Иконка поиска
Логотип Все адвокаты

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Запросите у работодателя письменное разъяснение о правовом основании и цели запроса ваших данных службой закупок.
  2. 2
    Потребуйте предоставить локальный нормативный акт, допускающий такую внутреннюю передачу данных, и подтверждение вашего ознакомления с ним.descriptionПисьменное требование работника о предоставлении локального нормативного акта, допускающего внутреннюю передачу персональных данных, и подтверждении ознакомлени (свободная форма)
  3. 3
    Откажитесь давать согласие на обработку данных для целей закупочной деятельности, пока не получите законные обоснования.
  4. 4
    Зафиксируйте факт запроса и передачу данных (письма, электронная переписка, показания свидетелей) для возможного обжалования.
  5. 5
    При отказе в разъяснениях и подтверждении нарушения — подайте иск о компенсации морального вреда в суд.

Документы и доказательства

  • Письменное разъяснение отдела кадров о правовом основании и цели передачи ваших данных службе закупок.
  • Локальный нормативный акт работодателя о передаче персональных данных внутри организации (если имеется).
  • Ваше письменное согласие на обработку персональных данных, данное при трудоустройстве.
  • Письменный запрос службы закупок в отдел кадров о предоставлении ваших данных.
  • Документы, подтверждающие факт передачи данных (акты, электронные реестры, служебные записки).
  • Копия вашего трудового договора и должностной инструкции сотрудника отдела кадров.

  • Срочно: первые шаги

    • Письменно зафиксируйте факт запроса: дата, подразделение, какие именно данные и для какой цели запрошены.
    • Не давайте согласия на передачу данных службе закупок, пока не получите письменное обоснование от работодателя.
    • Потребуйте у работодателя письменное разъяснение о правовом основании запроса и локальном акте, разрешающем такую передачу.
    • Проверьте, ознакомлены ли вы под роспись с локальным актом, который мог бы регулировать внутреннюю передачу персональных данных.
    • Зафиксируйте отсутствие вашего письменного согласия на обработку данных в целях закупочной деятельности.
    • При отказе в разъяснениях или подтверждении неправомерной передачи — готовьте жалобу в Роскомнадзор.

  • Сроки и риски

    • Немедленно запросите у отдела кадров копию локального акта, на основании которого службе закупок переданы ваши данные.
    • Потребуйте письменное разъяснение о цели запроса данных — она должна соответствовать целям трудовых отношений.
    • При отсутствии законного основания передача данных влечет штраф по ч. 2 ст. 13.11 КоАП РФ: для должностных лиц — до 300 000 руб.
    • Риск: неправомерная передача данных может быть квалифицирована по ч. 2 ст. 137 УК РФ — до 2 лет лишения свободы.
    • Вы вправе требовать компенсацию морального вреда по ч. 2 ст. 24 ФЗ-152 независимо от имущественного ущерба.
    • Срок для привлечения к административной ответственности по ст. 13.11 КоАП РФ — не пропустите момент обращения в Роскомнадзор.

  • Чего не делать

    • Не подписывайте никаких согласий на передачу данных службе закупок, пока не получите письменное разъяснение целей обработки.
    • Не давайте устных разрешений и не подтверждайте запрос по электронной почте — требуйте письменный запрос.
    • Не соглашайтесь на обработку данных, если цель (участие в торгах) не связана с вашей трудовой функцией.
    • Не подписывайте локальные акты о передаче данных задним числом и без ознакомления с их содержанием.
    • Не сообщайте службе закупок дополнительные данные сверх запрошенных, даже если они у вас есть.
    • Не угрожайте уголовным преследованием (ст. 137 УК РФ) до фиксации факта передачи данных без вашего согласия.

  • Когда нужен адвокат

    • Если данные уже использованы службой закупок для участия в торгах: Обратитесь к юристу, если служба закупок уже использовала ваши данные для участия в торгах — это создаёт риск уголовной ответственности по ст. 137 УК РФ.
    • Если клиент решит подавать заявление в следственные органы: Адвокат нужен при подготовке заявления в органы следствия: требуется юридическая квалификация действий сотрудников по ч. 2 ст. 137 УК РФ.
    • Без адвоката не обойтись, если работодатель отказывается дать письменные объяснения о целях запроса и основании передачи данных.
    • Привлеките защитника для ведения дела в суде о компенсации морального вреда, если работодатель оспаривает факт нарушения.
    • Консультация адвоката необходима, если вы планируете одновременно обжаловать действия в Роскомнадзор и подавать иск — нужна стратегия.
    • Обратитесь к адвокату до подписания любых документов о передаче данных, чтобы избежать признания вашего согласия на обработку.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Развёрнутый ответ Нейроадвоката

Работник состоит в трудовых отношениях с работодателем; служба закупок является внутренним структурным подразделением того же работодателя. Отдел кадров располагает персональными данными работника — паспортные данные, адрес регистрации, дата рождения, — полученными в рамках трудовых отношений. Служба закупок запросила эти данные без согласия работника. Согласие на обработку данных в заявленных целях работник не давал; локальный акт, предусматривающий такую внутреннюю передачу, в ситуации не фигурирует. Из этого следует, что передача данных между подразделениями состоялась либо готовится без подтверждённого законного основания, а цель запроса выходит за пределы целей обработки данных работника, установленных трудовым законодательством.

