Иконка поиска
Логотип Все адвокаты
Вопрос
Обман потребителей

Можно ли не давать администрации торгового центра копию паспорта и фото для пропуска, если в договоре и на входе пропуск не предусмотрен

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Откажите администрации ТЦ в копии паспорта и фото — законного основания нет.descriptionТребование
  2. 2
    Письменно уведомьте работодателя: передавать ваши данные ТЦ без согласия нельзя.descriptionЗаявление работника работодателю
  3. 3
    Потребуйте от ТЦ письменно указать цель и правовое основание обработки данных.descriptionЗапрос о персональных данных
  4. 4
    Зафиксируйте отсутствие пропускного режима: фото входа, отсутствие турникетов.
  5. 5
    При давлении работодателя — требуйте письменные распоряжения и не подписывайте согласие.

Документы и доказательства

  • Письменный отказ администрации ТЦ с указанием: согласия на обработку ПДн не давали, пропускной режим отсутствует.
  • Ваш экземпляр трудового договора с магазином — подтверждает отсутствие обязанности передавать данные ТЦ.
  • Если клиент добровольно решит дать согласие: Письменное согласие на обработку ПДн, адресованное администрации ТЦ, — только если решите его дать добровольно.
  • Доказательства отсутствия пропускного режима: фото входа, отсутствие турникетов, показания коллег.
  • Письменное заявление работодателю о недопустимости передачи ваших ПДн третьим лицам без вашего согласия.
  • Если тЦ продолжит требовать данные после обращения в Роскомнадзор: Копия обращения в Роскомнадзор о неправомерной обработке ПДн администрацией ТЦ — при продолжении требований.

  • Срочно: первые шаги

    • Письменно уведомьте администрацию ТЦ об отказе и отсутствии согласия на обработку данных.
    • Сообщите работодателю: передавать ваши данные ТЦ без письменного согласия он не вправе.
    • Сохраните копию трудового договора — подтверждение отсутствия обязанности передавать данные.
    • При давлении требуйте письменное требование ТЦ с указанием правового основания.

  • Чего не делать

    • Не передавайте администрации ТЦ копию паспорта и фотографию — законного основания у них нет.
    • Не подписывайте согласие на обработку персональных данных для ТЦ, если не хотите этого делать.
    • Не соглашайтесь на передачу ваших данных работодателем в ТЦ без вашего письменного согласия.
    • Не считайте отказ дисциплинарным проступком — такой обязанности нет ни в законе, ни в договоре.
    • Не давайте устных объяснений администрации ТЦ о причинах отказа — достаточно письменного отказа.
    • Не позволяйте фотографировать себя для «пропуска» — фото для установления личности является биометрическими ПДн.

  • Когда нужен адвокат

    • Если тЦ или работодатель начнут давить увольнением или взысканием: Адвокат нужен, если ТЦ или работодатель начнут давить увольнением или взысканием за отказ.
    • Если работодатель передал данные ТЦ без письменного согласия: Обратитесь к адвокату, если работодатель передал ваши данные ТЦ без письменного согласия.
    • Если потребуется жалоба в Роскомнадзор и суд о компенсации морального вреда: Нужен адвокат для жалобы в Роскомнадзор и суда о компенсации морального вреда.
    • Если тЦ угрожает не пускать на рабочее место без копии паспорта: Берите адвоката, если ТЦ угрожает не пускать вас на рабочее место без копии паспорта.
    • Если пропускной режим всё же введут и отказ станет препятствием к работе: Адвокат поможет, если пропускной режим всё же введут и отказ станет препятствием к работе.

