Вопрос: В организации сменился директор, который, согласно внутренним документам, является лицом, ответственным за обработку персональных данных. Нужно ли при смене директора от работников, у которых в согласии указан старый директор, получать новое согласие с Ф.И.О. нового ответственного?
Ответ: При смене директора от работников, у которых в согласии указан старый директор, следует получать новое согласие на обработку персональных данных с Ф.И.О. нового ответственного.
Обоснование: Статья 86 Трудового кодекса РФ определяет общие требования при обработке персональных данных работника и гарантии их защиты. В частности, к ним относится защита персональных данных работника от неправомерного их использования или утраты, которая должна быть обеспечена работодателем за счет его средств в порядке, установленном ТК РФ и иными федеральными законами.
Согласно ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ):
1) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Согласно ст. 6 Закона N 152-ФЗ обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных данным Законом N 152-ФЗ. Обработка персональных данных допускается в случае согласия субъекта персональных данных на обработку его персональных данных.
Статьей 9 Закона N 152-ФЗ определено, что субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
Частью 4 ст. 9 Закона N 152-ФЗ определено, что в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности, наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу.
В соответствии с п. 5 Разъяснений Роскомнадзора "Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве" согласие работника может быть оформлено как в виде отдельного документа, так и закреплено в тексте трудового договора и отвечать требованиям, предъявляемым к содержанию согласия, согласно ч. 4 ст. 9 Закона N 152-ФЗ.
В связи с изложенным, если в согласии, как указано выше п. 6 ч. 4 ст. 9 Закона N 152-ФЗ, указаны фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, обработка будет поручена такому лицу. Поскольку в организации сменился директор, который, согласно внутренним документам, является лицом, ответственным за обработку персональных данных, в случае его увольнения, по нашему мнению, необходимо: во-первых, назначить лицо, осуществляющее обработку персональных данных, а во-вторых, получить согласие работников на обработку их персональных данных вновь назначенным работодателем лицом с внесением его необходимых данных в согласие работников.
В.Д. Пучеглазов
Советник государственной
гражданской службы РФ
1 класса
Федеральная служба
по труду и занятости
27.06.2017
