Персональные данные членов семьи работника: когда нужно согласие, а когда нет

Ситуация, которую кадровая служба проходит каждый месяц. Работник заполняет анкету при приёме и указывает состав семьи. Приносит свидетельство о рождении ребёнка, чтобы получить налоговый вычет. Оформляет пособие по уходу за ребёнком. Просит включить супруга в полис добровольного медицинского страхования. Записывает ребёнка на новогоднее представление.

В результате у оператора оказываются персональные данные людей, которые в организацию не приходили, ничего не подписывали и о самом факте обработки чаще всего не знают.

Кто здесь субъект персональных данных

Член семьи — самостоятельный субъект персональных данных, а не приложение к работнику. Из этого следует главное практическое правило: работник не может дать согласие за совершеннолетнего родственника. Его подпись под фразой «даю согласие на обработку данных моей семьи» юридически не значит ничего — распоряжаться чужими персональными данными он не вправе.

За ребёнка согласие даёт законный представитель — и вот здесь подпись работника как раз работает: согласие на обработку персональных данных может быть дано представителем субъекта (часть 1 статьи 9 Федерального закона от 27.07.2006 №152-ФЗ). Полномочия проверяются: у родителя они следуют из свидетельства о рождении. Для подростка 14–18 лет возможны исключения, когда он сам участвует в правоотношении, но в кадровых сценариях — льготы, подарки, страхование — данные приносит родитель, и согласие логично брать у него.

Второе следствие: данные членов семьи оператор получает не от самого субъекта, а от работника. Это отдельный юридический сюжет, к которому вернёмся ниже, — он порождает обязанность уведомить человека о том, что его данные попали к оператору.

Когда согласие не требуется

Согласие — лишь одно из оснований обработки, и далеко не главное в трудовых отношениях. Если обработка необходима для исполнения обязанности, возложенной на работодателя законодательством, основанием служит сама эта обязанность (пункт 2 части 1 статьи 6 152-ФЗ). Согласие в таких случаях не просто не нужно — брать его вредно: получится, что оператор поставил исполнение своей обязанности в зависимость от чужой воли, а отзыв согласия ничего не изменит.

Типовые основания, по которым данные членов семьи обрабатываются без согласия:

• Стандартный налоговый вычет на детей. Работодатель как налоговый агент предоставляет вычет и хранит подтверждающие документы — свидетельства о рождении, справки об обучении (подпункт 4 пункта 1 статьи 218 Налогового кодекса РФ).
• Пособия по материнству и уходу за ребёнком. Работодатель передаёт сведения в Социальный фонд для назначения выплаты (Федеральный закон от 29.12.2006 №255-ФЗ; Правила, утверждённые постановлением Правительства РФ от 23.11.2021 №2010).
• Гарантии Трудового кодекса, привязанные к семейному положению: дополнительные выходные дни родителю ребёнка-инвалида (статья 262), отпуска родителям детей-инвалидов и работникам с тремя и более детьми (статьи 262.1 и 262.2), ограничения на привлечение к работе ночью и в выходные (статья 259).
• Компенсация проезда к месту отдыха работникам Крайнего Севера и неработающим членам их семей. Статья 325 Трудового кодекса РФ прямо обязывает к этому федеральные органы, государственные внебюджетные фонды и федеральные учреждения; у остальных работодателей обязанность возникает из акта субъекта или муниципалитета, коллективного договора либо локального акта — и основанием обработки служит именно он.
• Удержание алиментов по исполнительному документу — данные взыскателя и ребёнка (Федеральный закон от 02.10.2007 №229-ФЗ).
• Воинский учёт: сведения о семейном положении включены в состав данных, которые ведёт работодатель (Положение о воинском учёте, утверждённое постановлением Правительства РФ от 27.11.2006 №719).
• Государственная и муниципальная служба: анкета включает сведения о родственниках в силу прямого требования. Форма утверждена Указом Президента РФ от 10.10.2024 №870; прежнее распоряжение Правительства РФ от 26.05.2005 №667-р, на которое до сих пор ссылаются многие инструкции, силу утратило.