  • Альтернативные пути

    • Предложите администрации ТЦ письменно обосновать цель и основание обработки ваших данных.
    • Согласуйте с работодателем: пусть магазин сам урегулирует вопрос пропусков с ТЦ.
    • Предложите ТЦ альтернативу: пропуск по фамилии без копии паспорта и фото.
    • Направьте ТЦ письменный отказ со ссылкой на отсутствие согласия и законной цели.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Развёрнутый ответ Нейроадвоката

Клиентка состоит в трудовых отношениях с организацией-арендатором (продуктовым магазином), а не с администрацией торгового центра. Администрация ТЦ — третье лицо, не связанное с клиенткой ни трудовым, ни гражданско-правовым договором. Она требует копию паспорта и фотографию, обосновывая это оформлением пропуска, однако фактически пропускной режим отсутствует: вход осуществляется через центральные двери, турникетов нет, пропуска никто не предъявляет. В трудовом договоре клиентки обязанность передавать персональные данные администрации ТЦ не закреплена, согласие на обработку персональных данных администрации ТЦ клиентка не подписывала. Из этого следует, что у администрации ТЦ отсутствует законное основание для обработки персональных данных клиентки, а требование о передаче копии паспорта и фотографии не порождает для клиентки юридической обязанности.

Затронутые правоотношения:

  • Трудовые отношения между клиенткой и магазином-арендатором — определяют, что дисциплинарную власть и право обрабатывать персональные данные работницы имеет только работодатель; администрация ТЦ в эти отношения не входит и предъявлять обязательные требования к работнице не вправе.
  • Отношения по обработке персональных данных между клиенткой и администрацией ТЦ — администрация ТЦ, запрашивая копию паспорта и фотографию, фактически осуществляет сбор персональных данных, что требует законного основания; при отсутствии согласия и реальной цели обработки такое требование неправомерно.
  • Арендные отношения между магазином и ТЦ — договор аренды создаёт обязательства только для его сторон; он не порождает обязанностей у работников арендатора и не является основанием для обработки их персональных данных администрацией ТЦ.
  • Отношения по защите права на изображение и неприкосновенность частной жизни — фотография, используемая для установления личности, относится к биометрическим персональным данным, а копия паспорта содержит сведения о месте жительства; их обработка без добровольного согласия не допускается.

Юридически значимые обстоятельства:

  1. Клиентка не состоит в договорных отношениях с администрацией ТЦ — обязательства из договора аренды между магазином и ТЦ на неё не распространяются, поэтому требование администрации ТЦ не создаёт для неё обязанности.
  2. Фактический пропускной режим отсутствует — вход свободный, турникетов нет, пропуска не предъявляются; заявленная цель обработки («оформление пропуска») не соответствует действительности, что делает сбор копии паспорта и фотографии избыточным и не имеющим законной цели.
  3. Согласие на обработку персональных данных администрации ТЦ клиентка не давала — единственным возможным основанием обработки в данном случае является добровольное согласие субъекта, которое отсутствует.
  4. Копия паспорта содержит сведения о регистрации, а фотография относится к биометрическим персональным данным — их обработка требует письменного согласия субъекта, которое клиентка вправе не давать.
  5. Работодатель не вправе передавать персональные данные работницы третьим лицам без её письменного согласия — даже если магазин получит такое требование от ТЦ, передача данных без согласия работницы будет нарушением трудового законодательства.
  6. Отказ клиентки передать данные администрации ТЦ не образует дисциплинарного проступка — такая обязанность не предусмотрена ни законом, ни трудовым договором, следовательно, работодатель не вправе применить дисциплинарное взыскание за отказ.

Есть ли у администрации ТЦ законное основание требовать копию паспорта и фото — правовой статус требования

Клиентка состоит в трудовых отношениях только со своим магазином (арендатором), а не с владельцем торгового центра. Администрация ТЦ — третье лицо, с которым у неё нет ни трудового, ни гражданско-правового договора. Обработка персональных данных (а сверить копию паспорта, сделать и хранить фотографию — это именно обработка: сбор, запись, хранение) допускается только на одном из закрытых законом оснований, и бремя доказывания наличия такого основания лежит на самом операторе, то есть на ТЦ.

