Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Электронная цифровая подпись (ЭЦП) стала неотъемлемым атрибутом современного делового оборота‚ кадрового документооборота и взаимодействия с госструктурами. Однако получение и использование усиленной неквалифицированной (УНЭП) или квалифицированной электронной подписи (КЭП) неминуемо затрагивает обработку персональных данных. В соответствии с Федеральным законом от № 152-ФЗ «О персональных данных»‚ любые действия с персональными данными субъекта (сбор‚ запись‚ передача в удостоверяющий центр и т.д.) требуют его письменного согласия.

В данной статье мы подробно разберем‚ как правильно составить согласие на использование ЭЦП‚ какие обязательные реквизиты должны в нем содержаться‚ в чем разница между сценариями передачи данных (через работодателя или самостоятельно) и предоставим структуру типового документа.

Правовые основания необходимости согласия

Согласно ст. 9 Закона № 152-ФЗ‚ обработка персональных данных допускается только при наличии согласия субъекта персональных данных‚ если иное не предусмотрено законом. В контексте ЭЦП обработка включает в себя:

Сбор данных (ФИО‚ паспорт‚ СНИЛС‚ ИНН‚ биометрия при получении КЭП).
Передачу данных в Удостоверяющий центр (УЦ), аккредитованную организацию‚ выпускающую ключи ЭЦП.
Хранение и использование данных в информационных системах оператора.

Важно: Сам факт подачи заявления в УЦ часто не освобождает от необходимости оформить отдельное согласие на передачу данных третьему лицу (УЦ)‚ если передачу осуществляет работодатель (оператор).

Два основных сценария оформления

Практика выделяет два варианта взаимодействия‚ от которых зависит‚ кто и чье согласие получает:

Вариант 1: Работодатель организует выдачу ЭЦП через УЦ (Передача через оператора)

Это самый частый сценарий для корпоративных ЭЦП (УНЭП для ЭДО).

Субъект: Работник.
Оператор (получатель согласия): Работодатель.
Третье лицо (получатель данных): Удостоверяющий центр.
Действие: Работодатель получает от работника согласие на передачу персональных данных третьему лицу (УЦ) с указанием наименования УЦ‚ целей обработки‚ перечня сведений.
Обязательство работодателя: Предупредить УЦ о том‚ что данные могут использоваться только для заявленных целей (ст. 88 ТК РФ‚ ст. 7 Закона № 152-ФЗ). От УЦ можно затребовать подтверждение соблюдения конфиденциальности.

Вариант 2: Работник самостоятельно обращается в УЦ (Прямая передача)

Чаще используется для получения личной КЭП (на токене) для госзакупок‚ ФНС‚ судов.

Субъект: Работник / Физическое лицо.
Оператор (получатель согласия): Удостоверяющий центр.
Действие: Клиент подписывает заявление/согласие прямо в УЦ (на бумаге или через терминал/личный кабинет).
Особенность: Работодатель в этом процессе не участвует как оператор персональных данных по выдаче ЭЦП.

Обязательный состав согласия (Чек-лист по ст. 9 Закона № 152-ФЗ)

Любое письменное согласие (независимо от сценария) обязательно должно содержать следующие реквизиты. Отсутствие хотя бы одного делает документ недействительным для легализации обработки:

Данные субъекта: Фамилия‚ имя‚ отчество‚ адрес места жительства/пребывания‚ номер основного документа (паспорт)‚ дата выдачи‚ выдавший орган;
Данные представителя (если применимо): ФИО‚ адрес‚ паспортные данные‚ реквизиты доверенности.
Данные оператора: Полное наименование (или ФИО ИП) и адрес организации‚ получающей согласие (Работодатель или УЦ).
Цель обработки: Конкретная формулировка‚ например: «Выдача усиленной неквалифицированной электронной подписи для участия во внутреннем электронном документообороте организации» или «Выдача квалифицированной электронной подписи для работы на портале госзакупок».
Перечень персональных данных: Конкретный список (ФИО‚ дата рождения‚ паспорт‚ СНИЛС‚ ИНН‚ адрес‚ фото‚ биометрия и т.д.). Общие фразы вроде «все данные» недопустимы (принцип достаточности).
Данные уполномоченного лица (если обработка поручена другому): Наименование/ФИО и адрес лица‚ обрабатывающего данные по поручению оператора.
Перечень действий (операций) с данными: Сбор‚ запись‚ систематизация‚ накопление‚ хранение‚ уточнение‚ извлечение‚ использование‚ передача (третьим лицам — УЦ)‚ обезличивание‚ блокирование‚ удаление‚ уничтожение.
Общее описание способов обработки: С использованием средств автоматизации (ИС‚ ЭДО) и/или без них (бумажные носители).
Срок действия согласия и способ отзыва: Конкретная дата или событие (например‚ «до прекращения трудовых отношений» или «3 года»)‚ а также процедура отзыва (письменное заявление оператору). Примечание: отзыв согласия не отменяет законности обработки‚ совершенной до отзыва.
Подпись субъекта: Собственноручная подпись с расшифровкой и датой.

