Вопрос: По распоряжению иностранных учредителей при приеме на работу новых работников анкеты соискателей должны быть направлены учредителям во Францию, после рассмотрения анкет учредители выносят либо положительное, либо отрицательное решение о приеме на работу.
Можно ли осуществлять передачу персональных данных российских граждан за пределы территории Российской Федерации?
Ответ: Работодатель вправе осуществлять трансграничную передачу персональных данных соискателей на территорию Франции.
Обоснование: Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее — Закон N 152-ФЗ)).
Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных (п. 3 ст. 3 Закона N 152-ФЗ).
Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц (п. 6 ст. 3 Закона N 152-ФЗ).
Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу (п. 11 ст. 3 Закона N 152-ФЗ).
В общем случае обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных (п. 1 ч. 1 ст. 6 Закона N 152-ФЗ).
При этом операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом (ст. 7 Закона N 152-ФЗ).
Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным (ч. 1 ст. 9 Закона N 152-ФЗ).
Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных возлагается на оператора (ч. 3 ст. 9 Закона N 152-ФЗ).
В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. В согласии на обработку персональных данных работника в письменной форме должны быть указаны перечень действий с персональными данными, на совершение которых дается согласие, и общее описание используемых оператором способов обработки персональных данных (п. 7 ч. 4 ст. 9 Закона N 152-ФЗ).
Из п. 5 Разъяснений Роскомнадзора «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве» следует, что обработка персональных данных соискателей на замещение вакантных должностей в рамках правоотношений, урегулированных Трудовым кодексом РФ, предполагает получение согласия соискателей на замещение вакантных должностей на обработку их персональных данных на период принятия работодателем решения о приеме либо отказе в приеме на работу. В случае если сбор персональных данных соискателей осуществляется посредством типовой формы анкеты соискателя, утвержденной оператором, то данная типовая форма анкеты должна соответствовать требованиям п. 7 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного Постановлением Правительства РФ от 15.09.2008 N 687, а также содержать информацию о сроке ее рассмотрения и принятия решения о приеме либо отказе в приеме на работу. Типовая форма анкеты соискателя может быть реализована в электронной форме на сайте организации, где согласие на обработку персональных данных подтверждается соискателем путем проставления отметки в соответствующем поле, за исключением случаев, когда работодателем запрашиваются сведения, предполагающие получение согласия в письменной форме.
В соответствии с ч. 1 ст. 12 Закона N 152-ФЗ трансграничная передача персональных данных на территории иностранных государств, являющихся сторонами Конвенции о защите физических лиц при автоматизированной обработке персональных данных (заключена в г. Страсбурге 28.01.1981) (далее — Конвенция), а также иных иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется в соответствии с настоящим Федеральным законом и может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства.
При этом трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных (ч. 4 ст. 12 Закона N 152-ФЗ).
То есть российское законодательство о персональных данных не устанавливает запрет на трансграничную передачу персональных данных на территорию государств, являющихся сторонами Конвенции.
Из Письма Минкомсвязи России от 13.05.2009 N ДС-П11-2502 следует, что одним из критериев оценки государства в данном аспекте выступает факт ратификации им Конвенции. В число стран, подписавших и ратифицировавших указанную Конвенцию, входит Франция.
Таким образом, полагаем, что, в случае когда при приеме на работу новых работников их анкеты должны быть направлены учредителям во Францию, нарушений законодательства Российской Федерации о персональных данных не происходит и организация вправе направлять анкеты соискателей учредителям во Францию.
Следовательно, оператор персональных данных, под которым в соответствии с п. 2 ст. 3 Закона N 152-ФЗ понимается в том числе юридическое лицо, вправе осуществлять трансграничную передачу персональных данных на территорию государств стран — участниц Конвенции в том же режиме, что и на территории Российской Федерации.
Однако при осуществлении трансграничной передачи персональных данных необходимо соблюдать принципы обработки персональных данных, а именно соблюдение режима конфиденциальности персональных данных и обеспечение безопасности персональных данных при их обработке.
Также, несмотря на то что Франция ратифицировала вышеуказанную Конвенцию, рекомендуется получить от соискателей на работу письменное согласие на обработку персональных данных, в котором должно быть отражено согласие на трансграничную передачу персональных данных.
Л.Б.Чернышева
ООО «ИК Ю-Софт»
Региональный информационный центр
13.09.2019
