Обработка персональных данных соискателей на трудоустройство, работников и их родственников

В целях определения единообразных подходов к обработке персональных данных 24 января 2022 г. были опубликованы рекомендации Национального центра защиты персональных данных Республики Беларусь по обработке персональных данных субъектов персональных данных в связи с трудовой деятельностью, где были разъяснены правила работы с персональными данными соискателей на трудоустройство, работников (как нынешних, так и бывших), а также родственников работников (далее — Рекомендации).

Основываясь на Рекомендациях, рассмотрим наиболее распространенные ситуации, связанные с обработкой персональных данных в связи с трудовой деятельностью, которые требуют разъяснений.

Обратите внимание.
Поскольку субъектами персональных данных выступают только физические лица, существует ошибочное мнение о том, что если деятельность организации не связана с обработкой персональных данных физических лиц, то на такую организацию требования Закона не распространяются. Однако важно помнить, что любая организация обрабатывает как минимум персональные данные своих работников, а работники, в свою очередь, являются субъектами персональных данных. Соответственно, требования Закона актуальны для всех организаций Республики Беларусь, однако объем применимых требований может отличаться в зависимости от объема и характера обработки персональных данных в организации.

Обработка персональных данных соискателей на трудоустройство

Закон не предусматривает специального основания для обработки персональных данных соискателей на трудоустройство — трудовые отношения на этапе подачи заявки или собеседования еще не возникают, требований законодательства, влекущих обработку персональных данных таких субъектов, также нет.

Основания обработки персональных данных соискателей на трудоустройство зависят от способа подачи информации, содержащей персональные данные, потенциальному нанимателю.

Способ 1: потенциальный наниматель получил резюме через форму, размещенную им в интернет-ресурсе.

Наниматели могут предоставить соискателям возможность подачи резюме на своих интернет-ресурсах, в том числе заполнить разработанную ими анкету. В данном случае субъект персональных данных может выразить согласие на обработку его персональных данных через проставление отметки на соответствующем интернет-ресурсе (например, галочки в чек-боксе под формой заявки). 

Обратите внимание.
Потенциальный наниматель не имеет права запрашивать у соискателя данные, которые не связаны с оценкой его соответствия требованиям вакансии (например, банковские данные), а цели обработки персональных данных соискателя должны быть ограничены оценкой соответствия соискателя требованиям вакансии.

При этом потенциальный наниматель обязан перед получением согласия субъекта персональных данных предоставить субъекту доступ к информации, предусмотренной п. 5 ст. 5 Закона. 

Справочно.
Согласно п. 5 ст. 5 Закона оператор должен до начала обработки предоставить субъекту персональных данных следующую информацию:
• наименование и место нахождения оператора;
• цели обработки персональных данных;
• перечень персональных данных, на обработку которых дается согласие субъектом персональных данных;
• срок, на который дается согласие субъекта персональных данных;
• информацию об уполномоченных лицах в случае, если обработка персональных данных будет осуществляться такими лицами;
• перечень действий с персональными данными, на совершение которых дается согласие субъекта персональных данных, общее описание используемых оператором способов обработки персональных данных;
• разъяснение прав субъекта персональных данных;
• механизм их реализации;
• последствия дачи и отказа в даче согласия.
Такая информация может быть предоставлена путем размещения в форме заявки уведомления, содержащего соответствующую информацию, либо гиперссылки на отдельный документ (к примеру, на согласие на обработку данных).

Способ 2: соискатель самостоятельно направил резюме потенциальному нанимателю. 

При направлении резюме порядок работы с ним зависит от используемого алгоритма его обработки.

Вариант 1: такая обработка не является предметом регулирования Закона, соответственно, потенциальный наниматель не обязан предпринимать дополнительные меры для обработки персональных данных, содержащихся в резюме.

Если потенциальный наниматель знакомится с полученным резюме без внесения соответствующей информации в картотеки, списки, базы данных, журналы и т.п., то такая обработка персональных данных согласно п. 1 ст. 2 Закона не является предметом регулирования Закона — в данном случае отсутствует систематизация персональных данных по определенным критериям. 

Вариант 2: обработка является предметом регулирования Закона и требует наличия правового основания.

Если полученные резюме группируются по определенным критериям или вносятся в информационный ресурс (систему), то эти действия подпадают под предмет регулирования Закона. 

Надлежащим правовым основанием для обработки персональных данных, содержащихся в резюме, может выступать согласие либо абз. 16 ст. 6 Закона (при обработке персональных данных, когда они указаны в документе, адресованном оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа). Последнее (абз. 16 ст. 6 Закона) применимо, если потенциальному нанимателю резюме было предоставлено в виде документа, подписанного соискателем. 

Если потенциальный наниматель получил резюме по электронной почте, он обязан предпринять меры по получению надлежащего согласия соискателя на обработку его персональных данных, которые содержатся в резюме. Так, потенциальный наниматель, получивший резюме по электронной почте, должен направить соискателю ответ на его письмо с указанием информации об обработке его персональных данных (п. 5 ст. 5 Закона), а также запросить у соискателя согласие на обработку его персональных данных в соответствии с предоставленной информацией. В соответствии с позицией, изложенной в Рекомендациях, в случае неполучения надлежащего согласия полученное резюме подлежит удалению. 

Обработка персональных данных работников 

Оформление трудовых отношений 

В рамках отношений между нанимателем и работником согласие на обработку персональных данных, как правило, не является надлежащим основанием, поскольку отношения между нанимателем и работником носят неравный характер. Так, в соответствии с абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона согласие субъекта персональных данных на обработку персональных данных, в том числе специальных персональных данных, не требуется при оформлении трудовых отношений в случаях, предусмотренных законодательством.

