Можно ли передать данные работников разработчику системы КЭДО

Доступ разработчика программы к данным работников нельзя обосновать только тем, что дистрибьютор перепоручил ему техническую поддержку. По исходной экспертной позиции от 13 мая 2024 года поручение обработки должен дать сам работодатель. В согласии работников нужно назвать всех фактических обработчиков, а согласие на КЭДО не заменяет согласие на передачу персональных данных.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2024-05-13

Короткий ответ

Лицензия и обработка данных решают разные вопросы

Работодатель остаётся оператором персональных данных, поскольку определяет цели, состав данных и действия с ними. Приобретение права пользоваться программой не переносит автоматически эти обязанности на поставщика или правообладателя.

Техническая поддержка может включать доступ к данным сотрудников. Тогда организация, которая получает такой доступ в интересах работодателя, выступает обработчиком по его поручению. Часть 3 статьи 6 Закона № 152-ФЗ требует надлежащего договорного поручения и предусмотренного согласия, если закон не устанавливает исключение.

Поручение можно оформить отдельным договором или включить необходимые условия в другой договор, например технического обслуживания. Главное содержание, а не заголовок. Исходный материал считал, что сам обработчик не вправе решать вопрос о передаче обработки следующему участнику вместо оператора.

Кого назвать в документах

Если данные видит правообладатель программы, именно его нужно охватить поручением работодателя и согласием. Если доступ получают и дистрибьютор, и правообладатель, укажите обоих. Требование идентифицировать лицо, обрабатывающее данные по поручению, предусмотрено частью 4 статьи 9 Закона № 152-ФЗ.

Согласие на электронное кадровое взаимодействие по статье 22.2 ТК РФ имеет другую цель. Упоминание информационной системы не означает согласия на любую передачу данных всем её участникам. Нужно отдельно описать данные, операции, цели и фактических обработчиков.

Проверьте цепочку поддержки: кто подключается к системе, где хранит данные и на каком основании действует. Ответственность перед работниками за действия привлечённого обработчика остаётся у оператора. Организацию таких документов подробнее рассматривает материал о персональных данных для бизнеса.

Если нужно применить ответ к Вашей ситуации или документам, Заказать подготовку комплекта документов: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.