Иконка поиска
Логотип Все адвокаты
Вопрос
Защита персональных данных

Какой документ подписать с арендодателем для передачи персональных данных сотрудников службе охраны бизнес-центра

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Заключите с арендодателем договор-поручение на обработку ПД по ч. 3 ст. 6 ФЗ-152.
  2. 2
    Укажите в поручении перечень ПД, действий, цели, конфиденциальность и требования ст. 19 ФЗ-152.
  3. 3
    Если охрана — отдельное ЧОП, подпишите поручение напрямую с ним либо возложите обязанность на арендодателя.
  4. 4
    Проверьте согласия работников: укажите в них арендодателя как обработчика и перечень действий.
  5. 5
    Сократите состав данных до необходимого для пропуска; телефон и копию паспорта обоснуйте целью.
  6. 6
    Закрепите в поручении уничтожение ПД не позднее 30 дней после достижения цели обработки.

Документы и доказательства

  • Письменные согласия работников на передачу ПД третьей стороне (ст. 88 ТК РФ, ч. 1 ст. 9 ФЗ-152).
  • Поручение оператора на обработку ПД с арендодателем (ч. 3 ст. 6 ФЗ-152).
  • В согласиях работников: наименование обработчика — арендодателя/службы охраны (п. 6 ч. 4 ст. 9 ФЗ-152).
  • Договор аренды и документы о службе охраны (своё подразделение арендодателя или отдельное ЧОП).
  • Локальные акты оператора: политика обработки ПД, приказ о назначении ответственного (ст. 18.1 ФЗ-152).

  • Сроки и риски

    • Поручение на обработку ПД оформите договором с арендодателем по ч. 3 ст. 6 ФЗ-152, не отдельным согласием или NDA.
    • В поручении укажите перечень ПД, действий, цели, конфиденциальность, меры защиты по ст. 19 и отчётность перед вами.
    • Проверьте согласия работников: в них должны быть названы обработчик и перечень действий (п. 6, 8 ч. 4 ст. 9 ФЗ-152).
    • Исключите избыточные данные: телефон и копия паспорта допустимы только при обоснованной цели (ч. 5 ст. 5 ФЗ-152).
    • По достижении цели обработки прекратите обработку и уничтожьте ПД не позднее 30 дней (ч. 4 ст. 21 ФЗ-152).
    • Риск: обработка вне закона или несовместимая с целями — административная ответственность по ч. 1 ст. 13.11 КоАП РФ.

  • Чего не делать

    • Не ограничивайтесь одним соглашением о конфиденциальности — оно не заменяет поручение на обработку.
    • Если охрана является подразделением арендодателя: Не оформляйте поручение только со службой охраны, если она подразделение арендодателя — подписывайте с арендодателем.
    • Не передавайте телефон и копии паспортов, если они избыточны для цели пропускного режима.
    • Не оставляйте согласия работников без указания конкретного обработчика и перечня действий.
    • Не перекладывайте на охрану получение согласий работников — это ваша обязанность как оператора.
    • Не допускайте обработку данных охраной в её собственных целях без оформления её самостоятельным оператором.

  • Когда нужен адвокат

    • Нужен адвокат, если арендодатель отказывается подписывать поручение на обработку ПД по ч. 3 ст. 6 ФЗ-152.
    • Обратитесь к адвокату, если охрана настаивает на избыточных данных (копии паспортов) без обоснования цели — риск по ч. 5 ст. 5 ФЗ-152.
    • Привлекайте адвоката, если в согласиях работников не указан конкретный обработчик — нужна корректировка по п. 6 ч. 4 ст. 9 ФЗ-152.
    • Нужен адвокат при споре о статусе охраны: самостоятельный оператор или обработчик по поручению — от этого зависит конструкция договора.
    • Обратитесь к адвокату при угрозе штрафа по ст. 13.11 КоАП РФ или жалобе работника в Роскомнадзор.
    • Если охрана является отдельным ЧОП: Привлекайте адвоката, если охрана — отдельное ЧОП и нужно распределить ответственность между арендодателем и подрядчиком.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Развёрнутый ответ Нейроадвоката

