План действий для исполнения указа мэра от 6 октября по персональным данным

Мэр Москвы Сергей Собянин издал Указ от 6 октября 2020 г. № 97-УМ (далее — «Указ»), согласно которому юридические лица и индивидуальные предприниматели должны еженедельно (начиная с 12 октября 2020 г.) представлять Мэру и Правительству Москвы в электронном виде следующую информацию о своих работниках и исполнителях по договорам ГПХ, в отношении которых было принято решение о переводе на дистанционный режим работы в соответствии с требованиями Указа Мэра Москвы от 1 октября 2020 г. № 96-УМ «О внесении изменений в указы Мэра Москвы от 5 марта 2020 г. № 12-УМ и от 8 июня 2020 г. № 68-УМ»:

• номер мобильного телефона;
• государственный регистрационный номер транспортного средства (при наличии)
• номер электронной карты «Тройка» (при наличии)
• номер электронной карты «Стрелка» (при наличии)
• номер социальной карты (при наличии)
• номер месячного проездного билета без лимита поездок и с лимитом 70 поездок; временного единого социального билета; временного льготного билета (при наличии).

Кто попадает под требования Указа?

Под требования попадают юридические лица и индивидуальные предприниматели, работающие на территории Москвы.

Являются ли перечисленные сведения персональными данными?

Обратите внимание, что в п. 2.1 Указа специально закреплено, что соответствующие сведения представляются работодателями без персональных данных. В то же время представляемые работодателями сведения являются персональными данными, что следует из определения персональных данных в 152-ФЗ.

Данный вывод применительно к номеру мобильного телефона прямо подтверждается судебной практикой.

Указанные сведения являются персональными данными:

• для работодателей, поскольку они также обладают иной информацией о своих работниках;
• для Правительства Москвы, так как оно может идентифицировать работников при сопоставлении представленных сведениях о них с имеющейся информацией о них в государственных базах данных.

Резюмируем: сведения, закрепленные в Указе, относятся к персональным данным, и для их обработки следует соблюдать требования законодательства о персональных данных.

Что нужно делать?

Поскольку в настоящий момент отсутствуют детальные разъяснения государственных органов по применению норм Указа, мы предлагаем рассмотреть различные варианты по реагированию и выбрать тот вариант, который связан с наименьшими рисками для вашей организации.

Ниже приведена краткая инструкция для работодателей:

ШАГ 1

Вариант 1. Не собирать у работников номера телефона, транспортного средства или проездного, если они вам не требуются.

Важно заметить, что Указ не предписывает, чтобы работодатели собирали сведения о работниках, которых у них нет.

Вы можете передать Правительству Москвы только те сведения о работниках, которые вы уже обрабатываете:

• номера телефонов работников скорее всего у вас уже есть, поскольку вам они нужны для связи;
• что касается номера автомобиля или проездного, то эти сведения нужно будет представлять только тем работодателям, которые оплачивают проезд своих работников по условиям трудового или гражданско-правового соглашения.

Вариант 2. Запрашивать у работников номера телефона, транспортного средства или проездного исключительно для целей исполнения Указа.

Несмотря на то, что в Указе отсутствует предписание собирать недостающие сведения о работниках, меньшим риском для работодателей может стать строгое следование требованию представлять перечисленные сведения о работниках.

Тем более, что в условиях распространения коронавирусной инфекции нарушение требований Указа может быть расценено как более серьезное нарушение по сравнению с нарушением принципов об обработке персональных данных, закрепленных в 152-ФЗ.

ШАГ 2

Убедитесь, что передаваемые сведения актуальны

2.1. Как следует из содержания принципов обработки персональных данных, необходимо обеспечивать их точность, достаточность, а в необходимых случаях и актуальность по отношению к целям обработки. Представление сведений Правительству Москвы должно соответствовать данным принципам.

2.2. Работодатель должен самостоятельно проверять точность представляемых сведений. Например, номера телефонов можно проверять звонком, а номера транспортных средств и пропусков — фотографиями или правоустанавливающими документами.

2.3. Заметим, что за нарушение данного требования предусмотрена административная ответственность в виде предупреждения или административного штрафа на юридических лиц от 30 000 тысяч до 50 000 тысяч рублей.

В то же время на практике отсутствуют штрафы за нарушение указанных принципов.

ШАГ 3

Вариант 1. Согласие на передачу персональных данных работников не требуется.

