Обработка персональных данных при организации пропускного режима

Пропускной режим в организации осуществляется силами третьего лица. Работодатель взял согласие с работников на передачу персональных данных третьему лицу, однако потом работник отозвал данное согласие. Как быть в таком случае работодателю?

По общему правилу обработка персональных данных может осуществляться с согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ), а в отсутствие такого согласия - в случаях, предусмотренных пп. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ.

Роскомнадзор еще в 2012 г. разъяснял, что обработка персональных данных работника при осуществлении пропускного режима на территорию служебных зданий и помещений работодателя не требует согласия при условии, что организация пропускного режима осуществляется работодателем самостоятельно либо если указанная обработка соответствует порядку, предусмотренному коллективным договором, локальными актами работодателя, принятыми в соответствии со ст. 372 ТК РФ (п. 5 разъяснения Роскомнадзора от 14 декабря 2012 г. "Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве").

Если же пропускной режим осуществляется сторонней организацией, то обработка персональных данных работников будет осуществляться третьим лицом по поручению оператора. В ч. 3 ст. 6 Закона N 152-ФЗ указано, что оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта. Ответственность перед гражданином за действия обработчика несет оператор, а обработчик, в свою очередь, отвечает за собственное неправомерное поведение непосредственно перед оператором (чч. 2, 5 ст. 6 Закона N 152-ФЗ). Этот случай не подпадает под исключения и требует согласия на передачу персональных данных третьему лицу.

Если работник отказывается от передачи персональных данных, необходимо обеспечить его идентификацию иным способом. Например, работодатель может осуществлять его допуск самостоятельно, выдать работнику обезличенный пропуск или пропуск с каким-либо кодовым обозначением, по которому при необходимости идентифицировать данные гражданина сможет только работодатель, либо осуществлять пропуск работника наряду с иными посетителями организации, не являющимися работниками, по предъявленному паспорту. Истребование паспорта посетителя для идентификации его личности при оформлении пропуска не противоречит действующему законодательству, поскольку паспорт является основным документом, удостоверяющим личность гражданина РФ на российской территории (ч. 1 ст. 9 Федерального закона от 28 апреля 2023 г. N 138-ФЗ "О гражданстве Российской Федерации").

Рекомендуем также ознакомиться с материалами:

- Вопрос: Согласие на обработку персональных данных при организации пропускного режима (ответ службы Правового консалтинга ГАРАНТ, октябрь 2022 г.);

- Вопрос: Организация - оператор персональных данных (казенное учреждение). Имеет ли право охранник на входе в здание требовать у посетителей (не работников учреждения) предъявить документ, удостоверяющий личность (паспорт) и записывать данные (Ф.И.О., серию и номер паспорта) в журнал регистрации посетителей? Какими нормативными документами это регулируется и какие документы должны регулировать этот вопрос на уровне учреждения? (ответ Горячей линии ГАРАНТ, октябрь 2020 г.);

- Вопрос: Служба безопасности требует от любого посетителя, желающего пройти на территорию предприятия, паспорт для снятии копии и делает фотографию посетителя. Посетитель предъявляет удостоверение личности, но не согласен на фотографирование, снятие скана паспорта и не дает согласие на обработку персональных данных. Обязательно ли получение согласия на обработку персональных данных от посетителя в этом случае? Может ли предприятие отказать в доступе на территорию предприятия посетителям в случае, если посетитель согласие на обработку персональных данные не дает? (ответ службы Правового консалтинга ГАРАНТ, октябрь 2019 г.);

- Вопрос: Согласно постановлению Правительства РФ от 02.09.2019 N 1006 вход в общеобразовательное учреждение оборудован пропускной системой контроля управления доступом СКУД. Для прохода в школу первоклассникам были выданы электронные ключи. Родитель (законный представитель) одного из учащихся 1 класса категорически запретил вносить персональные данные (ФИО, фотографию) в базу СКУД, от использования ключа отказался. Каков порядок действий вахтовой службы по контролю прохода учащихся через СКУД, родители (законные представители) которых отказываются давать согласие на обработку персональных данных? (ответ Горячей линии ГАРАНТ, сентябрь 2023 г.).

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Казакова Елена

Ответ прошел контроль качества

25 июня 2024 г.

Материал подготовлен на основе индивидуальной устной консультации, оказанной в рамках услуги Советы экспертов. Проверки, налоги, право.