Обработка персональных данных работников. Уведомлять Роскомнадзор не нужно

Тематики: Трудовые отношения

Производственное предприятие со штатом сотрудников 15 человек (сотрудники подписывают соглашение об обработке их персональных данных при трудоустройстве). Нами получено письмо от Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по УрФО (Роскомнадзор) о том, что мы в Управление не предоставили уведомление об обработке персональных данных, и наша организация не зарегистрирована в Реестре, ссылаясь на ч. 1 ст. 22 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных».

В то же время в законе прописано, что оператор (юрлицо) вправе осуществлять обработку персональных данных без уведомления уполномоченного лица, если данные обрабатываются в соответствии с трудовым законодательством (ч. 2 ст. 22 Закона № 152-ФЗ).

Нужно ли нам предоставлять данные нашей организации (как оператора) в Роскомнадзор?

Вопросы персональных данных регулируются двумя законами: Трудовым кодексом РФ и Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных».

В соответствии с Законом № 152-ФЗ к персональным данным относится любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор – это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

По общему правилу, установленному ст. 22 Закона № 152-ФЗ, оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных.

При этом прямо указано, что данное требование не относится к случаям, предусмотренным п. 2 ст. 22 Закона № 152-ФЗ.

Согласно п. 2 ст. 22 Закона № 152-ФЗ оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных, в частности:

1) обрабатываемых в соответствии с трудовым законодательством;

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных.

Таким образом, организация-работодатель имеет право не уведомлять уполномоченный орган об осуществлении обработки персональных данных.

Обратите внимание на слово «вправе».

Это означает, что организация может и уведомить уполномоченный орган, но не обязана.

Видимо, поэтому Роскомнадзор и рассылает письма всем подряд.

А вдруг кто проникнется?

Поэтому во избежание разногласий с чиновниками Вам лучше отправить в уполномоченный орган письмо о том, что Вы обрабатываете персональные данные только работников в рамках трудовых отношений.

Если Вы заключаете также договоры гражданско-правового характера, то уведомлять уполномоченный орган также не нужно.

Это следует из п.п. 2 п. 2 ст. 22 Закона № 152-ФЗ.

И это подтверждает Верховный Суд РФ, который в постановлении от 05.08.2011 г. № 20-АД11-3 указал, что в случае заключения гражданско-правового договора обработку персональных данных можно осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных.