С 1 сентября 2022 года работодатели должны сообщать в Роскомнадзор о намерении обрабатывать персональные данные работников. Уведомлять ведомство необходимо, даже если работодатели получили данные в рамках трудовых отношений. Такой вывод можно сделать из письма Роскомнадзора от 19.08.2022 № 08-75348.

В письме отмечается, что с 1 сентября 2022 года статья 22 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее – Закон № 152-ФЗ) будет действовать в новой редакции с учетом изменений, внесенных Федеральным законом от 14.07.2022 № 266-ФЗ.

Согласно ч. 1 ст. 22 Закона № 152-ФЗ до начала обработки персональных данных оператор должен уведомить о своем намерении Роскомнадзор. Часть 2 этой же статьи предусматривает ряд случаев, когда уведомлять необязательно. С 1 сентября 2022 года этот список исключений станет меньше, из него уберут случаи обработки персональных данных:

 - обрабатываемых в соответствии с трудовым законодательством;
 - полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
 - относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующим общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;
 - разрешенных субъектом персональных данных для распространения при условии соблюдения оператором запретов и условий, предусмотренных статьей 10.1 Закона № 152-ФЗ;
 - включающих в себя только фамилии, имена и отчества субъектов персональных данных;
 - необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
 - включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем.
При обработке персональных данных в перечисленных случаях нужно будет сообщать в Роскомнадзор в общем порядке.

В самом уведомлении с 1 сентября 2022 года следующие сведения нужно будет указывать для каждой цели обработки персональных данных (ч. 3 ст. 22 Закона № 152-ФЗ):
 - категории персональных данных;
 - категории субъектов, персональные данные которых обрабатываются;
 - правовое основание обработки персональных данных;
 - перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных.
При этом в уведомлении нужно будет указывать:

Ф. И. О. физического лица или наименование юридического лица, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных информационных системах.

Роскомнадзор разработал новые формы уведомлений, которые операторы персональных данных обязаны направлять в ведомство в связи с обработкой персданных физических лиц. Проект соответствующего приказа опубликован на Федеральном портале проектов нормативных правовых актов.

Речь идет о формах:

 - уведомления о намерении осуществлять обработку персональных данных;
 - уведомления о внесении изменений в ранее предоставленные в Роскомнадзор сведения;
 - уведомление о прекращении обработки персональных данных.

Напоминаем, что согласно ч. 1 ст. 22 Закона № 152-ФЗ подать в Роскомнадзор уведомление необходимо до начала обработки персональных данных. При этом под обработкой понимается любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение (п. 3 ч. 1 ст. 3 Закона № 152-ФЗ).

Учитывая это требование, работодатели должны направлять уведомление в Роскомнадзор:

 - до приема сотрудника на работу (по каждому вновь принимаемому сотруднику подавать уведомление не требуется);
 - до обработки данных соискателей (если они будут направлять работодателю резюме с именем, фамилией, номером телефона, адресом электронной почты и т. д.).

Вместе с тем остается вопрос о дате начала обработки персональных данных, которая должна быть указана в уведомлении. В случае с соискателем эта дата неизвестна, поскольку она напрямую зависит от воли самого соискателя. Работодатель не может предположить, когда соискатель пришлет свое резюме, и, соответственно, не может сообщить об этом заранее в Роскомнадзор. Полагаем, для решения этого вопроса следует дождаться дополнительных разъяснений от Роскомнадзора.

Поскольку Федеральным законом от 14.07.2022 № 266-ФЗ не предусмотрены переходные положения, считаем целесообразным работодателям после вступления в силу Закона № 152-ФЗ отправить уведомление в Роскомнадзор об обработке персональных данных сотрудников.