Кто отвечает за персональные данные персонала при аутстаффинге

Заказчик получает сотрудников от кадрового агентства, а в договоре ни слова о том, кто из сторон отвечает за персональные данные этих людей. Разбираем, когда оператором остаётся агентство, когда им становится заказчик, и что прописать в договоре, чтобы не отвечать за чужие нарушения.

Компания заключает договор с кадровым агентством и получает десять человек на склад или в колл-центр. Люди работают на территории заказчика, подчиняются его руководителю смены, носят пропуск с фотографией. При этом в трудовых отношениях они состоят с агентством. Когда Роскомнадзор или сам работник спрашивает, кто обрабатывает их персональные данные, обе стороны договора обычно пожимают плечами. В контракте об этом чаще всего ничего не написано.

Разбираемся, кто в такой схеме оператор персональных данных, может ли быть два оператора одновременно и что прописать в договоре, чтобы не отвечать за чужие нарушения.

Что говорит закон об операторе

По 152-ФЗ оператором признаётся лицо, которое самостоятельно или совместно с другими организует и осуществляет обработку персональных данных, а также определяет её цели, состав данных и действия с ними. Оператором делает не факт наличия трудового договора с человеком, а то, кто решает, зачем и как собирать его данные.

Отсюда практический вывод. Статус оператора не привязан жёстко к тому, кто формально работодатель. У одного и того же человека персональные данные может параллельно обрабатывать и агентство, и компания, куда его направили. Каждая сторона отвечает за свою часть и за свои цели.

Два сценария на практике

Агентство остаётся оператором в кадровой части

Кадровое агентство ведёт сведения о трудовой деятельности, считает зарплату, оформляет больничные и отпуска. Для всех этих операций именно агентство определяет цели обработки и остаётся оператором персональных данных работника. Заказчик к этому процессу отношения не имеет и роли оператора здесь не приобретает.

Заказчик становится оператором в своей части

Заказчик обычно собирает свой пласт данных. Он оформляет пропуск с фотографией, включает человека в систему контроля доступа, направляет на медосмотр перед допуском к работе, ведёт видеонаблюдение на территории, иногда заводит отдельную карточку в учётной системе для контроля рабочего времени. Каждое из этих действий заказчик выполняет сам, по собственному решению и для собственных целей. Значит, в этой части он сам оператор, даже если в трудовых отношениях с человеком не состоит.

Раздельного оператора для каждого набора данных закон прямо не описывает, но логика 152-ФЗ именно такая. Обязанности оператора возникают там, где организация сама решает, какие данные собирать и что с ними делать.

Особый случай аутстаффинга

С 2016 года в России действует запрет заёмного труда, введённый в Трудовой кодекс. Направлять работников другой организации для выполнения её обычных функций законно можно только через аккредитованное частное агентство занятости, оформляя это как временное предоставление труда персонала по главе 53.1 ТК РФ. Если агентство не аккредитовано, а схема оформлена как обычный договор оказания услуг с фактическим подчинением работников заказчику, у проверяющих появится не только трудовой вопрос, но и вопрос по персональным данным. Кто и на каком основании их собирает.

Поэтому для заказчика важно в первую очередь убедиться, что агентство-партнёр имеет действующую аккредитацию частного агентства занятости. Без неё под ударом сама схема направления персонала, и разговор про операторов персональных данных становится вторичным.

Что прописать в договоре

Договор аутстаффинга или предоставления персонала обычно описывает коммерческие условия и почти никогда не касается обработки персональных данных. Стоит добавить туда отдельный раздел с тремя пунктами.

Кто и в каком объёме обрабатывает персональные данные направленных работников. Нужно перечислить конкретные операции: пропускной режим, видеонаблюдение, учёт рабочего времени, медосмотры.
Обязанность агентства заранее получить у работника согласие на передачу его данных заказчику для целей, которые заказчик реализует сам. Это пропуск, система контроля доступа, видеофиксация.
Порядок действий при инциденте. Нужно прописать, кто уведомляет Роскомнадзор, если утечка произошла на стороне заказчика, а субъект данных формально трудоустроен в агентстве.

Если заказчик передаёт агентству какие-то данные для собственной обработки, например результаты внутреннего расследования или данные системы контроля доступа, потребуется договор поручения на обработку персональных данных по статье 6 152-ФЗ, а не просто пункт в общем контракте.

Что делать заказчику прямо сейчас

Стоит проверить три вещи.

Есть ли у кадрового агентства актуальная аккредитация частного агентства занятости, если схема оформлена как временное предоставление труда.
Подписаны ли согласия работников на обработку их данных именно заказчиком, а не только агентством.
Прописана ли в договоре ответственность за инциденты с данными, которые заказчик собирает самостоятельно. Это пропуска, видеонаблюдение, медосмотры.

Если компания уже подала уведомление в реестр операторов, но не указала обработку данных приглашённого персонала как отдельную цель, стоит обновить сведения.

Проверка компании в реестре операторов РКН

Перед плановой или внеплановой проверкой Роскомнадзора полезно свериться с чек-листом готовности. Часто именно связка «аутстаффинг плюс отсутствие согласий» становится основанием для предписания.

Чек-лист готовности к проверке Роскомнадзора

Частые вопросы

Можно ли вообще не подписывать отдельное согласие, если работник уже дал согласие агентству

Нет. Согласие, которое человек дал агентству, покрывает цели агентства: кадровый учёт, зарплату, отчётность. Для целей заказчика нужно отдельное согласие, полученное либо заказчиком напрямую, либо агентством по прямому поручению заказчика с передачей заказчику подтверждающих документов.

Кто отвечает, если утечка произошла из систем заказчика, а работник трудоустроен в агентстве

Отвечает тот, кто фактически организовывал обработку данных в момент утечки. Если утекли данные из системы контроля доступа или видеонаблюдения заказчика, оператором в этой части является заказчик. Уведомлять Роскомнадзор придётся именно ему, а не агентству.

Нужен ли договор поручения между заказчиком и агентством персонала

Только если одна сторона передаёт другой данные для дальнейшей обработки от её имени. Когда каждая сторона обрабатывает данные для собственных целей и на собственном основании, это параллельная обработка двумя самостоятельными операторами. Здесь нужен не договор поручения, а раздел о разграничении обязанностей в основном договоре.

Распространяется ли это на разовое привлечение подрядчика-физлица, а не персонала через агентство

Да, принцип тот же. Кто определяет цели и состав обработки данных исполнителя, тот и оператор в этой части, независимо от формы договора с самим человеком. Это может быть пропуск на объект или доступ к внутренним системам.