по защите персональных данных, всегда несет передавший их оператор. Если осуществляется трансграничная передача информации, на это потребуется оформить отдельное согласие.
На практике персональные данные передаются на обработку третьим лицам в следующих случаях:
- анализ клиентской базы. В этой ситуации требуется их обезличивание;
- предоставление сведений банку при реализации зарплатной программы для открытия карточных счетов;
- передача статистических данных государственным организациям – Росстату, Пенсионному фонду, ФНС;
- передача информации из ЖКХ организациям биллинговых услуг или управляющим организациям;
- продажа кредитной задолженности банками;
- взыскание задолженности операторами связи, организациями ЖКХ.
В ряде случаев такая передача оказывается незаконной, и оператор привлекается к гражданской или административной ответственности, выплачивая штраф или компенсируя убытки правообладателю. Но чаще суды встают на сторону более сильного с состязательной точки зрения субъекта, например, ПАО «Ростелеком», и отказывают в возмещении морального вреда даже при явном нарушении закона оператором персональных данных (дело 2-7574/19 Набережночелнинского суда).
О необходимости оформлять согласие на передачу персональных данных для обработки третьим лицам говорит не только закон «О персональных данных», но и Трудовой кодекс, который в ст. 88 прямо требует у работодателя оформить письменное согласие в любых случаях предоставления данных третьим лицам, за исключением ситуаций, когда ПД необходимо передать для предотвращения угрозы жизни или здоровью сотрудника. Согласие обязательно потребуется, если данные передаются с целью реализации коммерческих интересов работодателя. Оно не нужно, если сведения передаются в социальные фонды, налоговую, службу государственной статистики, службу занятости или федеральную инспекцию по надзору в сфере трудового законодательства.
Закон прямо не требует от оператора указания в согласии всех третьих лиц, которым он предполагает передать сведения на обработку. Но если у гражданина есть сомнения в правомерности такой передачи и соответствии цели обработки передаваемых ПД закону, он всегда вправе отозвать свое согласие, вынудив оператора обратиться к агенту с требованием уничтожить данные. Отказ от выполнения этой обязанности можно обжаловать Роскомнадзоре, и тогда оператор будет оштрафован в рамках ст. 13.11 КоАП РФ.
Обязательное оформление согласия на передачу персональных данных для обработки третьим лицам становится задачей оператора, его отсутствие приведет к негативным последствиям. Права субъектов персональных данных должны соблюдаться всеми операторами.
03.03.2020
Обработка персональных данных родственников и членов семей может осуществляться двумя способами:
- Получение отдельного документа — заявления от родственника сотрудника на обработку его персональных данных. Здесь согласие оформляет и подписывает сам член семьи (третье лицо).
- Оформление работником согласия на обработку персональных данных от лица родственника. Здесь работник выступает как его представитель на основании нотариальной доверенности.
Хранение персональных данных близких родственников работников, третьих лиц определяется целью их обработки. Она указана в согласии, также, как и срок действия документа.
По истечению срока, достижении целей обработки ПД, при отзыве согласия на обработку персональных данных конфиденциальная информация о любом третьем лице должна уничтожаться. Это требование статьи 21 Федерального закона No 152-ФЗ «О персональных данных».
|
Важно! Личные сведения уничтожаются со всех носителей, где они присутствуют — из ИСПДн и с бумажных носителей. |
Согласие на передачу персональных данных третьим лицам
- Ф. И. О.
- Число с местом рождения.
- Адрес проживания с номером телефона.
- Семейное положение.
- Социальное положение.
- Имущественное положение.
- Образование.
- Профессия.
- Доходы и размер заработной платы.
- Иные сведения.
К другой информации относятся данные паспорта сотрудника, трудовой стаж, номер пенсионного свидетельства, сведения о военной службе и воинском учете и др.
До принятия 519-ФЗ все виды обработки ПД могли быть прописаны в одном согласии. С 1 марта 2021 года правила изменились: человек может дать согласие на обработку персональных данных, но в тоже время не разрешить их распространять. Попробую на примерах и в схемах объяснить нюансы.
Обработка — это любое действие с персональными данными, в том числе:
- сбор, запись, систематизация;
- накопление, хранение;
- уточнение (обновление, изменение);
- извлечение;
- использование;
- передача (распространение, предоставление, доступ);
- обезличивание;
- блокирование, удаление, уничтожение персональных данных.
Из этого следует, что распространение — это один из случаев передачи персональных данных. Он отличается от предоставления и доступа к персональным данным. Соответственно и согласия для этих случаев обработки разные.
Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Основным отличием распространения от предоставления является определение получателей данных.