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ч. 3 ст. 9 Федерального закона № 152-ФЗ

Для лица, не участвующего в арендном договоре, обязательства из этого договора не создаются: договор между магазином и ТЦ не порождает обязанностей у работницы лично, а стало быть, не является и основанием обработки её данных по п. 5 ч. 1 ст. 6 152-ФЗ.

  1. обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; (В редакции Федерального закона от 29.07.2017 № 223-ФЗ ) 3 1 ) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);
    — п. 1, 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ

Применительно к фактам: цель «оформление пропуска» фактически не реализуется — вход свободный через центральные двери, пропуска никто не предъявляет, турникетов нет. Значит, у ТЦ нет реальной, заранее определённой и законной цели сбора, ради которой требовались бы паспорт и фотография. Единственным возможным основанием обработки остаётся согласие субъекта ПДн (п. 1 ч. 1 ст. 6 152-ФЗ), которое клиентка вправе не давать.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. (Статья в редакции Федерального закона от 25.07.2011 № 261-ФЗ )
— ст. 7 Федерального закона № 152-ФЗ

Вывод: администрация ТЦ не вправе в одностороннем порядке требовать у работницы копию паспорта и фотографию. Законного основания обработки (ни договора с ней, ни возложенной законом функции, ни реального пропускного режима) у ТЦ нет; обработка возможна только с её добровольного согласия, которое она вправе не давать.

Вправе ли работник отказаться от передачи копии паспорта и фотографии

Согласие на обработку персональных данных даётся свободно, своей волей и в своём интересе, при этом оно должно быть оформлено отдельным документом — а не «вшито» в заявление о приёме на работу по отношению к магазину, и тем более не может презюмироваться в пользу постороннего ТЦ.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.
— ч. 1 ст. 9 Федерального закона № 152-ФЗ

Более того, копия паспорта содержит сведения о регистрации (месте жительства), а фотография, используемая оператором для установления личности, является биометрическими персональными данными. Для их обработки закон устанавливает специальную, повышенную форму защиты.

Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
— п. 1 ст. 152.2 ГК РФ

Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
— ч. 1 ст. 11 Федерального закона № 152-ФЗ

Предоставление биометрических персональных данных не может быть обязательным, за исключением случаев, предусмотренных частью 2 настоящей статьи. Оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если в соответствии с федеральным законом получение оператором согласия на обработку персональных данных не является обязательным.
— ч. 3 ст. 11 Федерального закона № 152-ФЗ

Отсюда прямо следует: предоставление и паспортных данных (с регистрацией), и фотографии как биометрических данных — предмет исключительно добровольного согласия, и отказать в нём работница вправе, причём оператор не вправе «отказывать в обслуживании» за отказ предоставить биометрию. Требование администрации ТЦ в части копии паспорта с пропиской и фотографии для «пропуска», который фактически не действует, избыточно по отношению к заявленной цели.

Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
— ч. 5 ст. 5 Федерального закона № 152-ФЗ

Вывод: работница вправе отказаться передавать администрации ТЦ и копию паспорта, и свою фотографию. Эти данные либо вовсе не нужны ТЦ (копия паспорта с пропиской — избыточна при отсутствии реального пропускного режима), либо требуют её отдельного письменного согласия (биометрическая фотография), которого она не давала и давать не обязана.

Роль работодателя и границы его права распоряжаться данными работницы

Дисциплинарную власть и право обрабатывать персональные данные работницы имеет только её работодатель, а не администрация ТЦ. Однако даже работодатель не вправе передавать данные работника третьей стороне без письменного согласия самого работника, а все данные обязан получать у него самого.

При передаче персональных данных работника работодатель должен соблюдать следующие требования: не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами;
— абз. 2 ст. 88 ТК РФ

  1. все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;
    — п. 3 ч. 1 ст. 86 ТК РФ

Это означает: если магазин под давлением ТЦ попытается сам передать копию паспорта и фото работницы администрации ТЦ без её письменного согласия — он нарушит ТК РФ. А требование ТЦ «принести данные» работница вправе адресовать обратно: взаимодействовать с ней по вопросам, не вытекающим из трудового договора с магазином, ТЦ не вправе. Само по себе требование администрации ТЦ не создаёт для работницы трудовой обязанности, за неисполнение которой работодатель мог бы применить дисциплинарное взыскание.

