Нужно ли оформлять согласие на передачу третьим лицам персональных данных, если эта передача необходима для выполнения трудовых функций работников?

Работодателю целесообразно заручиться письменным согласием работника, которому выдается доверенность, на обработку (включая передачу (предоставление, доступ)) его персональных данных, включаемых в доверенность, в адрес контрагента.

В силу п. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»¹ наличие договора является самостоятельным условием обработки персональных данных, не требующим получения отдельного согласия на их обработку. При этом обработке подлежат только те личные данные, которые отвечают целям обработки, и они не должны быть избыточными по отношению к заявленным целям такой обработки (ст. 5 Закона № 152-ФЗ).

Поскольку организация в договорных правоотношениях представляет собой юридическую фикцию и действует в гражданском обороте через своих работников, то обработка при заключении и исполнении договора персданных единоличного исполнительного органа (ЕИО) организации – его руководителя – возможна без согласия последнего также на основании п. 5 ч. 1 ст. 6 Закона № 152-ФЗ.

Сведения о лице, имеющем право без доверенности действовать от имени организации, содержатся в ЕГРЮЛ, являются открытыми и общедоступными, за исключением тех, доступ к которым ограничен (ч. 1 ст. 6 Федерального закона от 08.08.2001 № 129-ФЗ «О государственной регистрации юридических лиц и индивидуальных предпринимателей).

Соответственно:

• при указании в договорах, заключаемых юридическим лицом, таких персональных данных, как Ф.И.О. единоличного исполнительного органа, необходимых для заключения и исполнения договора, его согласие на обработку персданных не требуется;
• если же в тексте договора присутствуют иные личные данные руководителя (например, адрес его места жительства, паспортные данные и др.), тогда необходимо получить письменное согласие на такую обработку, поскольку эти сведения не являются необходимыми для заключения и исполнения договора, стороной которого является юридическое лицо.

Если речь идет о подписании договора на основании доверенности лицом, уполномоченным ЕИО, то, соглашаясь на реализацию отдельных полномочий, представитель самостоятельно и добровольно предоставляет свои персональные данные, содержащиеся в доверенности, в распоряжение другого лица с тем, чтобы это лицо могло идентифицировать его и убедиться в наличии необходимых полномочий на заключение договора или совершение иных юридически значимых действий, подписание документов, связанных с исполнением договора, от имени представляемого. То есть представитель фактически соглашается с тем, что его личные сведения будут находиться у третьего лица, а его внутренняя воля (согласие) при передаче своих данных иному лицу, полагаем, выражается в форме конклюдентных действий, когда субъект предъявляет (передает) доверенность (ст. 182, 185 ГК РФ, ч. 1 ст. 9 Закона № 152-ФЗ).

Правовым основанием обработки персональных данных в рассматриваемом случае будут п. 2, 5 ч. 1 ст. 6 закона № 152-ФЗ, что также не требует получения отдельного согласия субъекта персональных данных. Также применимым условием будет и п. 7 ч. 1 ст. 6 Закона № 152-ФЗ, поскольку имеется законный интерес в подтверждении полномочий на заключение договора от имени представляемого.

Отвечая на вопрос о необходимости при обмене доверенностями получать согласие представителей на обработку их персданных, представители Роскомнадзора в консультациях обращали внимание, что поскольку содержание сведений, включаемых в доверенность, следует из гражданского законодательства, то обработка персданных, содержащихся в доверенности, подпадает под предусмотренные п. 2 ч. 1 ст. 6 Закона № 152-ФЗ условия обработки и не требует получения отдельного согласия субъектов.

Иначе вопрос решается, когда речь идет о личных данных не стороны договора (выгодоприобретателя, поручителя), а работника, представителя стороны. Нормы ч. 1 ст. 6 Закона № 152-ФЗ не содержат специальных правил, касающихся обработки персданных этих лиц при заключении и исполнении договора.

Одновременно в ст. 7 Закона № 152-ФЗ и ст. 88 ТК РФ сформулировано общее правило, в соответствии с которым оператор обязан не раскрывать третьим лицам и не распространять персональные данные без согласия работника. Работодатель обязан не сообщать личные сведения сотрудника третьей стороне без его письменного согласия.

В свою очередь, на сторону, получившую персональные данные работника, представителя другой стороны, распространяются требования ч. 3 ст. 18 Закона № 152-ФЗ. Согласно ей, если данные получены не от их субъекта, оператор до начала их обработки обязан предоставить субъекту информацию об обработке персданных, перечисленную в этой норме. Оператор (сторона договора) освобождается от указанной обязанности, если субъект персданных (работник, представитель контрагента) уведомлен об осуществлении обработки его персональных данных соответствующим оператором (контрагентом) (см. ч. 4 ст. 18 Закона № 152-ФЗ). Роскомнадзор полагает, что представитель должен дать согласие доверителю на включение своих персональных данных в доверенность.

Поэтому целесообразно включать в гражданско-правовой договор условия о том, что стороны получили согласие своих работников, представителей на обработку их персональных данных, осуществляемую при заключении и исполнении договора, обязательства сторон предоставить контрагенту документы, подтверждающие это.

Вышеизложенные положения законодательства обязательны для соблюдения и при выдаче доверенностей работникам на получение товарно-материальных ценностей у контрагентов, оформлении им пропусков у партнеров и т. д.

По общему правилу согласие дается субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом (ч. 1 ст. 9 Закона № 152-ФЗ). Согласие должно быть дано в письменной форме, в том числе если требуется обработка специальных категорий или биометрических персданных (ч. 4 ст. 9, ч. 1, 2 ст. 10, ч. 1 ст. 11 Закона № 152-Ф). Требования к содержанию согласия установлены в ч. 4 ст. 9 Закона № 152-Ф.

Согласие на обработку персданных должно быть оформлено отдельно от иной информации (документов), которую подтверждает (подписывает) субъект персданных (ч. 1 ст. 9 Закона № 152-ФЗ). Это означает, что согласие на обработку персональных данных не может, например, содержаться в тексте договора или самой доверенности.

Поскольку работодатель обязан соблюдать правила передачи личных данных, именно он и должен получить такое согласие. Необходимость соблюдения работодателем данного условия не зависит от того, будет оно прописано в договоре между юридическими лицами или нет, так как в ч. 3 ст. 9 Закона № 152-ФЗ прямо указано, что обязанность по предоставлению доказательств получения согласия субъекта персональных данных на их обработку возлагается законом на оператора (в данном случае на работодателя сотрудников, чьи персональные данные переданы третьей стороне).

На основании изложенного, учитывая положения ст. 88 ТК РФ, а также неоднозначность подходов Роскомнадзора, во избежание претензий со стороны работника и уполномоченного органа полагаем, что работодателю целесообразно заручиться письменным согласием работника, которому выдается доверенность, на обработку (включая передачу (предоставление, доступ)) его персональных данных, включаемых в доверенность, в адрес контрагента (иных лиц, которым доверенность предоставляется для подтверждения полномочий).

Поскольку целью передачи персональных данных в распоряжение третьих лиц в рассматриваемом случае будет представительство интересов работодателя, считаем, что необходимость получать согласие по каждому случаю выдачи доверенности не требуется, как и не требуется получения отдельного согласия на передачу копии доверенности, поскольку получение согласия обусловлено именно самой передачей (предоставлением, доступом) персональных данных в объеме, предусмотренном содержанием доверенности.