Клифф для VC: какие проблемы могут быть с передачей данных о сотрудниках в мэрию Москвы?

COVID 2020. Октябрьские указы о дистанционной работе и предоставлении сведений о работниках: разбираем вопросы персональных данных

1 и 6 октября Мэром Москвы С.С. Собяниным были изданы Указы, вводящие новые ограничения в связи со второй волной коронавируса, обязывающие работодателей перевести 30% работников на дистанционную работу, а также предоставлять сведения о работниках:

№ 96-УМ https://www.mos.ru/upload/documents/docs/96-YM(2).pdf   

№ 97-УМ https://www.mos.ru/upload/documents/docs/97-YM-fjlna.pdf

Согласно Указам работодатели обязаны предоставлять еженедельно (начиная с 12 октября 2020 года) в электронном виде с использованием личного кабинета юридического лица, индивидуального предпринимателя на официальном сайте Мэра и Правительства Москвы следующие сведения о работниках (исполнителях по гражданско-правовым договорам) (без персональных данных), переведенных на дистанционный режим работы:

• Номер мобильного телефона
• Государственный регистрационный номер транспортного средства (при наличии)
• Номер электронной карты «Тройка» (при наличии)
• Номер электронной карты «Стрелка» (при наличии)
• Номер социальной карты (при наличии)
• Номер месячного проездного билета без лимита поездок и с лимитом 70 поездок, временного единого социального билета, временного льготного билета (при наличии).

В Указе № 97-УМ особо подчеркивается, что сведения нужно предоставлять «без персональных данных».

Однако можно ли сказать, что требование о предоставлении сведений «без персональных данных» выполнимо, учитывая, что сами предоставляемые сведения являются персональными данными?!

Согласно Закону о персональных данных[1] персональными данными считается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. В действительности, большинство сведений, которые способны выделить или индивидуализировать конкретное лицо, являются персональными данными, особенное если такие сведения представлены в совокупности. 

При этом в России, в отличие от ряда европейских стран, персональные данные определяют или позволяют определить именно лицо, а не группу лиц: карты «Тройка» и «Стрелка», месячный проездной билет могут использоваться группой лиц, например, членами семьи, равно как и транспортное средство. Никаких анкет при получении карт или билета не заполняется – определить по номеру таких проездных документов конкретное лицо не представляется возможным. Соответственно, эти сведения сами по себе не являются персональными данными.

Другой вопрос, что влечет за собой использование в метро карты «Тройки», закрепленной за сотрудником, переведенными на дистанционный режим работы. Невозможно установить, кто использовал эту карту: сам удаленный сотрудник или кто-то другой, которому карта была передана «чтобы не сгорели поездки», в целях экономии, и если сам удаленный сотрудник, то в каких целях – поездки на работу, к друзьям, в торговый центр?! Мэрские Указы оставляют эти вопросы без ответа. Непонятно, для чего предоставлять эти сведения и какие будут последствия далее: блокировка карт, заморозка поездок, отслеживание передвижений?! Возможно, следующие Указы разъяснят назначение сбора таких сведений.

Что касается вопроса о признании номера мобильного телефона персональными данными – он остается открытым. Согласно разъяснениям и комментариям Роскомнадзора и его представителей сам по себе номер телефона в отрыве от других сведений, не является персональными данными. Вместе с тем, из письма Минкомсвязи России от 07.07.2017 № П11-15054-ОГ следует, что номер мобильного телефона все же является персональными данными.

Мы склонны считать, что и номер мобильного телефона, и номер социальной карты являются персональными данными, поскольку в совокупности, а также с учетом других доступных данных, позволяют определить физическое лицо, тем более, учитывая статус лица, собирающего эти сведения.

С другой стороны, из буквального толкования Указа № 97-УМ следует, что цель сбора этих сведений – контроль работодателя, а не проверка и идентификация работников (по крайней мере, никаких упоминаний об этом нет): в связи с чем особо указано «без персональных данных».

Говоря о том, противоречит ли такой сбор законодательству о персональных данных, нужно ли получать согласие работника и что делать, если работник не сообщит сведения, можно пояснить следующее.

Прежде всего, целый ряд сведений предоставляется с пометкой «при наличии». Работодатель не обязан знать, есть ли у работника социальная карта, автомобиль и карта «Тройка». Соответственно, предоставление этих сведений зависит от усмотрения работника. Никакой ответственности работодатель не будет нести, если, запросив у работника сведения, получит ответ: «я хожу на работу пешком», «пользуюсь такси» и пр., что карт, билетов, личного автомобиля нет. Для работодателя важно зафиксировать факт отправки запроса работнику и получения ответа – достаточно переписки по электронной почте.

В тоже время, номер мобильного телефона работника имеется у работодателя, соответственно, у работодателя существует потенциальная возможность передать эти сведения в отсутствие согласия/уведомления работника.

Согласно пункту 2 части 1 статьи 6 Закона о персональных данных обработка персональных данных допускается без согласия в случае, если она необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения, возложенных законодательством РФ на оператора функций, полномочий и обязанностей.  

Данная норма оперирует термином «законодательство Российской Федерации», тем самым допуская наличие соответствующих положений не только в федеральных законах, но и в постановлениях Правительства РФ, актах органов государственной власти и субъектов РФ, а также органов местного самоуправления.

Сбор и обработка номеров мобильных телефонов и иных сведений осуществляется в целях исполнения Указов Мэра Москвы, что подпадает под исключение пункта 2 части 1 статьи 6 Закона о персональных данных. Более того, учитывая эпидемиологическую обстановку, факт того, что сбор сведений осуществляется в интересах жителей Москвы и Московской области в целях сохранения их здоровья, такой сбор можно считать отвечающим принципам обработки персональных данных.

На основании изложенного, сбор и обработка перечисленных в Указе Мэра Москвы 6 октября 2020 г. № 97-УМ сведений, не требует согласия работника.

Учитывая наличие сведений, неизвестных работодателю, предоставление этих сведений, даже если допустить, что они являются персональными данными, осуществляется путем дачи согласия конклюдентными действиями – самим фактом предоставления работником соответствующих сведений.

Таким образом, в связи с принятыми Указами работодателям не следует принимать особых мер по соблюдению законодательства о персональных данных и переживать о нарушении законодательства.

После прекращения обязанности по предоставлению сведений работодателям необходимо уничтожить указанные сведения (за исключением номеров телефонов, обрабатываемых и так на законном основании), а до тех пор принимать меры по охране сведений, как и отношении других сведений работников, имеющихся у работодателя.

Полный материал читайте на VC.ru