За совершение дисциплинарного проступка, то есть неисполнение или ненадлежащее исполнение работником по его вине возложенных на него трудовых обязанностей, работодатель имеет право применить следующие дисциплинарные взыскания
— ч. 1 ст. 192 ТК РФ

Передача чужих персональных данных без согласия субъекта влечёт ответственность лица, виновного в нарушении, — дисциплинарную, материальную (если это работник магазина), а также административную и гражданско-правовую.

Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном настоящим Кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
— ст. 90 ТК РФ

Вывод: работодатель не вправе без письменного согласия работницы передавать её персональные данные (копию паспорта, фото) администрации ТЦ; сам по себе отказ работницы передать данные постороннему ТЦ не образует дисциплинарного проступка, поскольку такая «обязанность» не предусмотрена ни законом, ни её трудовым договором.

Ответственность ТЦ при неправомерной обработке и механизмы защиты — с развилкой «если ТЦ введёт реальный пропускной режим»

Обработка персональных данных в случаях, не предусмотренных законодательством (то есть без согласия и без иного законного основания), образует административное правонарушение.

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния
— ч. 1 ст. 13.11 КоАП РФ

Если ТЦ, несмотря на отказ, всё же получит и начнёт использовать копию паспорта или фото (например, от работодателя), работница вправе потребовать немедленного прекращения и уничтожения неправомерно обрабатываемых данных, а при причинении ей этим нравственных страданий — компенсации морального вреда.

В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган. 3 1 . В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных: 1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом; 2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии). (Дополнение частью - Федеральный закон от 14.07.2022 № 266-ФЗ ) 4. В случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение
— ч. 3, 5 ст. 21 Федерального закона № 152-ФЗ

Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков. (Дополнение частью - Федеральный закон от 25.07.2011 № 261-ФЗ ) Глава 6. Заключительные положения
— ч. 2 ст. 24 Федерального закона № 152-ФЗ

Процедура защиты (единая для всех веток): (1) письменный отказ администрации ТЦ с указанием, что согласие на обработку ПДн не предоставлялось и пропускной режим фактически отсутствует; (2) при продолжении давления — письменное требование к работодателю не передавать данные без согласия (абз. 2 ст. 88 ТК РФ); (3) жалоба в Роскомнадзор (уполномоченный орган по защите прав субъектов ПДн) на неправомерную обработку — ч. 1 ст. 13.11 КоАП РФ; при нарушении трудовых прав работодателем — в ГИТ или суд (ст. 89 ТК РФ о праве обжаловать в суд неправомерные действия работодателя).

Развилка. Если ТЦ введёт реальный пропускной режим и доступ на рабочее место будет поставлен в зависимость от пропуска, ситуация меняется в одном существенном пункте: обеспечить работнице доступ к рабочему месту и безопасные условия труда обязан её работодатель (ст. 21, 22 ТК РФ). В этом случае: (а) обязанность урегулировать пропуск лежит на магазине-арендаторе, а не на работнице лично; (б) если арендатору для пропуска действительно нужны данные работницы, он обязан получить её отдельное письменное согласие на передачу конкретных данных ТЦ, а для биометрической фотографии — письменное согласие в порядке ч. 1 ст. 11 152-ФЗ; (в) отказ работницы дать согласие на передачу избыточного состава данных (полная копия паспорта вместо ФИО) не может быть основанием для привлечения её к дисциплинарной ответственности — работодатель должен добиваться допуска иными законными средствами, а невозможность допустить работницу по вине работодателя квалифицируется как простой с оплатой по ст. 157 ТК РФ (не по вине работника).

