Вопрос: ООО планирует провести аудит бухгалтерской (финансовой) отчетности за 2013 г. В целях подтверждения правильности расчетов по заработной плате с работниками аудиторская организация запрашивает документы, которые содержат персональные данные работников (фамилии, имена, отчества, паспортные данные, сведения о размере заработной платы, премий и т.д.): трудовые договоры, лицевые счета, приказы о приеме на работу работников, приказы о материальной помощи работникам, табели учета рабочего времени.
Без представления этих документов (сведений) проведение аудита фактически невозможно, цели аудиторской проверки (подтверждение достоверности (недостоверности) бухгалтерской (финансовой) отчетности) не могут быть достигнуты.
Имеет ли право ООО представить указанные сведения (документы) аудиторской организации без получения согласия работников на обработку их персональных данных? Возникает ли у ООО, а также у аудиторской организации обязанность направлять в территориальный орган Роскомнадзора уведомление о намерении осуществить обработку персональных данных? Имеет ли правовое значение проведение обязательного или добровольного (инициативного) аудита?
Ответ: ООО обязано получить согласие работников на обработку (передачу) их персональных данных в случае представления таких данных для проведения аудиторской проверки. Кроме того, ООО и аудиторская организация обязаны уведомить Роскомнадзор о намерении осуществить обработку персональных данных. При этом проводится аудит в обязательном порядке или добровольном (по инициативе ООО), не имеет правового значения.
Обоснование: Персональными данными является любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу — субъекту персональных данных (п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее — Закон N 152-ФЗ)).
Под оператором персональных данных понимаются, в частности, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (п. 2 ст. 3 Закона N 152-ФЗ).
Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона N 152-ФЗ).
Таким образом, передача документов (сведений), содержащих персональные данные работников ООО, является обработкой персональных данных, а ООО и аудиторская организация являются операторами персональных данных.
В соответствии с п. 2 ч. 1 ст. 6 Закона N 152-ФЗ обработка персональных данных допускается, если она необходима для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей. При этом согласие субъекта персональных данных не требуется.
При проведении аудита аудируемое лицо обязано содействовать аудиторской организации в своевременном и полном проведении аудита, создавать для этого соответствующие условия, предоставлять необходимую информацию и документацию, давать по устному или письменному запросу аудиторской организации, индивидуального аудитора исчерпывающие разъяснения и подтверждения в устной и письменной форме, а также запрашивать необходимые для проведения аудита сведения у третьих лиц (п. 1 ч. 2 ст. 14 Федерального закона от 30.12.2008 N 307-ФЗ «Об аудиторской деятельности» (далее — Закон N 307-ФЗ)).
В то же время согласно ст. 88 Трудового кодекса РФ работодатель не вправе сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами.
Закон N 152-ФЗ устанавливает общие принципы обращения с персональными данными, в то время как ТК РФ регулирует обработку персональных данных непосредственно в трудовых отношениях. Следовательно, нормы ТК РФ, касающиеся обработки персональных данных, являются специальными по отношению к нормам Закона N 152-ФЗ. А значит, ООО должно получить согласие работников на обработку их персональных данных.
В соответствии с ч. 1 ст. 22 Закона N 152-ФЗ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных. Уполномоченным органом является Роскомнадзор (п. 1 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением Правительства РФ от 16.03.2009 N 228).
При этом ч. 2 ст. 22 Закона N 152-ФЗ устанавливает перечень случаев, когда можно проводить обработку персональных данных, не уведомляя уполномоченный орган. К таким случаям, в частности, относится обработка персональных данных в соответствии с трудовым законодательством. Однако передача аудиторской организации персональных данных работников ООО проводится не в соответствии с трудовым законодательством, а в соответствии с Законом N 307-ФЗ, поэтому уведомлять уполномоченный орган необходимо.
При этом проведение обязательного или добровольного (инициативного) аудита правового значения не имеет, поскольку нормы Закона N 152-ФЗ, Закона N 307-ФЗ и ТК РФ не предусматривают различий в обязанностях операторов персональных данных, касающихся получения согласия от работников и уведомления Роскомнадзора, в зависимости от вида проводимого аудита.
А.В.Кононенко
Издательство «Главная книга»
10.09.2014
