Нужно ли брать согласие на обработку персональных данных при заключении договора подряда

Обновлено: 19.05.2024


Согласно пп.3 ст.3 ФЗ "О персональных данных", передача является одним из способов обработки персональных данных. Согласно ст.86 ТК РФ, "обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества". Но данная норма не даёт ответа, как и на каких основаниях допускается обработка персональных данных работника в целях выполнения трудовых обязанностей. Более того, закрытый перечень целей обработки персональных данных работников бескомпромиссно запрещает их обработку в иных целях.


Но есть и хорошая новость. ФЗ "О персональных данных" жестко не регламентирует определение, наименование и классификацию целей обработки, и каждый оператор вправе самостоятельно определять актуальные для него цели. Вероятно, передачу персональных данных контрагентам в рамках исполнения трудовых обязанностей можно отнести к цели "контроля количества и качества выполняемой работы". Обезличенная коммуникация может и не содержать персональных данных, а без персональных идентификаторов работодатель не сможет проверить количество и качество работы, поскольку не сможет отнести имеющиеся сведения к субъекту персональных данных.

Также перед работодателями встают вопросы о правовых основаниях передачи персональных данных работника, и, в частности, о том, достаточно ли наличия в должностной инструкции обязанности по коммуникации с третьими лицами. Ст.88 ТК РФ запрещает сообщать персональные данные работника третьей стороне без письменного согласия работника за редкими исключениями, к которым не относится выполнение трудовых обязанностей. Также данная норма запрещает сообщать персональные данные работника в коммерческих целях без его письменного согласия, но, по всей видимости, эта норма подразумевает запрет извлечения выгоды из самого факта передачи персональных данных, а не запрет передачи контактных данных для заключения коммерческих сделок.

И другое важное ограничение, которое часто бывает незаслуженно забыто - обязанность предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Уведомление потенциального или действующего контрагента о необходимости использования персональных данных в целях, в которых они сообщены, не вызывает вопросов. Но требование подтверждения соблюдения этого правила сформулировано не как право, а как обязанность работодателя. При этом закон н е содержит требований к форме и содержанию такого подтверждения, оставляя выбор за работодателем.

Учитывая, что ст.88 ТК РФ требует получения письменного согласия работника на передачу его персональных данных третьему лицу, необходимо определить форму и содержание такого согласия. Для этого необходимо обратиться к ч.4 ст.9 ФЗ "О персональных данных", которая требует в том числе указывать в согласии лиц, которым будет поручена обработка персональных данных. Если считать, что каждый потенциальный или действующий контрагент, с которым коммуницирует работник, обрабатывает персональные данные в рамках поручения оператора, то это повлечёт необходимость подписания с каждым контрагентом поручения на обработку персональных данных и получения нового согласия при контакте с каждым новым контрагентом, что очевидно будет дополнительным препятствием к заключению сделки.


Теоретически, контрагент может обрабатывать персональные данные работников оператора вне рамок поручения, действуя как самостоятельный оператор. В таком случае контрагент должен определить правовое основание обработки из перечня в ст.6 ФЗ "О персональных данных". Это может быть и простое (не письменное) согласие, получение которого можно реализовать на практике, в том числе с помощью электронной почты. Также с определённой опаской основанием такой обработки может служить законный интерес оператора. Обработка в целях заключения или исполнения договора в данном случае не может считаться законным основанием, поскольку работник оператора не является стороной договора между контрагентом и оператором.

Поскольку передача персональных данных работника потенциальному или действующему контрагенту может иметь место как при использовании поручения на обработку, так и без него, вопрос о письменном согласии работника на передачу данных третьему лицу остаётся открытым. Ч.4 ст.9 ФЗ "О персональных данных" не требует указывать в согласии перечень получателей персональных данных, если они не обрабатывают данные по поручению оператора. Следуя такой трактовке закона, оператор может освободить себя от бремени получения согласия для передачи персональных данных каждому новому получателю в рамках одной цели, однако отношении контролирующих органов к такой точке зрения является непредсказуемым .

В качестве решения обозначенных выше проблем операторы могут использовать обезличивание персональных данных работников при их передаче контрагентам. В частности, работники могут использовать вымышленные имена или другие идентификаторы, которые не позволят установить относимость персональных данных к конкретному субъекту, и тем самым контрагент получит минимально необходимый набор данных, что очевидно будет способствовать защите интересов субъектов персональных данных. Для многих типов сделок такой подход является допустимым, поскольку при заключении договора с юридическим лицом имя конкретного исполнителя имеет глубоко вторичное значение, в отличие от предмета сделки.

Читайте также: