Мудрый Юрист

О персональных данных работников участника закупки

<*> Данная статья подготовлена при участии акционерного общества "Российский аукционный дом" - оператора федеральной электронной площадки, включенной в декабре 2016 года Правительством РФ в перечень электронных площадок контрактной системы в сфере закупок для обеспечения государственных и муниципальных нужд в рамках Закона N 44-ФЗ (распоряжение Правительства РФ от 31.12.2016 N 2933-р).

Гурин О.Ю., главный редактор журнала "ПРОГОСЗАКАЗ.РФ".

Романенко А.А., заместитель руководителя департамента по управлению и развитию электронной торговой площадки АО "Российский аукционный дом".

Существуют случаи, когда заказчик осуществляет обработку персональных данных работников участника закупки. Чаще всего это оценка конкурсных заявок по показателям "обеспеченность участника закупки трудовыми ресурсами" и "квалификация трудовых ресурсов, предлагаемых для выполнения работ, оказания услуг". Но иногда и при проведении электронного аукциона могут понадобиться персональные данные работников участника закупки. Отношения, связанные с обработкой персональных данных, регулируются Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ). В предлагаемой статье рассказывается, как учесть положения Закона N 152-ФЗ при осуществлении закупок.

Экскурс в законодательство о персональных данных

Персональные данные - это любая информация, которая прямо или косвенно относится к определенному физическому лицу (субъекту персональных данных) <1>. Обработкой персональных данных признаются любые действия с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных <2>.

<1> См.: п. 1 ст. 3 Закона N 152-ФЗ.
<2> П. 3 ст. 3 Закона N 152-ФЗ.

Например, когда участник закупки направляет заказчику конкурсную заявку, в состав которой включены копии трудовых договоров и образовательных документов работников, участник закупки осуществляет тем самым "предоставление персональных данных", т.е. "действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц" <3>. Предоставление персональных данных относится к передаче персональных данных, а правила передачи персональных данных работника регламентированы ст. 88 Трудового кодекса РФ.

<3> П. 6 ст. 3 Закона N 152-ФЗ.

В общем случае персональные данные работника не могут сообщаться без его письменного согласия <4>. Исключения допускаются Трудовым кодексом РФ в случаях, "когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами". Очевидно, что предоставление персональных данных в составе заявки на участие в закупке к таким исключениям не относится. Более того, в абз. 2 ст. 88 ТК РФ прямо указано, что передача персональных данных работника в коммерческих целях допускается лишь с письменного согласия работника - без каких-либо исключений. Полагаем, что подача заявки на участие в закупке в большинстве случаев преследует коммерческие цели, поэтому к персональным данным в ее составе должна применяться рассмотренная норма.

<4> Абз. 1 ст. 88 ТК РФ.

Требования к письменному согласию субъекта персональных данных на обработку его персональных данных содержатся в ч. 4 ст. 9 Закона N 152-ФЗ. В частности, такое согласие должно включать:

  1. фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
  2. фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
  3. наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
  4. цель обработки персональных данных;
  5. перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
  6. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
  7. перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
  8. срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено законом;
  9. подпись субъекта персональных данных.

На работодателе также лежит обязанность предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности) <5>.

<5> Абз. 3 ст. 88 ТК РФ.

Таким образом, получение от участника закупки персональных данных его работников создает для заказчика определенные обязанности по отношению к таким персональным данным. Это обусловлено тем, что лицо, осуществляющее какое-либо из действий, которые признаются обработкой персональных данных, автоматически приобретает статус оператора <6>. При этом базовое условие для обработки персональных данных - это наличие согласия субъекта персональных данных на их обработку <7>.

<6> П. 2 ст. 3 Закона N 152-ФЗ.
<7> П. 1 ч. 1 ст. 6 Закона N 152-ФЗ.

Немаловажно, что с согласия субъекта персональных данных оператор вправе поручить обработку персональных данных другому лицу <8>. Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных. Поручение оператора должно содержать:

<8> См.: ч. 3 ст. 6 Закона N 152-ФЗ.

Нарушение законодательства о персональных данных может повлечь административную ответственность в соответствии со ст. 13.11 КоАП РФ.

Далее рассмотрим некоторые вопросы, которые возникают у заказчиков в связи с необходимостью обработки документов, содержащих персональные данные сотрудников участника закупки.

