Работа с персональными данными. Отвечаем на вопросы

Работник может отозвать свое согласие на обработку персданных, которое он дал ранее работодателю. Запретить ему это мы не можем. Однако даже с отозванным согласием работодатель продолжает обработку его персональных данных, но только в минимально необходимом объеме.

Напомним, по общему правилу согласие на обработку персональных данных не требуется, когда (п. 2–11 ч. 1 ст. 6 Закона о персданных ¹):

• обработка осуществляется для исполнения заключенного с работником договора или возложенных на работодателя обязанностей, функций и полномочий;
• собираются персональные данные близких родственников работника в объеме, предусмотренном личной карточкой, карточкой учета военнообязанного, а также при получении алиментов, оформлении социальных выплат, допуска к государственной тайне и др.;
• запрашиваются сведения о состоянии здоровья работника для установления возможности выполнения им трудовой функции;
• обработка персональных данных связана с выполнением работником своих трудовых обязанностей, например, при командировании;
• обработка проводится в целях организации пропускного режима;
• обработка в отношении уволенных работников в рамках установленных сроков.

Согласие на обработку персональных данных требуется, если обрабатываются:

• дополнительная информация о работнике (номер его мобильного телефона, адрес личной электронной почты и т. д.);
• биометрические персональные данные (любые физиологические данные – ​рост и вес (для спецодежды), дактилоскопические, радужная оболочка глаз, анализы ДНК и иные физиологические или биологические характеристики, в том числе изображение человека (фотография и видеозапись), которые позволяют установить его личность и используются оператором для установления личности субъекта);
• специальные данные (касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни).

Соответственно, персональные данные из первой категории работодатель может продолжать обрабатывать, даже если работник отзовет свое согласие на их обработку.

Вместе с тем на практике работодатели часто запрашивают данные сверх указанных, на всякий случай (например, номер личного мобильного телефона, адрес фактического проживания и пр.). Поэтому надо проверить, какие данные сверх минимально необходимых вы собрали с работников, их обработку надо прекратить, а сами данные уничтожить в установленном порядке.

Иногда на практике встречается ситуация, когда работник уже после конфликтного увольнения требует уничтожить его персональные данные, отозвав свое согласие. Здесь вспоминаем о требованиях ст. 22.1 Федерального закона от 22.10.2004 № 125‑ФЗ «Об архивном деле в Российской Федерации» ² , согласно которым документы по личному составу хранятся 50/75 лет. Соответственно, требование работника в указанной части выполнить не можем.

С 01.09.2022 ч. 1 ст. 9 Закона о персданных начала действовать в новой редакции, согласно которой согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Ранее речь шла только о конкретности, информированности и сознательности. Сейчас к этим требованиям добавилось еще два – ​предметность и однозначность. Многие специалисты стали считать, что на практике это означает конкретную и четкую цель получения согласия на обработку персданных и, соответственно, одну цель для одного согласия. Однако в законе об этом прямо не сказано, как и не было соответствующих разъяснений от Роскомнадзора.

Мы проанализировали судебную практику и в настоящее время не видим, чтобы организации штрафовали за совмещение разных целей в одном согласии. Поэтому полагаем, что совмещать несколько целей обработки персданных в одном согласии можно (например, объединив согласие на обработку общих персональных данных и биометрических, а также на получение личной информации от третьих лиц). Вместе с тем обратите внимание: отдельное письменное согласие потребуется на распространение персональных данных работника (ст. 10.1 Закона о персданных).