Будет ли нарушать права работников система учета рабочего времени, при которой требуется фотографировать сотрудника при предъявлении им специальной карты на проходной?
Вопрос. В организации планируется ввести электронный учет времени прибытия работников на работу и ухода их с работы. Для этого предполагается всем работникам выдать магнитные карты и установить на проходной электронный регистратор. Во избежание ситуации, когда один работник регистрирует, кроме своей карты, также карты других работников, которые отсутствуют на работе, регистратор будет фотографировать лицо сотрудника, предъявившего карту.
Не будут ли при фотографировании нарушаться права работников на сбор, хранение, использование информации о его персональных данных, частной жизни или другие права? Вправе ли сотрудники при такой системе отказаться от предложенного учета их рабочего времени? Если при фотографировании будут нарушаться права работников организации, то чем это грозит организации (работодателю)?
Ответ. 1. Исходя из положений трудового законодательства, работодатель вправе осуществлять контроль за соблюдением работниками дисциплины труда, правил внутреннего трудового распорядка, исполнением ими трудовых обязанностей, предусмотренных трудовым договором.
Однако вопрос о правомерности осуществления работодателями фото- и видеосъемки, а также процедура установки специальных систем в целях контроля за соблюдением сотрудниками правил внутреннего трудового распорядка в настоящее время прямо законодательством не регламентируются.
В соответствии с ч. 1 ст. 23 Конституции РФ каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени. Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются (ч. 1 ст. 24 Конституции РФ).
Вместе с тем, согласно разъяснениям Конституционного Суда РФ, право на неприкосновенность частной жизни означает предоставленную человеку и гарантированную государством возможность контролировать информацию о самом себе, препятствовать разглашению сведений личного, интимного характера. В понятие «частная жизнь» включается та область жизнедеятельности человека, которая относится к отдельному лицу, касается только его и не подлежит контролю со стороны общества и государства, если она носит непротивоправный характер (Определение Конституционного Суда РФ от 9 июня 2005 г. № 248-О).
При этом, на наш взгляд, действия, совершаемые работником в рамках трудовых отношений, нельзя признать касающимися только его и не подлежащими контролю со стороны работодателя. Так, в силу ст. 16, 21, 22 ТК РФ работник обязан добросовестно исполнять свои трудовые обязанности, возложенные на него трудовым договором, соблюдать правила внутреннего трудового распорядка и трудовую дисциплину, а работодатель вправе требовать от работников исполнения ими трудовых обязанностей, соблюдения правил внутреннего трудового распорядка и трудовой дисциплины. Для этого работодатель в целях эффективной деятельности и регулирования трудовых отношений самостоятельно, под свою ответственность, может принимать необходимые локальные нормативные акты, что следует из абз. 7 ч. 1 ст. 22 ТК РФ.
Таким образом, выполнение работником определенных действий в рамках трудовых отношений может находиться под контролем работодателя, поскольку эти действия не являются элементом частной жизни работника. Следует отметить, что порядок такого контроля законодательно не урегулирован. Однако полагаем, что данный контроль возможен в том числе и с применением систем фотографирования и видеонаблюдения, поскольку это не преследует цели вмешательства в частную жизнь работника, его личную, семейную тайну, а лишь фиксирует исполнение (неисполнение) работником правил внутреннего трудового распорядка, трудовых обязанностей, возложенных на него трудовым договором (смотрите, например, Апелляционное определение СК по гражданским делам Московского городского суда от 10 сентября 2012 г. № 11-200120, Решение Центрального районного суда г. Тольятти от 20 декабря 2012 г. № 2-5285/2012).
Согласно ст. 3 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) персональные данные – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). В частности, Верховный Суд РФ в Определении от 27 июня 2013 г. № АПЛ13-244 признал относящейся к персональным данным информацию о трудовой деятельности работника. Суды, например, признают персональными данными сведения о предоставленных работникам отпусках, периодах их нетрудоспособности, неявках на работу и другие сведения, получаемые работодателем в процессе трудовой деятельности (смотрите Определение Магаданского областного суда от 22 февраля 2011 г. № 2-7/2011, Определение Иркутского областного суда от 16 января 2014 г. № 33-219/14).
Любые действия (операции) с персональными данными субъекта, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение, признаются обработкой персональных данных (п. 3 ч. 1 ст. 3 Закона № 152-ФЗ).
Частью 5 ст. 5 Закона № 152-ФЗ предусмотрено, что содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
В соответствии с ч. 1 ст. 6 Закона № 152-ФЗ обработка персональных данных может осуществляться только в установленных данной статьей случаях. Одним из таких случаев является получение от субъекта персональных данных согласия на их обработку (п. 1 ч. 1 указанной статьи). Случаи обработки персональных данных, которая может осуществляться без согласия их субъекта, перечислены в п. 2–11 ч. 1 ст. 6 и п. 2–9 ч. 2 ст. 10 Закона № 152-ФЗ. В частности, п. 5 ч. 1 ст. 6 Закона № 152-ФЗ допускает обработку персональных данных в случаях, когда такая обработка необходима для исполнения договора, стороной которого является субъект персональных данных, в том числе и трудового договора. Иными словами, работодатель, исполняя свои обязанности, возложенные на него трудовым законодательством, вправе осуществлять обработку персональных данных работника без его согласия, но только при условии использования персональных данных работника исключительно в служебных целях.