Общее у всех пунктов одно: есть норма, которая обязывает работодателя. Нет нормы — нет и основания.

Почему ссылка на форму Т-2 больше не выручает

Многие инструкции по кадровому делопроизводству до сих пор объясняют обработку данных родственников тем, что раздел о составе семьи есть в личной карточке формы №Т-2, утверждённой постановлением Госкомстата России от 05.01.2004 №1. Аргумент был рабочим, пока формы были обязательными.

С 1 января 2013 года унифицированные формы первичных учётных документов перестали быть обязательными: их утверждает руководитель экономического субъекта (Федеральный закон от 06.12.2011 №402-ФЗ «О бухгалтерском учёте»). Работодатель, который сам утвердил свою форму карточки, не может ссылаться на Госкомстат как на источник обязанности — он сослался бы на собственное решение, а оно основанием обработки чужих данных не является.

Что осталось: если сведения о семье нужны для воинского учёта или для государственной службы, обязанность вытекает не из формы карточки, а из соответствующего акта — и её достаточно. Если же графа «состав семьи» живёт в анкете просто по традиции, оснований у неё нет.

Когда согласие обязательно

Всё, что выходит за пределы обязанностей работодателя, — это добровольные корпоративные практики, и они требуют согласия члена семьи (или его законного представителя):

• добровольное медицинское страхование супруга и детей — здесь стоит оговориться: часть обработки может опираться на договор, выгодоприобретателем по которому является сам член семьи (пункт 5 части 1 статьи 6 152-ФЗ), но как только затрагиваются сведения о здоровье, согласие в письменной форме практически всегда необходимо;
• детские подарки, путёвки, новогодние представления, конкурсы;
• негосударственное пенсионное обеспечение и страхование жизни с указанием выгодоприобретателей;
• материальная помощь сверх установленной законом, если для неё собираются документы о семье;
• графа «состав семьи» в анкете, заполняемая «на всякий случай» или «для отдела кадров».

Последний пункт — самый частый источник нарушения. Анкета собирает данные о семье у всех подряд, хотя вычет оформляет часть работников, а пособие — единицы.

Ограничения при обработке без согласия

Отсутствие необходимости в согласии не означает свободы обращения с данными. Действуют четыре ограничения, и каждое проверяемо.

Состав данных — минимальный. Обрабатывается только то, что требует норма: для вычета — факт наличия ребёнка, его фамилия, имя, отчество и дата рождения; для пособия — состав, предусмотренный правилами его назначения. Содержание обработки не должно быть избыточным по отношению к цели (часть 5 статьи 5 152-ФЗ). Паспортные данные супруга, место его работы и сведения о доходах для налогового вычета не нужны.

Цель одна. Данные, полученные для вычета, нельзя использовать для рассылки поздравлений или формирования списка на подарки: это обработка, несовместимая с целями сбора.

Срок ограничен. Данные хранятся не дольше, чем требует цель, после чего уничтожаются (часть 7 статьи 5, часть 4 статьи 21 152-ФЗ). Для налоговых документов срок задан налоговым законодательством, для кадровых — правилами архивного хранения; «пока работает» — не срок.

Человека нужно уведомить. Если персональные данные получены не от самого субъекта, оператор до начала обработки обязан предоставить ему сведения: кто оператор, с какой целью и на каком основании обрабатываются данные, какие именно, кто их получатели, каковы права субъекта и откуда данные получены (часть 3 статьи 18 152-ФЗ). Исключения перечислены в части 4 той же статьи — в частности, уведомление не требуется, если субъект уже уведомлён либо если обработка осуществляется на основании федерального закона. Практический вывод: там, где основанием служит прямая обязанность работодателя, отдельное уведомление обычно не нужно, а вот при добровольных практиках — нужно, и оно естественным образом совмещается с получением согласия.

Исключения не сводятся к федеральному закону: уведомление не требуется и тогда, когда данные получены в связи с исполнением договора, стороной или выгодоприобретателем по которому выступает сам субъект. Именно поэтому страхование в пользу члена семьи стоит разбирать отдельно, а не по общему правилу «добровольное — значит уведомляем».