Работодатель, являясь оператором персональных данных своих работников, передаёт третьему лицу — арендодателю бизнес-центра (либо действующей по его поручению службе охраны) — персональные данные сотрудников: ФИО, телефон, место работы, копии паспортов и фотографии. Цель передачи — организация пропускного режима и доступа в арендуемое помещение. С работников получены письменные согласия на такую передачу. Юридически значимо, что передача осуществляется не в рамках трудовых отношений «работник — работодатель», а в пользу третьего лица, которое фактически будет осуществлять обработку персональных данных. Из этого следует, что отношения между работодателем и арендодателем подлежат оформлению по конструкции поручения оператора (ч. 3 ст. 6 ФЗ-152), а не простым соглашением о конфиденциальности.

Затронутые правоотношения:

  • Трудовые правоотношения между работодателем и работниками — затронуты, поскольку работодатель передаёт персональные данные работников третьему лицу, что по ст. 88 ТК РФ допускается только с письменного согласия работника. Это определяет первичное правовое основание передачи и обязывает работодателя предупредить получателя данных о целевом использовании.

  • Отношения по обработке персональных данных между работодателем (оператором) и арендодателем (обработчиком) — затронуты, поскольку арендодатель фактически осуществляет обработку персональных данных в целях, определяемых работодателем. Это влечёт необходимость заключения поручения оператора по ч. 3 ст. 6 ФЗ-152 с обязательным перечнем условий.

  • Отношения конфиденциальности между работодателем, арендодателем и третьими лицами — затронуты, поскольку лица, получившие доступ к персональным данным, обязаны соблюдать режим конфиденциальности в силу ст. 7 ФЗ-152 и ст. 88 ТК РФ. Это означает, что обязанность конфиденциальности возникает из закона и должна быть закреплена в поручении, а не оформляться отдельным самодостаточным соглашением.

  • Гражданско-правовые отношения между работодателем и арендодателем по договору аренды — затронуты, поскольку передача персональных данных осуществляется в связи с исполнением договора аренды, а ч. 2 ст. 152.2 ГК РФ запрещает сторонам обязательства разглашать информацию о частной жизни граждан. Это усиливает правовую защиту работников и обязывает арендодателя соблюдать конфиденциальность.

Юридически значимые обстоятельства, которые решают дело:

  1. Работодатель является оператором персональных данных — он определяет цели и состав обработки, поэтому именно он обязан оформить поручение обработчику и несёт ответственность перед работниками за действия арендодателя (ч. 5 ст. 6 ФЗ-152).

  2. Арендодатель (или его служба охраны) действует по поручению оператора — он не определяет цели обработки самостоятельно, а выполняет функцию допуска в здание по заданию работодателя. Это исключает его статус самостоятельного оператора и требует оформления поручения по ч. 3 ст. 6 ФЗ-152.

  3. Письменные согласия работников уже получены — это соответствует ст. 88 ТК РФ, но согласия должны содержать все реквизиты ч. 4 ст. 9 ФЗ-152, включая указание лица, которому поручена обработка. Если в согласиях не указан конкретный обработчик, их необходимо дополнить.

  4. Состав передаваемых данных включает копии паспортов — это сведения о документе, удостоверяющем личность, что требует строгого соблюдения цели обработки и недопущения избыточности (ч. 5 ст. 5 ФЗ-152).

  5. Стороной договора аренды является арендодатель, а не служба охраны — поручение на обработку должно быть заключено с арендодателем как с контрагентом, который в свою очередь обязан ограничить доступ к данным только теми работниками, которым это необходимо для выполнения функций пропускного режима.

  6. Обязанность конфиденциальности возникает из закона — ст. 7 ФЗ-152 и ст. 88 ТК РФ прямо обязывают лиц, получивших доступ к персональным данным, не раскрывать их третьим лицам. Отдельное соглашение о конфиденциальности не заменяет поручение, но соответствующая обязанность должна быть включена в текст поручения.

