Можно ли отказать администрации торгового центра в копии паспорта и фото для пропуска, если фактически пропуск не требуется

Общая обязанность отдавать копию паспорта администрации ТЦ

Ключевое разграничение: работодатель — ваш магазин, а администрация торгового центра — третье лицо. Закон разводит обязанности по обработке данных работника и запрет на их передачу «на сторону».

1. все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;
   — п. 3 ч. 1 ст. 86 ТК РФ

Из этой нормы прямо следует: получать персональные данные работник вправе лишь у вас самой, а если их приходится брать у третьей стороны — вас обязаны о цели, источниках и способах уведомить заранее и получить ваше письменное согласие. То есть паспортные данные, которые уже собрал ваш работодатель, не могут механически «уйти» в УК ТЦ без вашего письменного согласия.

При передаче персональных данных работника работодатель должен соблюдать следующие требования: не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами;
— абз. 2 ст. 88 ТК РФ

Абзац 2 ст. 88 ТК РФ — главная защита в вашей ситуации: работодатель НЕ ВПРАВЕ сообщать персональные данные работника третьей стороне (ТЦ) без вашего письменного согласия, кроме узких случаев (угроза жизни/здоровью либо прямое указание закона). Оформление пропуска в ТЦ в этот перечень не входит, значит передача копии паспорта в УК ТЦ требует вашего согласия, а не приказа администрации.

Статья 86. Общие требования при обработке персональных данных работника и гарантии их защиты В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования: 1) обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;
— ст. 86 ТК РФ

Статья 86 ТК РФ очерчивает и цели, ради которых вообще допустима обработка: соблюдение законов, содействие в трудоустройстве, личная безопасность работников, контроль количества и качества работы, сохранность имущества. Пропускной режим ТЦ можно попытаться подвести под «обеспечение безопасности» и «сохранность имущества», но это цель третьего лица, а не вашего работодателя, и объём данных под неё не безграничен.

Вывод: вы вправе отказаться передавать копию паспорта непосредственно администрации ТЦ: без вашего письменного согласия работодатель не вправе передать ваши данные третьей стороне (абз. 2 ст. 88 ТК РФ), а ТЦ как «иной оператор» не может требовать данные в обход вашего согласия (п. 3 ч. 1 ст. 86 ТК РФ). Само требование законно лишь при наличии у ТЦ собственного законного основания и вашего информированного согласия.

Избыточность копии паспорта и правовой режим фотографии

Даже если обработка в принципе допустима, её объём ограничен целью. Копия паспорта с пропиской для выдачи пропуска — классический пример избыточных данных.

Статья 5. Принципы обработки персональных данных 1. Обработка персональных данных должна осуществляться на законной и справедливой основе. 2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. 3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. 4. Обработке подлежат только персональные данные, которые отвечают целям их обработки. 5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
— ст. 5 Федерального закона № 152-ФЗ

Из принципов ст. 5 Федерального закона № 152-ФЗ следует, что обрабатываться могут только данные, отвечающие цели, а их объём не должен быть избыточным. Для оформления пропуска достаточно идентифицировать вас (ФИО и, при необходимости, фото), тогда как полная копия паспорта раскрывает серию, номер, регистрацию и иные сведения, для пропуска не нужные. Это самостоятельное основание возразить против копии, даже если вы не против самого пропуска.

1. Предоставление биометрических персональных данных не может быть обязательным, за исключением случаев, предусмотренных частью 2 настоящей статьи. Оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если в соответствии с федеральным законом получение оператором согласия на обработку персональных данных не является обязательным.
   — ч. 3 ст. 11 Федерального закона № 152-ФЗ

Фотография для пропуска — это обработка изображения. Часть 3 ст. 11 Федерального закона № 152-ФЗ прямо запрещает делать предоставление таких (биометрических, к личности-идентифицирующих) данных обязательным, а также запрещает отказывать в обслуживании при отказе их предоставить, если закон не требует обратного. Для пропуска в продуктовый магазин закон такого обязательного предоставления фото не устанавливает. Здесь важно точно определить, признаётся ли ваше фото биометрическим: таковым оно становится, если используется оператором именно для установления личности.

1. Обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина.
   — п. 1 ст. 152.1 ГК РФ

Пункт 1 ст. 152.1 ГК РФ дополняет картину: использование изображения (фотографии) допускается только с согласия гражданина. Значит, и фотографию без вашего согласия администрация УК ТЦ использовать и хранить не вправе.

Вывод: вы вправе отказать как минимум в копии паспорта (принцип минимизации — ст. 5 Федерального закона № 152-ФЗ) и в предоставлении фото как обязательного условия (ч. 3 ст. 11 Федерального закона № 152-ФЗ; п. 1 ст. 152.1 ГК РФ). Если ТЦ настаивает, разумный компромисс — письменное согласие на обработку строго определённого минимума данных (ФИО, фото) с указанием конкретной цели (пропуск), срока хранения и запрета на передачу третьим лицам.

