Персональные данные в стройкомпаниях

Персональные данные в стройкомпаниях регулирует Федеральный закон № 152-ФЗ «О персональных данных». Строительная организация почти всегда является оператором: она собирает паспорта и СНИЛС работников, копии удостоверений и допусков, фотографии с пропусков, записи камер на площадке, данные физических лиц-контрагентов и заказчиков. Обязанности оператора одинаковы для крупного генподрядчика и бригады из десяти человек: определить цели обработки, получить основание для неё, защитить данные и уведомить Роскомнадзор об обработке и об утечках.

Главные риски для компании — штрафы по статье 13.11 КоАП РФ, предписания Роскомнадзора, претензии работников и недействительность согласий, полученных с нарушением формы. Чтобы их снизить, достаточно выстроить пять вещей: перечень обрабатываемых данных, согласия там, где они нужны, внутренние документы, режим доступа и порядок действий при утечке. Ниже каждый элемент описан применительно к стройке.

Кто в строительной компании становится оператором и что он обязан сделать

Оператором считается организация или предприниматель, который сам или через другое лицо определяет цели и способы обработки данных. Подрядчик, нанимающий работников, обрабатывает их данные для кадрового учёта, расчёта зарплаты, допуска на объект и оформления наряд-допусков. Заказчик-организация получает от подрядчика списки лиц, которым нужен пропуск на территорию. Субподрядчик передаёт генподрядчику данные своих рабочих для оформления допусков. Во всех этих цепочках у каждой стороны своя роль и своя ответственность.

Первое, что требует закон от оператора, — определить цели и правовое основание. Для работников основанием служит трудовой договор и нормы Трудового кодекса: глава 14 ТК РФ устанавливает особые правила обработки, хранения и передачи данных работника, и закрепляет, что работодатель получает их для целей, связанных с трудовой деятельностью. Для физических лиц-контрагентов основанием часто является договор, для видеонаблюдения — законный интерес и информирование, а в остальных случаях нужно согласие.

Организационные обязанности оператора включают назначение ответственного за организацию обработки персональных данных, издание политики обработки и опубликование её на сайте (если сайт собирает данные), ознакомление работников с локальными актами, оценку вреда на случай нарушения требований закона и подачу уведомления в Роскомнадзор об обработке. Исключения из уведомления есть, но они узкие, и вывод об освобождении делают после проверки, а не по умолчанию.

Практическая сторона оформления проще, чем кажется. На каждую категорию лиц — работники, кандидаты, физические лица по гражданско-правовым договорам, посетители объекта — заводят отдельную строку в перечне: какие данные берём, зачем, где храним, сколько и кому передаём. Если какое-то поле не нужно для цели, его не собирают. Анкета кандидата с вопросами о семье, которые не связаны с работой, — типичный повод для предписания.

Кандидаты на вакансии часто забываются. Резюме, присланные на почту, попадают в обработку сразу, и закон требует либо согласия кандидата, либо уничтожения данных по достижении цели. Если резюме поступило от кадрового агентства, ответственность за основание лежит на агентстве, но компания не освобождается от обязанности защищать полученные сведения.

Согласие работника, контрагента и посетителя площадки

Согласие нужно не на всё. Когда обработка прямо предусмотрена законом или необходима для исполнения трудового договора, отдельной подписи не требуется. Но в строительной практике много случаев, где согласие обязательно: передача данных работника третьему лицу вне закона и договора, обработка биометрии, трансграничная передача, размещение фотографии на сайте компании или в портфолио, распространение данных неограниченному кругу лиц.

Закон требует, чтобы согласие было конкретным, информированным и сознательным. Оно содержит сведения об операторе, цель, перечень данных, перечень действий, срок и порядок отзыва. Для распространения данных неограниченному кругу действует отдельное согласие, которое нельзя «зашить» в общий пакет документов при приёме на работу. Типичная ошибка — одна общая бумага на все случаи: при споре суд или Роскомнадзор признают такое согласие недействительным.

Отдельный вопрос — прохождение пропускного режима. Если на объекте стоят турникеты с распознаванием лица или отпечатка пальца, данные относятся к биометрическим, и без согласия в письменной форме их обрабатывать нельзя, кроме случаев, прямо указанных в законе. Системы контроля допуска на частной стройплощадке к таким случаям, как правило, не относятся. Поэтому внедрение биометрического пропуска без согласий работников субподрядчика влечёт нарушение у каждой из сторон, которая участвовала в сборе.

