Сегодня я расскажу вам о том, когда нужно брать письменное согласие на обработку персональных данных и как это согласие должно выглядеть.
В ФЗ № 152 «О персональных данных» (далее – ФЗ № 152) четко обозначены 4 случая, в которых письменное согласие необходимо:
1) включение персональных данных в общедоступные источники, например, телефонные справочники или корпоративные социальные сети, что часто встречается на больших предприятиях (ст. 8 ФЗ № 152);
2) обработка специальных категорий персональных данных, например, данных о здоровье (п. 1 ч. 2 ст. 10 ФЗ №152) с исключениями (п. 2-10 ч. 2 ст. 10 ФЗ № 152);
3) обработка биометрических персональных данных (ч. 1 ст. 11 ФЗ № 152) с исключениями (ч. 2 ст. 11 ФЗ № 152);
4) передача персональных данных в страны, не обеспечивающие их адекватной защиты, т.е. страны, не входящие в этот и этот списки (п. 1 ч. 4 ст. 12 ФЗ № 152) с исключениями (п. 2-5 ч. 4 ст. 12 ФЗ № 152).
Операторами персональных данных являются абсолютно все работодатели, поэтому давайте посмотрим, что о наличии письменного согласия нам говорит Трудовой кодекс. А говорит он только про передачу персональных данных: если вы хотите передавать персональные данные работников третьим сторонам, то возьмите с них на это согласие в письменном виде (ст. 88 ТК РФ).
Например, при заключении работодателем договора с медицинской организацией на добровольное медицинское страхование работников нужно взять письменное согласие на передачу персональных данных работников страховщику. Ещё пример: передача персональных данных работников на аутсорсинг в компанию, оказывающую услуги по бухгалтерскому учету, тоже возможна только с письменного согласия работника.
Но такое правило действует не во всех случаях.
Если передача персональных данных работников предусмотрена трудовым или иным законодательством, то её можно осуществлять без письменного согласия.
Например, передача персональных данных работников в банк в рамках зарплатного проекта не требует письменного согласия работника, т.к. она предусмотрена Трудовым кодексом (ст. 136 ТК РФ). Единственным требованием является определение условий такой передачи коллективным договором (об этом чуть ниже).
Возникает вопрос о том, нужно ли брать письменное согласие на обработку персональных данных работников при устройстве на работу?
ТК РФ никак не регламентирует особенности хранения персональных данных работников и другие виды их обработки, а также необходимость письменного согласия на обработку.
Если четко следовать закону, то такого согласия не нужно. Основания два:
1) пп. 2 п. 1 ст. 6 ФЗ № 152 - обработка персональных данных работника работодателем необходима для достижения целей, предусмотренных ТК РФ, и для осуществления и выполнения возложенных ТК РФ на оператора, как работодателя, функций, полномочий и обязанностей;
2) пп. 5 п. 1 ФЗ № 152 - работник является стороной трудового договора с оператором.
При этом объем собираемых персональных данных не должен быть избыточным (можно собирать только то, что предусмотрено ст. 57 и 65 ТК РФ), а обработка не должна вестись в целях, выходящих за рамки ТК РФ.
Но в разъяснении Роскомнадзора по кадровым вопросам говорится о том, что согласие у работников брать не нужно только в том случае, если в организации действует коллективный договор, в котором прописаны все случаи обработки персональных данных, либо в организации приняты локальные нормативные акты по вопросам обработки персональных данных в порядке, установленном статьей 372 ТК РФ.
Т.е. заключенный трудовой договор между работником и работодателем не является основанием для обработки персональных данных работников без их письменного согласия.
Вывод можно сделать один: во избежание вопросов от проверяющих (если отсутствуют прописанные в коллективном договоре условия хранения, передачи и других операций с персональными данными) я советую брать письменное согласие у работников.
Отдельно стоит сказать про обработку данных о здоровье работников. Данные, относящиеся к вопросу о возможности выполнения работником своих трудовых обязанностей, могут обрабатываться работодателем без письменного согласия на основании п. 2.3 ч. 2 ст. 10 ФЗ № 152. Но с учетом того, что письменное согласие брать всё-таки рекомендуется, то в него стоит включить и информацию о специальных категориях обрабатываемых персональных данных.
Теперь посмотрим, как должно выглядеть письменное согласие на обработку персональных данных.
В соответствии с ч. 4 ст. 9 ФЗ № 152 письменное согласие должно включать в себя:
1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
4) цель обработки персональных данных;
5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
9) подпись субъекта персональных данных.
С 1 июля 2017 года вступают в силу поправки в КоАП РФ, устанавливающие новые штрафы 
за нарушение требований к обработке персональных данных. Максимальный штраф за отсутствие письменного согласия, а также за некорректно составленное письменное согласие составит 75 000 р.