Электронное согласие сотрудника на обработку персональных данных: какую подпись выбрать и где возникают риски
Перевести кадровые документы в электронный вид недостаточно. Если сотрудник подписывает согласие на обработку персональных данных в корпоративной системе, юридическая устойчивость такого документа зависит от вида электронной подписи и от того, какие условия компания выполнила до подписания.
Электронное согласие может заменить бумажное. Часть 4 статьи 9 Федерального закона № 152-ФЗ признает электронный документ, подписанный в соответствии с законодательством об электронной подписи, равнозначным письменному согласию на бумажном носителе.
Но УКЭП, УНЭП и простая электронная подпись дают разный уровень юридической защиты. Для одних дополнительных соглашений не требуется, для других без них документ становится уязвимым для оспаривания.
Электронная форма согласия законна, но сама по себе ничего не гарантирует
В случаях, прямо предусмотренных федеральным законом, обработка персональных данных возможна только с письменного согласия субъекта. Такое требование устанавливает часть 4 статьи 9 Федерального закона № 152-ФЗ. Трудовое законодательство является одним из таких случаев.
При этом письменная форма не означает, что сотруднику обязательно нужно выдавать лист бумаги и получать подпись ручкой. Согласие в электронном виде может иметь ту же юридическую силу, если подписано с соблюдением законодательства об электронной подписи.
Правила использования электронной подписи устанавливает Федеральный закон № 63-ФЗ от 6 апреля 2011 года «Об электронной подписи». Он предусматривает три вида подписи, и условия их использования заметно различаются.
Проверьте электронные согласия работников
Сверим формы согласий, цели обработки, используемые виды электронной подписи и локальные документы и покажем, где оформление создает риск оспаривания.
УКЭП, УНЭП и ПЭП: в чем разница для работодателя
На практике выбор между этими вариантами — это не только вопрос удобства сотрудника. Он определяет, какие документы работодателю придется подготовить и насколько устойчивым окажется согласие, если факт подписания будет оспариваться.
Квалифицированная электронная подпись (УКЭП)
Равнозначна собственноручной подписи в силу закона, ч. 1 ст. 6 Федерального закона № 63-ФЗ.
Дополнительные условия не нужны. Подпись получают в аккредитованном удостоверяющем центре.
Усиленная неквалифицированная электронная подпись (УНЭП)
Приравнивается к собственноручной подписи при наличии соглашения между сторонами, ч. 2 ст. 6 Федерального закона № 63-ФЗ.
Необходимо соглашение об использовании УНЭП и закрепленный в нем порядок проверки подписи. При КЭДО также требуется действующее соглашение о КЭДО.
Простая электронная подпись (ПЭП)
Может быть равнозначна собственноручной подписи при наличии договора или локального нормативного акта, ч. 2 ст. 6 Федерального закона № 63-ФЗ.
Возможность применения должна быть предусмотрена трудовым договором или ЛНА. Круг документов ограничен, риск оспаривания выше.
На практике выбор между этими вариантами не только про вопрос удобства сотрудника. Он определяет, какие документы работодателю придется подготовить и насколько устойчивым окажется согласие, если факт подписания будет оспариваться.
УКЭП дает максимальную юридическую устойчивость, но усложняет процесс
Квалифицированная электронная подпись имеет наиболее однозначный правовой статус. Согласно части 1 статьи 6 Федерального закона № 63-ФЗ, электронная информация, подписанная УКЭП, равнозначна бумажному документу с собственноручной подписью непосредственно в силу закона.
Работодателю не нужно дополнительно договариваться с сотрудником о признании такой подписи.
Обратная сторона этого подхода — организационная нагрузка. Для получения УКЭП работнику необходимо обратиться в аккредитованный удостоверяющий центр. Каждый сотрудник получает подпись самостоятельно, а процедура требует времени и, как правило, личного обращения.
Поэтому массовое использование УКЭП в кадровых процессах встречается реже.
При этом для согласий, связанных с обработкой специальных категорий персональных данных, в том числе сведений о состоянии здоровья и биометрии, именно УКЭП является оптимальным вариантом: для таких документов риск последующего оспаривания следует минимизировать.
С УНЭП критично не только чем подписали документ, но и что оформили до этого
Усиленная неквалифицированная электронная подпись дает больше свободы в организации электронного документооборота, однако ее юридическая сила зависит от выполнения дополнительных условий.
По части 2 статьи 6 Федерального закона № 63-ФЗ УНЭП может быть признана равнозначной собственноручной подписи, если между сторонами есть соглашение о ее применении. В этом же соглашении должен быть установлен порядок проверки электронной подписи.
При использовании кадрового электронного документооборота появляется еще одно условие. К моменту подписания согласия сотрудником соглашение о КЭДО должно быть не просто подготовлено работодателем, а подписано и действовать.
Это принципиальная деталь. Наличие работающей информационной системы КЭДО само по себе не заменяет двусторонние документы, которые создают юридические основания для использования электронной подписи.
В результате возможна ситуация, когда компания уже перевела сотрудников в электронный контур, документы подписываются и сохраняются, а юридическая конструкция отстает от технической.
Согласия, подписанные до оформления соглашения о применении УНЭП или соглашения о КЭДО, могут быть признаны оформленными ненадлежащим образом.
Если КЭДО уже работает, но нет уверенности, что согласия на персональные данные собраны в юридически устойчивой логике, лучше проверить это до спора с сотрудником или запроса регулятора.