Структура типового образца согласия (для сценария «Работодатель → УЦ»)

Ниже приведена структура документа‚ который подписывает работник в пользу работодателя для передачи данных в УЦ. Текст адаптирован под требования ст. 9 Закона № 152-ФЗ.

 СОГЛАСИЕ НА ОБРАБОТКУ И ПЕРЕДАЧУ ПЕРСОНАЛЬНЫХ ДАННЫХ
 ДЛЯ ПОЛУЧЕНИЯ УСИЛЕННОЙ НЕКВАЛИФИЦИРОВАННОЙ ЭЛЕКТРОННОЙ ПОДПИСИ (УНЭП) г. «___» _____________ 202_ г.
 Я‚ Фамилия Имя Отчество: * ‚ дата рождения: ..‚
 место рождения: г. ‚ область ‚
 проживающий по адресу: г. ‚ ул. ‚ д. ‚ кв. ‚
 паспорт: серия № ‚ выдан * * ..‚
 код подразделения -‚
 СНИЛС: — ‚ ИНН: ‚
 действующий от своего имени (или на основании доверенности № от .*.)‚
НАСТОЯЩИМ ВОЛЬНО‚ СВОЕВОЛЬНО И В СООТВЕТСТВИИ СО СТ. 9 ФЗ № 152
 ДАЮ СВОЕ СОГЛАСИЕ
ООО «НАИМЕНОВАНИЕ ВАШЕЙ ОРГАНИЗАЦИИ» (ИНН ‚ ОГРН )
 юридический адрес: г. *‚ ул. ‚ д. (далее, Оператор)‚
 НА ОБРАБОТКУ МОИХ ПЕРСОНАЛЬНЫХ ДАННЫХ С ИСПОЛЬЗОВАНИЕМ СРЕДСТВ АВТОМАТИЗАЦИИ И БЕЗ ТАКОВЫХ‚
 А ТАКЖЕ НА ИХ ПЕРЕДАЧУ ТРЕТЬЕМУ ЛИЦУ — УДОСТОВЕРЯЮЩЕМУ ЦЕНТРУ:
ООО «НАИМЕНОВАНИЕ УДОСТОВЕРЯЮЩЕГО ЦЕНТРА» (ИНН ‚ ОГРН )
 юридический адрес: г. *‚ ул. ‚ д. (далее — УЦ)‚
СЛЕДУЮЩИМИ ЦЕЛЯМИ:
Идентификация моей личности при генерации ключевой пары ЭЦП.
Выдача мне сертификата ключа проверки электронной подписи и средства ЭЦП (токена).
Ведение реестра выданных сертификатов УЦ.
Обеспечение функционирования системы электронного документооборота Организации.
ПЕРЕЧЕНЬ ПЕРСОНАЛЬНЫХ ДАННЫХ‚ ПОДЛЕЖАЩИХ ОБРАБОТКЕ И ПЕРЕДАЧЕ В УЦ:
Фамилия‚ имя‚ отчество;
Дата и место рождения;
Паспортные данные (серия‚ номер‚ дата выдачи‚ орган выдачи‚ код подразделения);
СНИЛС;
ИНН;
Адрес регистрации/проживания;
Контактный телефон: +7 () —*; Email: *@.;
Фотография (для внесения в сертификат/ключ при необходимости);
Данные о трудовой деятельности (должность‚ табельный номер) — для корпоративной ЭЦП.
ПЕРЕЧЕНЬ ДЕЙСТВИЙ (ОПЕРАЦИЙ) С ПЕРСОНАЛЬНЫМИ ДАННЫМИ:
 Сбор‚ запись‚ систематизация‚ накопление‚ хранение‚ уточнение (обновление‚ изменение)‚ извлечение‚ использование‚ передача (предоставление‚ доступ) Удостоверяющему Центру‚ обезличивание‚ блокирование‚ удаление‚ уничтожение.
СПОСОБЫ ОБРАБОТКИ: Автоматизированная (в ИС Оператора‚ ИС УЦ‚ системе ЭДО) и неавтоматизированная (бумажные носители: заявления‚ акты приема-передачи токенов‚ журналы учета).
СРОК ДЕЙСТВИЯ СОГЛАСИЯ: До момента достижения целей обработки‚ но не позднее 3 (трех) лет со дня подписания (или «до прекращения трудовых отношений с Оператором»).
СПОСОБ ОТЗЫВА СОГЛАСИЯ: Направление письменного уведомления (заявления) Оператору по адресу его местонахождения или через систему ЭДО с использованием действующей ЭЦП. Отзыв согласия влечет прекращение обработки и уничтожение данных в сроки‚ установленные законом‚ за исключением случаев‚ когда дальнейшая обработка необходима для исполнения закона или договора.
ПОДПИСЬ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ:
 __________________________ / * * * /
 (подпись) (расшифровка подписи)

Особенности согласия на использование Простой электронной подписи (ПЭП)

Отдельного внимания заслуживает согласие на использование простой электронной подписи (ПЭП) (кодов из СМС‚ паролей‚ email). Примером служит практика банков (например‚ АО «Экспобанк» и др.)‚ где ПЭП используется для акцепта оферт‚ подписания веб-заявок.

