Передача данных третьим лицам статья

Согласие

Образец передачи персональных данных третьим лицам, который будет размещен ниже, должен быть оформлен по всем правилам, согласно закону и положениям, отмеченным в правовых актах фирмы или предприятия. Существует негласная инструкция особых требований к составлению данного документа, который рекомендуется составлять в письменном виде:

1. Шапка, где указывается полное название компании, а также ФИО и должность руководителя, кому адресована бумага.
2. Ниже указывается ФИО и должность сотрудника, паспортные данные, место проживания.
3. Суть согласия передачи персональных данных третьим лицам, образец: «Я разрешаю предоставление моих сведений и их обработку в своих интересах в соответствии с ФЗ № 152» (может быть написана в свободной форме).
4. Перечень того, что будет обрабатываться.
5. Список лиц и юридических организаций, которым можно передавать данные.
6. Характер планируемого анализа: смешанный, систематизированный, включающий последующее хранение, передачу, обезличивание, уничтожение.
7. Срок действия.
8. Порядок и внешние обстоятельства, при которых работник имеет право отозвать полномочия документа.
9. Заключение.

Что нужно сделать компании и ИП до передачи ПД работников?

Если ПД работника передаются в пределах одной организации

• Создайте локальный акт, в котором подробно должны быть расписаны процедура передачи ПД, цели и объем передаваемых данных, структурные подразделения, которые имеют право работать с ПД.
• Приказом или локальным актом определите список лиц согласно штатному расписанию, которые вправе заниматься обработкой ПД работников. Документ должен содержать перечень ПД, обрабатываемых каждым работником.
• Письменно ознакомьте каждого работника с локальными актами и приказами.

Если ПД работника передаются третьему лицу в целях исполнения договора

• Возьмите письменное согласие работника на передачу его ПД третьему лицу в строгом соответствии с ч. 4 ст. 9 Закона о персональных данных.
• В заключенном с третьим лицом договоре необходимо указать следующие условия:
  • работодатель поручает исполнителю обработку ПД в соответствии с ч. 3 ст. 6 Закона о персональных данных;
  • исполнитель обязуется соблюдать принципы и правила обработки ПД, предусмотренные Законом о персональных данных;
  • перечень действий (операций) с ПД, которые будут совершаться исполнителем при обработке ПД работника;
  • цели обработки ПД;
  • исполнитель обязуется соблюдать конфиденциальность ПД и обеспечивать безопасность при их обработке;
  • требования к защите обрабатываемых ПД согласно ст. 19 Закона о персональных данных.

Что изменилось в обработке персональных данных с 1 марта 2021 года?

Все работодатели обязаны получать от сотрудников согласия на обработку личных сведений, как правило, разрешающее заявление человек пишет при трудоустройстве на работу.

Новая статья 10.1 в Законе №152-ФЗ на законодательном уровне закрепило также дополнительную обязанность всех работодателей получать отдельные письменные согласия работников на распространение персональных данных.

К распространению относятся все случаи передачи информации о человеке третьим лицам, а также размещение сведений, фотографий в СМИ, на интернет-ресурсах.

Например, даже для размещения фото работника на официальном сайте компании нужно получить письменное разрешение человека.

Если нужно передать данные сотрудника третьим лицам или разместить какие-то сведения в СМИ, не достаточно получить устное согласие от работника, необходимо получить бумажный или электронный разрешающий документ, заверенный личной подписью человека или его представителя.

Также не будет оправданием молчание сотрудника в случае распространения личных данных без его согласия. Если работник молчит и не возражает, это не значит, что он согласен.

У работодателя должно быть письменное подтверждение того, что он вправе распространять полученные от человека персональные данные с указанием их конкретного перечня и цели распространения.

Данное правило не относится к случаям, когда сведения о работнике необходимо передать в случаях, установленных законодательством РФ, а также для проведения судебных дел органами исполнительной власти.

С кого нужно взять согласие на распространение?

Работодателю нужно позаботиться о том, чтобы иметь в наличии согласия на взаимодействие с персональными данными от каждого официально трудоустроенного гражданина.

В качестве персональных сведений могут выступать:

• ФИО;
• возраст;
• пол;
• адрес регистрации и проживания;
• реквизиты паспорта;
• сведения об образовании;
• информация о трудовой деятельности;
• сведения о составе семьи;
• фотографии человека.