Отдельно — правила Трудового кодекса: все персональные данные работника следует получать у него самого, а если их можно получить только у третьей стороны, работника нужно уведомить заранее и получить его письменное согласие (статья 86). Норма написана про данные работника, но задаёт тон всему кадровому учёту: сбор сведений «в обход» субъекта — исключение, а не норма.

Что говорят суды и Роскомнадзор

Практика по этой теме немногочисленна, и это само по себе показательно: спор возникает не тогда, когда данные собраны, а когда они куда-то ушли или когда пришла проверка.

За пределами Трудового кодекса нужно отдельное согласие. По делу №А40-32030/2016 суды исходили из того, что если цели обработки выходят за рамки трудовых отношений, то для каждого случая передачи персональных данных работников третьим лицам требуется отдельное письменное согласие. Спор шёл о предписании Роскомнадзора и касался работников, а не членов семьи, но вывод переносится на нашу тему напрямую: передача данных семьи страховой компании, туроператору или организатору мероприятия — как раз выход за пределы Трудового кодекса.

Позиция Роскомнадзора. В разъяснениях от 14.12.2012 ведомство допускало обработку данных близких родственников в объёме, предусмотренном формой №Т-2, либо в случаях, установленных законодательством. Разъяснение написано до того, как унифицированные формы перестали быть обязательными, поэтому опираться сегодня стоит на вторую его половину: основанием служит норма закона, а не сама форма. Ориентир по объёму разъяснение задаёт разумный — степень родства, фамилия, имя, отчество и год рождения.

Ещё один срез практики — иски самих работников о компенсации морального вреда при передаче сведений третьим лицам. Здесь спор идёт не о сборе, а о разглашении, и суды взыскивают компенсацию даже при отсутствии имущественного ущерба.

Чем рискует работодатель

Составы разные, и это принципиально для оценки риска.

• Обработка в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора — часть 1 статьи 13.11 Кодекса РФ об административных правонарушениях: на юридических лиц от 150 до 300 тысяч рублей. Это про графу «состав семьи» без основания и про использование данных не по назначению.
• Обработка без письменного согласия, когда оно требуется — часть 2 статьи 13.11: на юридических лиц от 300 до 700 тысяч рублей. Это про ДМС, подарки и страхование, оформленные без согласия членов семьи.
• Гражданско-правовая ответственность: субъект вправе требовать компенсации морального вреда (статья 24 152-ФЗ), причём вины оператора в форме умысла не требуется.

Добавьте предписание Роскомнадзора об устранении нарушения и обязанность уничтожить неправомерно собранные данные — а вместе с ними и переделку анкет, инструкций и согласий.

Что сделать оператору

1. Разберите анкету по строкам. Для каждой графы о членах семьи ответьте, какая норма её требует. Графы без ответа — удалить или перевести в добровольные с отдельным согласием.
2. Разделите обязательное и добровольное. Сведения для вычета, пособия и гарантий собираются по мере возникновения права, а не у всех при приёме. Данные для ДМС и подарков — отдельным согласием и только у тех, кто участвует.
3. Подготовьте форму согласия за ребёнка. Подписывает законный представитель, в тексте — цель, состав данных, срок и порядок отзыва.
4. Опишите цели и сроки в политике и в перечне обрабатываемых данных: члены семьи работников — отдельная категория субъектов, и в документах она должна быть названа.
5. Настройте уничтожение. Ребёнок вырос, работник уволился, ДМС закончился — данные должны уходить, а не оседать в папке «кадры» навсегда.
6. Проверьте передачу. Страховая компания, туроператор, организатор мероприятия — это поручение обработки: нужен договор с условиями по статье 6 части 3 152-ФЗ.

Проверить себя проще всего одним вопросом по каждой строке анкеты: если завтра член семьи спросит, откуда у вас его данные и на каком основании, — что вы ответите? Если ответ есть и он опирается на норму, всё в порядке. Если ответ звучит как «так принято» — строку пора убирать.

Материал носит справочный характер и не заменяет анализ конкретной ситуации. Проверьте актуальность требований на момент применения.