Как оформить персональные данные в тендерной заявке поставщика
Поставщик, который прикладывает к тендерной заявке паспортные данные учредителей и резюме сотрудников, становится оператором персональных данных. Разбираем, какие данные просит заказчик, какое основание обработки нужно для каждого случая и что оформить до подачи заявки.
Заказчик почти всегда просит у поставщика копию паспорта директора, СНИЛС и ИНН учредителей, а для подтверждения квалификации ещё и резюме с дипломами сотрудников. Поставщик собирает эти бумаги, прикладывает к заявке и загружает в электронную систему. С этого момента компания обрабатывает персональные данные конкретных людей и отвечает за это по 152-ФЗ, хотя нанималась она вовсе не для работы с чужими документами, а для участия в закупке.
Какие данные заказчик просит у поставщика
В типовой тендерной заявке участвуют копии паспортов руководителя и учредителей, их ИНН и СНИЛС, сведения об отсутствии судимости у должностных лиц, контакты ответственного за контракт сотрудника, а также резюме, дипломы и трудовые книжки специалистов, которых поставщик заявляет для подтверждения опыта. Часть этих сведений требует закон о закупках, а часть добавляет сама конкурсная документация, и заказчики нередко просят больше, чем обязаны по закону.
Почему это обработка персональных данных
Закон о персональных данных называет обработкой любое действие с данными физического лица, включая сбор, хранение, использование и передачу. Поставщик собирает копии документов сотрудников и учредителей, хранит их в папке с заявкой и передаёт заказчику и оператору электронной площадки. Формально он выступает оператором персональных данных этих людей, даже если сам никогда не считал себя оператором и обращается с чужими персональными данными впервые именно из-за конкретной закупки.
Учредитель или сотрудник не давал согласия автоматически только потому, что его данные понадобились для тендера. Компании нужно определить законное основание обработки. Это либо согласие человека, либо одно из условий статьи 6 закона о персональных данных, например обработка в рамках договора, стороной или выгодоприобретателем которого выступает сам человек. Для директора, чьи данные компания уже обрабатывает в рамках трудовых отношений, часть оснований закрыта трудовым договором. С учредителями, которые не состоят в штате, и с привлечёнными специалистами такой опоры нет, и согласие нужно получать отдельно.
Что оформить поставщику до подачи заявки
Три документа закрывают большую часть рисков.
Политика обработки персональных данных. Если раньше компания работала только со своими штатными сотрудниками, отдельной публичной политики обработки у неё могло не быть. С выходом на закупки она нужна, потому что описывает, какие данные компания собирает, зачем и как хранит.
Согласие каждого человека, чьи данные идут в заявку. Согласие оформляют отдельно для учредителей и для привлечённых специалистов, чьи резюме подтверждают квалификацию поставщика. В тексте согласия указывают цель обработки, состав данных, тех, кому данные передаются (заказчику и оператору электронной площадки), и срок хранения.
Минимальный состав документов. Закон запрещает собирать данные сверх той цели, ради которой их запросили. Если документация закупки просит только ИНН и СНИЛС учредителя, разворот его паспорта со всеми страницами прикладывать не нужно, даже если так проще собрать пакет.
Передача данных на электронную площадку и заказчику
Загрузка документов в единую информационную систему закупок или на коммерческую электронную площадку тоже передача персональных данных, а не техническая формальность загрузки файлов. Площадка и заказчик выступают отдельными операторами и отвечают за свою часть обработки сами. Но поставщик отвечает за законность передачи со своей стороны, и у него должно быть согласие или другое основание именно на такую передачу, а не только на сбор документов внутри компании.
Нужно ли вставать в реестр операторов персональных данных
Закон освобождает от уведомления Роскомнадзора компании, которые обрабатывают персональные данные только в рамках трудовых отношений со своими сотрудниками и не передают их третьим лицам. Как только компания начинает передавать данные учредителей или привлечённых специалистов заказчику и электронной площадке, это исключение перестаёт действовать. Проверить актуальный статус и подать уведомление стоит заранее, до участия в первой закупке, чтобы не разбираться с этим после запроса от регулятора.
Проверка компании в реестре операторов РКН
Что делать с документами после закупки
Согласия и копии документов, собранные для заявки, не стоит хранить бессрочно на всякий случай. Компания устанавливает во внутреннем регламенте срок хранения, который соответствует цели обработки, включая период участия в закупке и обязательный срок хранения закупочной документации по правилам заказчика. После истечения срока копии паспортов, СНИЛС и резюме нужно удалить из общей папки с документами компании. Проверить готовность компании к возможной проверке разумно заранее, до запроса от регулятора.
Чек-лист готовности к проверке Роскомнадзора
Частые вопросы
Нужно ли согласие учредителя, если его паспортные данные просто прикладывают к заявке?
Да. Учредитель не подписывает договор с заказчиком лично, поэтому автоматического основания для обработки его данных нет. Компании нужно получить согласие или обосновать другое законное основание из статьи 6 закона о персональных данных.
Что делать, если площадка требует полный скан паспорта, хотя документация закупки просит только ИНН?
Стоит уточнить у площадки, обязательна ли именно полная копия, или достаточно данных, которые указаны в документации закупки. Если полный скан всё же нужен, этот состав данных указывают в согласии человека отдельно, без общих формулировок «и иные документы».
Нужно ли поставщику регистрироваться в реестре операторов персональных данных из-за одной закупки?
Если данные передаются заказчику или на электронную площадку, исключение для обработки только в рамках трудовых отношений не действует, и уведомление в Роскомнадзор, как правило, требуется. Число закупок на этот вывод не влияет.
Как долго хранить согласия и копии документов после закупки?
Срок определяет сама компания во внутреннем регламенте, ориентируясь на то, сколько времени эти документы нужны для целей закупки и подтверждения условий контракта. Хранить их дольше этого срока без отдельного основания не стоит.