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц. По сути — это их публикация:
- размещение профилей в соцсетях;
- публикация данных о сотрудниках на корпоративных сайтах, форумы;
- сайты с объявлениями, отзывами, вакансиями.
- публикации в газетах, журналах;
- печатные рекламные буклеты с контактами, ФИО и фото сотрудников;
- публикация результатов спортивных мероприятий на интерактивных мониторах;
- визитки, возможно.
Если вы планируете распространять персональных данные для неопределённой аудитории, то необходимо получать согласие на распространение персональных данных. В этом согласии субъект персональных данных должен прямо вам разрешить это делать.
Если оператором является юридическое лицо, то указывается: наименование, ИНН, ОГРН, а также адрес, указанный в ЕГРЮЛ
Если оператором является физическое лицо, то указывается: фамилия, имя, отчество (при наличии), место жительства или место пребывания.
Если оператором является индивидуальный предприниматель, то указывается: фамилия, имя, отчество (при наличии), ИНН, ОГРНИП. Адрес указывать не надо, как это следует из приказа, что странно. Я рекомендую указывать и адрес ИП.
Формулировки цели или целей обработки персональных данных должны соответствовать положениям законодательства Российской Федерации, устанавливающим функции, полномочия и обязанности оператора, и (или) документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных.
Указанное поле заполняется по желанию субъекта персональных данных без ограничений со стороны оператора, осуществляющего обработку персональных данных.
Условия и запреты предполагают ограничение или запрет осуществления оператором действий по распространению и (или) предоставлению персональных данных неограниченному или определенному кругу лиц соответственно.
Дополнительно в Согласии могут быть указаны условия, при которых полученные персональные данные могут передаваться оператором, осуществляющим обработку персональных данных, только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных.
Заполняется по желанию субъекта персональных данных.
Должен быть отражен конкретный срок его действия: определенный период времени или дата окончания срока действия.
Не допускается указание на автоматическую пролонгацию срока действия Согласия, а также определение срока его действия путем установления бессрочного статуса или указания на событие, неизбежность наступления которого возможно в долгосрочной перспективе.
Работодатель вправе передать персональные данные работника, в том числе в коммерческих целях, только при условии получения письменного согласия работника. Причем он должен сначала получить согласие, а потом осуществить передачу. Это правило устанавливает ст. 88 Трудового кодекса РФ. Например, работодатель-учредитель организации не предоставил на собрании учредителей копию трудового договора с генеральным директором. Может он так сделать? Да, так как ст. 88 Трудового кодекса РФ устанавливает запрет на передачу данных.
Такое согласие целесообразно получить и при заключении организацией в отношении своих работников договоров на добровольное медицинское страхование, страхование ответственности (в т.ч. ОСАГО), курсов повышения квалификации или учебы и т.п.
- Выписка из решения профсоюзного комитета о мнении профсоюза в связи с предлагаемым увольнением работника
- Пример приказа об изменении структуры штатного расписания
- Пример уведомления профкома о проведении мероприятий по сокращению штата работников организации
- Пример уведомления работника об увольнении по сокращению штата работников организации
- Пример уведомления службы занятости о сокращении штата работников организации
- Примерная форма предупреждения работника об увольнении в связи с сокращением численности или штата работников
- Уведомление о предстоящем увольнении в связи с сокращением численности или штата работников
- Акт ввода оборудования в эксплуатацию
- Акт о браке по результатам обследования объекта
- Акт о возврате бракованного товара
- Акт о недостаче и(или) пересортице товара
- Акт об установлении расхождений в количестве при приемке товара
- Акт приема — передачи оборудования. Акт ввода в эксплуатацию оборудования
- Акт приёмки продукции по качеству (Акт о браке)
- Ведомость начисления и выдачи зарплаты
- Макет коллективного договора
- Ответ работодателя на предложение о начале коллективных переговоров
- Предложение профсоюзной организации о начале коллективных переговоров
- Предложение работников о начале коллективных переговоров
- Приказ о проведении коллективных переговоров по подготовке и заключению коллективного договора
- Лицензирование
- МЧС
- Налоги и сборы
- Законодательство
- ГИБДД
- Военный учет
- Субсидирование
- Трудовое нормирование
- Претензионные
- Регламенты
- Служебные
- Договоры
- Договорная работа
- Доверенности
- Архивное дело
- Переписка
- Почта
- ЖКХ
- Производство
- Недвижимость
- Страхование
- Оценка
- Строительство
- Транспорт
- Общепит
- Госслужба
- Банковские
- Образование
- Медицина
- Игорный бизнес
- Туризм
- Агропром
- Автосервис
- Должностные инструкции
- Охрана труда
- Кадровый учет
- Гражданские состояния
- Аттестация персонала
- Миграционная служба
- Миграция
- Характеристики
- Соискание и найм
- Персональные данные
- Бухгалтерский учет
- Воинский учет
- Бюджетный учет
- Тендерная документация
- Оформление бизнеса
Как мне составить отказ о передаче личных данных третьим лицам?