В таких случаях соглашение об использовании ПЭП (часто, публичная оферта) включает в себя:

Определение ПЭП: Код подтверждения (СМС)‚ логин/пароль и т.д.
Приравнивание к собственноручной: Условие‚ при котором документ‚ подписанный ПЭП‚ признается равнозначным бумажному с синей печатью/подписью (ст. 5 Закона № 63-ФЗ «Об электронной подписи» при выполнении условий соглашения сторон).
Процедура акцепта: Ввод кода из СМС + подтверждение данных через СМЭВ (ЕСИА/Госуслуги) для идентификации.
Гарантии клиента: Подтверждение владения номером телефона/email‚ отсутствие доступа третьих лиц‚ осведомленность о рисках.
Связь с согласием на персданные: Акцепт соглашения о ПЭП обычно автоматически означает согласие на обработку персональных данных (п. 3.5 типовых соглашений банков).

Пример логики банковского соглашения (на основе практики):

Клиент заполняет Web-заявку на сайте (передает персданные).
Ознакомляется с текстом Соглашения о ПЭП и Согласием на обработку ПДн.
Нажимает кнопку «Согласен» -> Получает СМС с кодом (ПЭП).
Вводит код -> Проходит идентификацию через СМЭВ (проверка ФИО‚ паспорт‚ СНИЛС).
Момент акцепта = момент получения банком положительного ответа от СМЭВ.

Типичные ошибки при оформлении (Чек-лист для проверки)

Ошибка	Последствие	Как исправить
Отсутствие указания конкретного УЦ (наименование‚ ИНН‚ адрес) как третьего лица.	Передача данных в УЦ нелегальна (нарушение ст. 9‚ ч. 1 п; 5 Закона № 152-ФЗ).	Прописать полные реквизиты УЦ в разделе «Лицо‚ осуществляющее обработку по поручению» или «Третье лицо».
Формулировка цели: «Для нужд организации» или «Для получения ЭЦП».	Нарушение принципа определенности цели (ст. 5 Закона № 152-ФЗ).	Указать конкретную цель: «Для подписания внутренних локальных актов‚ заказов‚ накладных в системе ЭДО «Название_Системы»».
Перечень данных: «Все персональные данные».	Нарушение принципа достаточности (избыточность).	Перечислить конкретные атрибуты: ФИО‚ паспорт‚ СНИЛС‚ ИНН‚ телефон‚ email‚ фото.
Отсутствие действия «Передача третьим лицам» в перечне операций.	Юридически невозможно передать данные в УЦ.	Обязательно включить: «передачу (распространение‚ предоставление‚ доступ) третьим лицам, УЦ».
Бессрочное согласие без способа отзыва.	Несоответствие ст. 9 Закона № 152-ФЗ (п. 1 ч. 1 ст. 9).	Установить срок (например‚ 3 года или до увольнения) и процедуру отзыва (письменное заявление).
Подписание согласия после передачи данных в УЦ.	Обработка до получения согласия — грубое нарушение (ст. 6 Закона № 152-ФЗ).	Получать подпись до любой передачи данных в УЦ.

Хранение и учет согласий

Работодатель (Оператор) обязан обеспечить:

Хранение оригиналов согласий (бумажных или электронных с КЭП работника) в течение всего срока действия и 3 лет после прекращения обработки (для целей контроля Роскомнадзором).
Ведение журнала учета согласий (номер‚ дата‚ ФИО субъекта‚ срок‚ статус: действует/отозван).
Возможность субъекта получить информацию об обработке своих данных (ст. 18 Закона № 152-ФЗ) в течение 30 дней.
Уничтожение/обезличивание данных по истечении срока или при отзыве согласия (если нет других правовых оснований для хранения).

Грамотно оформленное согласие на использование ЭЦП — это не просто формальность‚ а единственный легальный базис для передачи биометрии‚ паспортных данных и СНИЛС в Удостоверяющий центр при корпоративной выдаче подписей.

Ключевые рекомендации:

Используйте отдельный документ «Согласие на передачу персданных в УЦ»‚ а не смешивайте с трудовым договором или заявлением на прием.
Обязательно пропишите реквизиты конкретного УЦ (наименование‚ ИНН‚ ОГРН‚ адрес).
Детализируйте перечень данных и цели до конкретных бизнес-процессов (ЭДО‚ отчетность‚ госзакупки).
Включите действие «Передача третьим лицам».
Установите срок и четкую процедуру отзыва.
Получайте подпись ДО отправки данных в УЦ.
Проводите аудит форм согласий ежегодно или при смене УЦ/системы ЭДО.

Соблюдение этих правил защитит организацию от штрафов Роскомнадзора (до 18 млн руб. за повторные нарушения)‚ дисквалификации руководителей и репутационных рисков утечки данных сотрудников.

Данная статья носит информационный характер и не является правовой консультацией. Для разработки локальных актов‚ соответствующих специфике вашей организации и актуальной судебной практике‚ рекомендуется обратиться к специалистам по защите персональных данных.