3.1.1. Представление персональных данных Правительству Москвы является видом обработки персональных данных, следовательно работодатель (как оператор) обязан иметь законное основание для такой обработки по 152-ФЗ.

Передача перечисленных сведений допускается без согласия работников, поскольку она необходима для достижения общественно значимых целей, а именно для борьбы с распространением коронавирусной инфекции.

Мы считаем, что данное законное основание (обработка необходима для достижения общественно значимых целей) может использоваться постольку, поскольку права и свободы субъекта персональных данных не нарушаются.

Такой вывод следует, в частности, из официального комментария Указа заместителя главы департамента информационных технологий Москвы Дмитрия Иванова: «сбор этой информации не нацелен на то, чтобы отслеживать передвижение или конкретное местонахождения сотрудника. Эта информация нужна для оценки изменения общего пассажиропотока и эффективности мер, которые работодатели принимают для перевода сотрудников на удаленную работу».

3.1.2. Кроме того, в отношении представления (передачи) персональных данных работодатель обязан руководствоваться нормами Трудового кодекса РФ, согласно которому запрещается передавать персональные данные работников без их письменного согласия кроме исключительных случаев.

Считаем, что требование Указа охватывается исключением «предупреждения угрозы жизни и здоровью работника», так как предполагается, что сбор данных сведений является одной из мер по предупреждению распространения вируса COVID-19. В связи с чем для передачи указанных сведений Правительству Москвы не требуется получать письменное согласие работника.

Вариант 2. Персональные данные обрабатываются, поскольку это необходимо для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

3.2.1. Если вы считаете, что Вариант 1 выше не соответствует 152-ФЗ, то другим законным основанием, которое теоретически можно использовать, является требование закона для осуществления возложенных законодательством на оператора обязанностей.

Не являясь законом, Указ, тем не менее, является частью законодательства в области обеспечения санитарно-эпидемиологического благополучия населения. В остальном, данный Вариант 2 согласуется с вышеупомянутым Вариантом 1. 1

3.2.2. Что касается требований Трудового кодекса РФ о передаче персональных данных работников с их письменного согласия, то требование законодательства может так же расцениваться как исключение, предусмотренное иными федеральными законами.

Вариант 3. Получать согласие работников на передачу персональных данных Правительству Москвы.

3.3.1. Согласие может использоваться работодателями в качестве законного основания для передачи сведений Правительству Москвы В этом случае работодателям необходимо: ̶

• фиксировать доказательство получения согласия субъекта;
• соблюдать требования к форме письменного согласия.

3.3.2. Практически сбор согласий работников можно осуществить с помощью приказа руководителя организации с просьбой представить перечисленные в Указе сведения.

Мы рекомендуем письменно фиксировать отказы работников на такую передачу.

Рекомендуем также зафиксировать в приказе организации, что отказ в представлении сведений не будет расцениваться работодателем как дисциплинарный проступок работника.

N.B. Обратите внимание, что по информации, представленной в Telegram-канале Оперштаба Москвы, обязанность работников представлять сведения о номерах телефона, транспортного средства или проездного вытекает из нормы Трудового кодекса о дисциплине труда.

Считаем, что данное утверждение нуждается в дополнительном толковании государственными органами, и рекомендуем не спешить с его выполнением.

Вывод по Шагу 3

На наш взгляд, Вариант 1 является более предпочтительным, чем Вариант 2.

Вариант 2 основывается на допущении, что исключение из требований Трудового кодекса РФ применяется к Указу, который не является федеральным законом.

Рекомендуем использовать Вариант 3 работодателям с государственным участием (поскольку видим для них наиболее высокие риски), а также для работодателей, имеющих небольшой штат сотрудников (так как получение согласие потребует для них меньших затрат).

Что будет, если не передавать сведения о работниках?

За нарушение требования Указа работодатели могут быть привлечены к административной ответственности по ст. 20.6.1 КоАП РФ.

Данный вывод сформулирован Президиумом ВС РФ1.

Так, ИП и юридические лица могут быть предупреждены или оштрафованы на сумму от 30 000 до 50 000 и от 100 000 до 300 000 рублей соответственно.

Повторное нарушение данной обязанности либо нарушение, повлекшее причинение вреда здоровью человека или имуществу повлечёт наказание в виде штрафа в размере от 500 000 до 1 000 000 рублей или административного приостановление деятельности на срок до 90 суток.

Что делать дальше?

Мы ежедневно выходим на связь с представителями государственных органов для уточнения ситуации, и будем информировать вас о новых разъяснениях.