Согласно новой статье закона 152-ФЗ, помимо стандартного заявления на обработку, работодатель должен получить отдельное согласие на распространение данных.

Если планируется передача реквизитов работников третьим лицам (например, банку для оформления зарплатной карты, охране предприятия для оформления пропуска, передача сведений для размещения статьи в СМИ о работнике или размещение его фото на доске почета, на официальном сайте компании), то взять у человека его письменное разрешение нужно обязательно.

Как написать завление работнику?

Документ сотруднику следует оформить в письменном виде и заверить личной подписью. Альтернативой может быть только электронный формат с заверением электронной подписью.

Унифицированной формы законодательством не разработано, поэтому составить заявление о согласии можно в свободной форме с включением реквизитов, указанных в ст. 9 Закона 152-ФЗ.

Перечень реквизитов, которые нужно включить в согласие на распространение:

• ФИО лица, рарешающего распространение своих персональных данных;
• адрес этого лица;
• паспортные реквизиты работника;
• реквизиты представителя работника, если заявление оформляется через него;
• реквизиты организации работодателя, которой предоставляется доступ к личным данным сотрудника;
• цель обработки персональных сведений — распространение с определенной целью (например, передача данных в банк для оформления зарплатной карты или размещение информации на сайте компании работодателя);
• список данных, которые можно распространять;
• срок действия разрешения;
• подпись заявителя.

В любой момент человек может отозвать свое согласие, для этого также в письменной форме следует обратиться по месту работы. Отказать ему работодатель не вправе.

Цель обработки персональных данных при трудоустройстве

Трудоустройство на новое место работы предполагает временную передачу в отдел кадров предприятия пакета личных документов. В него входят:

1. паспорт;
2. военный билет;
3. трудовая книжка;
4. СНИЛС;
5. образовательные документы;
6. медицинский реестр.

Источниками различной информации о физическом лице могут также служить:

1. иные (кроме паспорта гражданина РФ) удостоверяющие его личность документы;
2. свидетельство о рождении;
3. автобиография;
4. справки о членах семьи;
5. анкеты и характеристики;
6. справки о доходах;
7. карточки формы Т-2.

К специальным данным относится специфическая информация о физическом лице:

• национальная принадлежность;
• вероисповедание;
• политические взгляды, в том числе принадлежность к партиям, общественным движениям и объединениям;
• углублённые данные о состоянии здоровья.

Конфиденциальность документов, предоставленных для оформления трудового договора, обеспечивается требованиями ст.14 ТК РФ. Ст. 22 закона №152-ФЗ установлено, что предприятия обязаны уведомлять Роскомнадзор о получении в своё распоряжение персональных данных физических лиц.

Законом разрешено использование только той информации, которая необходима для исполнения трудового договора. В некоторых случаях можно использовать её без согласия работника. Это могут быть отдельные, полученные работодателем сведения:

• данные медосмотра;
• информация кадрового агентства, которому соискатель делегировал право действовать от своего имени;
• информация личного резюме кандидата на получение рабочего места

Личной карточкой работника предусмотрен перечень данных, согласие на обработку которых получать не требуется. Если же речь идёт об использовании дополнительных данных, подписанную физическим лицом письменную форму с указанием перечня данных следует истребовать в любом случае.

Изменения в законе о персональных данных с 1 марта 2021 года

Федеральный закон № 519-ФЗ от 30.12.2020 дополнил закон о персональных данных новой статьей 10.1, которая регулирует порядок обработки персональных данных, разрешенных гражданами для распространения.

Под персональными данными, разрешенными для распространения, понимается любая открытая информация о человеке, в том числе его контактные данные. При этом под распространением персональных данных понимаются действия, направленные на раскрытие этих данных неопределенному кругу лиц (п. 5 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

Таким образом, говоря о персональных данных, разрешенных для распространения, всегда имеются в виду общедоступные сведения о человеке, получить которые может неограниченный круг лиц. То есть практически любой желающий. Именно порядок обработки таких данных и регулирует новый закон. И хотя неограниченный доступ к такой информации осуществляется с согласия самих граждан, до последнего момента такое согласие могло получаться операторами персданных по умолчанию. Например, давая согласие на обработку персональных данных какому-либо сайту, магазину или банку, гражданин зачастую автоматически соглашался на распространение информации о себе среди неограниченного круга всех прочих лиц. При этом о предоставлении неограниченного доступа к своей личной информации он мог и не догадываться. 

