Можно ли выкладывать фото с корпоратива в соцсети и на сайт: НЦЗПД ответил на вопросы ЭГ

В читательскую почту “ЭГ” поступили вопросы о том, как организовать фото и видеосъемку на новогодних корпоративных мероприятиях, не нарушая требований законодательства о защите персональных данных. Разъяснения по запросу редакции предоставил Национальный центр защиты персональных данных (НЦЗПД).

В каких случаях требуется письменное согласие на фото- и видеосъемку

Вопрос 1. На внутреннем мероприятии компании – новогоднем корпоративе с добровольным участием планируется фото- и видеосъемка. Необходимо ли получить письменное согласие каждого работника на фотосъемку на этом конкретном мероприятии или достаточно согласия на обработку персональных данных, полученного при приеме на работу? Надо ли информировать работников о съемке на мероприятии, например, объявить об этом в начале мероприятия, предварительно уведомить под подпись?

Разъяснение НЦЗПД
Правовое основание обработки персональных данных при осуществлении фото- и видеосъемки на внутреннем мероприятии зависит от того, для каких целей она осуществляется.
Если цель съемки – запечатлеть ход мероприятия непосредственно для внутреннего использования организацией фото- и видео и предоставить их работникам организации, то необходимость получения согласия у работников для этого отсутствует. Такая обработка охватывается абз. 8 ст. 6 Закона от 07.05.2021 № 99-З "О защите персональных данных“ (далее – Закон).

Для отдельных целей, например, для изготовления с использованием этих фото рекламной и (или) корпоративной продукции для партнеров и клиентов обработка фото- и видеоизображения работников может осуществляться только с их согласия, которое может быть получено как при приеме на работу, так и непосредственно перед мероприятием.
Любая обработка персональных данных, независимо от того, осуществляется ли она с согласия или на ином правовом основании, должна быть прозрачной. Поэтому наниматель обязан проинформировать работников о съемке заранее, например, в объявлении о проведении мероприятия, в приглашении на него, а также о доступе к отснятым материалам и сроках их хранения.

При этом важным является соблюдение нанимателем и (или) фотографом этической стороны съемки: фото- или видеоизображение не должны умалять честь и достоинство работника. Если работник в этой связи просит не фотографировать или удалить фото, его просьбу следует удовлетворить.

Размещение фотографий в корпоративном Telegram-канале

Вопрос 2. Может ли организация разместить ссылку на фотобанк с новогоднего корпоративного мероприятия на своем сайте или в корпоративных соцсетях без получения отдельных согласий от работников? Расценивается ли публикация фотографий с корпоративов в корпоративном Telegram-канале как размещение в ”общем доступе“?

Разъяснение НЦЗПД
Размещение информации, содержащей персональные данные, на сайте организации, а также в открытых аккаунтах в корпоративных соцсетях организации (в т.ч. в Telegram) является распространением, поскольку предполагает ознакомление с персональными данными неопределенного круга лиц (абз. 11 ст. 1 Закона).
В этой связи если целью размещения ссылки служит предоставление доступа к фотобанку с мероприятия работникам организации, то размещение такой ссылки в открытом доступе, влекущее возможность ознакомиться с ними неограниченного круга лиц, не соответствует заявленной цели и влечет их незаконное распространение.
Если такая информация размещается в закрытом аккаунте соцсети, ее распространение в данном случае отсутствует.
Однако, как в первом, так и во втором случаях такие действия влекут трансграничную передачу персональных данных в страны, не обеспечивающие надлежащий уровень защиты прав субъектов персональных данных, что сопряжено с дополнительными рисками для граждан.
Во избежание подобных рисков ссылка на фотобанк может быть размещена, например, во внутренней (корпоративной) сети организации.
Что касается публикации фотоизображений работников, сделанных на мероприятии и отражающих ход мероприятия, на сайте или в социальных сетях организации в рамках новостного контента, то такая обработка персональных данных, если работник не заявляет требование о прекращении съемки, может осуществляться без согласия работника (на основании абз. 8 ст. 6 Закона).

Фотосьемка приглашенным фотографом

Вопрос 3. Если фото- и видеосъемку осуществляет подрядчик (фотограф), должна ли организация отдельно уведомлять работников о передаче их данных третьим лицам? Нужно ли заключать с фотографом договор об обработке персональных данных или достаточно договорных обязательств о конфиденциальности?

Разъяснение НЦЗПД
Исходя из абз. 16 ст. 1 Закона, фотограф, которого наниматель привлекает для осуществления фото- и видеосъемки на мероприятиях, признается его уполномоченным лицом, в связи с чем их взаимодействие должно быть регламентировано договором оператора и уполномоченного лица, требования к содержанию которого устанавливаются п. 1 ст. 7 Закона.
Важно: допускается использование как самостоятельного договора, так и включение отдельных положений, касающихся вопросов обработки персональных данных, в заключаемый договор на оказание услуг (выполнение работ).
При этом поручение обработки уполномоченному лицу не освобождает нанимателя (оператора) от ответственности за обработку персональных данных перед работниками.
Наниматель не обязан получать их согласие на поручение обработки их персональных данных уполномоченному лицу.
Вместе с тем в целях обеспечения принципа прозрачности обработки персональных данных информацию об уполномоченных лицах (их категориях) необходимо отразить в документе, определяющем политику оператора в отношении обработки персональных данных.

Новогодние конкурсы и публикация имен победителей на сайте компании

Вопрос 4. Планируются новогодние конкурсы с вручением работникам подарков. Можно ли публиковать ФИО победителей на сайте или в соцсетях компании?

Разъяснение НЦЗПД
Такая обработка персональных данных может осуществляться на основании согласия, поскольку законодательство не устанавливает подобных полномочий нанимателя в отношении работников.

Можно ли использовать фотографии работников с корпоратива в маркетинговых материалах

Вопрос 5. Может ли организация использовать фотографии работников с корпоративного мероприятия в последующих маркетинговых материалах, например, в поздравительных открытках для партнеров? Допустимо ли размещение групповых фото в корпоративной газете или информационном бюллетене, распространяемом среди контрагентов?

Разъяснение НЦЗПД
Исходя из п. 4 ст. 4 Закона, использование фотоизображений работников с корпоративных мероприятий в последующих маркетинговых материалах является самостоятельной обработкой персональных данных (в данном случае предоставлением) и требует отдельного правового основания. 

Таким основанием является согласие субъекта персональных данных.
Размещение коллективных фотоизображений, отражающих ход мероприятия, в корпоративной газете, информационном бюллетене организации может осуществляться без согласия работников.

Сколько можно хранить фотографии с корпоратива в архиве компании

Вопрос 6. Какой срок хранения фотографий с корпоративов считается обоснованным, и можно ли их хранить в корпоративном архиве без срока давности? Нужно ли удалять фотографии по требованию работника, если он ранее дал согласие, но потом его отозвал?

Разъяснение НЦЗПД
С учетом риск-ориентированного подхода на оператора возложена обязанность по оценке хранящихся на внутренних ресурсах организации массивов информации на предмет исключения избыточной обработки персональных данных с учетом заявленной цели обработки, в т.ч. оценке того, возможно ли достичь заявленную цель обработки персональных данных с использованием меньшего набора данных либо с использованием менее чувствительных их категорий.
В соответствии с п. 8 ст. 4 Закона хранение персональных данных должно осуществляться в форме, позволяющей идентифицировать субъекта персональных данных, не дольше, чем этого требуют заявленные цели обработки персональных данных.
Если срок хранения не определен в законодательстве, он определяется самим оператором и отражается в документе, определяющем политику в отношении обработки персональных данных.