Как оформить передачу ПД сотрудников службе охраны арендодателя: поручение оператора

Вы как работодатель — оператор персональных данных своих работников, поскольку сами определяете цели и состав обрабатываемых сведений.

  1. оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
    — п. 2 ст. 3 ФЗ «О персональных данных»

Передача ФИО, телефона, места работы, копий паспортов и фотографий в службу охраны бизнес-центра для организации пропускного режима — это предоставление персональных данных определённому лицу, то есть обработка. Если служба охраны действует по вашим правилам и в целях, которые определяете вы (допуск в здание ваших сотрудников), она выступает лицом, обрабатывающим ПД по поручению оператора. Для этой конструкции закон прямо предусматривает отдельный документ — «поручение оператора», оформляемое договором.

  1. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее - поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом. В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18 1 настоящего Федерального закона, обязанность по запросу оператора персональных данных в течение срока действия поручения оператора, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии с настоящей статьей, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона
    — ч. 3 ст. 6 ФЗ «О персональных данных»

Для вашей ситуации это означает: именно поручение на обработку (двусторонний договор либо раздел/приложение к нему), а не отдельное «согласие» и не «соглашение о конфиденциальности» как самодостаточный документ — предусмотренный законом инструмент. Пункт 6 ч. 4 ст. 9 ФЗ-152 дополнительно требует, чтобы в согласии работника было указано лицо, которому поручена обработка, — значит, порядок «согласие работника → поручение обработчику» отражён в тексте самого закона.

  1. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва
    — п. 6, 8 ч. 4 ст. 9 ФЗ «О персональных данных»

Вывод по форме документа: с арендодателем (или, если служба охраны — отдельное юрлицо ЧОП, с ним) заключается поручение на обработку персональных данных по ч. 3 ст. 6 ФЗ-152, в котором обязательно фиксируются: перечень передаваемых ПД, перечень действий (хранение, использование для пропуска, доступ), цели обработки, обязанность соблюдать конфиденциальность (ст. 7 ФЗ-152), требования к защите по ст. 19 ФЗ-152 и обязанность сообщать об инцидентах. Отдельное «соглашение о конфиденциальности» не заменяет поручения — но обязанность конфиденциальности должна быть прямо включена в его текст или продублирована отдельным пунктом.

Требование письменного согласия работника и его роль при поручении

Согласие работника на передачу его ПД третьей стороне — это требование трудового законодательства.

не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами; (В редакции Федерального закона от 30.06.2006 № 90-ФЗ) не сообщать персональные данные работника в коммерческих целях без его письменного согласия; предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности).
— ст. 88 ТК РФ

Порядок работы с согласием подчиняется ст. 9 ФЗ-152: оно должно быть конкретным, предметным и оформлено отдельным документом.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.
— ч. 1 ст. 9 ФЗ «О персональных данных»

Ключевой момент именно для вашей схемы: лицо, обрабатывающее ПД по поручению оператора, само не обязано получать согласие субъекта — согласие, взятое вами у работников, «покрывает» и передачу обработчику.

  1. Лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных. 5. В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором.
    — ч. 4, 5 ст. 6 ФЗ «О персональных данных»

Но это не отменяет обязанности самого работодателя-оператора: по ч. 3 ст. 6 ФЗ-152 поручение допускается «с согласия субъекта ПД». Поэтому взятые вами письменные согласия должны быть не формальными, а содержать все реквизиты ч. 4 ст. 9 ФЗ-152 — включая цель (допуск в здание по пропускному режиму), перечень данных (ФИО, телефон, место работы, копия паспорта, фото), перечень действий и, что важно, лицо, которому поручена обработка.

  1. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва
    — п. 6, 8 ч. 4 ст. 9 ФЗ «О персональных данных»

Сверьте взятые согласия: если в них не названо конкретное лицо-обработчик (арендодатель/ЧОП) и не описаны передаваемые действия, их следует дополнить — иначе поручение окажется без надлежащего правового основания, а передача копий паспортов как данных, содержащих сведения о документе, удостоверяющем личность, попадает под повышенные требования. Вывод: письменное согласие работника остаётся обязательным и первичным основанием; поручение обработчику — следующий обязательный слой, но согласие не заменяет поручение, а поручение не заменяет согласие.

С кем подписывать: арендодатель или служба охраны; роль конфиденциальности

Ответ зависит от того, кто юридически является обработчиком. Договор аренды у вас заключён с арендодателем; служба охраны — это либо его структурное подразделение (тогда контрагент — арендодатель), либо привлечённое им ЧОП. Правовое значение имеет то, кто фактически получает данные и определяет их использование.

Если данные передаются арендодателю, а он задействует собственную охрану, техспециалистов и прочих сотрудников, — контрагентом по поручению должен быть именно арендодатель (сторона договора аренды). В поручении следует обязать его ограничить доступ к данным только теми работниками, которым они нужны для конкретных функций, что корреспондирует требованию ст. 88 ТК РФ к работодателю.

не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами; (В редакции Федерального закона от 30.06.2006 № 90-ФЗ) не сообщать персональные данные работника в коммерческих целях без его письменного согласия; предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности).
— ст. 88 ТК РФ

При этом обязанность конфиденциальности проистекает из закона независимо от того, подписан ли отдельный «NDA»: любой получивший доступ к ПД обязан их не раскрывать.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ ) Статья 8. Общедоступные источники персональных данных 1. В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных. (В редакции Федерального закона от 25.07.2011 № 261-ФЗ ) 2. Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов. (В редакции Федерального закона от 25.07.2011 № 261-ФЗ ) Статья 9. Согласие субъекта персональных данных на обработку его персональных данных 1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.
— ст. 7 ФЗ «О персональных данных», п. 6

Отдельный гражданско-правовой слой: стороны обязательства не вправе разглашать ставшую им известной информацию о частной жизни гражданина — это даёт дополнительную защиту работников в рамках отношений аренды.

  1. Стороны обязательства не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в данном обязательстве, если соглашением не предусмотрена возможность такого разглашения информации о сторонах. 3. Неправомерным распространением полученной с нарушением закона информации о частной жизни гражданина считается, в частности, ее использование при создании произведений науки, литературы и искусства, если такое использование нарушает интересы гражданина. 4. В случаях, когда информация о частной жизни гражданина, полученная с нарушением закона, содержится в документах, видеозаписях или на иных материальных носителях, гражданин вправе обратиться в суд с требованием об удалении соответствующей информации, а также о пресечении или запрещении дальнейшего ее распространения путем изъятия и уничтожения без какой бы то ни было компенсации изготовленных в целях введения в гражданский оборот экземпляров материальных носителей, содержащих соответствующую информацию, если без уничтожения таких экземпляров материальных носителей удаление соответствующей информации невозможно. 5. Право требовать защиты частной жизни гражданина способами, предусмотренными пунктом 2 статьи 150 настоящего Кодекса и настоящей статьей, в случае его смерти имеют дети, родители и переживший супруг такого гражданина
    — ч. 2 ст. 152.2 ГК РФ

Вывод: подписывать нужно с арендодателем — как со стороной вашего договора и лицом, чьи работники (охрана, техспециалисты) фактически обрабатывают данные. Если же охрану обеспечивает отдельное юрлицо (ЧОП), заключившее собственный договор с арендодателем, надёжнее оформить поручение либо напрямую с этим ЧОП, либо с арендодателем с прямой обязанностью передать обязательства по конфиденциальности и защите ПД своим подрядчикам. Отдельное «соглашение о конфиденциальности» не обязательно как самостоятельный документ: оно должно быть встроено в поручение либо в договор аренды пунктом о режиме конфиденциальности.

Минимизация данных, хранение и сроки; внутренние обязанности оператора

Передаваемый состав данных должен соответствовать цели пропускного режима — избыточность запрещена.