Каков правовой режим обработки персональных данных и чей круг (кроме правоохранительных органов) вправе получать их без согласия

Базовое правило: обработка персональных данных (включая передачу/распространение) допускается только с согласия субъекта. Исключения образуют закрытый перечень части 1 статьи 6 ФЗ-152.

Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
— ч. 1 ст. 6 ФЗ № 152-ФЗ «О персональных данных»

Этот перечень — исчерпывающий. Иных «организаций», которые могли бы получать персональные данные «без согласия» по своему усмотрению, закон не содержит. Все случаи без согласия привязаны не к статусу организации как таковому, а к конкретному законному основанию:

обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта); (Дополнение пунктом - Федеральный закон от 29.07.2017 № 223-ФЗ) 4) обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года № 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг; (В редакции Федерального закона от 05.04.2013 № 43-ФЗ ) 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных ; (В редакции федеральных законов от 21.12.2013 № 363-ФЗ, от 03.07.2016 № 231-ФЗ, от 14.07.2022 № 266-ФЗ) 6) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
— ч. 1 ст. 6 ФЗ-152, пп. 2, 6

Применительно к вашему вопросу это означает следующее. Паспортные данные, адрес регистрации и дата рождения — это обычные персональные данные (не специальная категория из ст. 10 ФЗ-152 и не биометрия), поэтому для их обработки действует общий режим: либо согласие субъекта (пп. 1 ч. 1 ст. 6), либо одно из оснований пп. 2–11. Правоохранительные органы (МВД, ФСБ, прокуратура) действуют без согласия только потому, что подпадают под пп. 2 (возложенные законом функции и полномочия) и ст. 6 ФЗ «О полиции», ст. 10 ФЗ-152 — то есть тоже в силу закона, а не произвольно. Любая иная организация «получить данные без согласия» может лишь тогда, когда закон прямо возлагает на неё соответствующие функции/обязанности (например, суды и органы ФССП — по п. 3 и п. 3¹; внебюджетные фонды, органы власти — по п. 4; банк или иной контрагент — по п. 5 в отношении договора с вами как стороной). Отдельно — работодатель и его подразделения, режим которых установлен главой 14 ТК РФ (см. следующий блок).

Вывод по вопросу: универсального списка «организаций, которым можно передавать данные без согласия», в законодательстве нет. Перечень случаев в ч. 1 ст. 6 ФЗ-152 является закрытым, и любая организация вправе обрабатывать (получать) ваши данные без согласия только при наличии одного из перечисленных в нём законных оснований; во всех остальных случаях требуется ваше согласие.

Правомерна ли передача данных службе закупок без вашего согласия и применима ли норма о «третьей стороне»

Служба закупок — это внутреннее структурное подразделение того же работодателя, а не «третья сторона» в смысле ст. 88 ТК РФ. Поэтому прямой запрет «не сообщать данные третьей стороне без письменного согласия» здесь буквально не срабатывает — но это не означает, что передача внутри организации свободна. Она ограничена двумя правилами.

Правило 1 — целевое использование. Данные работника обрабатываются исключительно в целях, перечисленных в п. 1 ст. 86 ТК РФ (обеспечение соблюдения законов, содействие в трудоустройстве и продвижении, личная безопасность, контроль количества и качества работы, сохранность имущества). Использование данных службой закупок для участия организации в торгах в этот перечень не входит.

Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение; 4) работодатель не имеет права получать и обрабатывать сведения о работнике, относящиеся в соответствии с законодательством Российской Федерации в области персональных данных к специальным категориям персональных данных, за исключением случаев, предусмотренных настоящим Кодексом и другими федеральными законами; (В редакции Федерального закона от 07.05.2013 № 99-ФЗ) 5) работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных настоящим Кодексом или иными федеральными законами; (В редакции Федерального закона от 30.06.2006 № 90-ФЗ) 6) при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения;
— п. 3 ст. 86 ТК РФ

Правило 2 — передача в пределах организации только по локальному акту, с которым работник ознакомлен под роспись.

осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись;
— абз. 4 ст. 88 ТК РФ

Это же требование корреспондирует принципу целевого ограничения обработки:

Обработка персональных данных должна осуществляться на законной и справедливой основе. 2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей
— ч. 1–2 ст. 5 ФЗ-152

Таким образом, внутренняя передача данных службе закупок допустима одновременно при соблюдении двух условий: (а) она предусмотрена локальным нормативным актом работодателя (положением о персональных данных / о порядке доступа к данным), с которым вы ознакомлены под роспись, и (б) передача соответствует целям, ради которых данные о вас собирались (трудовые отношения), а не иным коммерческим целям организации.

Развилка. Если запрос службы закупок обусловлен конкретной производственной необходимостью (например, организация готовит заявку по 44-ФЗ/223-ФЗ, где фигурируют данные руководителя, учредителя или конкретных сотрудников) — это иная цель обработки, не совпадающая с целями сбора ваших данных при трудоустройстве. В этом случае согласие требуется, и ссылаться лишь на «внутреннюю передачу» нельзя. Если же данные запрошены «на всякий случай» без цели — это грубое нарушение принципа минимизации (ч. 5 ст. 5 ФЗ-152) и п. 1 ст. 86 ТК РФ.

Вывод по вопросу: сама по себе принадлежность службы закупок к той же организации не даёт ей права получать ваши паспортные данные, прописку и дату рождения без согласия. Такая передача законна только если она прямо предусмотрена локальным актом (с которым вы ознакомлены под роспись) и не выходит за пределы целей обработки ваших данных как работника; использование данных в коммерческих/закупочных целях организации требует вашего отдельного письменного согласия.

Ответственность за неправомерную передачу данных и способы защиты

Неправомерная обработка (в том числе передача) персональных данных влечёт административную ответственность по ст. 13.11 КоАП РФ.

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, -
— ч. 1 ст. 13.11 КоАП РФ

Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей.
— ч. 2 ст. 13.11 КоАП РФ

Если передача ваших данных без согласия содержит признаки уголовно наказуемого деяния, возможно применение ст. 137 УК РФ (незаконное собирание сведений о частной жизни, составляющих личную или семейную тайну), а при совершении с использованием служебного положения — её ч. 2 (более строгая санкция):

Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации , за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции федеральных законов от 08.12.2003 № 162-ФЗ , от 30.11.2024 № 421-ФЗ ) наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо принудительными работами на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет. (В редакции Федерального закона от 07.12.2011 № 420-ФЗ ) 2.
— ч. 2 ст. 137 УК РФ

Кроме того, ст. 90 ТК РФ прямо предусматривает, что виновные в нарушении порядка обработки персональных данных работника привлекаются к дисциплинарной, материальной, гражданско-правовой, административной и уголовной ответственности:

Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном настоящим Кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
— ст. 90 ТК РФ

Гражданско-правовое последствие — компенсация морального вреда — предусмотрена ФЗ-152 и не зависит от возмещения имущественного вреда:

Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков. (Дополнение частью - Федеральный закон от 25.07.2011 № 261-ФЗ) Глава 6. Заключительные положения
— ч. 2 ст. 24 ФЗ-152

Механизмы защиты (едины для всех веток ситуации):

  1. потребовать от работодателя письменного разъяснения цели запроса и правового основания (локальный акт, ваше согласие) — обязанность предоставлять такую информацию вытекает из режима обработки ПД;
  2. при отсутствии законного основания — направить требование о прекращении обработки/передачи;
  3. подать жалобу в Роскомнадзор (уполномоченный орган по защите прав субъектов персональных данных) — административное реагирование по ст. 13.11 КоАП РФ;
  4. обратиться с иском в суд о компенсации морального вреда (ч. 2 ст. 24 ФЗ-152) и возложении обязанности прекратить обработку;
  5. при признаках преступления — заявление в порядке ст. 141, 144 УПК РФ о проверке по ст. 137 УК РФ (ч. 2 — при использовании служебного положения).

Вывод по вопросу: неправомерная передача ваших персональных данных службе закупок без согласия и вне законного основания является нарушением ФЗ-152 и ТК РФ, за которое предусмотрена административная (ст. 13.11 КоАП РФ) и, при наличии признаков, уголовная (ст. 137 УК РФ) ответственность, а также влечёт компенсацию морального вреда. Защита осуществляется через Роскомнадзор, суд и (при признаках преступления) органы следствия.

Прямой ответ: универсального перечня организаций, которые вправе получать ваши персональные данные без согласия, не существует — любая организация (включая внутренние подразделения работодателя) может делать это только при наличии одного из закрытого перечня оснований, предусмотренных ч. 1 ст. 6 ФЗ-152, либо в порядке, установленном ст. 88 ТК РФ для внутренней передачи.

Развёрнутый вывод по ситуации:

1. Какие организации вправе получать персональные данные без согласия (помимо правоохранительных органов).

