Заключен договор поставки между двумя юридическими лицами. В договоре стороны указали контактные данные работников обеих организаций, которые являются исполнителями по данному договору: Ф.И.О., номер мобильного телефона и адрес электронной почты. Нужно ли оформлять отдельное согласие на распространение персональных данных третьим лицам между работником и организацией в целях соблюдения норм Федерального закона N 152 "О персональных данных"?

Любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу, является персональными данными (п. 1 ст. 3 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных", далее - Закон N 152-ФЗ). Контактные данные работников (Ф.И.О., должность) в совокупности с номером телефона и адресом электронной почты подпадают под определение персональных данных, а потому обработка подобной информации, в том числе сбор, запись, копирование, хранение, использование и т.п., должны осуществляться в соответствии с правилами, установленными Законом N 152-ФЗ. По общему правилу, сформулированному в п. 1 ч. 1 ст. 6 Закона N 152-ФЗ, обработка персональных данных допускается с согласия субъекта на такую обработку. Исчерпывающий перечень случаев - исключений из этого правила определен в пп. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ.

Так, в соответствии с п. 5 ч. 1 ст. 6 Закона N 152-ФЗ допускается обработка персональных данных, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Однако работник организации в рассматриваемом случае не является ни стороной договора, ни выгодоприобретателем, ни поручителем. Он действует в интересах юридического лица, являющегося для него работодателем, которое представляет собой известную юридическую фикцию и может участвовать в гражданском обороте через своих работников. При этом обработка при заключении и исполнении договора персональных данных работников юридического лица без их согласия не поименована в соответствующем перечне случаев пп. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ.

В связи с этим отметим, что работодателю предоставлено право обрабатывать персональные данные работника исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получения образования и продвижения по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества (п. 1 ст. 86 ТК РФ).

В п. 8 ст. 86 ТК РФ указано, что работники и их представители должны быть ознакомлены под подпись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области. Порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований Трудового кодекса РФ и иных федеральных законов (ст. 87 ТК РФ).

Из положений ст. 88 ТК РФ следует, что при передаче персональных данных работника на работодателя возлагается обязанность не сообщать персональные данные работника третьей стороне без его письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами. Аналогичное требование закреплено в ст. 7 Закона N 152-ФЗ.

Передача работодателем сведений о своих сотрудниках контрагенту в рамках реализации договора не является распространением персональных данных*(1) в контексте Закона N 152-ФЗ, а означает сообщение персональных данных работников третьей стороне, что требует, как следует из приведенных норм, письменного согласия работника. Поскольку работодатель обязан соблюдать предусмотренные ст. 88 ТК РФ правила передачи персональных данных, именно он и должен получить такое согласие. Полагаем, что необходимость соблюдения контрагентом данного условия не зависит от того, будет оно прописано в договоре между юридическими лицами или нет. При этом в ч. 3 ст. 9 Закона N 152-ФЗ прямо указано, что обязанность по предоставлению доказательств получения согласия субъекта персональных данных на их обработку возлагается законом на оператора (в данном случае на работодателя работников, чьи персональные данные переданы третьей стороне)*(2).

На организацию-контрагента в такой ситуации распространяются предписания ч. 3 ст. 18 Закона N 152-ФЗ, согласно которым если персональные данные получены не от субъекта персональных данных, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных информацию, указанную в приведенной норме. Исключения из этого правила установлены в ч. 4 ст. 18 Закона N 152-ФЗ. Так, оператор освобождается от указанной обязанности, если субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим оператором.

Исходя из буквального содержания приведенных норм, можно заключить, что оператор персональных данных, получая конфиденциальную информацию о гражданине от третьего лица, должен быть уверен, что этому гражданину - работнику другого оператора должно быть известно, для каких целей и в каких пределах осуществляется такая передача. Заметим, что законодатель не конкретизирует, каким образом надлежит подтверждать исполнение данной обязанности оператору, который передает персональные данные своих работников. Очевидно, это отнесено на усмотрение контрагентов. На наш взгляд, в таких ситуациях можно предусмотреть в типовых формах документов строку, в которой либо сам передающий оператор гарантирует соблюдение им требований ст. 18 Закона N 152-ФЗ, либо субъект персональных данных расписывается собственноручно, подтверждая, что ему известны цели обработки его персональных данных другим оператором. После получения таких сведений, как мы полагаем, организация может обрабатывать персональные данные работников организации-контрагента, но исключительно в целях исполнения договора со своим контрагентом. 

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Амирова Лариса 

Ответ прошел контроль качества 

10 мая 2023 г. 

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.  

-------------------------------------------------------------------------

*(1) Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц (п. 5 ст. 3 Закона N 152-ФЗ).

*(2) Вопрос: Требуется ли получение Банком согласия от представителя юридического лица на обработку его персональных данных, содержащихся в доверенностях, выданных клиентом - юридическим лицом своему представителю и предоставляемых представителем в Банк для подтверждения своих полномочий действовать от имени юридического лица - клиента Банка? Если требуется, то является ли факт предоставления доверенным лицом доверенности достаточным подтверждением наличия его согласия на обработку ПД, содержащихся в доверенности? (ответ Управления Роскомнадзора по Ивановской области, июнь 2017 г.)