Вывод: в текущих фактических обстоятельствах (пропускной режим фактически отсутствует) требование ТЦ неправомерно, и работница вправе отказаться, обжаловав давление в Роскомнадзор/ГИТ/суд; даже при реальном введении пропуска обязанность обеспечить допуск и законно оформить передачу данных лежит на работодателе, а не на работнице, и не может обосновывать увольнение или иное взыскание за отказ предоставить избыточные данные без её согласия.

Вы вправе отказать администрации торгового центра в предоставлении копии паспорта и фотографии — законного основания для обработки ваших персональных данных у ТЦ нет, а согласие на такую обработку вы не давали и давать не обязаны.

Развёрнутый вывод

По требованию администрации ТЦ о предоставлении копии паспорта и фотографии

Администрация ТЦ — третье лицо, с которым у вас нет ни трудовых, ни гражданско-правовых отношений. Обработка персональных данных (сбор, запись, хранение копии паспорта и фотографии) допускается только при наличии одного из законных оснований, предусмотренных п. 1, 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ. Договор аренды заключён между магазином и ТЦ, вы не являетесь его стороной, поэтому он не может служить основанием обработки ваших данных по п. 5 ч. 1 ст. 6 152-ФЗ. Бремя доказывания наличия согласия или иного законного основания обработки лежит на самом операторе — то есть на ТЦ (ч. 3 ст. 9 152-ФЗ).

Заявленная цель «оформление пропуска» фактически не реализуется: вход свободный через центральные двери, пропуска никто не предъявляет, турникетов нет. Это означает, что у ТЦ отсутствует реальная, заранее определённая и законная цель сбора данных, а объём запрашиваемых сведений (полная копия паспорта с регистрацией) избыточен по отношению к заявленной цели, что прямо запрещено ч. 5 ст. 5 152-ФЗ.

Единственным возможным основанием обработки в такой ситуации остаётся ваше добровольное согласие (п. 1 ч. 1 ст. 6 152-ФЗ), которое должно быть конкретным, предметным, информированным, сознательным и однозначным, оформленным отдельно от иных документов (ч. 1 ст. 9 152-ФЗ). Такого согласия вы не подписывали и вправе не давать.

По фотографии как биометрическим персональным данным

Фотография, если она используется оператором для установления личности, является биометрическими персональными данными и обрабатывается только при наличии вашего письменного согласия, за исключением случаев, предусмотренных ч. 2 ст. 11 152-ФЗ (ч. 1 ст. 11 152-ФЗ). Предоставление биометрических персональных данных не может быть обязательным, за исключением случаев, предусмотренных ч. 2 ст. 11 152-ФЗ, а оператор не вправе отказывать в обслуживании в случае отказа субъекта предоставить такие данные (ч. 3 ст. 11 152-ФЗ). Следовательно, требование фотографии для «пропуска» при фактически отсутствующем пропускном режиме неправомерно.

По копии паспорта и сведениям о регистрации

Копия паспорта содержит сведения о месте жительства (регистрации), которые относятся к информации о частной жизни гражданина. Если иное прямо не предусмотрено законом, без вашего согласия сбор, хранение, распространение и использование таких сведений не допускаются (п. 1 ст. 152.2 ГК РФ). Операторы обязаны не раскрывать и не распространять персональные данные третьим лицам без согласия субъекта (ст. 7 152-ФЗ).

По роли работодателя

Ваш работодатель (магазин) не вправе передавать ваши персональные данные третьей стороне — в том числе администрации ТЦ — без вашего письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также иных случаев, предусмотренных ТК РФ или иными федеральными законами (абз. 2 ст. 88 ТК РФ). Все персональные данные работника должны получаться у него самого, а при необходимости получения от третьей стороны требуется предварительное уведомление и письменное согласие работника (п. 3 ч. 1 ст. 86 ТК РФ).

