Может ли работодатель знать, голосовал ли сотрудник на выборах через ДЭГ, и законно ли это

К какой категории относятся сведения о регистрации на ДЭГ и законно ли работодателю их иметь

Сведения о том, регистрировался ли работник на дистанционное электронное голосование (и, тем более, участвовал ли в нём), — это информация о его политических взглядах и волеизъявлении, то есть специальная категория персональных данных, обработка которой по общему правилу запрещена.

1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частями 2 и 2 1 настоящей статьи.
   — ч. 1 ст. 10 Федерального закона № 152-ФЗ «О персональных данных»

Из этого следует: обработка «специальных категорий» допускается только в исчерпывающих случаях, главный из которых — письменное согласие субъекта (п. 1 ч. 2 ст. 10 152-ФЗ):

1. субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных; 2) обработка персональных данных, разрешенных субъектом персональных данных для распространения
   — п. 1 ч. 2 ст. 10 Федерального закона № 152-ФЗ «О персональных данных»

В вашей ситуации согласия вы не давали, а ни одного из законных оснований из числа указанных в ч. 2 ст. 10 152-ФЗ у работодателя нет: он не проводит обработку в связи с трудовым законодательством в смысле пп. 2.3 (сведения о голосовании не нужны для трудовых отношений), не действует в рамках избирательного законодательства как субъект, допущенный к таким данным. Соответственно, сам факт обладания и использования таких сведений работодателем не основан на законе.

Обработка при этом понимается максимально широко — любое действие, включая получение, хранение и использование (п. 3 ст. 3 152-ФЗ). Поэтому даже простое «обладание» информацией о вашей регистрации на ДЭГ уже является обработкой, требующей правового основания. Его у работодателя нет.

Тот же запрет продублирован в трудовом законодательстве специально для персональных данных работника:

1. работодатель не имеет права получать и обрабатывать сведения о работнике, относящиеся в соответствии с законодательством Российской Федерации в области персональных данных к специальным категориям персональных данных, за исключением случаев, предусмотренных настоящим Кодексом и другими федеральными законами;
   — п. 4 ч. 1 ст. 86 ТК РФ

Дополнительно ст. 5 152-ФЗ запрещает обработку, несовместимую с целями сбора, а сбор сведений о голосовании вообще никак не соотносится с целями обработки данных работника (трудоустройство, контроль качества работы, сохранность имущества — п. 1 ст. 86 ТК РФ):

1. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
   — ч. 2 ст. 5 Федерального закона № 152-ФЗ

Вывод: сведения о регистрации работника на ДЭГ являются специальной категорией персональных данных (политические взгляды), обработка которой без письменного согласия работника запрещена. Законного основания для получения и хранения таких данных работодателем в описанной ситуации нет — обладание и использование такой информацией незаконно.

Тайна голосования и запрет контроля за волеизъявлением

Сам факт голосования (и регистрации для участия в нём) охраняется принципом тайны голосования, установленным избирательным законодательством:

Статья 7. Тайное голосование Голосование на выборах и референдуме является тайным, исключающим возможность какого-либо контроля за волеизъявлением гражданина.
— ст. 7 Федерального закона № 67-ФЗ «Об основных гарантиях избирательных прав…»

Это означает, что сведения о том, регистрировался ли гражданин на ДЭГ и голосовал ли он, не подлежат раскрытию третьим лицам — принцип тайного голосования исключает возможность какого-либо контроля за волеизъявлением, в том числе со стороны работодателя. Наличие у работодателя «списка» регистрировавшихся/нерегистрировавшихся работников прямо противоречит этому принципу.