Добровольность согласия и доказательство его наличия

Формально требование можно «согласовать» подписанием согласия, но согласие должно быть свободным — и бремя доказывания правомерности лежит на операторе.

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.
   — ч. 1 ст. 9 Федерального закона № 152-ФЗ

Из ч. 1 ст. 9 Федерального закона № 152-ФЗ вытекает, что решение о предоставлении данных вы принимаете «своей волей и в своём интересе», а согласие должно быть конкретным, предметным, информированным и однозначным и оформлено отдельным документом. Согласие, вырванное под угрозой («без этого пропуск не сделают»), перестаёт быть свободным. Кроме того, согласие всегда можно отозвать — с последствиями для оператора.

1. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора. 4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
   — ч. 3 ст. 9 Федерального закона № 152-ФЗ

Часть 3 ст. 9 Федерального закона № 152-ФЗ перекладывает риск на того, кто данные собирает: доказать наличие согласия или иного законного основания обязан оператор. Значит, именно УК ТЦ (и ваш работодатель при передаче) должны документально подтвердить, на каком основании они требуют паспорт, а не вы должны оправдываться за отказ.

Статья 7. Конфиденциальность персональных данных Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— ст. 7 Федерального закона № 152-ФЗ

Статья 7 Федерального закона № 152-ФЗ закрепляет конфиденциальность: любой, кто получил доступ к вашим данным, обязан их не раскрывать и не распространять без вашего согласия. Это ваш аргумент против опасений «куда потом пойдёт копия».

Вывод: вы вправе дать частичное, ограниченное целью согласие либо отказаться вообще; согласие под принуждением недействительно, а обязанность доказать его наличие лежит на ТЦ и работодателе (ч. 1, 3 ст. 9, ст. 7 Федерального закона № 152-ФЗ). Противодействие обязательству даётся не «под давлением», а письменно: заявление с точным объёмом данных, целью и сроком хранения.

Возможна ли дисциплинарная ответственность за отказ и как её оспорить

Работодатель (ваш магазин) может пригрозить взысканием. Но дисциплинарный проступок — это виновное неисполнение именно трудовых обязанностей, а не отказ делиться данными с третьим лицом.

требовать от работников исполнения ими трудовых обязанностей и бережного отношения к имуществу работодателя (в том числе к имуществу третьих лиц, находящемуся у работодателя, если работодатель несет ответственность за сохранность этого имущества) и других работников, соблюдения правил внутреннего трудового распорядка , требований охраны труда
— абз. 5 ч. 1 ст. 22 ТК РФ

Работодатель вправе требовать от вас соблюдения правил внутреннего трудового распорядка и трудовых обязанностей. Если в трудовом договоре или локальном акте вашего магазина прямо закреплена обязанность соблюдать пропускной режим ТЦ, отказ от формальностей может быть расценён как нарушение.

Работник обязан: добросовестно исполнять свои трудовые обязанности, возложенные на него трудовым договором; соблюдать правила внутреннего трудового распорядка; (В редакции Федерального закона от 30.06.2006 № 90-ФЗ) соблюдать трудовую дисциплину;
— абз. 17 ст. 21 ТК РФ

Ваша обязанность — добросовестно исполнять трудовые обязанности и соблюдать правила внутреннего трудового распорядка. Однако обязанность передать копию паспорта третьему лицу должна быть явно и правомерно установлена локальным актом с вашим ознакомлением под роспись; внутреннего правила «отдать паспорт в УК ТЦ» в законе нет.

За совершение дисциплинарного проступка, то есть неисполнение или ненадлежащее исполнение работником по его вине возложенных на него трудовых обязанностей
— ч. 1 ст. 192 ТК РФ

Взыскание возможно только за дисциплинарный проступок — виновное неисполнение трудовых обязанностей. Коль скоро закон не обязывает вас передавать паспорт ТЦ (ст. 86, 88 ТК РФ), вашего виновного проступка здесь нет.

До применения дисциплинарного взыскания работодатель должен затребовать от работника письменное объяснение. Если по истечении двух рабочих дней указанное объяснение работником не предоставлено, то составляется соответствующий акт
— ч. 1 ст. 193 ТК РФ
Дисциплинарное взыскание может быть обжаловано работником в государственную инспекцию труда и (или) органы по рассмотрению индивидуальных трудовых споров.
— ч. 7 ст. 193 ТК РФ

Если взыскание всё же наложат, порядок строг: работодатель обязан затребовать письменное объяснение, а вы можете обжаловать приказ в государственную инспекцию труда и (или) в комиссию по трудовым спорам либо суд.

