Как организовать пропускной режим в медучреждении по отпечаткам пальцев

Отвечает эксперт службы правового консалтинга «Гарант» Татьяна Беликова:

– Работодатель вправе обрабатывать биометрические персональные данные работников, за исключением прямо предусмотренных случаев, только при наличии их согласия в письменной форме, соответствующего требованиям ч.4 ст.9 Федерального закона № 152-ФЗ от 27.07.2006 «О персональных данных», при этом предоставление работниками биометрических персональных данных (ПД), в частности отпечатков пальцев, не может быть обязательным.

Внедрение обработки биометрических ПД работников в целях пропускного режима с одновременным учетом рабочего времени требует также принятия локальных актов организации и внесения изменений в правила внутреннего трудового распорядка.

Обоснование вывода

Пропускной режим на объекте (в организации) представляет собой часть системы безопасности, позволяющий обеспечить санкционированный проход работников и (или) третьих лиц. Организация пропускного и внутриобъектового режима может носить обязательный характер в рамках мер по антитеррористической защищенности объектов, а также требований отраслевого законодательства либо вводиться по усмотрению руководства организации.

Поскольку пропускной режим предполагает наличие определенных правил и порядка прохода (въезда) на территорию и их доведение до заинтересованных лиц (в частности, работников, иных посетителей), для установления такого режима необходимо наличие соответствующего локального документа, например положения (инструкции) о пропускном и внутриобъектовом режиме, в котором отражены цели введения таких режимов, правила прохода (проезда) на территорию объекта (условия прохода (проезда), в том числе с использованием различного рода идентификаторов, наличие постоянного или временного пропуска, оформление пропусков для не работающих в организации), порядок оформления пропусков и предоставляемые для этого сведения, в частности персональные данные, порядок перемещения по территории, лица, уполномоченные на осуществление пропускного режима, и т.п.

Правомерность установления пропускного и внутриобъектового режима обеспечивается наличием локального акта, что обусловлено установлением определенного порядка действий, непосредственно влияющих на возможность осуществления работниками трудовых обязанностей, а также беспрепятственный проход третьих лиц на территорию организации (если пропускной режим их затрагивает).

Пропускной режим может быть также частью системы учета рабочего времени работников (фиксация времени прихода и ухода), что необходимо отразить в правилах внутреннего трудового распорядка (ст.91, 189­190 ТК РФ).

Организация пропускного и внутриобъектового режимов с учетом рабочего времени связана с необходимостью обработки персональных данных работников, под которыми Законом № 152-ФЗ понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), а любое действие (операция) или совокупность действий (операций), совершаемых как с использованием средств автоматизации, так и без них, с персональными данными, включая сбор, запись, накопление, хранение, использование, передачу (распространение, предоставление, доступ), считается их обработкой, которая должна осуществляться с учетом установленных условий и принципов (пп.1, 3 ст.3, ст.5, 6 Закона № 152-ФЗ).

Необходимость наличия локального документа оператора, определяющего обработку ПД в целях осуществления пропускного и внутриобъектового режимов, а также учета рабочего времени следует и из п.2 ч.1 ст.18.1 Закона № 152-ФЗ, согласно которому для каждой цели обработки ПД необходимо определить категории и перечень обрабатываемых данных, категории субъектов, ПД которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПД при достижении целей их обработки или при наступлении иных законных оснований.

То, что обработка ПД работника в целях осуществления пропускного режима и учета рабочего времени должна найти отражение в локальном документе организации (работодателя), с которым работники должны быть ознакомлены под подпись, следует из ст.86 ТК РФ.

Обработка ПД по общему правилу допускается при наличии согласия субъекта персональных данных (п.1 ч.1 ст.6 закона № 152-ФЗ) или в иных прямо предусмотренных пп.2-11 ч.1 ст.6 (для общих категорий ПД), ч.2 ст.10 (для специальных категорий ПД), ч.2 ст.11 (для биометрических ПД) закона № 152-ФЗ случаях.

С учетом положений ст.86, 88, ТК РФ обработка общих ПД работников при осуществлении пропускного и внутриобъектового режимов и учета рабочего времени не требует получения их отдельного согласия при условии, что организация пропускного режима осуществляется работодателем самостоятельно либо если она соответствует порядку, предусмотренному коллективным договором, локальным актам работодателя. При организации пропускного режима с привлечением сотрудников сторонних организаций получение согласий работников в письменном виде на обработку их ПД (в частности, передачу (предоставление, доступ) обязательно.

Кроме того, обязательно получение согласий работников в письменной форме по требованию ч.4 ст.9 Закона № 152-ФЗ, когда речь идет об обработке ПД для осуществления прохода на территорию работодателя (и одновременно учета рабочего времени) биометрических персональных данных, под которыми понимаются сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность. Обработка таких ПД без наличия согласия допускается исключительно в предусмотренных случаях (ч.1 и 2 Закона № 152-ФЗ).

К биометрическим ПД относятся физиологические параметры (дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес и др.) и иные физиологические или биологические характеристики человека, в том числе при определенных обстоятельствах его изображения (фотография и видеозапись) и др.

Из положений трудового законодательства РФ следует, что работодатель вправе осуществлять контроль за соблюдением работниками дисциплины труда, правил внутреннего трудового распорядка, исполнением ими трудовых обязанностей, предусмотренных трудовым договором. Однако вопрос о правомерности снятия работодателями отпечатков пальцев работников и обработки биометрических ПД в целях контроля за соблюдением правил внутреннего трудового распорядка прямо законодательством не регламентируется. Подходы специалистов Роструда на рассматриваемый вопрос не однозначны: одни приходят к выводу, что ни работодатели, ни нанятые ими организации не вправе снимать отпечатки пальцев работников, другие допускают это только с письменного согласия работников.

Стоит обратить внимание на то, что предоставление биометрических ПД не может быть обязательным, за исключением случаев, прямо предусмотренных ч.2 ст.11 Закона № 152-ФЗ. Из положений ст.11 следует, что оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические ПД и (или) дать согласие на обработку ПД, если в соответствии с федеральным законом получение оператором согласия на обработку ПД не обязательно, что полагаем применимым и к обработке ПД работников со стороны работодателя.