Обработка персональных данных работников организации: быть или не быть согласию?

Содержание:

• Размещение информации о работниках на сайте организации 
• Организация поездки для работников организации
• Обработка личной информации, не связанной с трудовой деятельностью

Размещение информации о работниках на сайте организации 

Вопрос: Требуется ли получение согласия на обработку персональных данных работников при размещении на сайте организации их фотографий вместе с фамилиями, именами и другой информацией? 

Ответ: Зависит от обстоятельств, которые необходимо оценить нанимателю.

Размещение на сайте организации фотографий работников с указанием их фамилий, имен, должности, квалификационных характеристик и прочими данными относится к распространению персональных данных. 

На практике нередко путают распространение персональных данных с их предоставлением. Сравнение двух понятий, закрепленных в ст. 1 Закона, приведено в таблице.

Справочно.
Распространение и предоставление являются действиями с персональными данными, которые относятся к обработке персональных данных.

Сравнение предоставления и распространения персональных данных

Распространение персональных данных (как и любое действие с персональными данными) без согласия субъекта персональных данных (работника организации) возможно только в случаях, предусмотренных законодательством. 

Распространение персональных данных без согласия может осуществляться:

1) для выполнения требований законодательства.

Так, например, на сайте государственного органа должны размещаться сведения о руководителе и его заместителях (должность, фамилия, собственное имя, отчество (при наличии), номер служебного телефона) в соответствии со ст. 22¹ Закона Республики Беларусь от 10.11.2008 № 455-З «Об информации, информатизации и защите информации»;

2) в процессе трудовой (служебной) деятельности субъекта персональных данных.

Согласно подп. 2.3 п. 2 Рекомендаций Национального центра защиты персональных данных Республики Беларусь об обработке персональных данных в связи с трудовой (служебной) деятельностью от 18.01.2022 (далее — Рекомендации НЦЗПД) размещение фотографии работника на сайте организации в рамках трудовых отношений может быть обусловлено потребностью рационально организовать труд работников, в должностные обязанности которых включено взаимодействие с внешним контуром организации (сотрудники HR-отдела, менеджеры по работе с клиентами и пр.). 

Справочно.
С Рекомендациями НЦЗПД можно ознакомиться по короткой ссылке bit.ly/3uTuXvW

Обращаем внимание, что правовым основанием обработки в приведенных случаях является абз. 8 ст. 6 или абз. 3 п. 2 ст. 8 Закона и получение согласия не требуется.

Таким образом, для того чтобы определить, нужно ли получать согласие работника на размещение информации о нем на сайте организации, наниматель в каждом конкретном случае самостоятельно оценивает:

• наличие применимых требований законодательства;
• степень публичности работника, которая требуется ему в силу порученных трудовых обязанностей.

Справочно.
В ситуации, когда получать согласие работника не требуется, при ознакомлении работника с поручаемой работой важно заранее проинформировать его о возможности размещения его фотографии на сайте организации в информационных целях в рамках трудовых отношений, что обусловлено абз. 8 ст. 6 Закона.
Информирование работника может быть осуществлено, например, путем его ознакомления с политикой организации в отношении обработки персональных данных, в которой четко указан перечень распространяемых персональных данных, цель такой обработки и правовое основание.

Организация поездки для работников организации

Вопрос: Требуется ли получение согласия на обработку персональных данных при сборе первичной профсоюзной организацией (далее — профсоюз) сведений о работниках организации в целях подготовки корпоративной поездки (бронирование гостиницы, транспорта и т.п.)?

Ответ: Да, требуется.

В такой ситуации основанием для обработки персональных данных может быть договор с субъектом персональных данных (абз. 15 ст. 6 Закона), или согласие работника — члена профсоюза (п. 3 ст. 4 Закона), или заявление такого работника — члена профсоюза (абз. 16 ст. 6 Закона).

Оператором признается юридическое лицо Республики Беларусь, самостоятельно или совместно с иными лицами организующее и (или) осуществляющее обработку персональных данных.

Справочно.
Оператор — государственный орган, юридическое лицо Республики Беларусь, иная организация, физическое лицо, в том числе индивидуальный предприниматель, самостоятельно или совместно с иными указанными лицами организующие и (или) осуществляющие обработку персональных данных (абз. 8 ст. 1 Закона).

Исходя из ст. 1 и 2 Закона Республики Беларусь от 22.04.1992 № 1605-XII «О профессиональных союзах» профсоюз — это добровольная общественная организация, объединяющая граждан для защиты трудовых, социально-экономических прав и интересов. При этом профсоюз и его организационные структуры в соответствии с законодательством и их уставами являются юридическими лицами.

Таким образом, профсоюз как юридическое лицо является самостоятельным (отдельным) оператором, который, как и все иные операторы, должен соблюдать требования Закона, в том числе получить согласие субъекта персональных данных (если случаи обработки без согласия не применимы) и предпринять меры по защите персональных данных, предусмотренные ст. 16 и 17 Закона.

Обработка личной информации, не связанной с трудовой деятельностью

Вопрос: Требуется ли получение согласия на обработку личной информации работника, не связанной с исполнением трудовых обязанностей?

Ответ: Да, требуется.

Согласно подп. 2.6 п. 2 Разъяснений НЦЗПД обработка персональных данных работника, не связанных с исполнением трудовых обязанностей, не может обосновываться трудовой (служебной) деятельностью, то есть обрабатываться без согласия работника на основании абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона. 

К личной информации работников относятся (за исключением случаев, когда предоставление нижеперечисленной информации связано с осуществлением трудовой (служебной) деятельности) в том числе:

• личный адрес электронной почты;
• аккаунты в социальных сетях;
• религиозные взгляды;
• участие в общественной деятельности;
• сведения о родственниках и др.

Таким образом, для обработки личной информации о работнике, не связанной с исполнением трудовых обязанностей, требуется получение согласия.

Справочно.
Согласие не всегда обязательно, если обработка не связана с трудовой (служебной) деятельностью. Необходимо рассмотреть возможность применения иных оснований обработки без согласия субъекта персональных данных, предусмотренных ст. 6 и 8 Закона.