Общая политика компании должна различать людей и цели. Сведения для расчёта зарплаты, анкета кандидата, контакт директора клиента и фотография ребёнка для рекламы не могут обрабатываться по одному неопределённому разрешению. Для каждой группы выясняют возраст и полномочия, источник сведений, действительное основание, круг доступа и срок.
Работник и кандидат
Статьи 86–90 ТК РФ ограничивают кадровую обработку трудовыми целями. Данные по общему правилу получают у работника; получение только у третьей стороны требует предварительного уведомления и письменного согласия с объяснением целей, источников, способов и последствий отказа. Закон предусматривает исключения для передачи; поэтому обязательная отчётность и передача агентству для рекламы различаются. Доступ разрешают уполномоченным лицам в объёме их функций, ознакомив работников с правилами под роспись. Диагноз, который не нужен для оценки возможности выполнять работу, нельзя собирать из любопытства руководителя. ТК РФ, статьи 86–90.
Кандидат ещё не работник. Его собственное обращение о трудоустройстве может обосновывать необходимую обработку для заключения договора по инициативе субъекта, но не бессрочный кадровый резерв, проверки любых сторонних источников и сбор всех семейных сведений. Для дополнительной цели определяют отдельное основание, срок и согласие по необходимости. После закрытия вакансии отделяют нужные материалы подбора и текущего спора от необязательной базы будущего поиска. Сам факт отказа в найме не создаёт универсального срока удаления всякой записи: применяются конкретная цель, основание и статья 21.
Рейтинг продуктивности, автоматическая оценка лица или резюме не заменяют оценку фактов человеком. Статья 86 ТК прямо ограничивает решения на основе исключительно автоматизированных или электронно полученных данных. Для иных субъектов дополнительно действует статья 16 Закона № 152-ФЗ: юридически значимые полностью автоматические решения допускаются только при письменном согласии или специальном законном основании, с разъяснением порядка, последствий и права возразить. Возражение рассматривается в 30 дней. Это особенно существенно для AI-отбора и скоринга: формальная подпись менеджера под необъяснённым выводом не доказывает самостоятельного рассмотрения.
Клиент и представитель контрагента
Клиент-физическое лицо может быть стороной договора, выгодоприобретателем или поручителем. Для необходимых операций проверяют пункт 5 части 1 статьи 6; дополнительные опросы, реклама, публикация отзыва и передача партнёру требуют своего основания. Предоставленное клиентом имя получателя подарка не означает, что получатель согласился на маркетинг.
Контакт работника контрагента остаётся персональными данными, хотя используется по работе. Проверьте его роль и связь контакта с сделкой: полномочия в доверенности, письмо организации, принадлежность адреса. В зависимости от действия основанием могут быть законная обязанность или необходимый законный интерес с соблюдением прав человека. Сам договор двух юридических лиц не делает каждого представителя его стороной. Устанавливают также правила уведомления при получении сведений не от субъекта по статье 18. Необязательные личные номера и документы не копируют автоматически во все системы. Закон № 152-ФЗ, статьи 5, 6, 18.
Несовершеннолетний
У российского закона нет универсального правила «с четырнадцати лет любой сервис вправе получить любое согласие». Необходимо разделить сделку, обработку, распространение изображения и специальный режим услуги. ГК РФ различает малолетних и подростков 14–18 лет, предусматривает самостоятельные сделки и участие представителей; дееспособность может быть приобретена полностью раньше. Из допустимости небольшой покупки не следует право компании публиковать ребёнка в рекламе или передавать его профиль любому партнёру. ГК РФ, статьи 26 и 28.
Оператор проверяет полномочия лица, которое даёт согласие за ребёнка. Для биометрии в сфере Закона № 572-ФЗ часть 19 статьи 3 прямо относит согласие, отказ и их отзыв к законным представителям. Образовательная, медицинская и иная регулируемая услуга дополнительно проверяется по своему закону. Нельзя назначить единую возрастную границу всем целям из одного пользовательского соглашения: пункт 5 части 1 статьи 6 запрещает договору устанавливать случаи обработки данных несовершеннолетних, если иное не предусмотрено законодательством. Закон № 572-ФЗ, прочитанный фрагмент.
Действия при споре и практика
Сохраните версии анкет, основание сбора, полномочия представителя, журналы доступа, тексты согласий и ответ на требование. Отделите исправление данных от спора об увольнении, отказе в работе или качестве услуги: у второго спора свои сроки и предмет доказывания. По данным доступны обращение в РКН и судебное требование об устранении нарушения и возмещении вреда. Работодатель проверяет также специальные права на доступ и исправление по статье 89 ТК. Передавая доказательство, ограничьте чужие сведения необходимым объёмом; право на защиту не означает право выгрузить всю клиентскую базу.
Пункт 9 гражданского раздела Обзора ВС за III квартал 2012 года признал ошибочным отказ работодателя предоставить профсоюзу поимённые сведения о переработках и оплате для контроля коллективного договора. Установленная законом функция имела значение даже для работников, не состоявших в профсоюзе; отказные акты отменены. Это исключение по конкретному основанию, не разрешение произвольному подрядчику получать кадровый архив. Обзор и предел чтения.
Сильное возражение субъекта — данные собирались под видом необходимой услуги, но использовались для иной цели. Ответ компании должен показать конкретную необходимость и фактическое ограничение доступа, а не только подпись. Прямой обобщающей позиции ВС по всем разновидностям детского цифрового согласия в проверенной выборке не установлено; возрастные и отраслевые условия остаются обязательной частью квалификации.
Связанные материалы: основания, биометрия, запрос, сроки хранения.