На странице «Команда» у большинства компаний висят фото сотрудников, имена и должности. Иногда — прямые рабочие телефоны. Всё это выглядит невинно, но с 2021 года это отдельная категория персональных данных под названием «разрешённые для распространения» — и для неё нужно отдельное согласие, не то же самое, что обычное согласие на обработку.
Ниже — три готовых образца под самые частые ситуации: публикация на сайте, публикация в соцсетях компании и передача данных партнёрам для совместных проектов. Плюс разбор, почему одно и то же слово «согласие» здесь означает разные документы.
Почему обычного согласия на обработку недостаточно
Смысл в разнице между «обрабатывать» и «распространять». Компания может обрабатывать данные сотрудника внутри себя — хранить в кадровой системе, использовать для расчёта зарплаты — и это регулируется обычным согласием на обработку. А вот выложить фото и имя сотрудника на сайт, который открыт для любого посетителя интернета, — это уже распространение, предоставление данных неограниченному кругу лиц. Закон выделяет это в отдельную статью 10.1 152-ФЗ и требует отдельное явное согласие, где человек сам определяет, что именно можно показывать публично.
Почему это важно не игнорировать? Потому что нарушение здесь совсем не абстрактное. Роскомнадзор регулярно проверяет именно публичные страницы сайтов — не нужно ничего взламывать, всё нарушение видно с главной страницы «О компании». Это одна из немногих категорий нарушений 152-ФЗ, которую видно снаружи, без доступа к внутренним системам компании.
Образец 1. Согласие на публикацию на сайте компании
Готовый текст
«Я, [ФИО], даю согласие [название компании] на распространение (предоставление доступа неограниченному кругу лиц) моих персональных данных путём размещения на официальном сайте [адрес сайта] в разделе «Команда»/«О компании»: фамилия, имя, отчество, фотографическое изображение, занимаемая должность, рабочий контактный телефон, рабочий адрес электронной почты. Условия и запреты на дальнейшую передачу данных третьими лицами: [указать, если есть ограничения]. Согласие действует до его отзыва. Отзыв согласия осуществляется путём подачи письменного заявления работодателю, после чего материалы подлежат удалению с сайта в течение 30 дней (по закону — с возможностью продления ещё на 5 рабочих дней при обоснованном уведомлении)».
Важная деталь, которую часто упускают: закон прямо требует, чтобы в согласии на распространение человек мог указать условия и запреты — например, разрешить публикацию фото, но запретить публикацию личного мобильного телефона. Согласие без этого пункта, где просто написано «согласен на всё», формально не соответствует требованиям статьи 10.1.
Образец 2. Согласие на публикацию в социальных сетях компании
Это отдельный случай, потому что соцсети — не собственная площадка компании, а сторонний сервис, к тому же часто зарубежный. Тут добавляется вопрос трансграничной передачи данных.
Готовый текст
«Я даю согласие [название компании] на распространение моих персональных данных (фотографическое изображение, имя, должность) путём размещения в официальных аккаунтах компании в социальных сетях: [указать конкретные соцсети]. Я проинформирован(а), что размещение в социальных сетях означает передачу данных оператору соответствующей платформы, в том числе с возможной трансграничной передачей данных. Согласие может быть отозвано в любое время путём письменного обращения к работодателю».
На практике многие компании выкладывают в соцсети фото с корпоративов и совместных мероприятий, даже не задумываясь, что каждый узнаваемый на фото сотрудник — это отдельный субъект персональных данных, чьё согласие формально нужно на каждую такую публикацию, если фото не является анонимным «фото толпы».
Образец 3. Согласие на передачу данных партнёрам (пресс-релизы, совместные проекты)
Бывает так: компания участвует в конференции вместе с партнёром, и партнёр публикует у себя на сайте пресс-релиз с фото и цитатой вашего сотрудника. Формально это тоже распространение персональных данных, просто инициированное не вашей компанией напрямую, а через партнёра.
Готовый текст
«Я даю согласие [название компании] на предоставление моих персональных данных (фамилия, имя, отчество, должность, фотографическое изображение, цитаты и комментарии, данные ранее в рамках рабочей деятельности) партнёрам компании: [название партнёра] — для целей совместных публикаций, пресс-релизов и материалов о партнёрстве. Согласие распространяется только на указанного партнёра и не подразумевает дальнейшую передачу данных без отдельного согласия».
Смешной, но реальный случай: сотрудник одной компании обнаружил своё фото с закрытого внутреннего мероприятия на сайте партнёрской организации в разделе «Наши клиенты» — оказалось, партнёр посчитал, что раз мероприятие было совместным, то и согласие как бы «подразумевается». Не подразумевается. Каждая сторона обязана получить согласие самостоятельно на свою публикацию.
Что делать, если согласие уже нарушено
Если на сайте компании уже есть фото и контакты сотрудников без правильно оформленного согласия — паниковать не нужно, но откладывать тоже не стоит. Правильный порядок действий: сначала собрать (или актуализировать) согласия задним числом у текущих сотрудников, затем решить по уволенным — либо получить согласие постфактум, либо снять их материалы с сайта, если связаться не получается.
Отдельно стоит проверить, есть ли на сайте вообще какая-либо форма для отзыва согласия — по закону это обязательная опция, а не любезность с вашей стороны.