Вывод: дисциплинарное взыскание за отказ передать копию паспорта третьему лицу неправомерно, поскольку такой обязанности нет в законе (ст. 86, 88 ТК РФ), а проступок требует вины (ч. 1 ст. 192 ТК РФ). Если взыскание (замечание, выговор, а тем более увольнение) наложено — его обжалуют в ГИТ и (или) в комиссию по трудовым спорам/районный суд (ст. 193 ТК РФ).

Ответственность ТЦ и работодателя за незаконный сбор данных. Куда обращаться

Отказ — не единственный инструмент. У незаконной обработки есть цена, и её несут оператор и работодатель.

1. Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
   — п. 1 ст. 152.2 ГК РФ

Пункт 1 ст. 152.2 ГК РФ запрещает без согласия собирать, хранить, распространять и использовать любую информацию о частной жизни, в том числе сведения о месте жительства (прописка). Это самостоятельное гражданско-правовое основание требовать прекратить сбор и удалить данные, а при их распространении — требовать удаления и пресечения распространения (п. 4 ст. 152.2 ГК РФ).

Статья 90. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном настоящим Кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
— ст. 90 ТК РФ

Статья 90 ТК РФ прямо называет виды ответственности для виновных: дисциплинарная, материальная, а также гражданско-правовая, административная и уголовная. То есть ваш работодатель, незаконно передавший данные, и УК ТЦ, незаконно их требующая, отвечают каждый по своему основанию.

1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния
   — ч. 1 ст. 13.11 КоАП РФ

Административная ответственность — ч. 1 ст. 13.11 КоАП РФ: обработка данных в случаях, не предусмотренных законом, либо несовместимая с целями сбора. Это ваш рычаг через жалобу в Роскомнадзор — профильный контролирующий орган в области персональных данных.

1. Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия
   — ч. 1 ст. 137 УК РФ

Крайняя мера — ч. 1 ст. 137 УК РФ: незаконное собирание сведений о частной жизни, составляющих личную или семейную тайну, без согласия. Сбор паспортных данных с пропиской без законного основания в крайних формах может оцениваться и так, хотя для единичного требования пропуска это скорее ориентир, чем вероятный сценарий.

1. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных
   — ч. 3 ст. 21 Федерального закона № 152-ФЗ

И наконец, ч. 3 ст. 21 Федерального закона № 152-ФЗ: как только оператору укажут на неправомерную обработку, он обязан в срок не более трёх рабочих дней её прекратить. Это подкрепляет ваше требование удалить данные, если пропуск вам не выдадут.

Вывод: ваш отказ защищён не только ТК РФ, но и иными отраслями: незаконный сбор данных влечёт гражданско-правовую (ст. 152.2 ГК РФ), административную (ч. 1 ст. 13.11 КоАП РФ) и в исключительных случаях уголовную (ч. 1 ст. 137 УК РФ) ответственность, а ТЦ обязана прекратить неправомерную обработку в течение трёх рабочих дней (ч. 3 ст. 21 Федерального закона № 152-ФЗ). Жалобы подаются в Роскомнадзор (по персональным данным) и в ГИТ — по трудовым вопросам, а спор со взысканием — в комиссию по трудовым спорам или районный суд.

Денежные последствия незаконной обработки данных (компенсация морального вреда)

Спор не публично-правовой, а с частными лицами (ТЦ и работодатель), поэтому применимы гражданско-правовые меры защиты — компенсация морального вреда.

Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
— ч. 2 ст. 24 Федерального закона № 152-ФЗ

Часть 2 ст. 24 Федерального закона № 152-ФЗ прямо устанавливает: моральный вред, причинённый субъекту персональных данных нарушением его прав и правил обработки, подлежит возмещению, причём независимо от возмещения имущественного вреда и убытков. То есть за сам факт незаконного сбора/распространения паспортных данных вы вправе требовать денежную компенсацию, даже без доказанного материального ущерба.

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
— ст. 151 ГК РФ

Статья 151 ГК РФ даёт общий механизм: суд возлагает на нарушителя обязанность денежной компенсации морального вреда, причинённого нарушением личных неимущественных прав и нематериальных благ (сюда относятся неприкосновенность частной жизни и охрана изображения — ст. 152.1, 152.2 ГК РФ).

Вывод: при неправомерной (без согласия либо избыточной) обработке ваших паспортных данных и фотографии вы вправе требовать компенсацию морального вреда в судебном порядке (ч. 2 ст. 24 Федерального закона № 152-ФЗ, ст. 151 ГК РФ) — независимо от наличия имущественного ущерба. Требование заявляется в районный суд в рамках защиты личных неимущественных прав.