Довольно длительная переписка эксперта в области информационной безопасности, защиты персональных данных, коммерческой тайны, государственного регулирования охраны конфиденциальности Михаила Емельянникова* с Рострудом через официальный сайт надзорного органа закончилась весьма неожиданно…
Я пытался выяснить мнение надзорного органа о том, что делать работодателю, если работник отказывается дать согласие в письменной форме на передачу его персональных данных третьему лицу, что является обязательным в соответствии со ст.88 Трудового кодекса РФ. А случаи отказов становятся все чаще и чаще.
Вопрос касался передачи персональных данных в нескольких ситуациях:
- Для направления в служебные командировки, связанные с выполнением работником трудовых обязанностей, на учебу и повышение квалификации, для проведения профилактического медицинского осмотра работника, арендодателю для обеспечения прохода работника в арендуемые производственные и офисные помещения.
- Организациям, которым работодатель, в соответствии с заключенными договорами, поручает обработку персональных данных работников в целях ведения кадрового и бухгалтерского учета, а также выполнения иных функций, возложенных на него законодательством.
- Трансграничной передачи компаниям за рубежом с целью реализации корпоративной политики кадрового учета и карьерного роста персонала международных и иностранных компаний, имеющих дочерние предприятия и организации, а также представительства в России.
Как это часто бывает при общении с госорганами, ответ я получил ровно один и совсем не на тот вопрос, который задавал: «Работодатель не вправе принуждать работника дать согласие на обработку персональных данных. Обработка персональных данных работника без согласия работника возможна только в случаях, предусмотренных в законе».
Так что же делать в этом случае, выяснить не удалось.
Вскоре в одном из наших проектов всплыла похожая проблема. Работодатель общается с некоторыми «сложными» работниками посредством почтовых отправлений, направляемых им на рабочий или домашний адрес. Работники считают, что почтовому оператору переданы персональные данные без их согласия. Роструду был задан вопрос: должен ли работодатель получать согласие работника в письменной форме на передачу его персональных данных оператору почтовой связи в целях доставки корреспонденции, если оператор имеет лицензию, и его деятельность регулируется Федеральным законом от 17.07.1999 № 176-ФЗ «О почтовой связи»?
Ответ был лаконичный, и, если честно, меня не просто удивил, а ошеломил: «Консультирование граждан по вопросам соблюдения законодательства о персональных данных не входит в компетенцию Роструда. Вам следует обратиться в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций». Ошеломил, потому что на сайте Роструда дано уже более полутора тысячи ответов на вопросы, касающиеся получения согласия работников на обработку, в том числе передачу, персональных данных.
Вторая причина удивления была вызвана тем, что в соответствии со ст.3 «Принципы защиты прав юридических лиц, индивидуальных предпринимателей при осуществлении государственного контроля (надзора), муниципального контроля» Федерального закона от 26.12.2008 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля», одним из основных принципов защиты прав юридических лиц при осуществлении государственного контроля является недопустимость проводимых в отношении одного юридического лица несколькими органами государственного контроля (надзора) проверок исполнения одних и тех же обязательных требований. В связи я попросил Роструд разъяснить, в компетенции какого надзорного органа находится проверка обязательных требований трудового законодательства, установленных статьей 88 Трудового кодекса РФ.
И вот ответ: Проверка требований, установленных статьей 88 ТК РФ, относится к компетенции Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций. За нарушение положений статьи 88 ТК РФ работодатель может быть привлечен к ответственности в соответствии со ст. 5.39 КоАП РФ, ст. 13.11 КоАП РФ и ст. 13.14 КоАП РФ. Государственные инспекторы труда привлекать работодателя к ответственности, установленной вышеуказанными статьями, не вправе».
Осталось только выяснить, что по этому поводу думает Роскомнадзор, чем и придется заняться в ближайшее время».
*Об авторе:
Михаил Юрьевич Емельянников — российский эксперт в области:
- информационной безопасности и безопасности бизнеса;
- информационной безопасности;
- защиты персональных данных;
- коммерческой тайны;
- государственного регулирования охраны конфиденциальности.
Управляющий партнер Консалтингового агентства «Емельянников, Попова и партнеры»
А Роскомнадзор, или кто-то под эту марку, тем временем рассылает такие письма:
Предписание о разработке системы защиты персональных данных, согласно Федеральному закону № 152-ФЗ
Уважаемый руководитель!
В связи с возросшей активностью контролирующих органов, с 1 июля 2017г., во избежание штрафных санкций, информируем, что все организации Российской Федерации, вне зависимости от формы собственности и организационно-правовой формы, обязаны уведомить Федеральную службу по надзору в сфере связи, информационных технологий и коммуникаций (Роскомнадзор) об обработке персональных данных и разработать комплект документации по информационной безопасности.
На момент 27.09.2017г., если организация: «Общество с ограниченной ответственностью Частное охранное предприятие «__________________»» не зарегистрирована в реестре операторов персональных данных Роскомнадзора, а также не разработан комплект документов по защите персональных данных, ей грозят штрафные санкции в размере от 45 000 руб. до 300 000 руб., в зависимости от количества выявленных нарушений.
При отсутствии документов и внедренной системы защиты персональных данных сотрудников и клиентов, ваше предприятие не может законно продолжать свою деятельность.
Настоятельно рекомендуем не затягивать до штрафов при получении уведомления от Роскомнадзора в 2017 году, а принять участие в льготной федеральной программе, расположенной на интернет-сайте: 152-фз.россерт.рф, по разработке документации и внесению в единый реестр, предусматривающей субсидии до 50% представителям малого и среднего бизнеса.
В противном случае, во время ближайшей внеплановой проверки или получении заказного письма на юридический адрес от контролирующих органов (Роскомнадзор, Государственная Инспекция Труда) на предмет невыполнения вами пунктов 152-ФЗ, при отсутствии необходимой документации, и наличии деятельности, вашей организации будет вынесено предупреждение и наложен штраф в размере от 45 000 руб. до 300 000 руб с возможным приостановлением деятельности предприятия до 90 суток в соответствии c частями статьи 13.11 КоАП РФ, от 30.12.2001 N 195-ФЗ (ред. от 07.02.2017).
По вопросам разъяснения положений Федерального закона № 152-ФЗ «О персональных данных», и разработки документации, Вы всегда можете обратиться с консультацией в СДС «Россертификация» и дождаться звонка эксперта.