Как составить согласие на обработку персональных данных

В материале расскажем о согласии на обработку персональных данных, когда оно нужно, а когда можно обойтись без него. О целях и способах обработки, ответственности за отсутствие или неправильно составленный документ. Научим заполнять согласие и покажем его образец.

Обменивайтесь заявлениями, приказами, договорами и другими кадровыми документами в электронном виде с помощью КЭДО от Контур.Диадока

Попробовать бесплатно

Согласие на обработку персданных (СОПД) — это разрешение собирать, хранить и использовать личную информацию человека. Его оформляют письменно и поясняют, какие сведения нужны, для чего и как долго их можно использовать. Того, кто собирает и обрабатывает сведения, называют оператором, а их владельца — субъектом. Этот документ — прежде всего, свободное и сознательное волеизъявление, принудить дать согласие нельзя. Оно должно быть конкретным, однозначным и предметным. Человек имеет право в любой момент его отозвать.

При трудоустройстве соискатель предоставляет работодателю свои личные документы: паспорт, трудовую книжку, СНИЛС, диплом об образовании, медицинскую книжку, военный билет и другие, предусмотренные ст. 65 ТК РФ. Полученные из них сведения конфиденциальны (ст. 7 ФЗ-152, ст. 88 ТК РФ). Их обработка в целях трудоустройства согласия работника не требует.

Согласие понадобится, если работодатель хочет хранить и использовать копии этих документов или планирует обрабатывать не прописанные в законе персональные данные работника, например наличие несовершеннолетних детей, хобби, знание иностранных языков, наличие счетов в банках.

Все персональные данные, которые сотрудник передал работодателю, могут применяться исключительно в рабочих целях.

Виды персданных и цели их сбора

Персданные можно условно разделить на три категории:

Общие: имя, фамилия, дата рождения, паспортные данные.

Данные специальной категории: данные о здоровье, расовой принадлежности, политических взглядах, религиозных убеждениях.

Биометрические: отпечатки пальцев, снимки лица, голосовые записи.

Работодатели могут собирать личные данные сотрудников для определенных целей (ст. 6 ФЗ-152). Вот примеры некоторых из них:

Если оператор планирует данные распространять, то есть раскрывать их неопределенному кругу лиц, на это требуется отдельное разрешение субъекта. О требованиях к содержанию такого документа читайте в статье.

Кадровый электронный документооборот в действии

Покажем в прямом эфире, как работает КЭДО от Контур.Диадока: трудоустройство, отпуска и другие кадровые процессы.

Записаться на демо

Способы обработки персданных

Способы обработки персданных зависят от цели и правил, закрепленных в 152-ФЗ. Их можно условно разделить на две группы: с применением техники и без нее. Когда используют технику, со сведениями работают в компьютере, ноутбуке, планшете или смартфоне и применяют специальные  программы для автоматизации — 1С, Excel и другие. Если технику не применяют, обработку данных выполняют вручную.

Статья 3 152-ФЗ раскрывает понятия возможных действий оператора с личными сведениями человека:

Сбор данных. Собирает информацию о человеке, например, имя, телефон или адрес.

Запись данных. Сохраняет собранные данные в базе или архиве.

Хранение данных. Держит информацию в безопасном месте определенное время.

Использование данных. Применяет данные для каких-то задач, например предоставления услуги или изучения поведения клиентов.

Передача данных. Делится данными с другими организациями или людьми, например с государственными органами или партнерами.

Распространение данных. Публикует данные так, чтобы любой мог их увидеть.

Блокировка данных. Временно прекращает обрабатывать данные, например, если человек просит проверить точность информации.

Удаление данных. Полностью уничтожает данные, когда срок их хранения истекает или обладатель просит об этом.

Обезличивание данных. Изменяет данные так, что без дополнительных сведений нельзя понять, кому они принадлежат.

