Согласие на передачу персональных данных работника третьим лицам

Работодатели в определенных случаях получают согласие от сотрудника на передачу его персональных данных (ПД) третьим лицам. Разберемся, когда такое согласие необходимо, как правильно его оформить, какие требования предъявляет Роскомнадзор и какие санкции грозят за нарушения.

Передача данных сотрудников: основные принципы и требования

Персданные сотрудника — это любая информация, относящаяся прямо или косвенно к конкретному физическому лицу (субъекту ПД). Толкование дает ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Обработку персданных, то есть те или иные действия с ними, производят операторы. Это госорганы, компании, физлица. Операторы и другие лица, которые по поручению оператора получили доступ к персданным, не должны раскрывать третьим лицам и передавать персданные без согласия субъекта (ст. 7 № 152-ФЗ). Но есть ряд исключений.

Сотрудник вправе сам выбрать, какие персданные и кому он разрешает передавать. Он может согласиться на размещение данных о себе на сайте компании, допустить передачу сведений в агентство по организации командировок или страховую компанию для оформления полиса ДМС. Работодатель должен получить разрешение работника даже на передачу сведений в банк, через которую ему платят зарплату.

Нельзя распространять больше сведений, чем определяет текст согласия, и использовать данные из открытых источников, например, соцсетей.

Оператор обязан проверять, сколько информации он передает и соответствует ли она тому, для чего ее собирали. В ином случае контролирующие органы могут расценить действия компании или лица как нарушение закона. Оператор должен гарантировать, что третье лицо — получатель данных — обеспечивает их надлежащую защиту и использует их только в тех целях, которые указаны в согласии.

Согласие на передачу персональных данных третьим лицам оформляют на конкретный срок, без автоматического продления. Закон не требует подписывать отдельное согласие для каждой цели или на каждое третье лицо получателя данных. Но отслеживать актуальность документов легче, когда на каждого из них подписано отдельное согласие.

Субъект персданных в любое время может запретить передачу личных сведений с помощью заявления об отзыве согласия на передачу персданных или заявления о прекращении обработки персональных данных (п. 12 ст. 10.1 № 152-ФЗ). В первом случае оператор обязан исполнить требование в течение 30 дней с даты получения заявления на отзыв. Во втором — в течение 10 рабочих дней со дня получения требования работника.

Согласие на передачу персданных сотрудников третьим лицам и заявление о его отзыве можно оформлять как в бумажном, так в электронном виде (КЭДО).

С помощью КЭДО от Контур.Диадока легко и быстро соберите согласия даже у сотрудников, работающих дистанционно или в отдаленных подразделениях.

Попробовать бесплатно

Когда можно передавать конфиденциальные данные без согласия работника

Иногда получение письменного согласия на передачу персданных третьим лицам не требуется. Речь идет о случаях, когда сообщение персданных необходимо в связи с угрозой жизни и здоровью работника, а также в ситуациях, предусмотренных федеральными законами (ст. 88 ТК РФ).

Согласие не нужно, если работодатель передает сведения:

• в СФР(ст. 9 Федерального закона от 01.04.1996 № 27-ФЗ).
• в налоговые органы (ст. 24 НК РФ).
• в военные комиссариаты (ч. 2 ст. 8.1 № 52-ФЗ «О воинской обязанности и военной службе»);
• по мотивированному запросу государственных органов, таких как суд, прокуратура, органы следствия и другие структуры (п. 3, 3.1, 4 ст. 6 № 152-ФЗ).

Оператор ПД должен убедиться в законности и обоснованности запроса.

Все ситуации, в которых работодатель может передавать персданные работника без его разрешения, закреплены в ст. 6, ст. 10 и ст. 11 № 152-ФЗ.

Отметим, что передача данных уволенного сотрудника для целей налогового и бухгалтерского учета не требует согласия.

Штрафы за нарушения: что грозит за незаконную передачу данных работников

За неправомерную передачу персданных третьим лицам без получения надлежащего согласия работника виновных привлекают к гражданской, дисциплинарной, административной, а в иных случаях и уголовной ответственности. Ее несут как отдельные лица, например, сотрудники кадровой службы, так и оператор ПД, то есть организация, которая изначально собирала данные и допустила их незаконную передачу третьим лицам.

Поэтому операторы ПД должны соблюдать требования законодательства о защите персональных данных и тщательно контролировать процесс их передачи внешним получателям. В том числе, оценивать потенциальный вред, который может причинить нарушение норм обработки и распространения персданных. Это прямое требование закона (ст. 18.1 № 152-ФЗ).

Вот такие виды ответственности предусмотрены за нарушения в сфере персданных:

Дисциплинарная ответственность. Наступает, если сотрудник допустил нарушение в процессе обработки персданных. Но он должен быть допущенным к обработке ПД в силу своих должностных обязанностей — по трудовому договору или должностной инструкции. Такого работника могут даже уволить. А пострадавший вправе подать в суд, чтобы виновного привлекли к гражданской ответственности по ст. 150 — 152.2 ГК РФ, и потребовать компенсации морального вреда.

Административная ответственность. Это штрафы для граждан, должностных лиц и организаций. Размер штрафов вырос в декабре 2023 года (ч. 2 ст. 13.11 КоАП РФ):

Отдельные штрафы ст. 13.11.3 КоАП РФ предусматривает за нарушения при размещении биометрических ПД в ГИС «Единая система идентификации и аутентификации физических лиц с использованием биометрических персональных данных». Штрафы для должностных лиц составляют от 100 тыс. до 300 тыс. рублей, для компаний — от 500 тыс. до 1 млн. рублей.

Уголовная ответственность. Наступает в случаях, когда незаконная передача ПД привела к тяжелым последствиям: причинению вреда здоровью, смерти или иным серьезным нарушениям прав и законных интересов граждан. Так, виновный в незаконной передаче персданных по ч. 5 ст. 272.1 УК РФ может получить до 10 лет лишения свободы со штрафом до 3 млн. рублей.

Больше об ответственности за неправильную обработку и хранение персданных читайте в статье.

Как правильно оформить согласие сотрудников

Нормативные документы не утверждают форму согласия на передачу ПД. Но ч. 4 ст. 9 №152-ФЗ содержит перечень сведений, которые нужно указать в согласии:

• ФИО, адрес, паспортные данные субъекта персданных или его представителя, реквизиты доверенности при необходимости.
• Наименование, ФИО, адрес, паспортные данные, реквизиты оператора, а также лица, которое будет обрабатывать данные по его поручению.
• Цели передачи, список персданных и список действий с ними, на которые согласен сотрудник.
• Срок действия и порядок его отзыва.
• Подпись сотрудника.

С 1 сентября 2025 года изменяется ч. 1 ст. 9 закона №152-ФЗ: теперь согласие на обработку персональных данных нужно оформлять отдельно — его нельзя включать в трудовой договор или другие документы, как это было раньше.

Согласие на передачу персданных оформляют в письменной или электронной форме. Сотрудник подписывает согласие собственноручно или с помощью электронной подписи.

Эксперты Контур.КЭДО составили образец согласия на передачу персданных третьим лицам. Вы можете скачать его и дополнить реквизитами своей организации.

Согласие на передачу персданных сотрудника можно подписывать как на бумаге, так и в электронном виде. Но электронный способ — быстрее, удобнее и позволяет собирать согласия массово, сразу у всех сотрудников.

Согласия на передачу персональных данных вы можете собрать за несколько кликов сразу со всех работников в сервисе КЭДО от Контур.Диадока.

Попробовать бесплатно

Как законно передавать личные данные сотрудников в другие страны

Трансграничная передача — это передача персданных на территорию иностранного государства (ст. 12 № 152-ФЗ). Такая передача возможна, если иностранное государство обеспечивает адекватную защиту прав субъектов. Перечень этих стран определяет уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор (приказ от 05.08.2022 № 128).

Если страна не обеспечивает нужный уровень защиты, то оператор не имеет право осуществлять трансграничную передачу ПД в эти страны до истечения 10 рабочих дней после подачи уведомления о намерении осуществлять обработку персданных. Роскомнадзор может принять решение об ограничении или запрете трансграничной передачи в определенных случаях.

С 1 сентября 2022 года компании должны уведомлять Роскомнадзор о трансграничной передаче ПД. Прежде чем отправлять уведомление, необходимо:

• выяснить наименование и контактную информацию иностранного оператора;
• узнать, какие меры защиты он будет принимать;
• уточнить, при каких условиях он прекратит обрабатывать данные;
• запросить информацию о правовом регулировании сферы ПД в иностранном государстве, если оно не входит в утвержденный Роскомнадзором перечень;

Уведомление подают отдельным документом на бумажном носителе или в электронной форме. Общее уведомление о намерении осуществлять обработку ПД не подойдет. Образец формы можно найти на сайте Роскомнадзора.

В уведомлении ведомства указывают (ст. 12 № 152-ФЗ):

• Наименование и адрес организации, дату и номер уведомления о начале обработки ПД сотрудников.
• ФИО ответственного за обработку ПД, номера телефонов, почтовые адреса и адреса электронной почты.
• Правовое основание и цель трансграничной передачи и дальнейшей обработки персданных.
• Категории и перечень передаваемых сведений.
• Категории субъектов ПД, информацию о которых передают.
• Перечень иностранных государств — получателей персданных.
• Дату проведения оценки того, как другая сторона обеспечивает конфиденциальность и безопасность при обработке персданных.

Роскомнадзор вправе запросить данные, чтобы оценить достоверность сведений в уведомлении. На предоставление этой информации у оператора есть 10 рабочих дней. Еще пять рабочих дней будет дополнительно при наличии мотивированных причин продления срока.

Если вы передаете данные в страну, которая обеспечивает надежную защиту, можно не ждать ответа Роскомнадзора. Но ведомство может запретить или ограничить передачу данных в течение 10 рабочих дней с даты поступления уведомления. Если власти примут такое решение, оператор обязан проконтролировать, чтобы органы власти иностранного государства, юридическое или физическое лицо уничтожили полученные данные.

Запустите КЭДО в вашей компании

Подписывайте кадровые документы электронно: трудовые договоры, отпуска, авансовые отчеты, ЛНА, приказы и прочие документы с сотрудниками.

Быстро. Безопасно. Без бумаги.

Попробовать бесплатно

Соблюдение правил работы с персональными данными сотрудников — это требование закона и часть корпоративной культуры. Внедрение надежных процедур по защите персданных — способ оградить себя от штрафов и испорченной репутации.