Форма согласия на практике определяет исход спора. Если работодатель собирает согласие в виде строки внутри трудового договора, а работник позже отзывает его, оператор обязан прекратить обработку в части, не подкреплённой другим основанием. Поэтому согласие оформляют отдельным документом и хранят в личном деле рядом с подписанным текстом политики. Электронное согласие допустимо, если оно подписано подписью, приравненной к собственноручной, либо подтверждено способом, который предусмотрен законом.

Посетители стройплощадки — представители заказчика, инспекторы, поставщики — оставляют данные при оформлении разового пропуска. Журнал посещений ведут так, чтобы страница с чужими паспортными данными не была видна следующему посетителю: на практике это решается карточками на каждого человека или электронным журналом с разграничением доступа.

Передача данных субподрядчикам, заказчикам и за границу

Цепочка «заказчик — генподрядчик — субподрядчик» приводит к тому, что данные работников перемещаются между организациями без должного оформления. Если генподрядчик получает от субподрядчика паспортные данные рабочих для выписки пропусков, он становится самостоятельным оператором либо лицом, действующим по поручению оператора. От выбора модели зависят обязанности: при поручении обработки в договоре фиксируют перечень действий, меры защиты и ответственность исполнителя, и согласие субъекта на передачу не требуется, если оператор остаётся прежним.

Практический вывод для договоров подряда и субподряда: включайте в них раздел об обработке персональных данных. В нём указывают, кто оператор, кто обрабатывает по поручению, для каких целей передаются данные, как они защищаются, как удаляются после завершения работ и кто отвечает перед работниками при нарушении. Когда такого раздела нет, спор о том, чья вина в утечке паспортных данных рабочих, решается в основном по переписке и объяснениям сторон, а это слабая доказательная база.

Если компания работает с иностранными партнёрами, облачными сервисами за рубежом или заказчиком из другой страны, действует правило о трансграничной передаче. Оператор заранее уведомляет Роскомнадзор о намерении передавать данные, оценивает защиту в стране получателя и только после этого передаёт. Кроме того, данные граждан России при сборе записывают и хранят в базах на территории России: нельзя вести основной учёт работников в иностранной облачной системе, держа в России лишь копию.

Спор о том, кто несёт ответственность при передаче данных, возникает чаще всего между генподрядчиком и субподрядчиком. Субподрядчик передал паспорта своих рабочих в рамках заявки на пропуска, а генподрядчик не обеспечил их защиту, и они оказались в открытой папке. Работник обращается в Роскомнадзор и в суд, а компании потом выясняют отношения между собой. Если договор распределил обязанности и меры защиты, взыскание убытков с виновной стороны получается обоснованным, а если нет, суд исходит из общих правил о вине и причинной связи.

Ответственность за нарушения

Ответственность компании и должностных лиц складывается из административной, гражданской, трудовой и в тяжёлых случаях уголовной. Административная наступает по статье 13.11 КоАП РФ за обработку без основания, отсутствие согласия в требуемой форме, невыполнение обязанности опубликовать политику, отсутствие уведомления, нарушения при хранении. Для юридических лиц штрафы существенные, и за повторные нарушения и утечки закон ужесточён, поэтому размеры проверяют по действующей редакции.

Гражданская ответственность возникает, когда работник или другое лицо доказывает, что нарушение закона причинило ему вред. Суд может присудить компенсацию морального вреда, а при наличии убытков — их возмещение. Для работника доказать вред от утечки нелегко, но если данные использовались для оформления кредита или мошенничества, связь очевидна. Дополнительно возможна дисциплинарная ответственность сотрудника, допустившего разглашение: увольнение за разглашение охраняемой законом тайны, ставшей известной в связи с работой, предусмотрено Трудовым кодексом.

Уголовное преследование возможно за незаконное использование и передачу персональных данных, в том числе с использованием служебного положения, и за неправомерный доступ к компьютерной информации. Такие дела возникают, когда сотрудник продал базу данных или передал её конкуренту. Для руководителя важно, что отсутствие формальных мер защиты усиливает позицию обвинения по административному делу: если приказ о назначении ответственного не издан, а доступ не ограничен, объяснить «разумные меры» нечем.