Проверьте КЭДО и согласия на ПДн
Разберем действующие согласия, соглашения о применении электронной подписи и связанные документы и определим, какие элементы нужно скорректировать.
ПЭП удобна для корпоративных систем, но риск оспаривания выше
Простая электронная подпись знакома большинству сотрудников, даже если они не называют ее этим термином. В корпоративных системах такой подписью чаще всего служат логин и пароль для доступа в личный кабинет работника.
ПЭП может использоваться при подписании согласий, если такая возможность прямо предусмотрена трудовым договором или локальным нормативным актом работодателя.
Однако у такого способа есть существенные ограничения. Перечень документов, которые могут подписываться ПЭП, ограничен. Кроме того, работник сохраняет возможность оспорить факт подписания из-за ненадежности самой подписи.
Для юридически значимых документов, охватывающих широкий объем обрабатываемых данных, применение ПЭП создает повышенный риск оспаривания.
В стандартных ситуациях с общими категориями персональных данных ПЭП может быть приемлема. Например, если сотрудник дает согласие на размещение фотографии на внутреннем корпоративном портале.
Для согласий, которые распространяются на специальные категории данных, применять ПЭП нецелесообразно.
Одно большое согласие не решает задачу: значение имеет каждая цель обработки
Переход в электронный формат не отменяет требований к содержанию самого согласия.
Часть 4 статьи 9 Федерального закона № 152-ФЗ предполагает, что в каждом согласии должна быть указана конкретная цель обработки персональных данных. В норме используется единственное число — «цель». На основании этой формулировки Роскомнадзор сформировал и последовательно отстаивает позицию: одна цель — одно согласие. Эта позиция подтверждается судебной практикой и официальными разъяснениями.
На практике работодателю необходимо оформлять отдельные согласия для каждой самостоятельной цели обработки персональных данных работника.
Такими целями могут быть ведение воинского учета, обработка медицинских данных, передача сведений в банк для зарплатного проекта, передача данных страховой компании или размещение информации в корпоративных справочниках.
Чем больше таких процессов в компании, тем заметнее административная нагрузка. Именно необходимость подписывать большое количество согласий становится одним из стимулов для перехода на КЭДО: электронное подписание существенно снижает объем ручной работы.
Модульное согласие помогает сохранить управляемость процесса
Один из практических вариантов организации такой работы — модульное согласие.
Вместо одного неделимого документа компания формирует несколько блоков с самостоятельными целями обработки. Каждый из них сотрудник подписывает независимо.
Такой формат позволяет сохранить юридическую корректность отдельных блоков и одновременно сделать сам процесс более управляемым для работодателя.
Но переход в цифру не исправляет содержание документов автоматически. Если цели обработки определены некорректно, соглашения об электронной подписи отсутствуют или кадровая практика расходится с локальными документами, наличие КЭДО само по себе эту проблему не устраняет.
Такие слабые места часто возникают именно на стыке кадров, КЭДО и privacy-процессов. В Telegram-канале Б-152 мы регулярно разбираем подобные пограничные ситуации: документ формально есть, но юридическая защита компании все равно остается слабой.
Что стоит проверить в уже работающем процессе
Если сотрудники уже подписывают согласия электронно, имеет смысл сверять не отдельный документ, а всю последовательность действий:
- Для каких самостоятельных целей компания получает согласия.
- Разделены ли эти цели между отдельными согласиями или независимыми модулями.
- Какой вид электронной подписи используется.
- Выполнены ли условия для использования выбранной подписи.
- Если применяется КЭДО, действовали ли необходимые соглашения на момент подписания.
- Соответствуют ли локальные документы реальной кадровой практике.
- Можно ли воспроизвести и предъявить электронные согласия при необходимости.
Последний пункт касается и хранения. Требования к срокам хранения документов по личному составу распространяются на электронные форматы. Система должна обеспечивать возможность воспроизвести документ и предъявить его регулятору или суду.
Сверьте кадровые процессы с 152-ФЗ
Аудит поможет проверить цели обработки, согласия работников, локальные документы и фактическую кадровую практику и увидеть расхождения до запроса Роскомнадзора или спора с сотрудником.
Популярные вопросы
Можно ли использовать электронное согласие вместо бумажного?
Да. Часть 4 статьи 9 Федерального закона № 152-ФЗ прямо предусматривает, что электронный документ, подписанный в соответствии с законодательством об электронной подписи, признается равнозначным письменному согласию на бумаге.
Какой вид подписи самый надежный для согласий на обработку персональных данных?
УКЭП. Она признается равнозначной собственноручной подписи непосредственно в силу закона, без дополнительных условий.
Что нужно оформить до того, как работники начнут использовать УНЭП?
С каждым сотрудником необходимо заключить соглашение о применении УНЭП, которое включает порядок проверки подписи. Если используется КЭДО, дополнительно требуется соглашение о КЭДО. Оба документа должны действовать до начала применения подписи.
Сколько согласий нужно получить от одного сотрудника?
По числу самостоятельных целей обработки его персональных данных. Позиция Роскомнадзора: одна цель — одно согласие.
Можно ли использовать ПЭП, например логин и пароль?
Да, если такая возможность прямо предусмотрена трудовым договором или локальным нормативным актом. Однако для согласий, охватывающих специальные категории данных, применение ПЭП нецелесообразно из-за высокого риска оспаривания.
Нужно ли хранить электронные согласия так же, как бумажные?
Да. Требования к срокам хранения документов по личному составу распространяются и на электронные форматы. Система должна позволять воспроизвести документ и предъявить его регулятору или суду.