  1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
    — ч. 5 ст. 5 ФЗ «О персональных данных»

Это практически важная развилка для вас: для пропуска в здание достаточно ФИО, места работы и, как правило, фото; телефон и копия паспорта могут оказаться избыточными, если цель не требует их обработки. Если арендодатель настаивает на полных копиях паспортов, это необходимо прямо согласовать с целью обработки (например, идентификация при выдаче постоянных пропусков) и отразить в поручении и в согласиях работников.

Срок хранения переданных данных ограничен целью: по её достижении (прекращение аренды, увольнение работника, сдача пропуска) обработчик обязан прекратить обработку и уничтожить данные, и эта обязанность ложится на вас как оператора — вы должны её «обеспечить».

  1. В случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных
    — ч. 4 ст. 21 ФЗ «О персональных данных»

Как оператор вы обязаны принимать организационные меры: назначить ответственного за обработку ПД и издать локальные акты, фиксирующие цели, категории данных, сроки и порядок уничтожения.

  1. назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений. Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных
    — п. 1, 2 ч. 1 ст. 18.1 ФЗ «О персональных данных»

Соответственно при возникновении инцидента (утечки у арендодателя) именно вы обязаны уведомить Роскомнадзор в течение 24 часов (и в течение 72 часов — о результатах расследования).

3 1 . В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных: 1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом; 2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
— ч. 3.1 ст. 21 ФЗ «О персональных данных»

Если обработка автоматизирована и вы ранее подали уведомление в реестр операторов, привлечение обработчика (изменение сведений) требует актуализации уведомления.

  1. В случае изменения сведений, указанных в части 3 настоящей статьи, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить уполномоченный орган по защите прав субъектов персональных данных обо всех произошедших за указанный период изменениях.
    — ч. 7 ст. 22 ФЗ «О персональных данных»

Вывод: зафиксируйте в поручении минимально необходимый перечень данных, срок обработки и обязанность уничтожения/возврата по окончании; назначьте ответственного и обновите внутренние документы и уведомление Роскомнадзора. Внутренняя обязанность ограничивать доступ и предупреждать получателей о целях использования данных — на стороне и вас, и арендодателя.

Ответственность и гражданско-правовые последствия; альтернативная квалификация

Административная ответственность наступает за обработку ПД в случаях, не предусмотренных законом (передача без надлежащего основания), и за невыполнение обязанности опубликовать политику оператора.

  1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, -
    — ст. 13.11 КоАП РФ, п. 1

Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа
— ч. 3 ст. 13.11 КоАП РФ

Трудовая отрасль подключает и дисциплинарную/материальную ответственность виновных лиц.

Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном настоящим Кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
— ст. 90 ТК РФ

Гражданско-правовой слой: неправомерная обработка сведений о частной жизни даёт работнику право требовать удаления информации и взыскания компенсации морального вреда (ст. 150, 152.2 ГК РФ), а оператор отвечает перед субъектом за действия обработчика по ч. 5 ст. 6 ФЗ-152 — то есть даже при нарушении, допущенном охраной, взыскание адресуется в первую очередь вам.

  1. Стороны обязательства не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в данном обязательстве, если соглашением не предусмотрена возможность такого разглашения информации о сторонах. 3. Неправомерным распространением полученной с нарушением закона информации о частной жизни гражданина считается, в частности, ее использование при создании произведений науки, литературы и искусства, если такое использование нарушает интересы гражданина. 4. В случаях, когда информация о частной жизни гражданина, полученная с нарушением закона, содержится в документах, видеозаписях или на иных материальных носителях, гражданин вправе обратиться в суд с требованием об удалении соответствующей информации, а также о пресечении или запрещении дальнейшего ее распространения путем изъятия и уничтожения без какой бы то ни было компенсации изготовленных в целях введения в гражданский оборот экземпляров материальных носителей, содержащих соответствующую информацию, если без уничтожения таких экземпляров материальных носителей удаление соответствующей информации невозможно. 5. Право требовать защиты частной жизни гражданина способами, предусмотренными пунктом 2 статьи 150 настоящего Кодекса и настоящей статьей, в случае его смерти имеют дети, родители и переживший супруг такого гражданина
    — ч. 2 ст. 152.2 ГК РФ