Под персональными данными с точки зрения международного и российского законодательства подразумевается любая информация прямо либо косвенно относящаяся к какому-либо конкретному человеку.
И законодательство большинства стран мира, равно как и международные нормативы по обеспечению защиты прав человека, обеспечивает защиту и персональных данных людей, так как они могут серьезно повлиять на безопасность и качество жизни отдельно взятого лица.
Более подробно о том, что такое персональные данные в России можно прочитать в отдельной статье, далее же будет рассматриваться непосредственно порядок их передачи и возможная ответственность за подобные действия.
Под передачей подразумевается предоставление информации, составляющей личные сведения, третьему лицу. При этом таковые действия могут осуществляться как в соответствии с законом, так и с нарушением действующего законодательства.
Передача может быть произведена в отношении любых видов персональных данных и в любом виде — как в устном, так и в письменном, визуальном или электронном.
Передача является одним из частных случаев обработки персональных данных, которая, в свою очередь, включает в себя и иные виды работы с рассматриваемой информацией.
Передачу личной информации может осуществлять как юридическое лицо, так и физическое лицо, что важно в рамках определения ответственности если данные действия являлись незаконными.
Значение имеет характер сведений, цели передачи данных и статус лиц, получающих или передающих таковую информацию. В зависимости от вышеозначенных факторов также может изменяться легальность подобных действий, если они проводятся без получения согласия лица, которого касается означенная информация.
Следует различать понятия передачи и разглашения персональных данных. Под передачей подразумевается персонифицированное предоставление сведений о физическом лице одному или нескольким третьим лицам в определенных целях. Разглашение же предусматривает широкое и не персональное предоставление доступа к личным сведениям заранее не определенному кругу лиц.
Есть ряд ситуаций, в которых нет необходимости получать согласие лица на каждый случай передачи его личных сведений. В первую очередь это касается общей информации, необходимой для прямого определенных задач.
В частности, не является незаконной передача персональных данных в органы надзора и контроля в трудовых взаимоотношениях, движение данных в пределах предприятия между имеющими к ним доступ согласно внутренним документам лицами.
Также допускается отсутствие согласия на передачу данных правоохранительным органам и иным государственным структурам по их истребованию. Однако в данной ситуации также действуют требования о передаче исключительно целевых данных в ограниченном объеме и для использования в сугубо определенных заранее и обозначенных целях.
В случае, когда самому лицу, чьи персональные данные необходимо передать третьим лицам, грозит опасность, в том числе жизни, здоровью, имуществу или его иным охраняемым законом правам, в целях недопущения нарушения этих прав может быть допустима передача информации без согласия. Однако эти действия не лишают само физическое лицо права на обращение в суд, и именно в судебном порядке будет определяться правомочность подобных действий со стороны передающего лица.
Российские работодатели в обязательном порядке осуществляют обработку сведений, относящихся к персональным данным.
При этом на них трудовым законодательством возлагается обязанность по обеспечению всех необходимых мероприятий для защиты рассматриваемой информации.
В рамках таковой защиты в большинстве случаев работодателям необходимо обеспечить проведение ряда мероприятий:
- Разработка и принятие положения о персональных данных. В этом документе необходимо указать порядок обработки персональных данных в организации, а также особенности работы с этой информацией внутри организации.
- Получение от сотрудника согласия на обработку и передачу персональных данных. Данное согласие может быть получено как в отношении неопределенного периода времени, так и получаться разово по каждому конкретному случаю передачи сведений.
- Ознакомление трудящихся с документацией о персональных данных. Каждый работник в обязательном порядке должен быть ознакомлен со всеми нормативными документами, касающимися его трудовой деятельности и принципами обращения с личными сведениями.
- При передаче персональных данных третьим лицам, работодателю следует предупредить этих лиц о недопустимости распространения личных сведений и нецелевом использовании полученной информации.
- Если какой-либо из трудящихся осуществит незаконную передачу персональных данных другого работника или третьих лиц, то работодатель вправе привлечь подобного работника к дисциплинарной ответственности вплоть до увольнения, так как данные действия считаются грубым нарушением трудового законодательства.
Так как вопросы защиты прав трудящихся, а также человека в целом во многом затрагивают сферу обработки персональных данных, эти аспекты взаимоотношений имеют отражение и в различных нормативно-правовых документах, действующих в РФ. В частности, для разрешения большинства общих вопросов, связанных с передачей рассматриваемых сведений, следует ознакомиться со следующими юридически значимыми положениями российского законодательства: