Обязан ли ИП уведомлять Роскомнадзор об обработке персональных данных сотрудников для целей кадрового учета?
Здравствуйте! Ваш вопрос очень актуален для многих предпринимателей. Давайте разберем его по существу, опираясь на нормы законодательства.
Анализ ситуации
Вы как индивидуальный предприниматель (оператор персональных данных) обрабатываете персональные данные ваших 8 сотрудников (паспортные данные, ИНН, СНИЛС, сведения о зарплате, телефоны) исключительно для целей кадрового учета и начисления заработной платы. Специальные категории данных не обрабатываются. Ваша деятельность подпадает под регулирование Трудового кодекса РФ, поскольку вопросы приема на работу, кадрового учета и оплаты труда относятся к трудовым отношениям.
Применимые нормы права
Основным законом, регулирующим данный вопрос, является Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных). Он устанавливает общее правило и исключения из него.
Общее правило закреплено в части 1 статьи 22 Закона о персональных данных:
"До начала обработки персональных данных оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи." (Источник: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 22, часть 1)
Однако исключение, которое напрямую применимо к вашей ситуации, содержится в части 2 той же статьи:
"Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
- обрабатываемых в соответствии с трудовым законодательством;" (Источник: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 22, часть 2, пункт 1)
Таким образом, сам Закон о персональных данных устанавливает, что обработка данных, осуществляемая в рамках трудовых отношений, не требует подачи уведомления в Роскомнадзор.
Для подтверждения того, что ваша деятельность подпадает под трудовое законодательство, обратимся к Трудовому кодексу РФ. Статья 86 ТК РФ устанавливает общие требования при обработке персональных данных работника:
"Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества" (Источник: Трудовой кодекс РФ, статья 86, пункт 1)
Вы обрабатываете данные именно для целей, указанных в ТК РФ (кадровый учет, начисление зарплаты — это часть контроля количества и качества работы и обеспечения соблюдения законов). Статья 65 ТК РФ также закрепляет перечень документов, которые работник обязан предъявить при трудоустройстве (паспорт, СНИЛС, трудовая книжка и др.), то есть сбор этих данных предусмотрен законом.
Выводы и рекомендации
На основании изложенного, вы освобождены от обязанности направлять уведомление в Роскомнадзор о начале обработки персональных данных. Ваша ситуация полностью подпадает под исключение, предусмотренное пунктом 1 части 2 статьи 22 Федерального закона «О персональных данных», поскольку обработка осуществляется в соответствии с трудовым законодательством.
Однако, обратите внимание на следующее:
- Освобождение от уведомления не освобождает от соблюдения закона. Вы по-прежнему обязаны соблюдать принципы обработки персональных данных (законность, справедливость, ограничение целей, минимизация данных и т.д.), установленные статьей 5 Закона о персональных данных.
- Локальные акты. Вам необходимо разработать и утвердить локальный нормативный акт (например, Положение об обработке и защите персональных данных работников), определить порядок их хранения и использования, как того требует статья 87 ТК РФ.
- Согласие. Хотя для обработки данных в целях трудовых отношений ваше правовое основание — это исполнение требований закона, а не согласие работника, в некоторых случаях (например, передача данных третьим лицам) может потребоваться письменное согласие сотрудника. Рекомендую это уточнить в вашем локальном акте.
- Изменение целей. Если в будущем вы начнете обрабатывать персональные данные для других целей (например, для маркетинга, рекламы), то обязанность уведомить Роскомнадзор может возникнуть.
Рекомендую: если у вас остаются сомнения относительно правильности оформления кадровых документов или локальных актов, обратитесь к адвокату, специализирующемуся на трудовом праве, для проведения аудита вашей документации.
