В ООО работает работник в должности «Менеджер по закупкам». Работник оформил больничный. В целях проверки действительности больничного ООО обратилось с письменным запросом в медицинское учреждение (поликлинику по месту жительства работника), оформившее больничный. Медицинское учреждение подтвердило в письменном ответе действительность больничного. Работник предъявил ООО претензию о нарушении законодательства по персональным данным, поскольку перед запросом в медицинское учреждение нужно было оформить предварительное письменное согласие работника на обработку персональных данных, однако такое согласие не было оформлено.
Должно ли ООО было взять с работника предварительное письменное согласие на обработку персональных данных?
В соответствии с ч. 1 ст. 9 Федерального закона РФ от 27.07.2006 №152-ФЗ «О персональных данных» субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
В ч. 2 ст. 9 Закона №152-ФЗ перечислены случаи, когда не требуется письменного согласия субъекта на обработку его персональных данных. В рассматриваемом вопросе можно применить сразу несколько исключений, когда для обработки персональных данных не нужно письменное согласие субъекта, поскольку такая обработка необходима для:
· осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6);
· осуществления прав и законных интересов оператора или третьих лиц (п. 7 ч. 1 ст. 6);
· установления или осуществления прав субъекта персональных данных или третьих лиц (п. 6 ч. 2 ст. 10.1.).
Кроме того, можно привести еще два исключения, относящиеся к рассматриваемому вопросу, когда не требуется письменного согласия субъекта, а именно: обработка осуществляется в соответствии с трудовым законодательством (п. 2.3. ч. 2 ст. 10.1.) или законодательством об обязательных видах страхования, со страховым законодательством (п. 8 ч. 2 ст. 10.1.).
Исходя из вышеизложенного, ООО не должно было брать у работника предварительное письменное согласие на обработку персональных данных.
