С 1 сентября 2022 года работодатели должны сообщать в Роскомнадзор о намерении обрабатывать персональные данные работников.
Уведомлять ведомство необходимо, даже если работодатели получили данные в рамках трудовых отношений. Такой вывод можно сделать из письма Роскомнадзора от 19.08.2022 № 08-75348.
В письме отмечается, что с 1 сентября 2022 года статья 22 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее – Закон № 152-ФЗ) будет действовать в новой редакции с учетом изменений, внесенных Федеральным законом от 14.07.2022 № 266-ФЗ.
Напомним, в этой статье закреплена обязанность операторов персональных данных уведомлять Роскомнадзор о намерении обрабатывать эти данные, а также определен перечень случаев, когда подача такого уведомления не требуется. С 1 сентября этот перечень будет существенно сокращен, сообщать в Роскомнадзор о таком намерении потребуется практически во всех случаях обработки персданных.
В частности, из перечня исключен п. 1, согласно которому не требуется подавать уведомление, если персональные данные обрабатываются в соответствии с трудовым законодательством. Иными словами, теперь подавать уведомление нужно будет и перед заключением трудового договора, и при оформлении пропусков для прохода работников на территорию работодателя и т. д.
В письме напомнили, что уведомление направляется в территориальное управление Роскомнадзора по месту нахождения юридического лица в соответствии с учредительными документами и свидетельством о постановке юридического лица на учет в налоговом органе.
Уведомление можно направить по форме, приведенной в приложении № 1 к Методическим рекомендациям, утв. приказом Роскомнадзора от 30.05.2017 № 94, в виде документа на бумажном носителе или в форме электронного документа.
Электронная форма уведомления и порядок ее заполнения размещены на Портале персональных данных Роскомнадзора. На интернет-странице оператору предоставлена возможность сформировать уведомление в электронной форме и направить в его в территориальный орган Роскомнадзора одним из следующих способов:
- в бумажном виде;
- в электронном виде с использованием усиленной квалифицированной электронной подписи (УКЭП);
- в электронном виде с использованием средств аутентификации ЕСИА.
Напоминаем, что согласно ч. 1 ст. 22 Закона № 152-ФЗ подать в Роскомнадзор уведомление необходимо до начала обработки персональных данных. При этом под обработкой понимается любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение (п. 3 ч. 1 ст. 3 Закона № 152-ФЗ).
Учитывая это требование, работодатели должны направлять уведомление в Роскомнадзор:
- до приема сотрудника на работу (по каждому вновь принимаемому сотруднику подавать уведомление не требуется);
- до обработки данных соискателей (если они будут направлять работодателю резюме с именем, фамилией, номером телефона, адресом электронной почты и т. д.).
Вместе с тем остается вопрос о дате начала обработки персональных данных, которая должна быть указана в уведомлении. В случае с соискателем эта дата неизвестна, поскольку она напрямую зависит от воли самого соискателя. Работодатель не может предположить, когда соискатель пришлет свое резюме, и, соответственно, не может сообщить об этом заранее в Роскомнадзор. Полагаем, для решения этого вопроса следует дождаться дополнительных разъяснений от Роскомнадзора.
Поскольку Федеральным законом от 14.07.2022 № 266-ФЗ не предусмотрены переходные положения, считаем целесообразным работодателям после вступления в силу Закона № 152-ФЗ отправить уведомление в Роскомнадзор об обработке персональных данных сотрудников.
Помощь эксперта
Меня зовут Сергей Воробьев, эксперт по защите данных.
Защищаю ценную для Вас информацию и инфраструктуру:
- защита информации, содержащейся в информационных системах;
- прохождение проверок Роскомнадзора;
- приведение обработки персональных данных в соответствие с требованиями законодательства 152-ФЗ;
- экспертный аудит по информационной безопасности с выдачей практических рекомендаций;
- техническая поддержка информационных систем;
- анализ уязвимостей и тестирование на проникновение;
- выполнение требований 187-ФЗ;
- улучшение веб-безопасности.