Регистрация оператора персональных данных в Роскомнадзоре по 152-ФЗ: документы, сроки и наши услуги.
Один и тот же закон 152-ФЗ распространяется и на данные сотрудников, и на данные клиентов, и на контакты представителей контрагентов. Но обрабатывать их одинаково нельзя: для каждой категории субъектов своё правовое основание, свой допустимый объём данных и свои сроки хранения. Главная практическая ошибка здесь не в технике, а в основании: компании по привычке берут согласие там, где оно по закону не нужно, и наоборот, обрабатывают данные без всякого основания там, где о субъекте даже не вспомнили. Разберём по категориям, что меняется и почему.
Сразу разведём две вещи, которые постоянно путают. Категория субъекта (сотрудник, клиент, контрагент, посетитель сайта) определяет правовое основание обработки. Категория данных (общие, специальные, биометрические) определяет режим защиты. Это две разные оси, и считать их одним и тем же — источник большинства ошибок.
Если коротко, главное удержать три мысли. Первая: согласие это лишь одно из оснований по статье 6 закона 152-ФЗ, а не обязательное для всех. Вторая: для сотрудников основанием служит трудовой договор и Трудовой кодекс, для клиентов — договор оказания услуг, поэтому согласие нужно реже, чем принято думать. Третья: данные представителей контрагентов это тоже персональные данные, и про них чаще всего забывают.
Сотрудники: основание даёт Трудовой кодекс
Данные работников это самая объёмная категория, и регулирует её сразу два закона: 152-ФЗ и глава 14 Трудового кодекса (статьи 86–88). Ключевой момент, который снимает много лишней бумаги: для обработки данных по трудовому договору согласие работника по общему правилу не требуется. Основанием выступает сам трудовой договор и обязанности работодателя, предусмотренные законом. Согласие нужно отдельно лишь тогда, когда данные обрабатываются для целей, не связанных с трудовой функцией, или когда их получают не у самого работника, а у третьей стороны.
Трудовой кодекс прямо ограничивает и объём: данные собирают только в установленных целях (соблюдение законов, содействие в работе и обучении, контроль выполнения работы, безопасность, сохранность имущества). Запрашивать у сотрудника лишнее «про запас» нельзя. Сведения о здоровье или иные специальные категории обрабатываются по особому, более строгому режиму.
На практике мы постоянно видим обратную крайность: работодатель берёт у сотрудника согласие на обработку вообще всех его данных, включая те, что и так обрабатываются по трудовому договору. Это не просто лишняя бумага. Согласие можно отозвать, и тогда возникает абсурдная ситуация: работник «отозвал» основание, без которого работодатель всё равно обязан вести кадровый учёт. Правильнее опираться на трудовой договор как основание, а согласие оставить только для действительно добровольных вещей вроде фото на сайте или ДМС.
Клиенты: основание даёт договор
Для данных клиентов основанием чаще всего служит исполнение договора, стороной которого является сам клиент. Это прямо предусмотрено пунктом 5 части 1 статьи 6 закона 152-ФЗ: если вы обрабатываете имя, телефон и адрес, чтобы выполнить заказ или оказать услугу, отдельное согласие на это не нужно. А всё, что договором не охвачено, требует согласия отдельно: рекламные рассылки, звонки с предложениями, передача данных партнёрам для маркетинга.
Поэтому на формах заявок важно разделять два действия: оформление заказа (основание — договор) и подписку на рассылку (основание — согласие). Смешивать их в один обязательный чекбокс нельзя, согласие на маркетинг должно быть отдельным и добровольным. Как корректно оформить такое согласие, мы разбирали в материале о согласии на обработку персональных данных.
Контрагенты: данные представителей тоже под защитой
Самая недооценённая категория. Когда вы заключаете договор с компанией, в нём фигурируют живые люди: подписант, контактное лицо, бухгалтер. Их фамилии, должности, телефоны и подписи это персональные данные, даже если человек выступает «от юридического лица». Основанием для их обработки обычно служит исполнение договора либо законный интерес оператора (пункт 6 части 1 статьи 6) при условии разумного баланса интересов.
На практике это означает: объём данных представителей держим минимальным (то, что нужно для договора и связи), не используем их для посторонних целей и учитываем эту категорию при подаче уведомления оператора. Именно про контрагентов чаще всего забывают, когда описывают, чьи данные обрабатывает компания.
Посетители сайта: основание даёт согласие
Для посетителей, которые оставляют данные через формы или чьи действия собирает веб-аналитика, базовое основание это согласие. Оно оформляется через явное действие на форме и через баннер cookie, а правила обработки раскрываются в политике. Здесь, в отличие от сотрудников и клиентов, договорного основания обычно нет, поэтому корректное согласие и доступная политика становятся обязательным минимумом.