При этом особое внимание необходимо обратить на тот факт, что данное основание применимо, только если такая обработка прямо предусмотрена законодательством. 

ПРИМЕР
Статьей 26 ТК установлен перечень документов, которые наниматель обязан потребовать, а гражданин должен предъявить нанимателю при заключении трудового договора. В описанных выше, а также иных случаях, предусмотренных законодательством, не требуется получать согласие работника на обработку его персональных данных. Обработка осуществляется на основании абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона.

Процесс трудовой деятельности 

Законодательством предусмотрен ряд случаев, когда наниматель обязан осуществить обработку определенных законодательством персональных данных работников в процессе их трудовой деятельности в определенных целях. Для обработки таких персональных данных в определенных законодательством целях согласие работника также не требуется (обработка осуществляется на основании абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона).

В ряде случаев конкретные способы обработки персональных данных могут быть не предусмотрены в законодательстве, однако они вытекают из возложенных на нанимателя законодательством обязанностей. 

ПРИМЕР
Заключая трудовой договор, каждая из сторон (наниматель и работник) берет на себя ряд обязательств. В качестве одного из таких обязательств выступает обязанность нанимателя предоставлять работнику обусловленную трудовым договором работу. В свою очередь, работник обязуется выполнять работу по определенным одной или нескольким должностям служащих (профессий рабочих) соответствующей квалификации. Если трудовая функция работника предусматривает необходимость его внешнего взаимодействия (с клиентами, контрагентами в рамках подписанных между организациями договоров и т.п.) с указанием его персональных данных, то наниматель может предоставлять персональные данные такого работника организации, с которой наниматель взаимодействует.

ПРИМЕР
При организации труда работников на нанимателя также возлагаются обязанности рационально использовать труд работников (п. 1 ч. 1 ст. 55 ТК), создавать условия для полного и производительного использования рабочего времени работников (ч. 1 ст. 132 ТК). При реализации мер, направленных на исполнение таких обязанностей, наниматель может осуществлять обработку персональных данных работников (например, ведение телефонных справочников с указанием фамилии, собственного имени, отчества, должности, рабочего телефона, сайтов общего доступа работников, иных инструментов делового сотрудничества и обмена информацией между работниками, указание фамилии, собственного имени, отчества и должности на дверях кабинетов и т.п.).

В указанных выше случаях обработка персональных данных работников также может осуществляться без получения согласия работников — на основании абз. 8 ст. 6 Закона и абз. 3 п. 2 ст. 8 Закона (при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством).

Справочно.
В зарубежной практике есть прецеденты, когда признавалось нарушением прав субъекта персональных данных получение согласия работника на обработку персональных данных, поскольку таким образом наниматель создавал ложное впечатление, что он обрабатывает персональные данные на основании согласия, в то время как в действительности обработка осуществлялась на иных основаниях, о которых работник не был проинформирован (дело PRICEWATER-HOUSECOOPERS BUSINESS SOLUTIONS SA’ (PWC BS), 2019 год).

В ряде случаев взаимоотношения между нанимателем и работником не основаны непосредственно на исполнении трудовых обязанностей, например, участие работников в общественной жизни организации, спортивных, культурно-массовых мероприятиях, организация добровольного медицинского страхования, посещение бассейна и т.п.

В подобных случаях могут быть использованы в зависимости от конкретных обстоятельств иные основания для обработки персональных данных, в частности:

• согласие (ст. 5 Закона);

• получение персональных данных оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором (абз. 15 ст. 6 Закона);

• обработка персональных данных, когда они указаны в документе, адресованном оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа (абз. 16 ст. 6 Закона);

• обработка персональных данных, когда такая обработка является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами (абз. 20 ст. 6 и абз. 16 п. 2 ст. 8 Закона).

ПРИМЕР
Обработка личной информации работника, не связанной с исполнением трудовых обязанностей (ей могут являться личные адреса электронной почты, аккаунты в социальных сетях, религиозные взгляды, участие в общественной деятельности, сведения о родственниках, если их предоставление не предусмотрено законодательством, и т.п.), не может рассматриваться как обработка в процессе трудовой деятельности в соответствии с абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона, поскольку такая обработка не предусмотрена законодательством. 

Допустимо ли включать согласие на обработку персональных данных в трудовой договор? 

Нет, поскольку такое согласие является вынужденным (работник не может отказать в его предоставлении). Согласие необходимо оформлять в форме отдельного документа или в электронной форме. 

Обработка персональных данных родственников работников (членов семьи)

По общему правилу только сам субъект персональных данных (в частности, родственник работника (член семьи)) может распоряжаться своими персональными данными, в том числе предоставлять их третьим лицам. 

Исключения из этого правила могут быть предусмотрены законодательством. В частности, обработка персональных данных родственников работника (членов семьи) возможна без согласия последних в следующих случаях: 

— когда такая обработка предусмотрена законодательством о труде (например, при предоставлении социального отпуска при рождении ребенка и т.п.);

— при заполнении личного листка по учету кадров и составлении автобиографии для целей включения в личное дело работника;

— при заполнении личной карточки воинского учета и т.д.

В перечисленных выше случаях обработка персональных данных может осуществляться на основании абз. 20 ст. 6 и абз. 16 п. 2 ст. 8 Закона (в случаях, когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами).

Если обработка персональных данных близких родственников (членов семьи) работника законодательством не предусмотрена, то требуется иное правовое основание (например, согласие близкого родственника (члена семьи)).

Важно.
Независимо от основания обработки персональных данных соответствующая информация об обработке (перечень данных, цели, уполномоченные лица и т.д.) должна быть отражена в документах, определяющих политику оператора в отношении обработки персональных данных.