Что нужно написать в согласии

Заполнить согласие на обработку персональных данных работника можно на бумаге с личной подписью того, кто его предоставил, или в электронном виде с использованием электронной подписи. Для цифрового формата достаточно использовать простую электронную подпись (ПЭП), так как Федеральный закон № 152-ФЗ не уточняет конкретный вид электронной подписи, который необходим.

Про пять базовых принципов закона о персданных написали здесь.

Образец согласия

Установленного бланка согласия на обработку ПД пока нет, но 152-ФЗ четко зафиксировал обязательные пункты, которые в нем должны быть. Его можно составить в свободной форме или на утвержденном организацией бланке. В нем важно указать:

• название работодателя;
• место и дату заполнения;
• ФИО, паспортные данные и контактные данные сотрудника;
• перечень сведений, которые будут использовать;
• цели и возможные действия с ними;
• сроки действия согласия на использование персональных данных и возможность его отзыва;
• указание на то, что согласие оформляли добровольно;
• подпись.

Скачать типовой образец согласия на обработку персональных данных от экспертов Контур.КЭДО можно здесь. Если субъект разрешает распространять сведения о себе, то нужно подписать такой документ.

Сотрудник отказывается давать согласие: что делать

Если сотрудник не хочет подписывать СОПД, с ним придется работать дополнительно:

• Объяснить ему, зачем нужно согласие и что будет, если он откажется.
• Рассказать, какие сведения о нем нужны, как их будут использовать и защищать.
• Убедиться, что он понял все правильно и у него нет сомнений.
• Зафиксировать отказ, это может пригодиться позже.
• Найти другие варианты решения, если уговорить сотрудника не удалось.

Важно помнить, что согласие должно быть добровольным. Принудительно заставить сотрудника подписать такой документ нельзя. Напомним, что работодателю не нужно получать согласие на обработку данных, необходимых для трудоустройства. Отказ давать согласие на обработку персональных данных, которые дополнительно запрашивает работодатель, не может стать основанием для отказа в приеме на работу.

О том, как работать с персональными данными сотрудника, читайте в статье.

Когда согласие не требуется

Бывают случаи, когда работодатель не нуждается в СОПД от сотрудника. Их конкретизировал Роскомнадзор. Например:

Организация обязана размещать сведения о своих сотрудниках в интернете. Например, медицинские учреждения должны публиковать информацию о своих сотрудниках и их квалификации, а образовательные учреждения — о педагогическом составе и руководстве. Это касается фамилий, имен, должностей и контактов. Но важно помнить, что другую личную информацию публикуют только с согласия самих сотрудников.

Работодатель обязан обработать персданные родственников сотрудника. Речь идет о взыскании алиментов, предоставлении доступа к гостайне или соцвыплатах. В остальных случаях нужно получить их согласие.

Необходимо передать персданные сотрудника третьим лицам, если это нужно для защиты его жизни или здоровья. Например, требуется передать персональные данные сотрудника медицинским службам в случае чрезвычайной ситуации.

Сведения о сотрудниках передают в социальные фонды, налоговые органы и профсоюзы. Работодатель обеспечивает социальное страхование сотрудников, передает их данные в СФР без их согласия, а также в налоговые органы, военкоматы и профсоюзы.

Поступают запросы на информацию о сотрудниках от прокуратуры, полиции, органов безопасности или инспекции труда. Они должны содержать цель и правовое основание. Если запрос приходит от организации без соответствующих полномочий, необходимо получить согласие работника и предупредить получателя о возможностях использования данных.

Информация нужна для судебного разбирательства для защиты прав и законных интересов организации или третьих лиц.

Сведения о сотруднике используют для пропуска на территорию работодателя. Оформить документ для прохода в офис без использования персданных сотрудника не получится. Рекомендуем прописать в ЛНА, что вход в здание работодателя осуществляется по пропускам.

Данные необходимо обрабатывать для исполнения договора, стороной которого является субъект персональных данных.