Отказ передать данные постороннему ТЦ не образует дисциплинарного проступка, поскольку такая «обязанность» не предусмотрена ни законом, ни вашим трудовым договором. Дисциплинарное взыскание возможно только за неисполнение или ненадлежащее исполнение трудовых обязанностей (ч. 1 ст. 192 ТК РФ).

По ответственности ТЦ и защите ваших прав

Обработка персональных данных в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора, образует административное правонарушение (ч. 1 ст. 13.11 КоАП РФ). Лица, виновные в нарушении законодательства о персональных данных работника, привлекаются к дисциплинарной, материальной, гражданско-правовой, административной и уголовной ответственности (ст. 90 ТК РФ).

Если ТЦ, несмотря на ваш отказ, всё же получит и начнёт использовать ваши данные (например, через работодателя), вы вправе потребовать прекращения неправомерной обработки в срок не более 3 рабочих дней с даты выявления нарушения, а при невозможности обеспечить правомерность — уничтожения данных в срок не более 10 рабочих дней (ч. 3 ст. 21 152-ФЗ). Моральный вред, причинённый нарушением ваших прав как субъекта персональных данных, подлежит возмещению независимо от имущественного вреда и убытков (ч. 2 ст. 24 152-ФЗ).

Развилка: если ТЦ введёт реальный пропускной режим

Если в будущем ТЦ действительно введёт пропускной режим и доступ на рабочее место будет поставлен в зависимость от пропуска, обязанность обеспечить вам доступ к рабочему месту лежит на вашем работодателе (ст. 21, 22 ТК РФ), а не на вас лично. В этом случае работодатель обязан урегулировать вопрос пропуска с ТЦ, а при необходимости передачи ваших данных — получить ваше отдельное письменное согласие на передачу конкретных данных (абз. 2 ст. 88 ТК РФ), а для биометрической фотографии — письменное согласие в порядке ч. 1 ст. 11 152-ФЗ. Отказ дать согласие на передачу избыточного состава данных (полная копия паспорта вместо минимально необходимых сведений) не может быть основанием для дисциплинарной ответственности.

Пошаговые действия

  1. Направьте письменный отказ администрации ТЦ — укажите, что согласие на обработку персональных данных вы не предоставляли, пропускной режим фактически отсутствует, а требование копии паспорта и фотографии не имеет законного основания (ч. 1 ст. 9, ч. 1, 3 ст. 11, ч. 5 ст. 5 152-ФЗ). Отказ можно оформить в свободной форме, передать под отметку о получении или направить заказным письмом с уведомлением о вручении.

  2. Уведомите работодателя в письменной форме о том, что вы не даёте согласия на передачу ваших персональных данных (копии паспорта, фотографии) администрации ТЦ, со ссылкой на абз. 2 ст. 88 ТК РФ. Это зафиксирует вашу позицию и исключит возможность передачи данных без вашего ведома.

  3. При продолжении давления со стороны ТЦ или работодателя — подайте жалобу в Роскомнадзор (уполномоченный орган по защите прав субъектов персональных данных) на неправомерную обработку персональных данных по ч. 1 ст. 13.11 КоАП РФ. Жалоба подаётся в свободной форме с описанием фактов и приложением копий ваших письменных отказов.

  4. При нарушении трудовых прав работодателем (например, при угрозе дисциплинарного взыскания за отказ передать данные ТЦ) — обращайтесь в государственную инспекцию труда или в суд по месту жительства (ст. 89 ТК РФ).

  5. Если ТЦ всё же получит и начнёт обрабатывать ваши данные без согласия — направьте оператору письменное требование о прекращении неправомерной обработки (срок — не более 3 рабочих дней с даты выявления) и уничтожении данных (срок — не более 10 рабочих дней, если правомерность обеспечить невозможно) в соответствии с ч. 3 ст. 21 152-ФЗ. При неисполнении — жалоба в Роскомнадзор и требование о компенсации морального вреда (ч. 2 ст. 24 152-ФЗ).