Шпаргалка по статье от редакции БУХ.1С для тех, у кого нет времени

1. С 1 марта 2021 года изменился порядок обработки персональных данных, разрешенных гражданами для распространения.

2. Согласие на распространение персональных данных теперь оформляется отдельно от всех прочих соглашений, связанных с обработкой персональных данных.

3. Получить согласие гражданина на предоставление неограниченного доступа к его личной информации в рамках разрешения на обработку персданных нельзя. Нужно заключить отдельное соглашение, в котором гражданин четко дает понять, к каким конкретно сведениям и в каком объеме он разрешает неограниченный доступ третьих лиц.

4. Конкретные требования к содержанию согласия на обработку данных, разрешенных для распространения, будут установлены отдельным приказом Роскомнадзора.

5. Гражданин вправе установить запрет на передачу (кроме предоставления доступа) своих общедоступных данных неограниченному кругу лиц.

6. По новым правилам физлицо в любое время может обратиться к любому оператору персональных данных с требованием прекратить передачу (распространение, предоставление и доступ) своих общедоступных персональных данных. Обосновывать данное требование не нужно. Оператор персданных обязан в течение трех рабочих дней изъять эти сведения из общего доступа.

7. Неправомерная (без соответствующего согласия) обработка и распространение общедоступных персональных данных, равно как и отказ от их удаления из общего доступа по требованию граждан, влечет штраф для ИП и должностных лиц организаций от 10 000 до 20 000 рублей, а для организаций – от 60 000 до 100 000 рублей.

Новые правила исключают для операторов персданных и третьих лиц подобную возможность и устанавливают четкие правила дачи согласия на распространение и обработку общедоступных личных сведений.

Одновременно вступившие в силу поправки регламентируют процедуру отзыва согласия на распространение общедоступных персональных данных, а также определяют последствия несоблюдения операторами порядка получения согласия на их обработку и распространение.

Все это позволит избежать бесконтрольного использования третьими лицами общедоступных сведений о гражданах вопреки целям их первоначального получения и обработки.

Образец отказа от предоставления персональных данных

По своему составу отказ должен отвечать некоторым нормам делопроизводства, а по тексту содержать ряд определенных сведений. К последним можно отнести:

• должность, ФИО руководителя;
• наименование организации;
• ФИО автора отказа;
• его паспортные и контактные данные (для связи).

Это будет «шапка» документа, которая всегда расположена вверху бланка, слева или справа.

В основной части следует обозначить:

• свое несогласие с предоставлением персональных данных;
• обоснование отказа (здесь нужно сослаться на норму закона или Конституции РФ, которые в равной степени дают такое право);
• если вы были ознакомлены с последствием своего отказа, об этом следует сделать соответствующую отметку;
• также дать отметку о том, что за вами остается возможность обжаловать возможные санкции в суде.

Остальную информацию можно вносить в зависимости от потребностей и индивидуальных обстоятельств.

Бланк должен быть обязательно датирован и подписан тем, кто его составил – без его автографа он не обретет законного статуса.

Ответственность работодателя за нарушение норм, регулирующих защиту персональных данных

С 1 июля 2017 года органом, осуществляющим контроль и надзор за соответствием обработки персональных данных требованиям Закона о персональных данных и нормативных правовых актов, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) (ст. 23 Закона о персональных данных). Есть плановые проверки, которые Роскомнадзор совершает раз в три года, а есть внеплановые ревизии, и о них не стоит забывать. Они могут быть проведены, к примеру, с целью выяснить, устранила ли компания нарушения, допущенные и выявленные ранее. Кроме того, проверку также стоит ждать, если компания претендует на выполнение госзаказа.

За нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников предусмотрена дисциплинарная, материальная, административная и уголовная ответственность (ст. 90 ТК РФ, ч. 1 ст. 24 Федерального закона от 27.07.2006 № 152-ФЗ). Разберем каждый вид ответственности.

