Заказчики вносят в договор условие о предоставлении организацией-подрядчиком информации о ее сотрудниках.

Вопрос: Заказчики вносят в договор условие о предоставлении организацией-подрядчиком информации о ее сотрудниках (Ф.И.О., год рождения, гражданство, паспортные данные), которые будут работать на объектах строительства. Либо просто направляют запросы о предоставлении таких данных для допуска на объекты без указания правового основания. 1. Нарушают ли такие действия заказчика законодательство о персональных данных? 2. Если да, что должен сделать подрядчик?

Ответ: Подобные требования заказчика в договоре и при направлении запросов правомерны при соблюдении общих требований к обработке персональных данных. Согласие работников организации-подрядчика на обработку персональных данных при предоставлении информации о них заказчику не требуется.

Обоснование: 1. Предоставление организацией-подрядчиком информации о персональных данных своих работников заказчику для целей заключения и исполнения договора, предусматривающего их допуск и работу на объектах заказчика, осуществляется без согласия работника в рамках осуществления трудовой деятельности (абз. 8 ст. 6 Закона о персональных данных). Это происходит без согласия работника, т.к. в противном случае, если зависеть от получения его согласия, организация-подрядчик не сможет выполнить обязательства в соответствии с договором, а работник сможет выбирать, выполнять ему свои трудовые обязанности на объекте заказчика или отказаться от этого.

2. При определении объема информации о работнике, которая может быть затребована заказчиком и предоставлена ему организацией-подрядчиком для допуска на объекты заказчика и выполнения работ, необходимо руководствоваться общими требованиями к обработке персональных данных, предусмотренными ст. 4 Закона о персональных данных, в том числе: – обработка персональных данных должна быть соразмерна заявленным целям их обработки и обеспечивать на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц (п. 2); – обработка персональных данных должна ограничиваться достижением конкретных, заранее заявленных законных целей (п. 4); – содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям их обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки (п. 5). С учетом этих положений необходимо оценить, допустимо ли организации-подрядчику, кроме указания должности и Ф.И.О. работника, сообщать заказчику информацию о годе рождения, гражданстве и паспортные данные работника. Требование и предоставление всей указанной информации может быть расценено как избыточная обработка персональных данных, если не будет разумного обоснования конкретной и законной цели обработки сведений о годе рождения, гражданстве работника и его паспортных данных. Предоставление паспортных данных работника может понадобиться только для обеспечения допуска на охраняемые объекты, где существуют пропускная система и внутриобъектовый режим, в случаях, предусмотренных НПА.

3. Для обеспечения прозрачного характера обработки персональных данных (п. 6 ст. 4 Закона о персональных данных) и систематизации обработки эту цель – предоставление заказчику персональных данных работников подрядчика для допуска на объекты заказчика и выполнения работ необходимо отразить в Политике обработки персональных данных работников (Политике обработки в процессе трудовой деятельности), с которой должны быть ознакомлены работники (абз. 2 п. 3 ст. 17 Закона о персональных данных), и Реестре обработки персональных данных. Для этой конкретной и законной цели определить в указанных документах: – в каком объеме будет предоставляться заказчику информация о работнике; – на каких правовых основаниях это будет осуществляться (без согласия работника как субъекта персональных данных в силу абз. 8 ст. 6 Закона о персональных данных); – срок хранения и иной обработки персональных данных (на период трудовых отношений). При определении правовых оснований обработки персональных данных без согласия работника необходимо указать не только абз. 8 ст. 6 Закона о персональных данных, но и нормативный правовой акт (его структурный элемент), который предусматривает предоставление такой информации заказчику для указанной цели.