В компании устанавливают контроль по приходу на работу и уходу с работы (СКУД). Нужно ли брать с работников согласие на обработку персональных данных при сборе данной информации?

 Да, если для установки оборудования будут запрашиваться персональные данные работников, то необходимо получить соответствующее согласие на передачу персональных данных.

 Оформление согласия работника на передачу его персональных данных:

В соответствии со ст. 88 ТК РФ передача персональных данных работника третьей стороне без письменного согласия указанного работника не разрешается, за исключением предусмотренных законом случаев. Также данной статьей предусмотрено, что без согласия работника персональные данные не могут передаваться в коммерческих целях. Соответственно, для передачи персональных данных необходимо письменное согласие работника. Из указанного документа должно быть понятно, кому будут передаваться персональные данные работника и с какой целью. Следует также учитывать, что в соответствии со ст. 88 ТК РФ работодатель обязан предупредить лиц, получающих персональные данные, о том, что данные сведения могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено.

Подробнее: Путеводитель по кадровым вопросам. Персональные данные работников

 Работодателю надо запросить отдельное письменное согласие работника на передачу данных третьему лицу (с указанием конкретного контрагента по договору оказания услуг) и представить его этому контрагенту.

Необходимость согласия работника на передачу контрагенту его персональных данных:

В рассматриваемой ситуации работник, чьи персональные данные указаны в договоре оказания услуг между организациями, не является ни стороной этого договора, ни выгодоприобретателем (поручителем) по нему.

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со ст. 19  Закона N 152-ФЗ (ст. 6 Закона N 152-ФЗ).

 Работодатель вправе передавать данные о работнике без его согласия третьим лицам при угрозе жизни и здоровью человека, а также в иных случаях, установленных законом. Во всех остальных случаях сообщать персональные данные работника третьей стороне работодатель может только на основании письменного согласия работника (абз. 2, 3 ст. 88 ТК РФ).

 Таким образом, в рассматриваемом случае заключение договора оказания услуг между организациями преследует коммерческие цели, поэтому работодатель не вправе передавать персональные данные работников без их согласия третьим лицам.

При привлечении сторонних организаций (на основании заключенных с ними договоров) для выполнения каких-либо услуг, которые будут затрагивать обработку персональных данных работника, работодатель обязан соблюдать требования, установленные ст. 6 Закона N 152-ФЗ, в том числе получить согласие работников на передачу их персональных данных (абз. 2 п. 5 Разъяснений Роскомнадзора «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве» (далее - Разъяснения Роскомнадзора)).

Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки (ч. 5 ст. 5 Закона N 152-ФЗ).

На каждую передачу персональных данных работника третьим лицам необходимо оформлять отдельное письменное согласие на передачу персональных данных на обработку конкретному третьему лицу (абз. 2, 3 ст. 88 ТК РФ, ч. 5 ст. 5, ч. 3 ст. 6 Закона N 152-ФЗ, абз. 2 п. 5 Разъяснений Роскомнадзора). Нельзя в согласии в разовом порядке написать, что работник не против передачи своих персональных данных на обработку любым третьим лицам, с которыми у работодателя может быть заключен договор.

В согласии работника на передачу персональных данных на обработку конкретному третьему лицу нужно указать, в частности, наименование, ИНН, ОГРН контрагента, которому передаются персональные данные для обработки, перечень передаваемых персональных данных, цель их передачи и обработки, срок действия согласия.

Подробнее: Вопрос: Надо ли запрашивать отдельное согласие работника на передачу его персональных данных, указанных в договоре об оказании услуг, третьим лицам (с указанием контрагента)? Вправе ли контрагент передавать его данные своей организации? (Консультация эксперта, 2020)