На сайте организации размещены имена и фотографии сотрудников - попадает ли это под действие закона О персональных данных

На сайте организации размещены имена и фотографии сотрудников - попадает ли это под действие закона "О персональных данных"

Предприятие размещает на своем официальном сайте персональные данные работника (фотографию, год рождения, должность) в информационных целях. Необходимо ли в данном случае оформление отдельного от иных согласий субъекта персональных данных на обработку его персональных данных согласия на распространение, следуя норме части 1 ст. 10.1 ФЗ "О персональных данных" и по установленной форме (п. 9 ст. 9 данного ФЗ) форме? Либо данная норма распространяется на иные случаи, когда сам субъект (п. 1.1 ст. 3 данного ФЗ) дает доступ к своим персональным данным, и относится к другим правоотношениям, работой с Единой системой идентификации и аутентификации?

Рассмотрев вопрос, мы пришли к следующему выводу:

Размещение фотографий работников и сопутствующей информации на сайте организации в приведенной ситуации соответствует признакам распространения персональных данных и требует отдельного согласия работников.

Обоснование вывода:

Статьей 10.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) установлены особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения, под которыми понимаются персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на подобную обработку в установленном порядке (п. 1.1 ст. 3 Закона N 152-ФЗ). Распространение персональных данных, в свою очередь, представляет собой действия, направленные на раскрытие персональных данных неопределенному кругу лиц (п. 5 ст. 3 Закона N 152-ФЗ).

На наш взгляд, ограничение сферы применения ст. 10.1 Закона N 152-ФЗ только случаями обработки персональных данных, доступ к которым предоставлен самим субъектом персональных данных, противоречило бы смыслу заложенных в эту статью норм. К примеру, как следует из ч. 2 ст. 10.1 Закона N 152-ФЗ, раскрытие персональных данных неопределенному кругу лиц самим субъектом персональных данных является лишь частным случаем из общей сферы применения ст. 10.1 Закона N 152-ФЗ. Поэтому мы полагаем, что ключевым понятием для применения названной статьи является именно распространение персональных данных: если обработка персональных данных заключается в действиях, направленных на раскрытие персональных данных неопределенному кругу лиц, то оператор должен осуществлять такую обработку в соответствии с требованиями ст. 10.1 Закона N 152-ФЗ. Другого порядка обработки персональных данных в форме распространения закон не содержит.

Соответственно, если работодатель собирается разместить фотографии работников в открытом доступе - на корпоративном сайте в сети Интернет (изображения при этом предполагается дополнить справочной информацией, включающей фамилию, имя, отчество сотрудника, год рождения), его действия следует признать распространением персональных данных*(1). Следовательно, организация в описанной ситуации обязана соблюсти требования Закона N 152-ФЗ и получить предварительное согласие сотрудников на распространение их персональных данных, включая фотографическое изображение, неопределенному кругу лиц. Такое согласие должно быть получено по правилам ст. 10.1 Закона N 152-ФЗ. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения (ч. 8 ст. 10.1 Закона N 152-ФЗ).

Напомним, что с 1 сентября 2021 г. вступает в силу приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 24 февраля 2021 г. N 18, утвердивший требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

Отметим, что согласно ч. 11 ст. 10.1 Закона N 152-ФЗ установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации. Обработка персональных данных, необходимая для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей, допускается и без согласия субъекта персональных данных (п. 2 ч. 1 ст. 6 Закона N 152-ФЗ). Таким образом, размещение персональных данных работников на сайте организации не требует предварительного их согласия в том случае, если работодатель обязан законом к размещению таких сведений*(2).

Ответ прошел контроль качества

23 августа 2021 г.