Предоставление персональных данных работника по договору аутсорсинга

Судебная практика

информация по делу

УИД 77RS0021-02-2023-012071-98

РЕШЕНИЕ

Именем Российской Федерации

30 января 2024 года адрес

Пресненский районный суд адрес в составе

председательствующего судьи Зенгер Ю.И.,

при ведении протокола судебного заседания помощником судьи фио,

с участием истца, представителей ответчиков,

рассмотрев в открытом судебном заседании гражданское дело № 2-907/2024 по иску ФИО к ООО «СК Энмув Рус», адрес о защите персональных данных, взыскании компенсации морального вреда,

УСТАНОВИЛ:

ФИО обратилась в суд с иском к ООО «СК Энмув Рус», адрес о защите персональных данных, взыскании компенсации морального вреда.

В обоснование заявленных требований истец указала, что в нарушение Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» персональные данные работников ООО «СК Энмув Рус», в том числе ее персональные данные, были подвержены обработке без согласия и передаче третьим лицам, а именно: аутсорсинговому агентству адрес, которое с апреля 2022 года выполняет функцию оператора по кадровому администрированию и расчету заработной платы для сотрудников ООО «СК Энмув Рус». Вместе с тем в ООО «СК Энмув Рус» отсутствует политика обработки персональных данных, при устройстве на работу 29 января 2018 года истец не подписывала никаких документов, которые разрешали бы работодателю обрабатывать, хранить и передавать ее персональные данные третьим лицам. Со сменой руководства в 2022 году в компании происходит смена кадрового состава и к увольнениям работников подключают различных юрист-консультантов со стороны, которые не являются работниками ООО «СК Энмув Рус», им также передают персональные данные сотрудников для подготовки приказов от имени ООО «СК Энмув Рус», дополнительных соглашений к трудовым договорам, соглашений о расторжении трудовых договоров и других административных документов, в которых указываются персональные данные работников.

Истец просит суд обязать ответчиков прекратить обработку, передачу ее персональных данных истца третьим лица и предоставить доказательства уничтожения ее персональных данных адрес, согласно ч.ч. 3-5 ст. 21 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных», а также взыскать с ответчиков в ее пользу компенсацию морального вреда в размере сумма в равных долях.

Истец ФИО в судебное заседание явилась, исковые требования поддержала в полном объеме, просила суд их удовлетворить, указав на незаконность действий ответчиков.

Представитель ответчика ООО «СК Энмув Рус» по доверенности в судебное заседание явился, исковые требования не признал по доводам, изложенным в письменных возражениях на иск, кроме того, заявил, что ФИО без уважительных причин пропустила срок, предусмотренный ст. 392 ТК РФ, для обращения в суд.

Представитель ответчика адрес по доверенности в судебное заседание явилась, исковые требования не признала по доводам, изложенным в письменных возражениях на иск.

Третье лицо в судебное заседание не явилось, извещено о времени и месте рассмотрения дела надлежащим образом.

На основании ст. 167 ГПК РФ суд считает возможным рассмотреть дело в отсутствие представителя третьего лица, по имеющимся в деле доказательствам, полагая их достаточными для принятия судебного акта, с учетом мнения участником процесса.

Выслушав истца, представителей ответчиков, исследовав письменные материалы дела, суд приходит к выводу о том, что заявленные требования не подлежат удовлетворению по следующим основаниям.

В соответствии со ст. 86 ТК РФ в целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования:

обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;

при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией Российской Федерации, настоящим Кодексом и иными федеральными законами;

все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;

работодатель не имеет права получать и обрабатывать сведения о работнике, относящиеся в соответствии с законодательством Российской Федерации в области персональных данных к специальным категориям персональных данных, за исключением случаев, предусмотренных настоящим Кодексом и другими федеральными законами;

работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных настоящим Кодексом или иными федеральными законами;

при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения;

защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном настоящим Кодексом и иными федеральными законами;

работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области;

работники не должны отказываться от своих прав на сохранение и защиту тайны;

работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников.

Согласно ст. 87 ТК РФ, порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований настоящего Кодекса и иных федеральных законов.

В силу ст. 88 ТК РФ при передаче персональных данных работника работодатель должен соблюдать следующие требования: не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами; не сообщать персональные данные работника в коммерческих целях без его письменного согласия; предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном настоящим Кодексом и иными федеральными законами; осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись; разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций; не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции; передавать персональные данные работника представителям работников в порядке, установленном настоящим Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

На основании п. 2 ч. 1 ст. 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

Как установлено в судебном заседании и усматривается из материалов дела, 29 января 2018 года ФИО принята на работу в ООО «СК Лубрикантс Рус» (ООО «СК Энмув Рус») на должность менеджера по логистике на основании трудового договора № 37 от 29 января 2018 года.

