При передаче персональных данных работника работодатель должен соблюдать следующие требования:
не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами ;
не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном настоящим Кодексом и иными федеральными законами ;
осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись ;
разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;
не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
передавать персональные данные работника представителям работников в порядке, установленном настоящим Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций .
Комментарий к статье 88 ТК РФ
Комментируемая статья устанавливает в императивной форме требования к работодателям, которые они должны соблюдать при передаче персональных данных работника.
Прежде всего работодатель при передаче персональных данных работника не должен сообщать эти данные третьей стороне без письменного согласия работника (за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, и в других случаях, установленных федеральным законом), а также не должен сообщать их в коммерческих целях без согласия работника.
Все эти и другие требования, закрепленные в ст. 88 ТК и регламентирующие порядок передачи персональных данных работника, имеют очень важное значение для их защиты в соответствии с действующим законодательством.
Трудовой кодекс не предусматривает возможности беспрепятственного получения работодателем информации о работнике от третьих лиц. Закон делает особый акцент на том, что персональные данные работника следует получать только у него самого.
Другой комментарий к статье 88 ТК РФ
1. Передача персональных данных работника третьей стороне без письменного согласия работника не допускается, кроме необходимости предупреждения угрозы жизни и здоровью работника и в иных предусмотренных законом случаях.
Общее правило состоит в необходимости получения согласия на передачу персональных данных работников другим лицам. Исключения из этого правила предусмотрены рядом федеральных законов.
Кодекс практики МОТ предусматривает, что передача персональных данных без согласия работника возможна в случаях, когда их обработка:
- необходима для предотвращения серьезной и неотвратимой угрозы жизни и здоровью;
- санкционирована по закону;
- необходима для осуществления трудовых отношений;
- требуется для исполнения уголовного закона.
Роскомнадзор в качестве таких исключений назвала ситуации, предусмотренные ст.ст.17, 19 ФЗ "О профсоюзах" (разъяснения Роскомнадзора от 14 декабря 2012 года).
К таким "иным случаям" относится требование ст.370 ТК РФ: профсоюзные инспекторы труда, уполномоченные (доверенные) лица по охране труда профессиональных союзов имеют право получать информацию о состоянии условий и охраны труда, а также обо всех несчастных случаях на производстве и профессиональных заболеваниях.
Право на обработку информации о состоянии здоровья работника без его согласия допускается п.п.2 и 7 ч.4 ст.13 ФЗ "Об основах охраны здоровья граждан в РФ", но только при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений или в целях расследования несчастного случая на производстве и профессионального заболевания.
Например, суд кассационной инстанции признал незаконным требование предоставить профсоюзу список работников, которые по результатам медицинского осмотра не могут выполнять работу, так как предоставление сведений о состоянии здоровья работника возможно только с его письменного согласия (см. определение Свердловского областного суда от 9 ноября 2006 года по делу N 33-7868/2006).
Не требует согласия работника передача его персональных данных в рамках осуществления обязанностей работодателя по социальному страхованию (ст.22 ТК РФ). Работодатель обязан предоставлять сведения о работниках в Фонд социального страхования РФ, Пенсионный фонд РФ, налоговые органы, военные комиссариаты.
По мотивированному запросу органов прокуратуры, правоохранительных органов, органов безопасности в соответствии с действующими нормативными правовыми актами им могут быть предоставлены персональные данные без согласия работников.
Согласно Федеральному закону от 26 декабря 2008 года N 294-ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" при проведении документарной проверки в течение десяти рабочих дней со дня получения мотивированного запроса юридическое лицо, индивидуальный предприниматель обязаны направить в орган государственного контроля (надзора), орган муниципального контроля указанные в запросе документы. Такие документы также могут содержать персональные данные работников.
В соответствии со ст.357 ТК РФ государственные инспекторы труда имеют право запрашивать у работодателей и безвозмездно получать от них документы, объяснения, информацию, необходимые для выполнения надзорных и контрольных функций.