Общие требования при обработке персональных данных работника и гарантии их защиты определены в ч. 1 ст. 86 ТК РФ. Названной нормой, в частности, предусмотрено, что работодатель при обработке персональных данных работника обязан соблюдать следующие общие требования: обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
Вместе с тем полагаем необходимым обратить внимание на особенности обработки биометрических персональных данных – сведений, характеризующих физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных (ч. 1 ст. 11 Закона № 152-ФЗ). К биометрическим персональным данным, например, относятся физиологические данные (дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес и другие), а также иные физиологические или биологические характеристики человека, в том числе изображение человека (фотография и видеозапись), которые позволяют установить его личность и используются оператором для установления личности субъекта. Обработка биометрических персональных данных может осуществляться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных ч. 2 ст. 11 Закона № 152-ФЗ.
Исходя из этого, установление личности работника путем сравнения фотографии лица, предъявившего пропуск в момент пересечения проходной, и сведений, заложенных в магнитной карте, используемой в качестве пропуска, является обработкой биометрических персональных данных.
Согласно ч. 4 ст. 9 и ч. 2 ст. 11 Закона № 152-ФЗ обработка биометрических персональных данных может осуществляться только при наличии письменного согласия работника. Такой позиции придерживается, например, Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций в Разъяснениях от 30 августа 2013 г. по вопросам отнесения фото-, видеоизображений, дактилоскопических данных и иной информации к биометрическим персональным данным и особенностей их обработки.
Поэтому в рассматриваемой ситуации во избежание спора, а также претензий со стороны контролирующих органов для осуществления фотографирования работодателю целесообразно все же получить письменное согласие работников.
Обратим внимание, что в соответствии с п. 8 ч. 1 ст. 86 ТК РФ работники и их представители должны быть ознакомлены под подпись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области. Работодатель должен осуществлять передачу персональных данных работника в пределах одной организации в соответствии с локальным нормативным актом, с которым работник также должен быть ознакомлен под подпись (ст. 88 ТК РФ). Порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований ТК РФ и иных федеральных законов (ст. 87 ТК РФ).
С учетом изложенного выше в целях контроля соблюдения работниками внутреннего трудового распорядка, обеспечения их личной безопасности, а также сохранности имущества организации необходимо: принять локальный акт, регламентирующий организацию пропускного режима, в том числе предусматривающий состав сведений о работнике, содержащихся на магнитной карте, и порядок ее использования, порядок и цели фотографирования, меры по сохранению полученных персональных данных работников, сроки их хранения, ответственных лиц и т.п., ознакомить каждого работника с этим локальным актом под подпись; внести соответствующие дополнения в правила внутреннего трудового распорядка и положение о защите, хранении, обработке и передаче персональных данных работников, с которыми также ознакомить всех работников под подпись.
2. В рассматриваемой ситуации работник может отказаться от дачи соответствующего письменного согласия, о котором ранее упоминалось. В этом случае работодатель не сможет оформить работнику пропуск для прохода на территорию организации. Таким образом, отсутствие согласия работника фактически будет означать невозможность исполнения им трудовых функций.
Варианты возможных действий работодателя в такой ситуации рассмотрены в ответе Службы правового консалтинга «ГАРАНТ» на вопрос: «Законно ли будет увольнение сотрудников, отказавшихся заключить дополнительное соглашение, в порядке ст. 74 ТК РФ?», а также в ответе на частный вопрос заместителя начальника отдела делопроизводства Управления делами Федеральной службы по труду и занятости Б.А. Чижова: «Наша компания планирует установить систему видеонаблюдения в офисе и на складе. Работников мы оповестили, но не все согласны работать под наблюдением. Можем ли мы расторгнуть трудовые договоры с работниками, несогласными с установкой видеокамер, по п. 7 ч. 1 ст. 77 ТК РФ?» («Отдел кадров коммерческой организации», № 1, январь 2015 г.), с которыми предлагаем вам ознакомиться.
Обратим внимание, что в соответствии со ст. 17 Закона № 152-ФЗ, если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
3. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника, предусмотрена ст. 90 ТК РФ, в силу которой лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке таких данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном ТК РФ и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
Так, согласно ст. 13.11 КоАП РФ нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа на граждан в размере от трехсот до пятисот рублей; на должностных лиц – от пятисот до одной тысячи рублей; на юридических лиц – от пяти тысяч до десяти тысяч рублей.
Сообщаем, что данный ответ выражает наше экспертное мнение, имеет информационно-разъяснительный характер и не препятствует руководствоваться нормами законодательства Российской Федерации в понимании, отличающемся от трактовки, изложенной в приведенном выше ответе.