Альтернативная квалификация (защитная/оппонирующая ветка): у ситуации есть иная рамка — если арендодатель/ЧОП обрабатывает данные в собственном интересе (безопасность всего здания, свой регламент пропуска, своя база посетителей без обратной связи с вами), он может выступать самостоятельным оператором. Тогда передача ему данных — это предоставление третьему лицу, а не поручение; в этом случае поручение не подходит, а требуется только письменное согласие работника по ст. 88 ТК РФ и п. 1 ч. 1 ст. 6 ФЗ-152, а обязанности оператора (уведомление, политика, меры защиты) несёт сам арендодатель.

  1. обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);
    — п. 1 ч. 1 ст. 6 ФЗ «О персональных данных»

Какую ветку выбрать, решает фактическая роль сторон: если данные передаются «напрокат» для выполнения вашей задачи допуска ваших сотрудников — это поручение (вы оператор, арендодатель обработчик); если данные переходят к арендодателю в его собственную систему контроля доступа и он сам определяет цели и состав — это передача самостоятельному оператору. При неясности безопаснее оформить обе гарантии: письменные согласия работников с указанием получателя + поручение (или пункт договора аренды) с обязательством конфиденциальности.

Если служба охраны обрабатывает данные по вашим правилам и в ваших целях — оформляется поручение на обработку персональных данных (по ч. 3 ст. 6 ФЗ-152) с арендодателем; если охрана действует в собственном интересе как самостоятельный оператор — поручение не применяется, достаточно письменного согласия работников (ст. 88 ТК РФ, п. 1 ч. 1 ст. 6 ФЗ-152). Письменные согласия работников при этом остаются обязательным основанием передачи (ст. 88 ТК РФ, ч. 1 ст. 9 ФЗ-152).

Развёрнутый вывод

1. Какой документ оформить. Вы как работодатель являетесь оператором персональных данных своих сотрудников (п. 2 ст. 3 ФЗ-152), поскольку сами определяете цели и состав обрабатываемых сведений. Передача ФИО, телефона, места работы, копий паспортов и фотографий службе охраны бизнес-центра для пропускного режима — это предоставление персональных данных, то есть обработка. Если служба охраны действует по вашим правилам и в целях, которые определяете вы (допуск ваших сотрудников в здание), она выступает лицом, обрабатывающим ПД по поручению оператора. Для этой конструкции закон прямо предусматривает поручение оператора, оформляемое договором (ч. 3 ст. 6 ФЗ-152). В поручении обязательно фиксируются: перечень передаваемых ПД, перечень действий (хранение, использование для пропуска, доступ), цели обработки, обязанность соблюдать конфиденциальность (ст. 7 ФЗ-152), требования к защите по ст. 19 ФЗ-152, обязанность отчитываться перед оператором и обеспечивать безопасность данных. Отдельное «соглашение о конфиденциальности» не заменяет поручение — обязанность конфиденциальности должна быть включена в его текст или продублирована отдельным пунктом. Если же охрана обрабатывает данные в собственном интересе (безопасность здания, свой регламент пропуска, своя база) как самостоятельный оператор — поручение не применяется, а достаточно письменного согласия работников (ст. 88 ТК РФ, п. 1 ч. 1 ст. 6 ФЗ-152).

2. Роль согласий работников. Письменное согласие работника на передачу его ПД третьей стороне — обязательное требование трудового законодательства (ст. 88 ТК РФ). Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, оформляться отдельным документом (ч. 1 ст. 9 ФЗ-152). Важно: лицо, обрабатывающее ПД по поручению оператора, само не обязано получать согласие субъекта (ч. 4 ст. 6 ФЗ-152) — ваше согласие «покрывает» и передачу обработчику. Однако по ч. 3 ст. 6 ФЗ-152 поручение допускается именно «с согласия субъекта ПД». Если согласие оформляется в письменной форме по ч. 4 ст. 9 ФЗ-152, в нём должны быть реквизиты п. 6–8 ч. 4 ст. 9, включая лицо-обработчика; как минимум согласие должно быть конкретным, предметным и информированным (ч. 1 ст. 9). Если в ваших согласиях не назван конкретный обработчик (арендодатель/ЧОП) и не описаны передаваемые действия — их нужно дополнить, иначе поручение окажется без надлежащего правового основания.