В ТК РФ и в ФЗ "О персональных данных" отсутствуют специально установленные требования к содержанию письменного согласия работника на передачу его персональных данных третьим лицам. Однако, принимая во внимание тот факт, что действия по передаче персональных данных включаются в понятие "обработка персональных данных", работодателю следует указать в согласии на передачу персональных данных сведения, которые обозначены в ч.4 ст.9 ФЗ "О персональных данных" (согласие на обработку персональных данных). Дополнительно следует указать, кому передаются персональные данные, а также основания их передачи.
2. Сообщение персональных данных работника в коммерческих целях, по общему правилу, не допускается. Исключение составляет наличие письменного согласия работника на сообщение персональных данных другим лицам в коммерческих целях.
Коммерческие цели сообщения персональных данных работника могут быть связаны с продвижением товаров, работ, услуг на рынке, политической агитацией. Статья 15 ФЗ "О персональных данных" также требует получения согласия на обработку персональных данных в обозначенных целях. Обязанность доказать наличие согласия работника возложена на оператора (работодателя в рассматриваемом случае). В трудовых отношениях именно работодатель обязан доказать наличие согласия работника на обработку персональных данных в коммерческих целях.
По требованию работника обработка его персональных данных в коммерческих целях должна быть немедленно прекращена.
3. Лица, получающие персональные данные работников, обязаны обеспечивать конфиденциальность или секретность полученных сведений.
Персональные данные классифицируются на общедоступные и необщедоступные персональные данные.
В составе необщедоступных персональных данных могут быть выделены сведения, составляющие охраняемую законом тайну (государственную, служебную, профессиональную) и другую конфиденциальную информацию. К режимам конфиденциальности следует отнести режимы коммерческой, служебной, и профессиональной тайны, а также личной или семейной тайны. Иными словами, режим конфиденциальности устанавливается в отношении любых не общедоступных персональных данных, не составляющих государственной тайны. В отношении персональных данных, составляющих государственную тайну, устанавливается режим секретности в соответствии с Законом РФ "О государственной тайне".
Персональные данные могут попадать под режим профессиональной тайны. В состав последней могут быть отнесены сведения, составляющие личную и семейную тайны.
Личную тайну составляет тайна творчества и общения, тайна семейных и интимных взаимоотношений, тайна жилища, дневников, личных бумаг, тайна почтово-телеграфной корреспонденции и телефонных переговоров.
________________
Петрухин И.Л. Личные тайны (человек и власть). М., 1998. С.15.
Семейная тайна - это сведения, которые касаются семьи и скрываются от посторонних, в том числе тайна усыновления, отцовства, наследственного заболевания. Различия между личной и семейной тайной усматриваются в одном: если личная тайна касается непосредственно интересов лишь конкретного индивидуума, то семейная тайна затрагивает интересы нескольких лиц, находящихся друг с другом в отношениях, регулируемых СК РФ. В трудовых отношениях в силу ст.257 ТК РФ конфидентами тайны усыновления могут стать работники отдела кадров, бухгалтерии, руководитель организации, ее структурных подразделений и прочие работники. В соответствии с постановлением Правительства РФ от 11 октября 2001 года N 719 "Об утверждении Порядка предоставления отпусков работникам, усыновившим ребенка" работник, усыновивший ребенка, для получения отпуска должен предоставить по месту работы документ, подтверждающий право на получение такого отпуска (решение суда об усыновлении или свидетельство о рождении детей).
________________
Мазуров В.А. Тайна: государственная, коммерческая, банковская, частной жизни. Уголовно-правовая защита: Учебное пособие / под ред. С.В.Землюкова. М.: "Дашков и Ко", 2003. С.14.
Обязанность не раскрывать третьим лицам и не распространять персональные данные предусмотрена в ст.7 ФЗ "О персональных данных". Несмотря на это, на работодателя возлагается дополнительная обязанность по уведомлению всех лиц, которым он передает персональные данные работников, о необходимости обеспечения в их отношении режима конфиденциальности или секретности.
