Вопрос: Нужно ли уведомлять Роскомнадзор о том, что работодатель передает персональные данные работника организации (фамилию, имя, отчество и паспортные данные) контрагенту для оформления пропуска на работника для прохода на территорию контрагента?
Ответ: Если у работодателя имеется согласие (разрешение) на обработку и распространение персональных данных, в котором определены категории и перечень персональных данных, которые могут быть разглашены, и цель передачи (разглашения) этих данных, уведомлять Роскомнадзор о такой передаче (распространении) персональных данных не нужно.
Обоснование: В соответствии с ч. 1 ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных) оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных.
Согласно п. 4 ч. 2 ст. 22 Закона о персональных данных оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных, разрешенных субъектом персональных данных для распространения при условии соблюдения оператором запретов и условий, предусмотренных ст. 10.1 настоящего Федерального закона.
В ст. 10.1 Закона о персональных данных установлены следующие требования (ч. 1, 4, 5):
1) согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения;
2) в случае если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения;
3) в случае если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных не установил запреты и условия на обработку персональных данных, предусмотренные ч. 9 ст. 10.1 Закона о персональных данных, или если в предоставленном субъектом персональных данных таком согласии не указаны категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты в соответствии с ч. 9 настоящей статьи, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без передачи (распространения, предоставления, доступа) и возможности осуществления иных действий с персональными данными неограниченному кругу лиц.
Если для исполнения трудовой функции работник должен находиться на охраняемой территории контрагента работодателя и работодателем получено согласие на передачу его персональных данных третьему лицу, направлять уведомление в Роскомнадзор не нужно.
Следовательно, при наличии у работодателя согласия (разрешения) на обработку и распространение персональных данных, в котором определены категории и перечень персональных данных, которые могут быть разглашены, и цель передачи (разглашения) этих данных, уведомлять Роскомнадзор о такой передаче (распространении) персональных данных не нужно.
При этом в данном случае согласие на обработку персональных данных, которые разрешено распространять, следует оформить отдельно от других согласий на обработку персональных данных (ч. 1 ст. 10.1 Закона о персональных данных).
Н.В. Зуйкова
ЗАО "Сплайн-Центр"
01.06.2021
