Согласно части 2 статьи 9 Федерального закона «О персональных данных», согласие на обработку персональных данных может быть отозвано субъектом в любое время. В вашей ситуации это означает, что даже если при приёме на работу вы подписали документ о согласии на обработку фотографий (которые являются биометрическими персональными данными), вы сохраняете право отозвать его после увольнения. Факт подписания согласия не делает его бессрочным и не лишает вас права на отзыв. Единственным ограничением является наличие одного из законных оснований, перечисленных в пунктах 2–11 части 1 статьи 6, частях 2 статьи 10 и части 2 статьи 11 того же закона, при которых оператор (работодатель) вправе продолжать обработку без согласия. В рассматриваемой ситуации — продвижение соцсетей магазина — такое основание, как правило, отсутствует, поскольку цель обработки не связана с трудовыми отношениями (реклама, а не обеспечение трудовой функции). После увольнения трудовые отношения прекратились, и отзыв согласия становится полностью правомерным способом прекратить публикацию ваших изображений.
Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. ... 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
Ваши фотографии являются не только персональными данными, но и изображением гражданина. Статья 152.1 Гражданского кодекса устанавливает, что обнародование и использование изображения гражданина допускаются только с его согласия. Поскольку вы больше не работаете, а ваше участие в фотосессии не было оплачено (позирование за плату, которое освобождает от согласия), и публикация не связана с государственными, общественными интересами, съёмкой на публичном мероприятии, — дальнейшее использование ваших фотографий без вашего нового, отдельного согласия является незаконным. Вы вправе требовать удаления изображений из сети «Интернет» на основании пункта 3 этой статьи.
Статья 152.1 ГК РФ устанавливает, что обнародование и дальнейшее использование изображения гражданина допускаются только с согласия этого гражданина. Согласие не требуется в случаях, указанных в пункте 1 (государственные, общественные или иные публичные интересы; съемка в местах, открытых для свободного посещения, или на публичных мероприятиях; позирование за плату). Пункт 3 предусматривает право гражданина требовать удаления изображения, распространенного в сети 'Интернет' с нарушением пункта 1, а также пресечения или запрещения дальнейшего его распространения.
— Гражданский кодекс Российской Федерации, ст. 152.1
Помимо отзыва согласия, вы можете опереться на статью 14 Федерального закона «О персональных данных», которая напрямую даёт вам право требовать уничтожения ваших персональных данных (включая фотографии). Условие для такого требования — данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки. В вашем случае заявленная цель обработки — продвижение соцсетей — уже не связана с трудовыми отношениями, а вы больше не являетесь работником, то есть ваши фотографии перестали быть необходимыми для достижения этой цели (рекламировать магазин с лицом бывшего сотрудника, который не давал актуального согласия, не является необходимостью). Следовательно, вы можете заявить требование на основании этой статьи.
Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 14
Статья 21 того же закона конкретизирует обязанности оператора (работодателя) при обращении субъекта. Если вы направите требование об удалении фотографий, работодатель обязан проверить правомерность обработки. В случае выявления неправомерной обработки (а мы обосновали её неправомерность отсутствием актуального согласия и отпадением необходимости в данных), оператор обязан прекратить обработку и уничтожить данные. Закон устанавливает конкретные сроки: блокирование — в течение трёх рабочих дней с даты выявления, а уничтожение — в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки. Таким образом, у магазина будет обязанность не просто удалить фото, но и сделать это в установленный законом срок.
Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных. 1. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя ... оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных ... 3. В случае выявления неправомерной обработки персональных данных ... оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных ... В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки перс
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 21
Необходимо также рассмотреть нормы Трудового кодекса, поскольку отношения возникли в трудовой сфере. Статья 86 ТК РФ устанавливает общие требования: обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов, содействия работникам в трудоустройстве, продвижении по службе, контроля количества и качества работы и обеспечения сохранности имущества. Цель «продвижение соцсетей магазина» не входит в этот перечень, а значит на этапе, когда вы ещё работали, использование фотографий для рекламы уже могло выходить за рамки разрешённого обработки персональных данных работника. После увольнения эта цель тем более не связана с трудовыми отношениями, что усиливает вашу позицию.
Статья 86 ТК РФ устанавливает общие требования при обработке персональных данных работника, в частности: обработка может осуществляться исключительно в целях обеспечения соблюдения законов, содействия работникам в трудоустройстве, продвижении по службе, контроля количества и качества работы и обеспечения сохранности имущества (п.1); все персональные данные работника следует получать у него самого (п.3); работодатель обязан обеспечить защиту персональных данных от неправомерного использования (п.7).
— Трудовой кодекс Российской Федерации, ст. 86
Статья 89 ТК РФ предоставляет работнику (в том числе бывшему, поскольку речь идёт о данных, полученных в период работы) право требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением требований закона. Поскольку обработка ваших фотографий после увольнения без нового согласия является нарушением, вы можете требовать их исключения (удаления) на основании этой нормы. Статья 89 также даёт право при отказе работодателя заявить письменное несогласие с обоснованием, что фиксирует вашу позицию для дальнейшей защиты.
Статья 89 ТК РФ предоставляет работникам право требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением требований ТК РФ или иного федерального закона. При отказе работодателя исключить или исправить персональные данные работник имеет право заявить в письменной форме о своем несогласии с соответствующим обоснованием.
— Трудовой кодекс Российской Федерации, ст. 89
Порядок хранения и использования персональных данных работников, установленный статьёй 87 ТК РФ, должен разрабатываться работодателем с соблюдением требований закона. Если в локальном акте магазина (Положении о защите персональных данных) не предусмотрено право продолжать использовать фотографии бывших работников для рекламы, то хранение и использование фотографий после увольнения является нарушением и этого порядка. Статья 90 ТК РФ устанавливает ответственность за нарушение правил обработки персональных данных работника, что означает возможные негативные последствия для работодателя (от дисциплинарной до административной), если он откажется выполнить ваше законное требование.
Статья 87. Хранение и использование персональных данных работников Порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований настоящего Кодекса и иных федеральных законов.
— Трудовой кодекс Российской Федерации, ст. 87
Статья 90 ТК РФ устанавливает ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника, включая дисциплинарную, материальную, гражданско-правовую, административную и уголовную ответственность.
— Трудовой кодекс Российской Федерации, ст. 90
Таким образом, совокупность норм Федерального закона «О персональных данных» (статьи 9, 14, 21) и Гражданского кодекса (статья 152.1), а также Трудового кодекса (статьи 86, 89, 87, 90) даёт вам право отозвать согласие, потребовать удаления фотографий, и обязывает работодателя выполнить это требование, поскольку цель обработки (продвижение соцсетей) не связана с трудовыми отношениями и сама обработка после увольнения без нового согласия является неправомерной.