Чтобы было видно картину целиком, сведём категории субъектов в одну матрицу: на каком основании обрабатываем и какой объём данных уместен.
| Категория субъекта | Правовое основание | Типичный объём | Когда нужно согласие |
|---|---|---|---|
| Сотрудники | трудовой договор, ТК РФ (ст. 86) | кадровый минимум по целям ТК | данные вне трудовой функции, получение у третьих лиц |
| Клиенты | исполнение договора (п. 5 ч. 1 ст. 6) | что нужно для заказа и связи | рассылки, маркетинг, передача партнёрам |
| Контрагенты (представители) | договор или законный интерес (п. 6) | минимум для договора и связи | использование вне договорных целей |
| Посетители сайта | согласие субъекта | что введено в форму, данные аналитики | почти всегда (формы, cookie, аналитика) |
Категории данных: вторая ось
Внутри любой категории субъектов данные различаются по чувствительности, и это уже другая ось, задающая режим защиты:
- Общие — имя, контакты, должность. Базовый режим.
- Специальные (статья 10) — здоровье, национальность, политические и религиозные взгляды, судимость. Обработка по общему правилу запрещена, кроме отдельных оснований.
- Биометрические (статья 11) — отпечатки, изображение лица для идентификации. По общему правилу нужно письменное согласие.
- Общедоступные — данные, которые субъект сам сделал доступными неограниченному кругу лиц.
Подробнее о самом строгом режиме мы писали в материале о специальных видах персональных данных. Важно не путать оси: «данные сотрудника» это категория субъекта, а «данные о здоровье сотрудника» это уже пересечение с специальной категорией, и режим для них строже.
Что общее для всех категорий
Независимо от категории субъекта, у оператора есть единый набор обязанностей: подать уведомление оператора в Роскомнадзор, оформить политику и внутренние документы, назначить ответственного, обеспечить защиту соразмерно уровню системы и соблюдать сроки хранения (данные удаляются, когда отпала цель обработки). Готовые формы под разные категории удобно брать из подборки образцов документов по ПДн.
Чаще всего на проверке всплывает не отсутствие защиты, а несоответствие основания. Компания берёт согласие у сотрудников, но не может объяснить основание обработки данных контрагентов; собирает у клиентов данные «впрок», которые не нужны для договора; обрабатывает специальные категории без письменного согласия. Поэтому полезно один раз составить простую матрицу: категория субъекта — какие данные — на каком основании — сколько храним. Этот документ закрывает большую часть вопросов проверяющего и заодно показывает, где вы собираете лишнее.
Вопросы и ответы
Короткие ответы на вопросы, которые чаще всего возникают при подготовке документов и подаче заявки.
Нужно ли брать согласие у сотрудника на обработку его данных?
Для данных в рамках трудовых отношений по общему правилу нет: основанием служит трудовой договор и Трудовой кодекс. Отдельное согласие нужно для целей вне трудовой функции (например, фото на сайт) или при получении данных у третьих лиц.
Чем категория субъекта отличается от категории данных?
Категория субъекта (сотрудник, клиент, контрагент) определяет правовое основание обработки. Категория данных (общие, специальные, биометрические) определяет режим защиты. Это две разные оси, и путать их не следует.
Являются ли данные представителя контрагента персональными?
Да. Фамилия, должность, телефон и подпись представителя это персональные данные, даже если он действует от юридического лица. Основание обработки — исполнение договора или законный интерес.
Нужно ли согласие клиента для выполнения заказа?
Нет, если данные обрабатываются для исполнения договора с этим клиентом (пункт 5 части 1 статьи 6 закона 152-ФЗ). Отдельное согласие требуется для рассылок и других целей помимо договора.
Можно ли хранить данные всех категорий бессрочно?
Нет. Данные хранятся, пока актуальна цель обработки, после чего подлежат удалению или обезличиванию. Сроки различаются по категориям и целям.
Как обрабатывать данные о здоровье сотрудника?
Это специальная категория (статья 10): режим строже, обработка допускается только по установленным основаниям и в минимально необходимом объёме, с повышенными мерами защиты.
Источники
- Статья 6 ФЗ №152-ФЗ (КонсультантПлюс) — условия и правовые основания обработки персональных данных.
- Статья 86 ТК РФ (КонсультантПлюс) — общие требования при обработке персональных данных работника.
- Статьи 10 и 11 ФЗ №152-ФЗ (КонсультантПлюс) — специальные категории и биометрические персональные данные (в тексте закона).