Обработка персональных данных сотрудников участника конкурсной процедуры

Одним из нестоимостных критериев оценки конкурсных заявок может быть "квалификация участников закупки, в том числе наличие у них финансовых ресурсов, на праве собственности или ином законном основании оборудования и других материальных ресурсов, опыта работы, связанного с предметом контракта, и деловой репутации, специалистов и иных работников определенного уровня квалификации" <9>. Показателями данного критерия могут быть в т.ч. "обеспеченность участника закупки трудовыми ресурсами" и "квалификация трудовых ресурсов (руководителей и ключевых специалистов), предлагаемых для выполнения работ, оказания услуг" <10>.

<9> П. 4 ч. 1 ст. 32 Закона N 44-ФЗ.
<10> П. 27 Правил оценки заявок, окончательных предложений участников закупки товаров, работ, услуг для обеспечения государственных и муниципальных нужд, утв. Постановлением Правительства РФ от 28.11.2013 N 1085 (далее - Правила оценки заявок).

Как именно измерять указанные показатели, определяет заказчик. Как правило, участники закупок подтверждают "обеспеченность трудовыми ресурсами" предоставлением копий трудовых договоров или договоров подряда, заключенных с привлеченными специалистами. А "квалификация трудовых ресурсов" доказывается копиями образовательных документов соответствующих специалистов.

Разумеется, все поименованные документы содержат персональные данные. Возникает вопрос: требуется ли согласие работников участника закупки на обработку их персональных данных заказчиком?

Антимонопольные органы единой позиции по данной проблеме не выработали. Большинство правоприменителей считают наличие такого согласия необходимым, но есть и такие, которые находят это излишним.

Позиция 1. Конкурсная комиссия заказчика вправе обрабатывать персональные данные работников участника закупки только с их письменного согласия.

Возникает вопрос: а кому должно быть дано такое согласие? Исходя из положений Закона N 152-ФЗ варианты следующие:

В последнем случае участник закупки должен включить в свою заявку соответствующее поручение. Иначе у заказчика не будет оснований для обработки персональных данных.

Пример.

В разделе "Оценка заявок по нестоимостным критериям оценки" заказчик установил следующие требования составу конкурсной заявки: "Документы, представленные по персоналиям в качестве подтверждения квалификации трудовых ресурсов участника открытого конкурса, рассматриваются Единой комиссией только с письменного согласия сотрудников участника открытого конкурса, предлагаемых к привлечению для исполнения контракта, на хранение и обработку персональных данных". Форма согласия на обработку персональных данных, включенная в состав конкурсной документации, предусматривала, что каждый сотрудник участника закупки дает право "осуществлять все действия (операции) с моими персональными данными, включая сбор, систематизацию, накопление, хранение, обновление, изменение, использование, обезличивание, уничтожение, публикацию" непосредственно заказчику.

Участник закупки представил согласие на обработку персональных данных на 12 специалистов по установленной заказчиком форме, а еще 55 документов о согласии на обработку персональных данных - по иной форме, где говорилось о праве обработки персональных данных специалистов третьими лицами "для участия в открытых и закрытых конкурсах на право заключить государственный контракт".

Оценивая заявку, Единая комиссия заказчика учла только те 12 документов, владельцы которых дали согласие на обработку своих персональных данных по установленной заказчиком форме. Документы остальных 55 специалистов не оценивались, поскольку они не выразили согласия на передачу права обработки их персональных данных непосредственно заказчику. Согласия на передачу персональных данных третьим лицам, которые были даны этими специалистами участнику закупки, не могли быть учтены. Участник закупки, как оператор, должен был включить в таком случае в свою заявку поручение заказчику на обработку персональных данных своих сотрудников, соответствующее требованиям ч. 3 ст. 6 Закона N 152-ФЗ. Этого им сделано не было.

Правовая оценка ФАС России: примененный Единой комиссией заказчика порядок оценки заявок на участие в конкурсе не противоречит требованиям законодательства о контрактной системе <11>.

<11> Решение ФАС России от 19.08.2015 по делу N К-996/15.

Закупка, о которой шла речь в примере <12>, может служить для заказчиков ориентиром в том, как обеспечить соблюдение законодательства РФ о персональных данных при оценке заявок участников закупки по нестоимостным критериям. Правда, чтобы исключить возникновение спора, аналогичного рассмотренному, советуем заранее описать в документации о закупке и второй возможный вариант, когда работники участника закупки дают последнему согласие на передачу права обработки их персональных данных третьим лицам, а участник закупки, в свою очередь, включает в заявку поручение на обработку персональных данных своих работников заказчиком <13>.

