Как оформить персональные данные самозанятых по договору ГПХ

Компания подписывает договор ГПХ с самозанятым или физлицом-подрядчиком и в этот момент становится оператором его персональных данных. Разбираем, какие данные можно обрабатывать без отдельного согласия, что добавить в договор и какие ошибки чаще всего допускают заказчики.

Компания подписывает договор ГПХ с самозанятым, платит через приложение «Мой налог» и на всякий случай сохраняет скан паспорта в папке бухгалтерии. С этого момента компания обрабатывает персональные данные исполнителя, и требования 152-ФЗ действуют так же, как для штатного сотрудника.

Почему ГПХ не освобождает от 152-ФЗ

Самозанятые и физлица-подрядчики тоже субъекты персональных данных, наравне с сотрудниками в трудовых отношениях. Компания, которая собирает их фамилию, паспортные данные, ИНН, банковские реквизиты, адрес или телефон, становится оператором персональных данных независимо от вида договора.

Распространённая ошибка в том, что заказчики считают, будто раз отношения не трудовые, а гражданско-правовые, закон о персональных данных к ним не относится. Трудовой кодекс здесь действительно не работает, но 152-ФЗ регулирует обработку данных любого физического лица, а не только сотрудника по трудовому договору.

Какие данные можно обрабатывать без отдельного согласия

152-ФЗ разрешает обрабатывать данные без согласия, если это нужно для заключения и исполнения договора, где сам субъект выступает стороной. Для самозанятого исполнителя сюда попадают:

• ФИО и паспортные данные для идентификации стороны договора;
• ИНН, чтобы проверить статус самозанятого через приложение «Мой налог» или API ФНС;
• банковские реквизиты, чтобы перечислить оплату;
• телефон и email, чтобы связываться по договору.

Это законное основание, а не индульгенция на любые данные. Если компания хочет собрать больше данных, чем нужно для сделки, например фотографию для сайта, дату рождения для поздравлений или доступ к соцсетям исполнителя, на это нужно отдельное согласие с конкретной целью.

Что прописать в договоре

Добавьте в договор ГПХ или в приложение к нему пункт об обработке персональных данных. Укажите, какие данные обрабатываются, с какой целью, кто получает к ним доступ и какой срок хранения. Так заказчик закрепляет законное основание письменно и снимает вопросы при проверке.

Если к обработке данных исполнителя причастны третьи лица, например бухгалтерия на аутсорсе, оператор ЭДО или сервис для сдачи чеков, с ними нужен договор поручения на обработку персональных данных. Банк, который переводит оплату, обрабатывает данные как самостоятельный оператор, и отдельного поручения ему не требуется.

Сканы паспорта храните только если это действительно нужно для сделки. Во многих случаях достаточно проверить документ визуально и внести реквизиты в договор, а не оставлять копию у себя.

Типичные ошибки заказчиков

Заказчики чаще всего теряются на одних и тех же местах.

• Хранят сканы паспортов «про запас», хотя для исполнения договора хватило бы реквизитов.
• Публикуют имя, фото и контакты подрядчика на сайте в разделе «наши эксперты» без отдельного согласия.
• Передают данные исполнителя в сервисы для расчёта зарплаты или биржи фриланса, не проверив, на каком основании это делает сервис.
• Не включают положения об обработке данных подрядчиков во внутренние документы компании, такие как политика обработки персональных данных, реестр операторов и модель угроз.

По каждой из этих ситуаций стоит пересмотреть, на каком основании компания держит у себя данные исполнителя и сколько их действительно нужно.

Частые вопросы

Нужно ли самозанятому подписывать согласие на обработку персональных данных?

Нет, если данные нужны только для заключения и исполнения договора, например ФИО, паспортные данные, ИНН и банковские реквизиты. Отдельное согласие требуется для целей за пределами договора, например для публикации фото на сайте, рассылок или передачи данных партнёрам.

Распространяются ли требования 152-ФЗ на ИП-подрядчиков?

Да. Индивидуальный предприниматель как контрагент по договору остаётся физическим лицом, и его паспортные данные, ИНН и реквизиты защищены так же, как данные самозанятого или наёмного сотрудника.

Нужно ли уведомлять Роскомнадзор об обработке данных самозанятых?

Закон освобождает от уведомления обработку, которая нужна исключительно для заключения и исполнения договора с субъектом персональных данных и не сопровождается передачей третьим лицам. Если компания уже подавала уведомление по другим основаниям, отдельно по самозанятым его подавать не нужно. Проверить, нужно ли вашей компании уведомление, поможет

Нужно ли уведомлять РКН? — пройти тест

Что делать, если самозанятый через полгода станет штатным сотрудником?

Пересмотрите основание обработки. Для трудовых отношений действуют нормы Трудового кодекса, и данные сотрудника нужно оформить заново. Включите их в кадровые документы, обновите согласия там, где они требуются, и учтите в общей политике обработки персональных данных компании.

Если в компании ещё нет актуальной политики обработки персональных данных или пункта про подрядчиков-физлиц, обновите документ. Подборка материалов поможет

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд