Рассмотрев вопрос, мы пришли к следующему выводу: организация вправе предоставлять указанному в вопросе лицу персональные данные своих работников только при наличии их письменного согласия.
Обоснование вывода
Под персональными данными признается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ)).
Обработкой персональных данных является любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, в том числе передача (распространение, предоставление, доступ) персональных данных. Под предоставлением понимаются действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Следовательно, предоставление третьему лицу персональных данных работников признается обработкой персональных данных.
В соответствии с положениями ст. 86 ТК РФ обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. Работодатель не вправе сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами (ст. 88 ТК РФ).
Список случаев, при которых допускается обработка персональных данных без согласия субъекта таких данных, установлен ст. 6 Закона № 152-ФЗ. Данный список является исчерпывающим.
Так, допускается обработка персональных данных, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ). По смыслу этой нормы лицом, которому предоставляется возможность обработки персональных данных, является сторона по указанному договору. Даже если такие сведения необходимы для исполнения договоров, заключенных работником с энергоснабжающими организациями (управляющими организациями и прочими), работодатель стороной такого договора не является, а следовательно, не вправе осуществлять в установленных этим пунктом целях обработку персональных данных работников.
Также обработка персональных данных допускается, если она необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6 Закона № 152-ФЗ). Отметим, что на сегодняшний день отсутствуют нормативные правовые акты, которые обязывали бы работодателя представлять сведения о своих работниках организациям, осуществляющим прием денежных средств от этих работников в оплату коммунальных и т.п. услуг.
Кроме того, обработка персональных данных допускается, если она необходима для предоставления государственной или муниципальной услуги в соответствии с Федеральным законом от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг» (далее – Закон № 210-ФЗ), для обеспечения предоставления такой услуги, для регистрации субъекта персональных данных на едином портале государственных и муниципальных услуг (п. 4 ч. 1 ст. 6 Закона № 152-ФЗ). Однако ни коммунальные услуги, ни услуги по управлению имуществом многоквартирного дома, ни иные подобные услуги в сфере ЖКХ не являются государственными (муниципальными) услугами (п. 2 ст. 2 Закона № 210-ФЗ, см. также постановления ФАС Северо-Западного округа от 08.06.2011 № Ф07-3786/11 по делу № А26-8918/2010, Семнадцатого арбитражного апелляционного суда от 15.12.2011 № 17АП-12233/11).
Передача персональных данных другому лицу допускается только с согласия субъекта таких персональных данных (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ, ст. 88 ТК РФ).
Поэтому работодатель вправе предоставлять организации, осуществляющей сбор платежей за коммунальные услуги, персональные данные своих работников только с их письменного согласия. Такое согласие должно содержать реквизиты, указанные в ч. 4 ст. 9 Закона № 152-ФЗ.
Обращаем ваше внимание, что за незаконную обработку персональных данных работника установлена административная ответственность в виде предупреждения или наложения административного штрафа на должностных лиц в размере от 500 до 1000 рублей; на юридических лиц – от 5000 до 10 000 рублей (ст. 13.11 КоАП РФ). В этом случае субъект персональных данных также вправе требовать компенсации морального вреда (ч. 2 ст. 24 Закона № 152-ФЗ). Кроме того, лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном ТК РФ (ст. 90 ТК РФ).
До вступления в силу Федерального закона от 25.07.2011 № 261-ФЗ ч. 2 ст. 6 Закона № 152-ФЗ содержала пункт 5.1, согласно которому без согласия субъекта персональных данных допускается обработка таких данных, если она необходима управляющим организациям, товариществам собственников жилья, жилищным кооперативам, жилищно-строительным кооперативам или иным специализированным потребительским кооперативам, осуществляющим в соответствии с Жилищным кодексом Российской Федерации управление многоквартирными домами, либо лицам, с которыми собственники помещений в многоквартирном доме при непосредственном управлении многоквартирным домом заключили договоры оказания услуг и (или) выполнения работ по содержанию и ремонту общего имущества в данном доме, либо лицам, с которыми собственники помещений в многоквартирном доме при непосредственном управлении или собственники жилых домов заключили договоры о предоставлении коммунальных услуг, либо лицам, привлеченным на основе договоров, для осуществления расчетов с собственниками помещений в многоквартирном доме, собственниками жилых домов, нанимателями жилых помещений государственного или муниципального жилищного фонда за содержание и ремонт общего имущества в многоквартирном доме, жилых домах и коммунальные услуги.
Однако, во-первых, указанная норма отменена. Во-вторых, по смыслу этой нормы обрабатывать персональные данные вправе только указанные в ней управляющие и иные организации, которым такая информация стала известна в связи с наличием соответствующих правоотношений (по управлению имуществом многоквартирного дома, энергоснабжению и т.д.) с абонентом. Работодатель же не является ни управляющей организацией, ни иной организацией, на которую этот пункт распространялся ранее. Законодательство не обязывает и не обязывало работодателей предоставлять таким организациям персональные данные работников.