Отдельно про оборотные штрафы. Закон ввёл для утечек крупных объёмов или специальных категорий данных санкции, рассчитываемые от выручки, и повторное нарушение наказывается строже первого. Для малой подрядной компании это может означать угрозу существованию бизнеса, поэтому затраты на документы и защиту сопоставимы с возможными потерями. Конкретные суммы и условия применения проверяют по действующей редакции КоАП РФ перед принятием решений.

Проверки Роскомнадзора и порядок реагирования на утечку

Роскомнадзор контролирует операторов через мероприятия без взаимодействия (мониторинг сайтов и открытых источников), профилактические визиты и контрольные закупки данных. Проверка нередко начинается с жалобы работника или с сообщения об утечке в публичном пространстве. К моменту визита у компании должен быть комплект документов: политика обработки, перечень данных, приказ об ответственном, согласия, журнал допуска, акты ознакомления.

При утечке порядок строго задан. В течение 24 часов оператор уведомляет Роскомнадзор о произошедшем инциденте, возможных причинах и предполагаемом вреде. В течение 72 часов направляет сведения о результатах внутреннего расследования и о лицах, действия которых привели к утечке. Если срок пропущен, к нарушению утечки добавляется нарушение самой обязанности уведомить. Данные, которые утекли, подлежат оценке: например, паспорт с номером и фотографией требует более жёстких мер, чем контактный телефон.

После уведомления проводят внутреннее расследование и оформляют его актом: что произошло, кто виновен, какие данные затронуты, какие меры приняты. Затем информируют затронутых лиц, смотрят договоры с партнёрами, у которых могли оказаться те же данные, и меняют режим доступа. Если утечку допустил подрядчик, действующий по поручению оператора, оператор остаётся ответственным перед субъектами, но может взыскать убытки с подрядчика по договору.

Работа с кадровыми данными на стройке

Стройка отличается от офиса сменностью, большим числом временных работников и привлечением самозанятых и индивидуальных предпринимателей. Это порождает свои проблемы с учётом данных. Табели, наряды, акты о несчастных случаях, удостоверения по охране труда, медицинские заключения о допуске к работам — часть сведений относится к специальным категориям (здоровье), и обрабатывать их можно только в случаях, прямо разрешённых законом, например для исполнения требований законодательства об охране труда.

Хранение копий паспортов бригад — частая точка риска. Копии лежат в папках прораба, фотографируются на телефон и пересылаются в мессенджер для оформления пропуска. После окончания работ они никуда не удаляются. Правильный порядок иной: хранить столько, сколько нужно для цели, ограничить число людей с доступом, не пересылать через личные мессенджеры и удалять, оформив акт.

Если вы привлекаете самозанятых и предпринимателей, их данные тоже защищены законом: обработка допускается на основании договора, но объём собираемых данных не должен превышать необходимого. Для бухгалтерских и налоговых целей хранение продолжается в сроки, которые установлены законодательством о бухгалтерском учёте и налогах, и в этой части удалить данные по требованию субъекта нельзя.

Пошаговый план приведения компании в порядок

Начинают с инвентаризации. Выписывают, какие данные и на каких носителях хранятся, откуда они поступили, кому передаются, кто имеет доступ. Часто выясняется, что одни и те же паспортные данные лежат на пяти компьютерах, в двух облаках и в бумажных папках на объекте. Инвентаризация даёт основу для остальных шагов и сразу показывает, что можно уничтожить.

Следующий шаг — документы: политика обработки персональных данных, положение об обработке данных работников, приказ о назначении ответственного, формы согласий (общая, на распространение, на передачу третьим лицам, биометрическая при необходимости), перечень лиц с доступом, журнал учёта обращений субъектов. Затем в типовые договоры подряда, субподряда и поставки добавляют раздел об обработке данных. Проверку завершает подача или актуализация уведомления в Роскомнадзор.

Последний шаг — тренировка. Руководитель проходит с ответственным сотрудником сценарий утечки: кто фиксирует инцидент, кто пишет уведомление, кто общается с работниками. Если у вас возникли вопросы по согласиям, договорам или проверке, пришлите документы на почту: адвокат изучит их и подскажет, что исправить до обращения регулятора или контрагента.

Основной канал связи с адвокатом — электронная почта sporystroitelnye@gmail.com