Дисциплинарная ответственность

Неправомерное разглашение персональных данных лицом, в чьи обязанности входит соблюдение правил хранения, обработки и использования такой информации, является основанием для привлечения этого лица к дисциплинарной ответственности (ст. 90 ТК РФ). Трудовой договор с работником может быть, расторгнут по причине разглашения охраняемой законом тайны, ставшей известной работнику в связи с исполнением им трудовых обязанностей (подп. «в» п. 6 ч. 1 ст. 81 ТК РФ).

Материальная ответственность

Eсли вред работнику был причинен по вине лица, которое было ответственно за неразглашение персональных данных, то работодатель может привлечь последнего к материальной ответственности за ущерб, который был нанесен работнику такими действиями. В соответствии с пунктом 7 части 1 статьи 243 ТК РФ материальная ответственность в полном размере причиненного ущерба возлагается на работника в случае разглашения сведений, составляющих охраняемую законом тайну.

Административная ответственность

С 1 июля статья 13.11 КоАП РФ претерпела значительные изменения и теперь применяется в новой редакции. Был детализирован перечень нарушений в области персональных данных и увеличен размер административной ответственности за них. Теперь новая формулировка статьи 13.11 содержит семь составов правонарушений (вместо одного). Проверяющ ие могут составить отдельный протокол за каждое нарушение и назначить отдельный штраф.

То есть, если до 1 июля 2017 года максимальный штраф по статье 13.11 КоАП РФ составлял 10 тыс. руб. и состав нарушения был одним, то на данный момент размер штрафа увеличен до 75 тыс. руб., и составов преступлений стало семь. Соответственно, за разные нарушения на одну компанию могут наложить несколько разных штрафов.

Кроме того, должностных лиц могут оштрафовать на сумму от 3 000 до 20 000 руб., индивидуальных предпринимателей — на сумму от 5 000 до 20 000 руб., организации — на сумму от 15 000 до 75 000 руб.

Можно ли условие о неразглашении персональных данных включать в трудовой договор с работником? Только в отношении тех работников, которые непосредственно работают с персональными данными: кадровиков, бухгалтеров, секретарей и т.п. (ст. 57 ТК РФ). В этом случае при приеме на работу ознакомьте работника с Положением о работе с персональными данными.

Уголовная ответственность

Если работник, ответственный за хранение, обработку и использование персональных данных других работников, злоупотреблял своими служебными полномочиями, распространял сведения о частной жизни других работников без их согласия, он может быть привлечен и к уголовной ответственности. Наказывается такое деяние (ст. 137 УК РФ):

• штрафом в сумме до 200 тыс. руб. или в размере заработной платы, либо иного дохода осужденного за период до 18 месяцев;
• либо обязательными работами на срок от 120 до 180 часов;
• либо исправительными работами на срок до одного года;
• либо арестом на срок до четырех месяцев.

Те же деяния, совершенные лицом с использованием своего служебного положения, наказываются (ч. 2 ст. 137 УК РФ):

• штрафом в сумме от 100 тыс. до 300 тыс. руб. или в размере заработной платы, либо иного дохода осужденного за период от одного года до двух лет;
• либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет;
• либо арестом на срок от четырех до шести месяцев.

Что такое «персональная информация»?

С 8 июля 2006 года в ФЗ был опубликован отредактированный документ о такого рода данных, где предоставлены актуальные определения правового акта, его структурное взаимодействие с другими законами. Последняя редакция его была проведена в 2017 году, начинался с общих положений, описывал условия возможной обработки информации, права граждан, обязанности операторов, надзор госструктур.

Передача третьим лицам персональных данных – что под этим подразумевается? Это любые сведения, напрямую или косвенно относящиеся к субъекту. Разглашение информации должно соответствовать определенным принципам, чтобы избежать возможных взысканий:

• следование целевому назначению, допускаемому законом;
• справедливость и законность сбора данных;
• исключение объединения целей и назначений при использовании информационных баз;
• направленный сбор сведений, недопустимость их избыточности;
• актуальность информирования;
• допустимый период хранения, после чего данные обезличиваются и удаляются.

Защита персональных данных и ответственность за их разглашение

В законодательстве установлены различные виды ответственности за разглашение персональных данных. Работники бухгалтерии в силу своих должностных обязанностей имеют доступ к персональным данным работников компании (в частности, к сведениям об их заработной плате).