На конституционном уровне это подкреплено запретом сбора и хранения информации о частной жизни без согласия лица:

гарантирующим каждому в целях охраны достоинства личности право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени (статья 23, часть 1) и запрещающим сбор, хранение, использование и распространение информации о частной жизни лица без его согласия (статья 24, часть 1)
— Постановление КС РФ № 18-П от 09.07.2013 (ст. 23 и 24 Конституции РФ), п. 2

Волеизъявление на выборах и факт участия/неучастия в регистрации на ДЭГ относится к сфере частной жизни гражданина, которая не подлежит контролю со стороны третьих лиц. Конституционный Суд прямо указал, что лишь само лицо вправе определять, какие сведения о его частной жизни должны оставаться в тайне:

конфиденциальным характером обладает любая информация о частной жизни лица, а потому она во всяком случае относится к сведениям ограниченного доступа. При этом в понятие "частная жизнь" включается та область жизнедеятельности человека, которая относится к отдельному лицу, касается только его и не подлежит контролю со стороны общества и государства, если носит непротивоправный характер (определения Конституционного Суда Российской Федерации от 9 июня 2005 года N 248-О, от 26 января 2010 года N 158-О-О и от 27 мая 2010 года N 644-О-О). Соответственно, лишь само лицо вправе определить, какие именно сведения, имеющие отношение к его частной жизни, должны оставаться в тайне, а потому сбор, хранение, использование и распространение такой информации, не доверенной никому, не допускается без согласия данного лица, как
— Постановление КС РФ № 15-П от 16.06.2015

Вывод: факт регистрации на ДЭГ и участия в голосовании защищён принципом тайны голосования (ст. 7 ФЗ-67) и конституционным запретом на контроль за волеизъявлением (ст. 24 Конституции РФ). Передача таких сведений работодателю и обладание ими им — вне зависимости от того, привёл ли это к каким-либо решениям, — уже само по себе нарушает тайну голосования и неприкосновенность частной жизни.

Запрет использования данных в кадровых решениях и дискриминация

Если работодатель использует сведения о регистрации/нерегистрации на ДЭГ для каких-либо решений (премирование, дисциплинарные взыскания, продвижение), это образует запрещённую дискриминацию в сфере труда — различие по обстоятельству, не связанному с деловыми качествами работника.

1. при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения;
   — п. 6 ч. 1 ст. 86 ТК РФ

Здесь прямо выражен и второй запрет: работодатель не вправе основывать решения, затрагивающие работника, на данных, полученных исключительно автоматизированно или электронным путём. Сведения о регистрации на ДЭГ по своей природе могут быть получены только из информационных систем (портал, ГАС «Выборы»), то есть это именно электронное получение данных.

Работник, подвергшийся дискриминации, вправе требовать защиты в суде, включая компенсацию морального вреда:

Лица, считающие, что они подверглись дискриминации в сфере труда, вправе обратиться в суд с заявлением о восстановлении нарушенных прав, возмещении материального вреда и компенсации морального вреда.
— ч. 4 ст. 3 ТК РФ

Вывод: использование сведений о регистрации на ДЭГ для любых кадровых решений в отношении работника — дискриминация по признаку, не связанному с деловыми качествами, и прямо нарушает запрет опираться на электронно полученные данные (п. 6 ст. 86 ТК РФ). Даже при «нейтральной» осведомлённости работодателя такой сбор данных незаконен; при его использовании наступает дополнительно трудоправовая ответственность и право работника на компенсацию морального вреда.

Ответственность за незаконную обработку данных (административная, уголовная, гражданско-правовая)

Незаконная обработка персональных данных без требуемого письменного согласия влечёт административную ответственность по ч. 2 ст. 13.11 КоАП РФ:

1. Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей.
   — ч. 2 ст. 13.11 КоАП РФ

Обработка в случаях, не предусмотренных законодательством о персональных данных (что имеет место у работодателя, получившего сведения о регистрации на ДЭГ без основания), квалифицируется по ч. 1 ст. 13.11 КоАП РФ:

1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
   — ч. 1 ст. 13.11 КоАП РФ

Если сведения получены лицом, имевшим к ним доступ в связи со служебными обязанностями (например, администратор информационной системы, сотрудник избиркома), дополнительно применима ст. 13.14 КоАП РФ о разглашении информации ограниченного доступа:

Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14.33 и статьей 17.13 настоящего Кодекса, - (В редакции федеральных законов от 09.04.2007 № 45-ФЗ, от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей ; на должностных лиц - от сорока тысяч до пятидесяти тысяч рублей или дисквалификацию на срок до трех лет; на юридических лиц - от ста тысяч до двухсот тысяч рублей .
— ст. 13.14 КоАП РФ

