Два юридических лица заключают договор о предоставлении экскурсионных услуг для своих сотрудников. В соответствии с Законом о туристской деятельности контрагент-туроператор требует в приложении № 1 к Договору о предоставлении экскурсионных услуг указать все персональные данные сотрудников. Сотрудники своё согласие на обработку и передачу персональных данных не давали. Имеет ли право контрагент-туроператор требовать указать персональные данные сотрудников? Правомерны ли его действия с точки зрения закона о персональных данных?

На основании предоставленного текста и соответствующих нормативных актов можно сделать следующий вывод:

1. Необходимость согласия:
   • Передача персональных данных третьим лицам (в данном случае, туроператору) требует получения письменного согласия сотрудников(ст. 88 ТК РФ, Разъяснения Роскомнадзора) . Исключения составляют случаи, предусмотренные законом, такие как выполнение обязанностей перед налоговыми органами или в связи с угрозой жизни и здоровью работников.
2. Обработка без согласия:
   • Закон допускает обработку персональных данных без согласия в случаях, когда это необходимо для исполнения договора, стороной которого является субъект данных, или для выполнения функций, возложенных на оператора законодательством РФ (п. 5 ч. 1 ст. 6, Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 08.08.2024) "О персональных данных" {КонсультантПлюс}). Однако в данном случае это не применимо, поскольку сотрудники не являются стороной договора о предоставлении экскурсионных услуг.

Федеральный закон от 24.11.1996 N 132-ФЗ (ред. от 30.11.2024) "Об основах туристской деятельности в Российской Федерации" {КонсультантПлюс} не содержит требования об указании в приложении к договору между юридическими лицами о предоставлении экскурсионных услуг для своих сотрудников . Контрагент-туроператор не имеет права требовать указания персональных данных сотрудников в приложении к договору без их письменного согласия. Действия по требованию таких данных без согласия сотрудников неправомерны с точки зрения закона о персональных данных.

Таким образом,  контрагент-туроператор не имеет права требовать указания персональных данных сотрудников без их письменного согласия в приложении к договору о предоставлении экскурсионных услуг. Передача таких данных без согласия нарушает Закон о персональных данных.

Персональные данные без согласия работника можно передать третьим лицам только в установленных законом случаях, например, в налоговый орган и СФР. В других ситуациях надо получить письменное согласие работника (ст. 88 ТК РФ, Разъяснения Роскомнадзора).

Штраф за разглашение, передачу или другую обработку персональных данных без согласия работника для малых и микропредприятий - от 150 000 до 350 000 руб., для других организаций - от 300 000 до 700 000 руб., для должностного лица - от 100 000 до 300 000 руб. (ст. ст. 4.1.2, 13.11 КоАП РФ).

 

1. Вопрос: Надо ли запрашивать отдельное согласие работника на передачу его персональных данных, указанных в договоре об оказании услуг, третьим лицам (с указанием контрагента)? Вправе ли контрагент передавать его данные своим работникам? (Консультация эксперта, 2025) {КонсультантПлюс}
2. Типовая ситуация: Персональные данные работников: понятие, обработка, защита и передача (Издательство "Главная книга", 2025) {КонсультантПлюс}