Работодатель не должен уведомлять о необходимости сохранения конфиденциальности или секретности полученных персональных данных в случаях, когда осуществляется обмен персональными данными в силу требований федеральных законов, в том числе ТК РФ.
На наш взгляд, соблюдение такой обязанности не требуется в тех случаях, когда не требуется согласия работника на их передачу. Обязанность обеспечивать конфиденциальность персональных данных, полученных при осуществлении своих должностных обязанностей, предусмотрена, например, ст.17 ФЗ "Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования", ст.47 ФЗ "Об обязательном медицинском страховании в РФ" и т.д.
4. Комментируемый закон требует от работодателя осуществлять передачу персональных данных работников только внутри его организации. То же самое касается работодателя - индивидуального предпринимателя. В случае передачи персональных данных другим лицам следует руководствоваться требованиями, изложенными в других положениях комментируемой статьи.
Порядок передачи персональных данных у работодателя должен быть регламентирован ЛНА. Специальных требований к порядку принятия и содержания такого ЛНА комментируемый закон не предусматривает. Поэтому возможно единоличное принятие ЛНА, регламентирующего внутреннюю передачу персональных данных. В силу п.10 ст.86 ТК РФ для реализации требования о совместном принятии мер по защите персональных данных работодателем с представителями работников в коллективном договоре или другом ЛНА может быть закреплено принятие данного локального акта с учетом мнения представительного органа работников или по согласованию с ним (см. комментарий к ст.8).
В ЛНА о передаче персональных данных у работодателя следует определить круг лиц, которым могут быть переданы персональные данные работников, их обязанности по соблюдению конфиденциальности, порядок осуществления внутреннего контроля за передачей персональных данных и обеспечения их сохранности. Также в нем может быть определен порядок конфиденциального делопроизводства в организации и решены другие вопросы, связанные с обработкой и защитой персональных данных.
В постановлении Правительства от 1 ноября 2012 года N 1119 отдельно выделены информационные системы, обрабатывающие только персональные данные работников (сотрудников) оператора (работодателя). В связи с внесением в комментируемый закон гл.49.1 внимание следует уделить передаче персональных данных работников посредством электронно-коммуникационных сетей, в том числе сети Интернет.
С ЛНА, регламентирующим передачу персональных данных у данного работодателя, все работники должны быть ознакомлены под роспись. Способ фиксации ознакомления может быть различным: в отдельном журнале ознакомления, в листе ознакомления и т.д. До ознакомления работника с таким локальным актом он не является обязательным для исполнения данным работником.
5. Работодатель должен обеспечить доступ к персональным данным только тем лицам, которым такие сведения необходимы для выполнения их трудовых обязанностей или иных функций, возложенных на них в силу закона или договора.
Для реализации данного требования необходимо вести строгий учет лиц, получающих доступ к персональным данным работников. В этих целях следует утвердить перечень лиц, получающих такой доступ. Постановление Правительства РФ от 1 ноября 2012 года N 1119 обязывает утвердить перечень лиц, получающих доступ к персональным данным, обрабатываемых в информационных системах персональных данных всех уровней защищенности.
Доступ к персональным данным работников необходим для исполнения трудовых обязанностей руководителя организации и структурных подразделений, секретаря, работников отдела кадров, службы управления персоналом, бухгалтерии и т.д. В случае осуществления пропускного режима доступ к персональным данным получают работники службы безопасности. Поэтому указанные лица должны быть включены в перечень работников, получающих доступ к персональным данным.
Если работник получит доступ к персональным данным другого работника, не связанный с его трудовой функцией, и разгласит такие персональные данные, привлечение его к ответственности по пп."в" п.6 ч.1 ст.81 ТК РФ не представляется возможным (см. комментарий к ст.90).
На работодателя возложена обязанность осуществлять контроль за тем, чтобы работники получили доступ только в отношении части персональных данных, необходимой для осуществления их трудовых обязанностей. Поэтому в перечне могут быть указаны те сведения, к которым получают доступ работники и другие лица.