Поскольку сведения о голосовании являются личной/семейной тайной, их незаконное собирание без согласия лица может образовывать состав преступления по ст. 137 УК РФ, а при использовании служебного положения — квалифицированный состав ч. 2:

1. Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации, за исключением случаев, предусмотренных статьей 272.1 настоящего Кодекса, -
   — ч. 1 ст. 137 УК РФ

1. Те же деяния, совершенные: а) лицом с использованием своего служебного положения; б) из корыстной заинтересованности; в) группой лиц по предварительному сговору или организованной группой, - наказываются штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет, либо принудительными работами на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет или без такового, либо арестом на срок до шести месяцев, либо лишением свободы на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет.
   — ч. 2 ст. 137 УК РФ

Трудовое законодательство прямо суммирует виды ответственности за нарушение норм о защите персональных данных работника:

Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном настоящим Кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
— ст. 90 ТК РФ

Помимо штрафных санкций, работник вправе требовать возмещения убытков и компенсации морального вреда в судебном порядке:

1. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
   — ч. 2 ст. 17 Федерального закона № 152-ФЗ «О персональных данных»

Гражданско-правовая защита дополнительно опирается на ст. 152.2 ГК РФ, прямо запрещающую без согласия гражданина сбор, хранение и использование информации о его частной жизни:

1. Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Не являются нарушением правил, установленных абзацем первым настоящего пункта, сбор, хранение, распространение и использование информации о частной жизни гражданина в государственных, общественных или иных публичных интересах, а также в случаях, если информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле. 2. Стороны обязательства не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в данном обязательстве, если соглашением не предусмотрена возможность такого разглашения информации о сторонах. 3. Неправомерным распространением полученной с нарушением закона информации о частной жизни гражданина считается, в частности, ее использование при создании произведений науки, литературы и искусства, если такое использование нарушает интересы гражданина. 4.
   — п. 1 ст. 152.2 ГК РФ

Вывод: за получение и использование сведений о регистрации работников на ДЭГ наступает сложная ответственность: административная (ч. 1 и 2 ст. 13.11, ст. 13.14 КоАП РФ), при соответствующих обстоятельствах — уголовная (ст. 137 УК РФ), а также гражданско-правовая (возмещение убытков и морального вреда по ст. 152.2 ГК РФ и ч. 2 ст. 17 152-ФЗ). Полномочия по административным делам — у Роскомнадзора (уполномоченный орган по защите прав субъектов персональных данных), уголовные — у правоохранительных органов, гражданско-правовые и трудовые требования — в районном суде.

Права работника и порядок защиты (куда жаловаться, как требовать удаления данных)

Работник вправе требовать от работодателя исключения (удаления) данных, обработанных с нарушением закона:

требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований настоящего Кодекса или иного федерального закона.
— ст. 89 ТК РФ

Конкретный механизм: письменное требование работодателю об удалении сведений о регистрации на ДЭГ и прекращении их обработки. При отказе — заявление в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор), который вправе привлечь нарушителя к ответственности по ст. 13.11 КоАП РФ, либо в суд (ч. 1 ст. 17 152-ФЗ):

1. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
   — ч. 2 ст. 17 Федерального закона № 152-ФЗ «О персональных данных»

Если усматривается, что данные «слил» работник избирательной комиссии или иное лицо со служебным доступом, либо имел место неправомерный доступ к информационной системе — это повод для обращения и в прокуратуру/полицию (ст. 137 УК РФ, ст. 13.14 КоАП РФ). Право на судебную защиту при дискриминации закреплено ч. 4 ст. 3 ТК РФ (см. Заключение к вопросу 3).

Важно о фиксации доказательств: поскольку вы сами указываете, что сведения вам «сказали как само собой разумеющееся», для защиты необходимо зафиксировать факт обладания работодателем этими данными — письменные/электронные сообщения, свидетельские показания, распечатки переписки. Если работодатель предпринял решение на основе таких сведений (лишение премии, отказ в продвижении и т.п.) — это усиливает позицию и по трудовому спору, и по моральному вреду.