Согласие уволенных сотрудников и соискателей

Работодатель может продолжать обрабатывать сведения бывшего сотрудника в установленных пределах, например для целей бухучета и налогообложения. Налоговые агенты обязаны хранить такие документы минимум четыре года, а бухгалтерскую документацию нужно хранить не менее пяти лет. И согласие уволенного сотрудника на это не требуется.

Соискатели дают СОПД при рассмотрении вакансии. Исключение — если кандидат сотрудничает с кадровым агентством или сам разместил резюме в открытом доступе. Для кандидатов на госслужбу СОПД не требуется, так как список нужных документов установлен законом, а анкета утверждается указом президента.

Срок действия и хранения согласия

Закон не регулирует, на какой срок человек дает СОПД. Его прописывают в самом документе. Можно указать временной период или конкретную дату.

Формулировка пункта с периодом действия может быть такой:

До достижения целей, для которых субъект персональных данных дал свое согласие.

До отзыва согласия субъектом.

Хранить бланк согласия обязательно в период действия документа и в течение трех лет после истечения срока действия, его отзыва или достижения цели, ради которой его брали.

Как отозвать согласие

Сотрудник может в любой момент отозвать свое СОПД. Какие-либо объяснения этому давать не нужно.

Способ отзыва согласия должен быть прописан в самом тексте согласия: через письменное заявление на конкретный адрес, в электронной форме, по электронной почте и так далее. Ограничений законом не установлено.

Компания все равно может продолжить обработку, если есть другие правовые основания (п.п. 2-11 ч.1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 152-ФЗ). Так, работодатель должен не менее 50 лет хранить трудовой договор.

Ответственность за нарушения при обработке персданных

Штрафы за нарушения при обработке персональных данных работников значительно выросли с конца 2023 года — теперь они вдвое выше, чем раньше (ст. 13.11 КоАП РФ, Федеральный закон 589-ФЗ). Перечислим основные виды ответственности за нарушения в обработке ПД:

Дисциплинарная ответственность. Применяют к сотрудникам, которые получили доступ к личным данным и неправомерно их раскрыли. В качестве наказания может быть увольнение (ст. 192 ТК РФ, подп. В п.6 ч.1 ст.81 ТК РФ).

Материальная ответственность. Сотрудник ее несет, если его действия привели к финансовым потерям для организации. Работодатель может взыскать с него компенсацию ущерба в размере средней заработной платы. Если ущерб был причинен преднамеренно, то сумма компенсации может быть увеличена до полного размера ущерба работодателю (ст. 238 и ст. 243 ТК РФ).

Административная ответственность. Размеры штрафов зависят от характера нарушения. Например, за отсутствие письменного согласия организацию могут оштрафовать на сумму от 300 до 700 тысяч рублей, а директора — от 100 до 300 тысяч рублей. Повторное нарушение увеличивает штраф до 1,5 млн рублей для компании и до 500 тысяч рублей для директора (ст. 13.11 КоАП РФ).

Уголовная ответственность. Здесь речь идет о незаконном сборе или распространении личных сведений, составляющих частную жизнь или семейную тайну, без согласия гражданина. За это грозит реальный срок до двух лет. Возможные штрафы — до 200 тысяч рублей, обязательные, исправительные работы и принудительные работы, а также лишение права занимать определенные должности или заниматься определенной деятельностью (ст. 137 УК РФ).

Правильное оформление согласия на обработку персональных данных — это не просто формальность, а реальный способ защитить права сотрудников. Без четких и открытых процедур обработки данных возникает угроза злоупотреблений и утраты контроля над личной информацией. Сервис КЭДО не только упрощает и ускоряет кадровые процессы, но и обеспечивает хранение данных в строгом соответствии с Федеральным законом № 152-ФЗ, чем гарантирует безопасность и конфиденциальность информации о сотрудниках компании.

Храните документы до 75 лет благодаря КЭДО. Документы не теряются и не портятся со временем.

Попробовать