28 июня 2022 года между ООО «СК Лубрикантс Рус» (ООО «СК Энмув Рус») и адрес (адрес) заключен договор на оказание услуг по расчету заработной платы, согласно п. 1.1 которого заказчик поручает, а консультант принимает на себя обязательство по оказанию услуг по расчету заработной платы, относящейся к периоду с 16 июня 2022 года по 31 мая 2023 года включительно, на основе действующего российского законодательства и в соответствии с условиями, положениями и ограничениями, установленными настоящим договором.

28 июня 2022 года между ООО «СК Лубрикантс Рус» (ООО «СК Энмув Рус») и адрес (адрес) подписано дополнительное соглашение № 1 к вышеуказанному договору на оказание услуг по расчету заработной платы, согласно пунктам 3.1, 3.2 которого заказчик гарантирует, что персональные данные сотрудников получены им с соблюдением требований действующего законодательства, согласие сотрудников заказчика на передачу их персональных данных на обработку консультанту заказчиком получено; заказчик обязуется самостоятельно принимать предусмотренные законодательством меры по защите персональных данных своих сотрудников.

17 января 2023 года ФИО подана жалоба в Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по ЦФО, в связи с нарушением ООО «СК Лубрикантс Рус» Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

10 февраля 2023 года ФИО дано письменное согласие субъекта персональных данных на обработку его персональных данных, а именно: на совершение ООО «СК Лубрикантс Рус» действий, предусмотренных п. 3 ст. 3 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

15 февраля 2023 года Управлением Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по ЦФО в адрес ООО «СК Лубрикантс Рус» направлен запрос о предоставлении информации по факту обращения ФИО

17 марта 2023 года Управлением Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по ЦФО дан ответ ФИО, согласно которому запрос Управления не получен ООО «СК Лубрикантс Рус» и хранится в отделении почтовой связи, получение ответа от оператора принято на контроль Управления.

20 апреля 2023 года работниками ООО «СК Лубрикантс Рус» составлен акт об утрате документа, а именно: трудового договора № 37, заключенного с ФИО 29 января 2018 года.

03 июля 2023 года ФИО уволена с занимаемой должности в соответствии с п. 2 ч. 1 ст. 81 ТК РФ (сокращение штата работников организации), о чем ООО «СК Энмув Рус» издан приказ № 4 от 03 июля 2023 года.

07 августа 2023 года Управлением Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по ЦФО дан ответ ФИО, согласно которому она неправильно указала наименование работодателя в своей жалобе, кроме того, правовым основанием обработки персональных данных работников организации является ТК РФ; обработка персональных данных работника при выполнении работодателем возложенных на него трудовым законодательством обязанностей не требует согласия работника, однако, однозначное применение норм законодательства в сфере персональных данных возможно только при наличии дополнительных сведений о конкретных ситуациях.

Указанные фактические обстоятельства установлены в судебном заседании, подтверждаются собранными по делу доказательствами и не оспорены сторонами.

С учетом распределения бремени доказывания, определенного ст. 56 ГПК РФ, каждая сторона должна доказать те обстоятельства, на которые она ссылается как на основания своих требований и возражений.

Отказывая в удовлетворении исковых требований ФИО к ООО «СК Энмув Рус», адрес о защите персональных данных, суд принимает во внимание, что согласие истца не является обязательным условием обработки ее персональных данных ответчиками, что подтверждается положениями ч. 1 ст. 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Так, отношения между ФИО и ООО «СК Энмув Рус» возникли на основании трудового договора, указанный ответчик осуществлял обработку персональных данных истца в связи с необходимостью оформления трудовых отношений и выполнения обязательств, принятых на себя в рамках подписанного с работником трудового договора, а также в рамках локальных нормативных актов, принятых работодателем в пределах его полномочий.

С учетом специфики трудовых отношений у ООО «СК Энмув Рус» возникли дополнительные обязанности, прямо предусмотренные действующим трудовым законодательством, невыполнение которых, помимо прочего, могли являться основанием для привлечения работодателя к административной ответственности. К таким обязанностям относятся, например, предусмотренные ст. 22 ТК РФ.

Отдельные обязанности ООО «СК Энмув Рус» как работодателя возникали и в связи с соблюдением иного отраслевого законодательства: налогового, бухгалтерского и т.д. Соответствующие обязанности возникают у работодателя с момента оформления трудоустройства работника и сохраняются даже после прекращения трудового договора.

