Гайд кадровику: Как заполнить согласие на обработку персональных данных

С 2024 года российским работодателям предстоит столкнуться с существенными изменениями в сфере обработки персональных данных своих сотрудников.

В связи с введением тотального запрета на распространение персональных данных без явного письменного согласия подчиненных, законодатели обратили особое внимание на три ключевых момента.

В первую очередь, новый порядок требует, чтобы согласие на распространение персональных данных было оформлено в виде отдельного документа, соответствующего строгим требованиям к предметности, однозначности, информативности, сознательности и конкретизации.

После получения официального согласия, подлежат распространению только те сведения, которые разрешены физическим лицом в его письменном согласии.

Молчание сотрудника больше не рассматривается как согласие на распространение его персональной информации.

Нарушение законодательства в сфере обработки персональных данных подлежит различным видам ответственности, согласно ч. 1 ст. 24 № 152-ФЗ и статье 90 ТК РФ:

1. Административная ответственность;
2. Уголовная ответственность;
3. Дисциплинарная ответственность;
4. Материальная ответственность;
5. Гражданско-правовая ответственность.

Например, несанкционированная обработка персональных данных без предварительного письменного согласия субъекта, когда такое согласие обязательно, (за исключением случаев, предусмотренных статьей 17.13 КоАП), если эти действия не являются уголовно наказуемыми, обычно влечет наложение штрафа в размере:

• от 20 000 рублей до 40 000 рублей – для должностных лиц организации;
• от 30 000 рублей до 150 000 рублей – для самой организации.

В Федеральном законе № 152 подробно раскрывается понятие согласия на обработку персональных данных — это письменный документ, в котором человек соглашается на сбор и анализ своей личной информации.
Чаще всего запрос на предоставление личных данных поступает от работодателей, которые интересуются информацией о своих сотрудниках или кандидатах на вакансию.

Работодатели получают и обрабатывают информацию, предоставляемую при трудоустройстве (согласно статье 65 Трудового кодекса РФ), такую как:

• паспортные данные,
• трудовая книжка,
• СНИЛС,
• дипломы и другие образовательные документы,
• военный билет и документы воинского учета,
• справки и другие подтверждающие документы.

Для обработки всех этих данных работодатель должен сначала получить письменное согласие от сотрудника.

Согласие предоставляется на добровольной основе, и работник не может быть принужден к подписанию документов. Кроме того, сотрудник вправе отозвать предоставленное согласие.

Согласно общему правилу, перед началом обработки персональных данных оператор обязан уведомить Роскомнадзор о своем намерении проводить такую обработку.

Поскольку все работодатели являются операторами персональных данных, соответственно, они обязаны уведомить Роскомнадзор. Для этого необходимо заполнить уведомление и направить его через официальный сайт Роскомнадзора.

Уведомление Роскомнадзора о начале обработки персональных данных не требуется, если работодатель осуществляет обработку персональных данных исключительно без применения средств автоматизации.

Требования к согласию на обработку персональных данных, предоставляемому владельцем личной информации заключаются в ясности, информативности и обязательном оформлении в письменной форме.

Допускается использование электронной формы, при условии, что взаимодействие между владельцем и оператором происходит через интернет. В каждом случае оператор должен иметь возможность в любой момент подтвердить факт получения согласия.

Несмотря на то, что сам закон не предоставляет конкретной утвержденной формы для данного документа, предусмотрено наказание, если оператор начинает обработку данных без письменного разрешения субъекта персональных данных. Это разрешение должно быть получено в соответствии с законодательством РФ с соблюдением всех требований, установленных владельцем персональных данных.

Разрешение "оптом" или "по умолчанию" больше не допускается в любых ситуациях, поэтому рекомендуется немедленно предоставить заявление о согласии на все операции с персональными данными, чтобы избежать дальнейших проблем. Универсальный бланк отсутствует, и каждый оператор разрабатывает его самостоятельно.

Произвольная форма заявления не освобождает от выполнения ряда требований, установленных Федеральным законом № 152-ФЗ. В нем обязательно должны быть указаны:

• фамилия, имя и отчество лица, его адрес, полные реквизиты документа, удостоверяющего личность (аналогичные требования предъявляются и к представителям гражданина);
• наименование или ФИО и адрес оператора;
• цель получения личной информации;
• перечень данных, подлежащих обработке;
• данные организации или индивидуального предпринимателя, которым оператор поручил любые манипуляции с данными;
• перечень действий с информацией о человеке, на совершение которых он дал свое согласие, общее описание способов ее хранения и использования;
• срок действия согласия и способ его отзыва; личная подпись гражданина.

Обучение в сфере кадрового делопроизводства необходимо для составления согласия на обработку персональных данных сотрудника. В ЕВИДПО есть 32 курса по кадровому делопроизводству. После онлайн обучения вы сможете эффективно управлять трудовыми отношениями, минимизируя риски и соответствуя современным стандартам.

Субъект персональных данных имеет право отозвать свое согласие на обработку персональных данных.

Однако следует учитывать, что даже после отзыва согласия оператор вправе продолжить обработку персональных данных без согласия субъекта при наличии определенных оснований. Среди этих оснований включены:

1. Обработка, необходимая для достижения целей, предусмотренных международным договором РФ или законом, для выполнения функций, полномочий и обязанностей, возложенных законодательством РФ на оператора.
2. Обработка, связанная с участием лица в судебных процессах различного уровня, в том числе конституционных, гражданских, административных и уголовных.
3. Обработка данных для защиты жизни, здоровья или других важных интересов субъекта, когда получение согласия невозможно.
4. Обработка персональных данных, подлежащих обязательному раскрытию или опубликованию в соответствии с федеральным законом.