<12> Извещение N 0173100010915000092.
<13> На практике также встречается вариант, когда работники дают участнику закупки согласие на передачу своих персональных данных третьему лицу, в качестве которого в согласии указывается непосредственно заказчик. Например, решением Иркутского УФАС России от 23.08.2017 N 840 требование заказчика о предоставлении согласия такого вида было признано правомерным.

Позиция 2. Персональные данные работников участника закупки могут предоставляться заказчику без согласия этих работников на обработку их персональных данных.

Пример аргументации.

Согласно п. 7 ч. 1 ст. 6 Закона N 152-ФЗ допускается обработка персональных данных в случаях, когда она необходима для осуществления прав и законных интересов оператора или третьих лиц <...> при условии, что при этом не нарушаются права и свободы субъекта персональных данных. Данная норма права содержит основание для обработки персональных данных без применения общих норм о получении согласия субъекта персональных данных <14>.

<14> См.: решение Алтайского краевого УФАС России от 19.01.2018 по делу N 52/18.

Использование такой аргументации представляется чересчур рискованным. Формулировка "при условии, что при этом не нарушаются права и свободы субъекта персональных данных" очень абстрактна. Кто, кроме самого субъекта персональных данных, может достоверно знать, не нарушаются ли принадлежащие ему права и свободы предоставлением его персональных данных третьему лицу? Собственно, согласие на обработку персональных данных - это единственный документ, который может подтвердить, что предоставление персональных данных не нарушает права и свободы субъекта персональных данных, т.к. такое согласие дается последним "свободно, своей волей и в своем интересе" и должно быть "конкретным, информированным и сознательным" <15>.

<15> Ч. 1 ст. 9 Закона N 152-ФЗ.

Авторы опасаются, что рассуждения о допустимости обработки персональных данных работников участника закупки без их согласия, мотивированные одной лишь ссылкой на "необходимость осуществления прав и законных интересов участника закупки и заказчика", однажды увенчаются привлечением их обоих к административной ответственности по ст. 13.11 КоАП РФ.

Может ли потребоваться согласие на обработку персональных данных от работников участника электронного аукциона?

Согласно ч. 6 ст. 66 Закона N 44-ФЗ не допускается требовать от участника электронного аукциона предоставления документов и информации, не предусмотренных ч. 3 и 5 данной статьи. И все же в некоторых случаях участники электронного аукциона должны предоставлять согласие своих работников на обработку их персональных данных заказчиком.

Пример.

Предмет аукциона - оказание услуг по управлению автомобилем заказчика. От участников аукциона требовалось представить в составе второй части заявки документы лица, которое будет управлять автомобилем:

  1. копию водительского удостоверения на право управления транспортными средствами категории "B" (обоснование требования - Федеральный закон от 10.12.1995 N 196-ФЗ "О безопасности дорожного движения");
  2. копию медицинской справки о допуске к управлению транспортными средствами (обоснование требования - Приказ Минздравсоцразвития России от 12.04.2011 N 302н);
  3. согласие работника (водителя) на обработку его персональных данных (обоснование требования - Закон N 152-ФЗ).

Правовая оценка антимонопольного органа: установленные заказчиком требования не противоречат положениям п. 1 ч. 1 ст. 31 Закона N 44-ФЗ. Заказчику необходимо знать, какое лицо будет управлять транспортным средством от имени участника закупки, с которым будет заключен контракт, а предоставление и обработка персональных данных водителя без его согласия положениями Закона N 152-ФЗ не допускается <16>.

<16> Решение Хабаровского УФАС России от 23.06.2016 N 313 по делу N 7-1/421.

Вправе ли участник закупки скрыть часть персональных данных своих сотрудников?

Правоприменительная практика отвечает на этот вопрос утвердительно.

Пример.

Подтверждая квалификацию имеющихся у него трудовых ресурсов, участник открытого конкурса представил копии трудовых договоров с 93 специалистами. Несмотря на это, конкурсная комиссия присвоила участнику закупки по данному показателю 0 баллов (т.е. не был учтен ни один специалист). Это было обосновано отсутствием возможности определить достоверность представленных трудовых договоров, т.к. в копиях были скрыты сведения о заработной плате работников и их паспортные данные.

Правовая оценка ФАС России: представленные в составе конкурсной заявки копии трудовых договоров содержат все необходимые реквизиты сторон, за исключением сведений о заработной плате и паспортных данных сотрудников. Отсутствие указанных сведений не может являться основанием для признания трудовых договоров недостоверными. Конкурсной комиссией неправомерно применен порядок оценки по показателю "Квалификация трудовых ресурсов (руководителей и ключевых специалистов), предлагаемых для выполнения работ" <17>.