Дисциплинарная ответственность

Если персональные данные работника не сохранил в секрете бухгалтер компании, директор вправе сделать ему выговор или даже уволить (п. 6 ч. 1 ст. 81, ст. 90 и 192 ТК РФ).

Однако если бухгалтер решит оспорить в суде увольнение на основании пункта 6 части 1 статьи 81 Трудового кодекса за разглашение персональных данных другого работника, администрация компании должна будет доказать следующее:

— сведения, которые уволенный бухгалтер расчетной части неправомерно разгласил, относятся к персональным данным другого работника;

— они стали известны работнику в связи с исполнением им трудовых обязанностей;

— уволенный работник дал обязательство не разглашать такие сведения.

Об этом говорится в пункте 43 постановления Пленума Верховного суда РФ от 17.03.2004 № 2.

Административная ответственность

За разглашение информации о персональных данных работников на виновника может быть наложен административный штраф в размере, предусмотренном статьей 13.14 КоАП РФ, а именно от 4000 до 5000 руб.

Ответы юристов (2)

В соответствии с ФЗ «О персональных данных» обработка, в т.ч. передача персональных данных возможна только с согласия субъекта ПД.

ПД — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

3) обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

Статья 6. Условия обработки персональных данных

1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;

Однако необходимо смотреть, какие документы вы подписывали при подаче заявки на выдачу кредита. Возможно, среди них было такое согласие на передачу данных другому конкретному оператору (в данном случае иному банку).

Если такого согласия не было, вы вправе обжаловать действия Сбербанка по передаче ваших ПД.

Статья 17. Право на обжалование действий или бездействия оператора

1. Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. 2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Уточнение клиента

Спасибо, все понятно, документы я посмотрю. Остался вопрос могу ли я отозвать обработку моих пд сетелем банком и оформить запрет в сбербанке на дальнейшую передачу моих пд третьим лицам? Ведь получается как сказал оператор у них общая база, а это значит что сетелем банк всегда имел и будет иметь в дальнейшем доступ к моим пд?

01 Августа 2018, 14:25

Вы можете потребовать их уничтожения, так как заявка уже рассмотрена и цель обработки достигнута.

«В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные. Оператор обязан уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы».

Подробнее можете посмотреть ст. 20 ФЗ О перс. данных.

Вправе ли банки и МФО передавать персональные данные клиентов коллекторам и другим лицам?

Уважаемый читатель, прошу прощения, но вынужден привести немного сухой теории. Она нам пригодится.

Отношения, связанные с обработкой персональных данных, регулируются Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных).

В соответствии с законом персональные данные представляют собой любую информацию, относящуюся к физическому лицу – субъекту этих данных.

Под обработкой персональных данных понимается любое действие с ними, включая их сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

По общему правилу, обработка персональных данных и передача этой обязанности другому лицу допускаются только с согласия субъекта данных. При этом согласие на обработку данных должно быть конкретным, информированным, сознательным и в любой момент может быть отозвано. Без него операторы1 и иные лица, получившие доступ к личной информации, не вправе раскрывать и распространять данные, если иное не предусмотрено федеральным законом.

Выдавая кредит, банк обычно получает у заемщика письменное согласие на обработку и передачу его персональных данных третьим лицам, в частности коллекторам. Вместе с тем законодательством предусмотрено право заемщика отозвать это согласие. Так закон защищает должника, если он при заключении кредитного договора или договора займа не подумал о возможных негативных сценариях. Для реализации указанного права достаточно сообщить кредитору об отзыве согласия заказным письмом с уведомлением о вручении или сделать это через нотариуса.

Но на этом все может и не закончиться. Дело в том, что Закон о персональных данных предусматривает исключения, когда согласие на обработку данных не требуется. К примеру, их обработка допускается:

• если необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;
• если необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон “О микрофинансовой деятельности и микрофинансовых организациях”».

В тех случаях, когда заемщик не предоставил банку «универсальное» согласие или отозвал его, кредитная организация может сослаться на вышеуказанные исключения. Тем самым якобы подтверждая правомерность передачи данных третьим лицам.

Между тем ссылка эта сомнительная, поскольку заемщик не является стороной по договору, заключенному между банком и коллекторами. Судебная практика подтверждает: передача банком по агентскому договору другой организации персональных данных заемщика без его согласия недопустима (см., к примеру, Определение Судебной коллегии по гражданским делам Верховного Суда РФ от 1 августа 2017 г. № 78-КГ17-45).