Вывод: алгоритм защиты — письменно потребовать удаления данных, при отказе обратиться в Роскомнадзор (административный порядок) и/или в районный суд (иск об обязании прекратить обработку и компенсации морального вреда), а при признаках утечки/неправомерного доступа — в полицию и прокуратуру. Все процессуальные требования (трудовой спор, защита персональных данных, компенсация морального вреда) рассматриваются федеральным районным судом; сроки — общий трёхмесячный срок по трудовым спорам (ст. 392 ТК РФ) со дня, когда вы узнали о нарушении, а по требованиям о защите персональных данных и компенсации морального вреда применяются общие сроки исковой давности.

Процедура обращения в Роскомнадзор и его полномочия

Уполномоченным органом по защите прав субъектов персональных данных является федеральный орган исполнительной власти, осуществляющий контроль и надзор за обработкой персональных данных (функции выполняет Роскомнадзор — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций). Он обязан рассматривать обращения граждан по вопросам обработки персональных данных:

1. рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений;
   — п. 2 ч. 5 ст. 23 Федерального закона № 152-ФЗ

Уполномоченный орган обладает действенными полномочиями, в том числе правом требовать от оператора (работодателя) блокирования или уничтожения незаконно полученных данных, а также привлекать виновных к административной ответственности:

1. требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; 3 1 ) ограничивать доступ к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных, в порядке, установленном законодательством Российской Федерации; (Дополнение пунктом - Федеральный закон от 21.07.2014 № 242-ФЗ) 4) принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона; 5) обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных, в том числе в защиту прав неопределенного круга лиц, и представлять интересы субъектов персональных данных в суде; (В редакции Федерального закона от 25.07.2011 № 261-ФЗ) 5 1 ) направлять в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, и федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, применительно к сфере их деятельности, сведения, указанные в пункте 7 части 3 статьи 22 настоящего Федерального закона;
   — п. 3 ч. 3 ст. 23 Федерального закона № 152-ФЗ

1. привлекать к административной ответственности лиц, виновных в нарушении настоящего Федерального закона. 4. В отношении персональных данных, ставших известными уполномоченному органу по защите прав субъектов персональных данных в ходе осуществления им своей деятельности, должна обеспечиваться конфиденциальность персональных данных. 5. Уполномоченный орган по защите прав субъектов персональных данных обязан: 1) организовывать в соответствии с требованиями настоящего Федерального закона и других федеральных законов защиту прав субъектов персональных данных; 2) рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений; 3) вести реестр операторов; 4) осуществлять меры, направленные на совершенствование защиты прав субъектов персональных данных; 5) принимать в установленном законодательством Российской Федерации порядке по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, федерального органа исполнительной власти в области государственной охраны или федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, меры по приостановлению или прекращению обработки персональных данных;
   — п. 9 ч. 3 ст. 23 Федерального закона № 152-ФЗ

Процедура: вы направляете письменное обращение/жалобу в территориальное управление Роскомнадзора (или через портал госуслуг/официальный сайт ведомства) с указанием фактов — что работодатель располагает сведениями о регистрации/нерегистрации на ДЭГ без вашего согласия. По итогам рассмотрения орган вправе провести проверку и потребовать уничтожения данных, а также возбудить дело об административном правонарушении по ст. 13.11 КоАП РФ. Одновременно можно подать иск в районный суд (обязание прекратить обработку и компенсацию морального вреда — ч. 2 ст. 17 152-ФЗ).

Вывод: надлежащий орган для административной защиты — Роскомнадзор (уполномоченный орган по защите прав субъектов персональных данных, ст. 23 152-ФЗ); он обязан рассмотреть вашу жалобу, вправе потребовать уничтожения незаконно полученных данных и привлечь работодателя к ответственности по ст. 13.11 КоАП РФ. Параллельно доступен судебный порядок в районном суде; при признаках утечки/неправомерного доступа — обращение в полицию и прокуратуру (ст. 137 УК РФ, ст. 13.14 КоАП РФ). Подсудность и органы во всех ветках едины: административная — Роскомнадзор, уголовная — органы предварительного расследования, гражданско-правовая и трудовая — федеральный районный суд.