<17> Решение ФАС России от 12.07.2016 по делу N К-1116/16.

Чтобы исключить возможность недоразумений такого рода, рекомендуем заказчикам действовать "на опережение", изначально определив, какие реквизиты подтверждающих документов не могут быть скрыты. В частности, положительную оценку ФАС России получила <18> следующая формулировка в конкурсной документации:

"При оценке показателя "Квалификация трудовых ресурсов (руководителей и ключевых специалистов), предлагаемых для выполнения работ" учитываются дипломы о высшем образовании и удостоверения о повышении квалификации следующих категорий сотрудников: постоянные сотрудники, сведения о которых содержатся в штатном расписании, а также сотрудники, работающие по договору подряда с участником закупки. В подтверждение указанной информации участник закупки представляет копии следующих документов: приказ о приеме на работу каждого сотрудника, трудовой договор или договор подряда на каждого сотрудника. При этом участник закупки, в соответствии с Законом N 152-ФЗ, вправе скрыть в копиях представляемых документов персональные данные, кроме фамилии, имени, отчества (при наличии), сведений, подтверждающих квалификацию, и сведений, подтверждающих специальность".

<18> См.: решение ФАС России от 24.07.2017 по делу N К-926/17.

Обработка персональных данных при заключении и исполнении контракта

На этих этапах тоже могут возникнуть вопросы, связанные с персональными данными сотрудников поставщика (подрядчика, исполнителя). Рассмотрим некоторые из них.

Вправе ли заказчик вносить в реестр контрактов Ф.И.О. и адрес участника закупки - физического лица при отсутствии согласия такого лица на обработку его персональных данных?

Действительно, операторы обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом <19>. Однако в данном случае п. 7 ч. 2 ст. 103 Закона N 44-ФЗ недвусмысленно устанавливает иное, а именно прямо предписывает заказчикам направлять в реестр контрактов в т.ч. фамилию, имя, отчество (при наличии) и место жительства физического лица, с которым заключен контракт <20>.

<19> Ст. 7 Закона N 152-ФЗ.
<20> Такая аргументация неоднократно приводилась в разъяснениях Минэкономразвития России: см. письма от 23.04.2015 N Д28и-1066, от 08.04.2015 N Д28и-980, от 27.05.2016 N ОГ-Д28-6778, от 11.08.2016 N Д28и-2197.

Вправе ли заказчик настаивать, чтобы работник поставщика (подрядчика, исполнителя) предъявил свой паспорт для оформления пропуска на территорию режимного объекта?

Этот вопрос был предметом интересного судебного разбирательства, поэтому вместо ответа просто приведем соответствующий кейс.

Пример.

Музей оружия заключил с индивидуальным предпринимателем договор на техническое обслуживание оборудования автоматической пожарной сигнализации (далее - АПС). Предприниматель потребовал предоставить ему техническую документацию на систему АПС. Заказчик ответил, что предоставит всю необходимую документацию работникам предпринимателя, после того как они оформят пропуска и пройдут инструктаж по безопасности. Для оформления пропусков заказчик запросил список сотрудников, которые будут проводить работы в музее, и копии их паспортов.

Предприниматель возразил, что требование о предоставлении персональных данных его работников нарушает порядок сбора, хранения и использования персональных данных, определенный Законом N 152-ФЗ.

Поскольку исполнитель контракта отказался оформить временные пропуска на своих работников, заказчик не допустил последних в служебные помещения. Предприниматель обратился в суд с требованием о взыскании с заказчика упущенной выгоды в размере цены контракта (187 000 руб.).

Правовая оценка суда: требование заказчика о предъявлении паспорта при оформлении временного пропуска на территорию режимного объекта правомерно, т.к. по условиям заключенного договора исполнитель контракта обязался соблюдать действующий у заказчика пропускной режим. В соответствии с п. 1 Положения о паспорте гражданина РФ <21> для подтверждения личности гражданин должен предъявить свой паспорт, ввиду чего требование о его предъявлении при оформлении пропуска для доступа на территорию учреждения не может быть признано противоправным <22>.

<21> Утв. Постановлением Правительства РФ от 08.07.1997 N 828.
<22> Постановление Двадцатого ААС от 22.12.2016 по делу N А68-2717/2016 Постановлением ФАС Центрального округа от 15.03.2017 N Ф10-407/2017 оставлено без изменения.

* * *

Основная задача закупщика - обеспечить соблюдение организацией-заказчиком законодательства о контрактной системе в сфере закупок. Авторы надеются, что представленный материал поможет учесть при этом еще и требования законодательства о персональных данных.