В случае получения доступа к персональным данным по случайности или по ошибке работодателю следует принять меры для защиты таких сведений (предупредить о необходимости сохранения конфиденциальности и об ответственности за разглашение, заключить соглашение о неразглашении, включить соответствующие условия в трудовой договор и т.д.).
Лицо, ответственное за обработку персональных данных, также получает доступ к персональным данным других работников. В случае назначения такого ответственного лица в его трудовые обязанности в соответствии со ст.22.1 ФЗ "О персональных данных" включаются следующие:
- обязанность осуществлять внутренний контроль за соблюдением требований нормативных правовых актов о защите персональных данных;
- обязанность доводить до сведения работников положения законодательства о персональных данных;
- обязанность организовывать и вести обработку обращений и запросов субъектов персональных данных и их представителей и осуществлять контроль за их приемом и обработкой.
Дополнительно на такое лицо могут быть возложены и другие обязанности, в том числе связанные с передачей персональных данных.
6. В трудовых отношениях для работодателя интерес представляют данные о состоянии здоровья работника, которые относятся к частной жизни и специальным категориям персональных данных.
Комментируемый закон запрещает работодателю запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником своей трудовой функции. На практике работодатель может обосновать свое требование о предоставлении работником сведений о состоянии здоровья возможностью или невозможностью выполнять работу по обусловленной трудовой функции.
В связи с необходимостью защиты жизни и здоровья работника, а также других лиц работник должен проходить обязательные предварительные, периодические и внеочередные медицинские осмотры по нормам ст.ст.69 и 213 ТК РФ. Согласие на прохождение таких медицинских осмотров выражается в самом факте поступления на работу, выполнение которой требует прохождения предварительных и периодических медицинских осмотров.
Однако рассматривать данный случай как возможность получения работодателем (потенциальным работодателем) сведений о состоянии здоровья работника не представляется возможным. При прохождении медицинского обследования работодателю не должна быть предоставлена информация о конкретных заболеваниях работника. При их прохождении решается вопрос только о возможности выполнения работы или наличии противопоказаний для ее выполнения. Предоставление работодателю сведений о заболеваниях работника и медицинских противопоказаниях для выполнения работы является нарушением требования законодательства о сохранении врачебной тайны и запрета на получение и обработку специальных категорий персональных данных. Отсюда следует, что прохождение обязательных и периодических медицинских осмотров можно рассматривать только как обязанность предоставить сведения об отсутствии (или наличии) противопоказаний для допуска к работе.
При оформлении листков нетрудоспособности конфиденциальность диагноза обеспечивается следующими нормами:
- в строке "причина нетрудоспособности" указывается двузначный код;
- в некоторых медицинских организациях (психиатрических, наркологических организациях, центрах по профилактике и борьбе со СПИДом и инфекционными заболеваниями и др.) могут быть использованы специальные печати или штампы без указания профиля организации (приказ Минздравсоцразвития РФ от 29 июня 2011 года N 624н "Об утверждении Порядка выдачи листков нетрудоспособности").
Защите персональных данных медицинского характера посвящены п.п.6.7, 10.8, 10.9 Кодекса практики МОТ о защите персональных данных.
В ст.241 ТК РФ предусмотрена обязанность работника немедленно сообщить работодателю об ухудшении состояния своего здоровья, в том числе проявлении признаков острого профессионального заболевания (отравления). В связи с этим многие работодатели закрепляют в своих локальных актах обязанность работника известить о невыходе на работу по состоянию здоровья.
Например, Г. обратилась в суд с иском к ОАО в части отмены дисциплинарного взыскания - замечания за нарушение должностной инструкции инженера-технолога цеха дезактивации и Правил внутреннего распорядка работников, выразившееся в неизвещении непосредственного руководителя о причинах отсутствия на рабочем месте по причине болезни. Суд не нашел оснований для удовлетворения исковых требований и полагает, что требование правил внутреннего трудового распорядка не нарушает индивидуальные права работника, поскольку обеспечивает реализацию контрольной функции работодателя за соблюдением работником трудовой дисциплины и исполнения трудового договора (см. решение Удомельского городского суда Тверской области от 11 февраля 2011 года по делу N 2-12/2011).