3. С кем подписывать. Если охрана — подразделение арендодателя, поручение подписывается с арендодателем; если отдельное ЧОП — напрямую с ЧОП либо с арендодателем с прямой обязанностью распространить обязательства на подрядчика. Обязанность конфиденциальности проистекает из закона независимо от подписания отдельного NDA: любой получивший доступ к ПД обязан их не раскрывать (ст. 7 ФЗ-152), а стороны обязательства не вправе разглашать информацию о частной жизни гражданина (ч. 2 ст. 152.2 ГК РФ).

4. Состав данных и сроки. Передаваемый состав данных должен соответствовать цели пропускного режима — избыточность запрещена (ч. 5 ст. 5 ФЗ-152). Для пропуска в здание, как правило, достаточно ФИО, места работы и фото; телефон и копия паспорта могут оказаться избыточными, если цель не требует их обработки. Если арендодатель настаивает на полных копиях паспортов, это необходимо прямо согласовать с целью обработки (например, идентификация при выдаче постоянных пропусков) и отразить в поручении и в согласиях работников. По достижении цели обработки (прекращение аренды, увольнение работника, сдача пропуска) обработчик обязан прекратить обработку и уничтожить данные, а вы как оператор обязаны это обеспечить — в срок не позднее 30 дней с даты достижения цели (ч. 4 ст. 21 ФЗ-152).

Пошаговые действия

  1. Проверьте и при необходимости дополните письменные согласия работников. Убедитесь, что в каждом согласии указаны: цель (допуск в здание по пропускному режиму), перечень передаваемых данных (ФИО, телефон, место работы, копия паспорта, фото), перечень действий, лицо-обработчик по поручению (арендодатель или ЧОП), срок действия согласия и способ отзыва (п. 6, 8 ч. 4 ст. 9 ФЗ-152). Если этих реквизитов нет — оформите дополнительные согласия.

  2. Подготовьте проект поручения на обработку персональных данных с арендодателем (или с ЧОП, если охрана — отдельное юрлицо). Включите в него: перечень ПД, перечень действий (хранение, использование для пропуска, доступ), цели обработки, обязанность соблюдать конфиденциальность (ст. 7 ФЗ-152), требования к защите по ст. 19 ФЗ-152, обязанность отчитываться перед вами и обеспечивать безопасность данных (ч. 3 ст. 6 ФЗ-152).

  3. Подпишите поручение с арендодателем, если охрана — его подразделение. Если охрану обеспечивает привлечённое ЧОП, заключите поручение напрямую с ЧОП либо пропишите в поручении с арендодателем его прямую обязанность распространить обязательства по конфиденциальности и защите ПД на подрядчика.

  4. Ограничьте состав передаваемых данных. Исключите избыточные сведения, если они не нужны для цели пропуска (ч. 5 ст. 5 ФЗ-152). Если арендодатель настаивает на копиях паспортов — зафиксируйте обоснование такой необходимости в поручении и согласиях работников.

  5. Зафиксируйте сроки хранения и порядок уничтожения. Пропишите в поручении, что по достижении цели обработки (прекращение аренды, увольнение работника, сдача пропуска) обработчик обязан прекратить обработку и уничтожить данные, а вы как оператор обеспечите контроль за этим — в срок не позднее 30 дней с даты достижения цели (ч. 4 ст. 21 ФЗ-152).

  6. Обеспечьте внутренние меры оператора. Назначьте ответственного за организацию обработки ПД и издайте локальные документы, определяющие политику обработки, цели, категории данных, сроки и порядок уничтожения (п. 1, 2 ч. 1 ст. 18.1 ФЗ-152).