Вопрос: Персональные данные работников стороны гражданско-правового договора при его исполнении (ответ службы Правового консалтинга ГАРАНТ, сентябрь 2022 г.)

Между сторонами заключен договор, при исполнении которого сотрудники обеих организаций подписывают первичные документы (акты, счета, накладные и т.п.). Достаточно ли в договор включить условие о том, что противоположная сторона получила все необходимые согласия от своих сотрудников и несет за это ответственность? Или никаких условий в договор включать не нужно?

По данному вопросу мы придерживаемся следующей позиции:

Наличие в договоре условие о том, что контрагент гарантирует согласие своих работников на обработку их персональных данных, является достаточным для соблюдения требования Закона N 152-ФЗ об обработке персональных данных.

Обоснование позиции:

Любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу, является персональными данными (далее также - ПД, смотрите п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ). Соответственно, ее обработка, в том числе сбор, запись, копирование, хранение, использование и т.п., должны осуществляться в соответствии с правилами, установленными Законом N 152-ФЗ. По общему правилу ч. 1 ст. 6 Закона N 152-ФЗ обработка персональных данных допускается с согласия субъекта ПД на обработку его ПД. Исчерпывающий перечень случаев - исключений из этого правила определен в пп. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ.

Так, в соответствии с п. 5 ч. 1 ст. 6 Закона N 152-ФЗ допускается обработка ПД, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПД, а также для заключения договора по инициативе субъекта ПД или договора, по которому субъект ПД будет являться выгодоприобретателем или поручителем. Однако юридическое лицо представляет собой известную юридическую фикцию и действует в гражданском обороте через своих работников. В свою очередь, обработка при заключении и исполнении договора ПД работников юридического лица без их согласия не названа в соответствующем перечне случаев пп. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ.

В связи с этим отметим следующее. Работодателю предоставлено право обрабатывать персональные данные работника исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получения образования и продвижения по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества (п. 1 ст. 86 ТК РФ). Работники и их представители должны быть ознакомлены под подпись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области (п. 8 ст. 86 ТК РФ). Порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований Трудового кодекса РФ и иных федеральных законов (ст. 87 ТК РФ). Из положений ст. 88 ТК РФ следует, что при передаче персональных данных работника на работодателя возлагается обязанность не сообщать ПД работника третьей стороне без его письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами. Аналогичное требование закреплено в ст. 7 Закона N 152-ФЗ.

Передача работодателем сведений о своих сотрудниках контрагенту в рамках реализации договора означает сообщение ПД работников третьей стороне, что требует, как следует из приведенных норм, письменного согласия работника. Поскольку работодатель обязан соблюдать предусмотренные ст. 88 ТК РФ правила передачи ПД, именно он и должен получить такое согласие. Необходимость соблюдения данного условия не зависит от того, будет ли оно включено в договор между юридическими лицами, и в каком виде. При этом в ч. 3 ст. 9 Закона N 152-ФЗ прямо указано, что обязанность по предоставлению доказательств получения согласия субъекта ПД на их обработку возлагается законом на оператора (в данном случае на соответствующего работодателя). На организацию-контрагента в такой ситуации распространяются требования ч. 3 ст. 18 Закона N 152-ФЗ, согласно которым если ПД получены не от субъекта ПД, оператор до начала обработки таких персональных данных обязан предоставить субъекту ПД информацию, указанную в приведенной норме. Исключения из этого правила установлены в ч. 4 ст. 18 Закона N 152-ФЗ. Так, оператор освобождается от указанной обязанности, если субъект ПД уведомлен об осуществлении обработки его персональных данных соответствующим оператором.

Из буквального содержания приведенных норм следует, что оператор ПД, получая конфиденциальную информацию о гражданине от третьего лица, должен быть уверен, что этому гражданину - работнику другого оператора должно быть известно, для каких целей и в каких пределах осуществляется такая передача. Заметим, что законодатель не конкретизирует, каким образом надлежит подтверждать исполнение данной обязанности оператору, который передает персональные данные своих работников. Очевидно, это отнесено на усмотрение сторон договора. На наш взгляд, в таких ситуациях можно предусмотреть в типовых формах документов строку, в которой либо сам передающий оператор гарантирует соблюдение им требований ст. 18 Закона N 152-ФЗ, либо субъект персональных данных расписывается собственноручно, подтверждая, что ему известны цели обработки его персональных данных другим оператором. После получения таких сведений, как мы полагаем, сторона договора может обрабатывать персональные данные работников организации-контрагента, разумеется, исключительно в целях исполнения договора со своим контрагентом.

Таким образом, наличие в договоре условие о том, что контрагент гарантирует согласие своих работников на обработку ПД, является достаточным для соблюдения требования Закона N 152-ФЗ об обработке персональных данных.

Ответ подготовил:

Эксперт службы Правового консалтинга ГАРАНТ

Чашина Татьяна

Ответ прошел контроль качества

20 сентября 2022 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг. Для получения подробной информации об услуге обратитесь к обслуживающему Вас менеджеру.