В силу ст.10 ФЗ "О персональных данных" согласия на обработку специальных категорий персональных данных работника, в том числе о состоянии его здоровья, не требуется, так как обработка этих сведений осуществляется в силу трудового законодательства. Однако согласно п.4 ст.86 ТК РФ для обработки персональных данных о частной жизни требуется письменное согласие работника. Сведения о состоянии здоровья относятся к частной жизни работника. Во-первых, ТК РФ (ст.5) объявил свой приоритет перед другими нормативными правовыми актами, содержащими нормы трудового права; во-вторых, по отношению к обработке персональных данных работников ТК РФ является специальным актом, а ФЗ "О персональных данных" общим, то есть руководствоваться следует ТК РФ.
Представляется возможным выделить следующие условия, при которых в трудовых отношениях допускается обработка персональных данных о состоянии здоровья работника:
- сведения обрабатываются в соответствии с трудовым законодательством (пп.2.3 п.2 ст.10 ФЗ "О персональных данных");
- сведения относятся к вопросу о возможности выполнения трудовой функции и осуществления прав и гарантий работников;
- работник дал согласие в письменной форме на обработку информации о состоянии здоровья (п.4 ст.86 ТК РФ);
- обработка данных сведений необходима работодателю для защиты жизни и здоровья работника и защиты жизненно важных интересов других лиц, а получение согласия субъекта невозможно (пп.3 п.2 ст.10 ФЗ "О персональных данных").
Для защиты интересов работников указанные условия должны быть предусмотрены в ТК РФ как условия обработки работодателем всех специальных категорий персональных данных работников.
Вместе с этим в трудовых отношениях должны быть предусмотрены случаи, когда обработка специальных категорий персональных данных возможна без такого согласия. Относительно обработки информации о состоянии здоровья к таковым следует отнести следующие:
- прохождение обязательных предварительных, периодических и внеочередных медицинских осмотров и психиатрических освидетельствований;
- необходимость перевода и прекращения трудового договора по медицинскому заключению, а также при отстранении работника от работы;
- получение увечья или профессионального заболевания, при несчастном случае на производстве;
- необходимость получения информации о периодах временной нетрудоспособности (для выплаты пособия по временной нетрудоспособности).
В иных случаях обработка персональных данных о состоянии здоровья работника и членов его семьи, а также других специальных категорий персональных данных допускается только с согласия (или по заявлению) работника в целях предоставления гарантий и льгот, предусмотренных действующим законодательством.
На практике часто возникает необходимость получения работодателем информации об инвалидности работника или для подтверждения его больничного листа. Например, ФГУ ДЭП N 246 обратилось в суд с иском к ФГУ "Главное бюро медико-социальной экспертизы по Магаданской области" об обязании предоставления сведений об инвалидности работника предприятия. В. длительное время болела, вследствие чего ей был предоставлен листок нетрудоспособности, по которому В. является инвалидом 2 группы. В. отказалась предоставить администрации предприятия соответствующие документы, определяющие возможность выполнения ею трудовых функций. Суд первой инстанции пришел к выводу о том, что требования истца удовлетворению не подлежат: гражданин, признанный инвалидом, самостоятельно решает, предоставлять работодателю разработанную для него индивидуальную программу реабилитации или не предоставлять. Соответствующую информацию работодателю следует запрашивать у такого гражданина. Судебная коллегия оставила кассационную жалобу без удовлетворения (см. определение Магаданского областного суда от 1 сентября 2009 года).
К сведениям деликатного характера следует отнести информацию о наличии у работника ВИЧ-инфекции или СПИДа. В соответствии со ст.17 Федерального закона от 30 марта 1995 года N 38-ФЗ "О предупреждении распространения в Российской Федерации заболевания, вызываемого вирусом иммунодефицита человека (ВИЧ-инфекции)" не допускаются увольнение с работы, отказ в приеме на работу, а также ограничение иных прав и законных интересов ВИЧ-инфицированных на основании наличия ВИЧ-инфекции. Необходимо также учитывать Рекомендацию МОТ N 200 "О ВИЧ/СПИДе и сфере труда" (2010 год). Также МОТ разработано Руководство по предупреждению стигмы и дискриминации в трудовых отношениях в связи с ВИЧ/СПИД (2010 года), которое рекомендует информировать работников по вопросам ВИЧ/СПИДа.
Законодательство США также запрещает дискриминацию больных СПИДом. В США многие фирмы проводят программы ознакомления работников с проблемой СПИДа, освещая такие темы, как передача опасных инфекционных заболеваний, беспокойство о предохранительных мерах и стимулирование общества на борьбу с болезнью. Проведение таких обучающих мероприятий создает комфортный моральный климат в коллективе и защиту прав работников с ВИЧ-статусом.
________________
Десслер Г. Управление персоналом. М.: БИНОМ. Лаборатория знаний, 2004. С.283.
Принудительное направление работников на соответствующее исследование и придание огласке соответствующих сведений недопустимо. Ограничения при приеме на работу лиц с ВИЧ-статусом устанавливаются в нормативном порядке, в частности, в постановлении Правительства РФ от 4 сентября 1995 года N 877 "Об утверждении Перечня работников отдельных профессий, производств, предприятий, учреждений и организаций, которые проходят обязательное медицинское освидетельствование для выявления ВИЧ-инфекции при проведении обязательных предварительных при поступлении на работу и периодических медицинских осмотров". Поэтому работник вправе предоставлять данные сведения по своему усмотрению и только в случаях, когда они необходимы в связи с трудовыми отношениями.
Приведем пример из зарубежной практики. В 2009 году в Сиэтле у Р.Вайклифа при приеме на работу была выявлена ВИЧ-инфекция. Компания-работодатель обязалась за свой счет выплачивать ему ежемесячное пособие на дорогостоящее лечение, чтобы сохранить здоровье ценного сотрудника. В 2007 году при очередном обследовании Р.Вайклиф получил отрицательный результат анализа на ВИЧ, впоследствии повторно подтвержденный. Однако он не счел нужным уведомить об этом работодателя и продолжал еще больше года получать деньги на лечение. Когда же был выявлен факт сокрытия работником информации о состоянии своего здоровья, работодатель обратился в суд с требованием определить действия своего работника и указать ответственность за них.
________________
Офман Е.М., Станскова У.М. Сокрытие информации работником как одна из форм злоупотребления правом: опыт зарубежных стран и российское законодательство // Российский ежегодник трудового права. 2009. N 5. С.366.
7. Комментируемый закон обязывает работодателя передавать персональные данные работника представителям работников в порядке, установленном ТК РФ и иными федеральными законами. Однако предусмотренный в ТК РФ порядок передачи персональных данных требует согласия работника (абз.2 ст.88). Дополнительно к этому ч.3 ст.18 ФЗ "О персональных данных" обязывает оператора сообщить субъекту определенную информацию, если его персональные данные были получены не от субъекта.
В практике ВС РФ имеется следующее дело. Профсоюзная организация обратились к директору филиала с запросом информации о привлечении работников предприятия к работе сверхурочно и в выходные дни. Был получен отказ. Суд первой и кассационной инстанции отказал в удовлетворении исковых требований профсоюзной организации со ссылкой на ст.88 ТК РФ (см. определение судебной коллегии по гражданским делам Приморского края от 29 августа 2011 года по делу N 33-8150).
Судебная коллегия по гражданским делам ВС РФ отменила вынесенные по делу решения. ВС РФ указал, что из содержания норм ст.ст.40, 41, 51 ТК РФ и ФЗ "О профсоюзах" следует, что сведения о заработной плате, времени труда и отдыха относятся к вопросам, регулируемым коллективным договором. В данном случае первичная профсоюзная организация, запросив у работодателя информацию и ЛНА, действовала в целях исполнения условий коллективного договора. Судебная коллегия признала ошибочным вывод суда о том, что запрашиваемая информация, касающаяся работников, не являющихся членами профсоюза, могла быть предоставлена только с их согласия. Поскольку указанная информация связана с защитой коллективных прав и интересов членов трудового коллектива филиала, то в силу коллективного договора работники данного предприятия, как являющиеся членами профессионального союза, так и не являющиеся таковыми, в лице первичной профсоюзной организации являются стороной указанного договора, в связи с чем их согласия не требовалось (Обзор практики ВС РФ за третий квартал 2012 года, утвержден Президиумом ВС РФ 26 декабря 2012 года).
В прежней редакции п.1 ч.2 ст.6 ФЗ "О персональных данных" допускалась обработка персональных данных без согласия субъекта на основании федерального закона, устанавливающего цель, условия получения, круг субъектов персональных данных и определяющего полномочия оператора. Данная норма была расценена в литературе как исключение из общих правил обработки персональных данных с согласия работника, применимое к ситуациям предоставления работодателем персональных данных профсоюзу, такое же мнение высказал и Роскомнадзор в ответе на запрос Центрального комитета Профессионального союза работников здравоохранения РФ от 27 июня 2011 года.
________________
Герасимова Е.С. О соотношении норм о защите персональных данных работников и права профсоюзов на получение информации для осуществления контроля за соблюдением законодательства о труде // Трудовое право в России и за рубежом. 2010. N 2. С.11.
Правовой департамент Федерации Независимых Профсоюзов России посчитал, что так как сведения о системе оплаты труда включаются в коллективные договоры, то в силу абз.7 ст.37, ст.ст.41, 46, 370, 135 и 22 ТК РФ нельзя признать обоснованным отказ в предоставлении документов о заработной плате работников без их согласия, ссылаясь на ограничения по распространению персональных данных. В противном случае такое правило делало бы невозможным исполнение профсоюзами возложенных на них функций по защите трудовых прав. Однако в новой редакции пп.1 п.1 ст.6 ФЗ "О персональных данных" закреплено, что обработка персональных данных должна осуществляться с согласия их субъекта, а в п.п.2-11 обозначены случаи обработки персональных данных без указания на получение согласия. В силу ч.3 ст.9 этого закона обязанность доказать наличие согласия или наличие оснований, указанных в п.п.2-11 ч.1 ст.6, лежит на операторе-работодателе. В то же время ч.4 ст.9 ФЗ "О персональных данных" предусматривает, что в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия субъекта в письменной форме. Именно таким случаем и является норма абз.2 ст.88 ТК РФ. Поэтому передача персональных данных третьей стороне предполагает письменное согласие работника.
________________
О коммерческой тайне и персональных данных работника. Информация Правового департамента Аппарата Федерации Независимых Профсоюзов России. http://sovprof.pskov.ru/cats.html?id=510.
Кодекс практики МОТ ограничивает передачу персональных данных представителям работников только теми персональными данными, которые необходимы для выполнения конкретных функций представителей.
ТК РФ ограничивает персональные данные теми, которые необходимы для осуществления функций представителей работников (профсоюзные органы и иные представители). Получение представителями работников информации необходимо для:
- ведения коллективных переговоров для заключения коллективного договора или соглашения;
- участия работников в управлении организацией;
- осуществления контроля за соблюдением трудового законодательства и иных нормативных правовых актов, содержащих нормы трудового права, коллективного договора, соглашения;
- представительства и защиты прав и интересов работников.
В некоторых случаях профсоюзам для осуществления их функций может потребоваться получение персональных данных работников, не являющихся членами профсоюза. Приведем пример из судебной практики. Профсоюзная организация "Метро Кеш энд Керри" г.Екатеринбург требовала предоставления персональных данных работников - не членов профсоюза. Суд отказал в удовлетворении иска, так как не было предоставлено доказательств отказа предоставления таких сведений. Судебная коллегия указала, что в положениях ст.17 ФЗ "О профсоюзах" не определено, какую конкретно информацию профсоюзы правомочны получать и касательно какой категории работников (члены/не члены). Согласно ст.11 данного закона в области коллективных прав и интересов профсоюзы представляют и защищают права и интересы работников независимо от членства в профсоюзах в случае наделения их полномочиями на представительство в установленном порядке (см. определение Московского городского суда от 25 мая 2011 года по делу N 4г/4-4082).
В другом примере профсоюз обжаловал отказ работодателя предоставить Правила внутреннего трудового распорядка, Положение об оплате труда, Положение о проведении аттестации персонала, штатное расписание, должностные инструкции, карты аттестации рабочих мест по всем должностям согласно штатному расписанию. Суд первой инстанции отказал в удовлетворении исковых требований, так как штатное расписание и должностные инструкции не являются нормативными правовыми актами и содержат персональные данные работников, поэтому не могут быть предоставлены без их письменного согласия. Судебная коллегия с этим не согласилась, так как передача указанной информации должна осуществляться в соответствии с ограничениями, предусмотренными ст.88 ТК РФ в целях осуществления контроля за соблюдением трудового законодательства (см. определение Свердловского областного суда от 13 сентября 2012 года по делу N 33-11534/2012).
На практике отказ работодателя предоставить соответствующую информацию со ссылкой на законодательство о персональных данных, как правило, связан с желанием работодателя скрыть определенные обстоятельства, имеющие значение для решения вопроса о нарушении прав работников (например, наличие дискриминации).
Статья 370 ТК РФ носит общий характер и закрепляет возможность осуществления профессиональными союзами контроля за соблюдением работодателем норм трудового права. Поэтому законодательством должно быть предусмотрено право на получение информации о других работниках - не членах профсоюза, но только для реализации целей своей деятельности и с условием об обеспечении конфиденциальности.
9. Трансграничная передача персональных данных понимается как передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
В трудовых отношениях необходимость трансграничной передачи может возникнуть в различных случаях: организация-работодатель является иностранным юридическим лицом; при направлении работника на стажировку, обучение, в командировку за пределы Российской Федерации и т.д. ТК РФ не содержит требований относительно данного вида передачи персональных данных.
ФЗ "О персональных данных" допускает возможность ограничения трансграничной передачи персональных данных в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства.
В остальных случаях вопрос о трансграничной передаче персональных данных решается, исходя из следующих требований:
- государство, получающее персональные данные, является стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных;
- государство, получающее персональные данные, не является стороной данной Конвенции, но обеспечивает адекватную защиту персональным данным.
В письме Министерства связи и массовых коммуникаций РФ от 13 мая 2009 года N ДС-П11-2502 предусмотрено, что одним из критериев оценки государства в аспекте наличия адекватной защиты персональных данных может выступать факт ратификации им названной Конвенции.
Приказом Роскомнадзора от 15 марта 2013 года N 274 утвержден Перечень иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных. Данный Перечень должен актуализироваться не реже одного раза в год.
В связи с этим работодатель при передаче персональных данных своих работников на территорию иностранного государства должен убедиться в том, входит ли данное государство в названный перечень, и предоставляет ли оно адекватную защиту персональных данных.
Если государство, на территорию которого передаются персональные данные работников, не обеспечивает им адекватную защиту, необходимо получить письменное согласие работника на передачу его персональных данных на территорию этого государства. Передача персональных данных в такие государства возможна также в случаях, предусмотренных международными договорами России, федеральными законами в целях обеспечения безопасности государства и его обороны, обеспечения безопасности устойчивого и безопасного функционирования транспортного комплекса и в иных случаях, определенных федеральными законами.
В первоначальной редакции ФЗ "О персональных данных" предусматривалась возможность передачи персональных данных на территорию государства, не обеспечивающего адекватной защиты персональных данных, для исполнения договора, стороной которого является субъект персональных данных (например, трудового договора). Однако письменного согласия не требовалось. В новой редакции такого варианта поведения нет, поэтому получение письменного согласия необходимо.
В свете требований комментируемой статьи в случае трансграничной передачи персональных данных третьим лицам на территории иностранного государства также необходимо получение письменного согласия.