В соответствии со ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) под персональными данными понимается любая информация, относящаяся к прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных). По сути это любые сведения, с помощью которых можно определить (идентифицировать) субъекта персональных данных. Информация о фамилии, имени, отчестве, паспортных данных, адресе работника также относится к его персональным данным.
Случаи обработки персональных данных, предусмотренные трудовым законодательством, поименованы в ч. 1 ст. 86 ТК РФ. К ним относятся обработка персональных данных работника в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
По общему правилу обработка персональных данных может осуществляться с согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ), а в отсутствие такого согласия – только в случаях, предусмотренных п. 2–11 ч. 1 ст. 6 Закона № 152-ФЗ, в частности, если обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ). Поскольку работодателя и работника связывает трудовой договор (ч. 1 ст. 16 ТК РФ, ч. 1 ст. 56 ТК РФ), для обработки персональных данных, необходимых для исполнения работодателем своих обязанностей по трудовому договору, согласие работника не требуется.
Однако для обработки персональных данных работника в иных целях работодателю необходимо располагать согласием работника на обработку его персональных данных. Следует также учитывать, что в ст. 88 ТК РФ установлен прямой запрет на передачу персональных данных работника третьей стороне без его письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами.
Посредничество работодателя в получении работниками заработной платы с использованием банковских пластиковых карт не предусмотрено трудовым законодательством и носит гражданско-правовой характер, то есть выходит за рамки урегулированных трудовым законодательством отношений. Поэтому передача персональных данных работников кредитной организации в целях реализации зарплатного проекта, на наш взгляд, не является обработкой персональных данных, при которой получение согласия субъекта персональных данных не требуется. Законом установлена только обязанность работодателя выплачивать в полном размере причитающуюся работнику заработную плату (ч. 2 ст. 22 ТК РФ) в месте выполнения им работы либо перечислять ее на указанный работником счет в банке на условиях, определенных коллективным или трудовым договором (ч. 3 ст. 136 ТК РФ).
В то же время в трудовом договоре между работником и работодателем может содержаться условие (гражданско-правовое по своему характеру), согласно которому работодатель берет на себя обязанность по заданию и в интересах работника оформить документы и обратиться в определенный банк для заключения между работником и данным банком договора банковского счета, на который работодатель впоследствии будет перечислять работнику заработную плату. Если такое условие предусмотрено трудовым договором либо иным договором между работником и работодателем, то, на наш взгляд, в силу п. 5 ч. 1 ст. 6 Закона № 152-ФЗ согласие работника на передачу его персональных данных работодателем в указанный в договоре банк не будет требоваться. Если же подобное условие прямо из договора не следует, для передачи персональных данных работника в банк работодателю необходимо располагать согласием работника на такую обработку его персональных данных.
К сведению
Отметим, что лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных работника, могут быть привлечены к дисциплинарной, материальной, гражданско-правовой, административной ответственности (ст. 90 ТК РФ). В частности, в соответствии со ст. 13.11 КоАП РФ нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа на граждан в размере от 300 до 500 руб.; на должностных лиц – от 500 до 1000 руб.; на юридических лиц – от 5000 до 10 000 руб. Гражданское законодательство устанавливает обязанность лиц, виновных в нарушении неимущественных прав и иных нематериальных благ граждан, компенсировать им причиненный моральный вред (ст. 151 ГК РФ). Аналогичное положение содержится в ст. 237 ТК РФ применительно к случаям нарушения работодателем трудовых прав работников. В этой связи см. решение Октябрьского районного суда г. Архангельска от 05.03.2012 по делу № 2-1366/2012; определение СК по гражданским делам Верховного суда Республики Саха (Якутия) от 29.08.2011 по делу № 33-3239/2011.