Подробные требования к содержанию согласия

Согласие должно включать в себя следующую информацию:

1) Фамилия, имя, отчество (при наличии) субъекта персональных данных.

2) Контактная информация (номер телефона, адрес электронной почты или почтовый адрес субъекта персональных данных)

3) Сведения об операторе персональных данных

Если оператором является юридическое лицо, то указывается: наименование, ИНН, ОГРН, а также адрес, указанный в ЕГРЮЛ

Если оператором является физическое лицо, то указывается: фамилия, имя, отчество (при наличии), место жительства или место пребывания.

Если оператором является индивидуальный предприниматель, то указывается: фамилия, имя, отчество (при наличии), ИНН, ОГРНИП. Адрес указывать не надо, как это следует из приказа, что странно. Я рекомендую указывать и адрес ИП.

4) Сведения об информационных ресурсах оператора, посредством которых будет осуществляться предоставление доступа неограниченному кругу лиц и иные действия с персональными данными субъекта персональных данных

5) Цель (цели) обработки персональных данных

Формулировки цели или целей обработки персональных данных должны соответствовать положениям законодательства Российской Федерации, устанавливающим функции, полномочия и обязанности оператора, и (или) документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных.

6) Категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных

Заполнение соответствующего поля осуществляется применительно к конкретному субъекту персональных данных по следующему образцу:

• общие персональные данные (фамилия, имя, отчество (при наличии), год, месяц, дата рождения, место рождения, адрес, семейное положение, социальное положение, имущественное положение, образование, профессия, доходы, другая информация, относящаяся к субъекту персональных данных);
• специальные категории персональных данных (расовая, национальная принадлежности, политические взгляды, религиозные или философские убеждения, состояния здоровья, интимной жизни, сведения о судимости);
• биометрические персональные данные (ДНК, радужная оболочка глаз, дактилоскопическая информация, цветное цифровое фотографическое изображение лица, голос, фотоизображение рисунка вен ладони, полученного в диапазоне, близком к инфракрасному, и иные сведения).

Указание специальных категорий персональных данных и биометрических персональных данных допускается в случае предварительного получения оператором, осуществляющим обработку персональных данных, согласия на обработку персональных данных в соответствии с требованиями статей 9, 10, 11 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

7) Категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов

Указанное поле заполняется по желанию субъекта персональных данных без ограничений со стороны оператора, осуществляющего обработку персональных данных.

Условия и запреты предполагают ограничение или запрет осуществления оператором действий по распространению и (или) предоставлению персональных данных неограниченному или определенному кругу лиц соответственно.

Дополнительно в Согласии могут быть указаны условия, при которых полученные персональные данные могут передаваться оператором, осуществляющим обработку персональных данных, только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных.

8) Условия, при которых персональные данные могут передавать только по внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников

9) Срок действия согласия

Должен быть отражен конкретный срок его действия: определенный период времени или дата окончания срока действия.

Не допускается указание на автоматическую пролонгацию срока действия Согласия, а также определение срока его действия путем установления бессрочного статуса или указания на событие, неизбежность наступления которого возможно в долгосрочной перспективе.

Требования к процедуре

Общие требования устанавливает ст. 86 Трудового кодекса РФ и ст. 5 Закона о персональных данных:

• обработка персональных данных производится только с целью, связанной с трудовой деятельностью. Например, в целях трудоустройства, повышения квалификации, прохождении аттестации и т.п.
• персональные данные работодатель получает только от работника. Если эти сведения можно получить только от третьих лиц, то получите письменное согласие работника.
• работодатель обязан ознакомить работника с локальными актами, которые касаются работы с персональными данными. Это приказ об утверждении положения о персональных данных, о допуске к данным и т.п.
• хранятся данные только до достижения целей обработки (действие трудового договора и требования по срокам хранения личных дел)
• меры по защите персональных данных работодатель вырабатывает совместно с работниками

Огромное значение правильной обработки персональных данных является издание локальных актов работодателя. Образцы и примеры составления которых мы разместили на нашем сайте.

По общему правилу специальные и биометрические категории персональных данных работодатель не обрабатывает.