Таким образом, обработка персональных данных в данном случае осуществлялась в рамках исполнения трудового договора, закона, и не могла ставиться под условие получения согласия на обработку персональных данных, иное приводило бы к невозможности заключения и исполнения договора, соблюдения требований закона.

При этом закон не ограничивает работодателя в выборе средств и способов реализации возложенных на него обязанностей, в связи с этим для достижения целей исполнения трудового договора и исполнения закона допускается передача персональных данных работников третьим лицам без их письменного согласия, если при этом не нарушаются права и свободы работников как субъектов персональных данных.

Суд полагает, что права и свободы работников не будут нарушены, если передача персональных данных третьим лицам будет ограничена достижением указанных целей, связанных с реализацией трудовых отношений между работником и работодателем, вытекать, в том числе, из исполнения работодателем обязанностей, предусмотренных законом, и при этом будет обеспечиваться защита персональных данных от неправомерных действий с ними. Такая защита может быть обеспечена, в частности, условиями договоров, заключаемых с третьими лицами – получателями персональных данных работников.

Более того, работники, как правило, сами заинтересованы в надлежащем и полном выполнении работодателем своих обязанностей.

Таким образом, обработка персональных данных в данном случае осуществлялась в рамках законного интереса и не могла ставиться под условие получения согласия на обработку персональных данных, иное приводило бы к существенному ограничению прав работодателя как юридического лица.

В соответствии с ч. 3 ст. 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее - поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом. В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные ч.5 ст.18 и ст.18.1 настоящего Федерального закона, обязанность по запросу оператора персональных данных в течение срока действия поручения оператора, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии с настоящей статьей, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии с ст.19 настоящего Федерального закона, в том числе требование об уведомлении оператора о случаях, предусмотренных ч.3.1 ст.21 настоящего Федерального закона.

Суд принимает во внимание, что ФИО не состояла в трудовых отношениях с адрес, которое является по отношению к истцу лицом, обрабатывающем ее персональные данные по поручению оператора.

ООО «СК Энмув Рус» в соответствии с принятыми на себя обязательствами при заключении трудового договора с ФИО (исполнение договора), возникших в связи с заключением трудового договора предусмотренных законом обязанностей (исполнение закона), привлек адрес к расчету заработной платы и передал ему для этого персональные данные истца (законный интерес). Передача персональных данных произведена в рамках поручения, зафиксированного в договоре, и предусматривающего соблюдение адрес конфиденциальности полученных персональных данных и принятие указанным ответчиком мер по их защите в соответствии с требованиями действующего законодательства.

Таким образом, ООО «СК Энмув Рус» правомерно осуществлял обработку персональных данных ФИО и передавал их адрес для осуществления расчета заработной платы без отдельного дополнительного согласия истца.

Суд не может возложить на ответчиков обязанность прекратить обработку персональных данных истца и произвести их уничтожение по следующим основаниям.

В ходе рассмотрения дела представитель ответчика ООО «СК Энмув Рус» пояснил, что к обработке персональных данных истца применяются также правила, установленные Приказом Росархива от 20 декабря 2019 года № 236, которым утвержден Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (далее – Перечень).

Согласно п. 1.2 раздела II Перечня, он включает типовые управленческие архивные документы, образующиеся в процессе деятельности государственных органов, органов местного самоуправления и организаций при осуществлении однотипных (общих для всех или большинства) управленческих функций, независимо от их организационно-правовых форм и от формы собственности, с указанием сроков хранения.

При этом документы/сведения кадрового обеспечения (то есть приказы/распоряжения по личному составу, документы к ним о приеме, переводе, оплате труда; личные карточки работников) подлежат хранению в организации, что исключает их уничтожение ранее установленного срока.

Согласно п. 4 раздела II Перечня, также установлены сроки хранения персональных данных уволенных работников, содержащихся в учетных документах, доходящие до 50 лет и выше.

Приказом Росархива от 20 декабря 2019 года № 237 утверждена также Инструкция по применению Перечня (далее – Инструкция).

В силу п. 4.2 Инструкции сроки хранения документов не зависят от вида носителя и ограничения доступа к ним.

В соответствии с п. 4.3 Инструкции сроки временного хранения документов, установленные Перечнем, должны соблюдаться всеми организациями независимо от их организационно-правовых форм и форм собственности. После истечения сроков временного хранения документы подлежат уничтожению. Уничтожение документов до истечения сроков их временного хранения запрещается.

Поскольку хранение документов, в том числе архивное, может осуществляться не только в бумажном, но и в электронном виде, персональные данные уволенных работников должны сохраняться в течение установленных сроков хранения документов и сведений, в том числе, в электронном виде.