Закон не устанавливает списка «организаций», а устанавливает закрытый перечень случаев обработки персональных данных без согласия субъекта (ч. 1 ст. 6 ФЗ-152). К таким случаям, в частности, относятся:

  • обработка необходима для осуществления функций и полномочий, возложенных законом на оператора (пп. 2 ч. 1 ст. 6 ФЗ-152) — сюда подпадают государственные органы, внебюджетные фонды, органы местного самоуправления, а также иные организации, на которые законом прямо возложены соответствующие функции;
  • обработка в связи с участием лица в судопроизводстве (пп. 3 ч. 1 ст. 6 ФЗ-152) — суды, органы принудительного исполнения;
  • обработка необходима для исполнения договора, стороной которого является субъект персональных данных (пп. 5 ч. 1 ст. 6 ФЗ-152) — контрагенты по договору с вами;
  • обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта, если получить согласие невозможно (пп. 6 ч. 1 ст. 6 ФЗ-152).

Таким образом, любая организация вправе получать ваши персональные данные без согласия только при наличии конкретного законного основания из ч. 1 ст. 6 ФЗ-152, а не в силу своего статуса или организационно-правовой формы.

2. Правомерность передачи ваших данных службе закупок без согласия.

Служба закупок — это внутреннее структурное подразделение вашего работодателя, а не «третья сторона» в смысле ст. 88 ТК РФ. Однако это не означает, что передача данных внутри организации свободна.

Внутренняя передача персональных данных работника допустима только при одновременном соблюдении двух условий:

  • передача предусмотрена локальным нормативным актом работодателя, с которым вы ознакомлены под роспись (абз. 4 ст. 88 ТК РФ);
  • передача соответствует целям обработки персональных данных работника, установленным п. 1 ст. 86 ТК РФ (обеспечение соблюдения законов, содействие в трудоустройстве, личная безопасность, контроль количества и качества работы, сохранность имущества).

Использование ваших паспортных данных, прописки и даты рождения службой закупок для участия организации в торгах (44-ФЗ, 223-ФЗ) или иных коммерческих целях не совпадает с целями сбора ваших данных при трудоустройстве и является несовместимой с ними. Такая обработка нарушает принцип целевого ограничения (ч. 1–2 ст. 5 ФЗ-152) и требует вашего отдельного письменного согласия (пп. 1 ч. 1 ст. 6 ФЗ-152).

3. Ответственность за неправомерную передачу данных.

Неправомерная обработка персональных данных влечёт:

  • административную ответственность по ч. 1 ст. 13.11 КоАП РФ (обработка в случаях, не предусмотренных законодательством) и ч. 2 ст. 13.11 КоАП РФ (обработка без письменного согласия, когда оно требуется) — штраф на граждан от 10 000 до 15 000 руб., на должностных лиц от 100 000 до 300 000 руб., на юридических лиц от 300 000 до 700 000 руб.;
  • уголовную ответственность по ч. 2 ст. 137 УК РФ (незаконное собирание сведений о частной жизни с использованием служебного положения) — наказание вплоть до лишения свободы на срок до 2 лет;
  • дисциплинарную, материальную и гражданско-правовую ответственность виновных лиц (ст. 90 ТК РФ);
  • компенсацию морального вреда независимо от возмещения имущественного вреда и убытков (ч. 2 ст. 24 ФЗ-152).

Пошаговые действия

  1. Запросите у работодателя письменное разъяснение — на каком правовом основании (локальный акт, ваше согласие, иное) и для какой цели служба закупок запросила ваши персональные данные. Требование о предоставлении такой информации вытекает из режима обработки персональных данных, установленного ФЗ-152.

  2. Проверьте локальные нормативные акты работодателя (положение о персональных данных, положение о службе закупок, приказы о доступе к данным) — предусмотрена ли в них передача данных работников службе закупок и ознакомлены ли вы с ними под роспись (абз. 4 ст. 88 ТК РФ).

  3. При отсутствии законного основания направьте работодателю письменное требование о прекращении обработки/передачи ваших персональных данных службе закупок.

  4. Подайте жалобу в Роскомнадзор — уполномоченный орган по защите прав субъектов персональных данных — с указанием факта передачи данных без вашего согласия и вне законного основания. Роскомнадзор вправе провести проверку и привлечь виновных к административной ответственности по ст. 13.11 КоАП РФ.

  5. Обратитесь в суд с иском о компенсации морального вреда (ч. 2 ст. 24 ФЗ-152) и возложении обязанности прекратить неправомерную обработку персональных данных.

  6. При наличии признаков преступления (незаконное собирание сведений о частной жизни с использованием служебного положения) подайте заявление в органы следствия в порядке ст. 141, 144 УПК РФ о проведении проверки по ч. 2 ст. 137 УК РФ.