Более того, согласно разделу IV ФСБУ, экономический субъект должен хранить подлинники документов бухгалтерского учета, составленных на бумажном носителе и (или) в виде электронного документа, за исключением случаев, установленных законодательством Российской Федерации. Документы бухгалтерского учета должны храниться в том виде, в котором они были составлены. Следовательно, если документы были составлены на бумажном носителе и в электронном виде, они должны храниться в обоих случаях.

Таким образом, ООО «СК Энмув Рус» использует информационную систему 1C для ведения кадрового и бухгалтерского учета, которая содержит, помимо прочего, сведения об истце, необходимые для расчета заработной платы.

При таких обстоятельствах прекращение обработки персональных данных истца невозможно и будет прямо противоречить требованиями действующего законодательства.

Вместе с тем, частичная утрата кадровых документов не свидетельствует о нарушении прав ФИО Сами по себе копии документов не являются персональными данными, а выступают, в первую очередь, в качестве источников и материальных носителей персональных данных. Отсутствие бумажных документов не свидетельствует об утрате персональных данных истца как таковых.

Суд принимает во внимание, что указанная истцом утрата документов не привела ни к каким последствиям для нее, трудовые отношения продолжились на прежних условиях, все гарантии, связанные с работой ФИО у ООО «СК Энмув Рус», сохранились. Восстановление утраченных кадровых документов реализовывалось ответчиком за счет собственных средств.

Также суд отказывает истцу в удовлетворении требований о компенсации морального вреда, поскольку в судебном заседании не нашли своего подтверждения доводы истца о том, что со стороны ответчиков имели место какие-либо неправомерные действия или бездействие как основание, предусмотренное ст. 237 ТК РФ, для заявления соответствующих требований и их удовлетворения.

Кроме того, суд находит, что иск также не подлежит удовлетворению в части требований истца к ответчику ООО «СК Энмув Рус», поскольку ФИО пропустила срок для обращения в суд за разрешением индивидуального трудового спора, предусмотренный ч. 1 ст. 392 ТК РФ.

Исковое заявление ФИО к ООО «СК Энмув Рус», адрес о защите персональных данных, взыскании компенсации морального вреда поступило в Пресненский районный суд адрес лишь 19 июля 2023 года (направлено 17 июля 2023 года в электронном виде).

Начало течения срока обращения в суд закон связывает с тем, когда работник узнал или должен был узнать о нарушении своего права; осознание данного фактического обстоятельства не обусловлено обязательным правовым обоснованием позиции работника, представлением в суд доказательств.

Таким образом, поскольку еще 17 января 2023 года ФИО обращалась в Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по ЦФО, в связи с нарушением ООО «СК Лубрикантс Рус» (ООО «СК Энмув Рус») Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных», у нее должно было сформироваться представление о том, имеются ли признаки нарушения ее прав или нет.

При пропуске по уважительным причинам сроков, установленных частями первой, второй, третьей и четвертой ст. 392 ТК РФ, они могут быть восстановлены судом.

Согласно разъяснениям, содержащимся в п.5 Постановления Пленума Верховного Суда РФ от 17 марта 2004 года № 2 «О применении судами Российской Федерации Трудового кодекса РФ», в качестве уважительных причин пропуска срока обращения в суд могут расцениваться обстоятельства, препятствовавшие данному работнику своевременно обратиться в суд с иском в суд за разрешением индивидуального трудового спора (например, болезнь истца, нахождение его в командировке, невозможность обращения в суд вследствие непреодолимой силы, необходимость осуществления ухода за тяжелобольными членами семьи).

Однако данных об обстоятельствах, препятствовавших обращению истца в суд в установленный законом срок, суду не представлено.

При таких обстоятельствах, суд приходит к выводу о необоснованности предъявленного иска, в связи с чем полагает необходимым отказать в удовлетворении исковых требований ФИО к ООО «СК Энмув Рус», адрес о защите персональных данных, взыскании компенсации морального вреда в полном объеме.

На основании изложенного, руководствуясь ст. ст. 194–198 ГПК РФ, ст. 392 ТК РФ, суд

РЕШИЛ:

В удовлетворении исковых требований ФИО к ООО «СК Энмув Рус», адрес о защите персональных данных, взыскании компенсации морального вреда отказать.

Решение может быть обжаловано в Московский городской суд через Пресненский районный суд адрес в течение месяца со дня принятия решения судом в окончательной форме.

Мотивированное решение суда изготовлено 06 февраля 2024 года

Судья Ю.И.Зенгер