Нужно ли работникам предоставлять отдельное согласие на передачу КД аудитору?

Здравствуйте, Юрий! Если подписано соглашение только об обработке персональных данных (ст.5-6 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных") работодателем, то нужно отдельное соглашение, т.к. аудитор в штате работодателя не состоит, а является сторонним лицом, и соглашением с работниками это может быть не предусмотрено.

Здравствуйте, Юрий!

Нет, не требуется.

Того согласия что есть уже вполне достаточно.

Подписывая его работники изъявили свою волю на то, чтобы предприятие могло в установленных случаях передавать далее эти данные.

Нарушений в данном случае не будет.

Поэтому первый ответ является неверным

(ст.5-6 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных")

Работодателю надо запросить отдельное письменное согласие работника на передачу данных третьему лицу (с указанием конкретного контрагента по договору оказания услуг) и представить его этому контрагенту. Контрагент вправе передавать персональные данные работникам своей организации при соблюдении установленного порядка.

Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ)).

Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона N 152-ФЗ).

Таким образом, передача персональных данных является обработкой персональных данных.

По общему правилу обработка персональных данных допускается с согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона N 152-ФЗ).

Не требуется согласия субъекта персональных данных в случаях, перечисленных в п. п. 2 - 11 ч. 1 ст. 6 Закона N 152-ФЗ, в том числе когда обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (п. 5 ч. 1 ст. 6 Закона N 152-ФЗ).

Здравствуйте Юрий.

Не нужно отдельного согласия, так как с работниками подписано согласие.

Аудитор представляет вас и вы за него несете обязательства.

Так как обработка персональных данных будет и должна осуществляться с соблюдением принципов и правил, предусмотренных законом.

А обработка персональных данных допускается и осуществляется с согласия субъекта персональных данных на обработку его персональных данных, согласно ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ (ред. от 24.04.2020) "О персональных данных".

Выше указанного достаточно, судя из вашего вопроса.

Вы как наниматель, являетесь вместе с аудитором, который представляет ваши интересы, оператором и иным лицом (аудитор), получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании ст. 7 выше названного закона.

Условия соблюдены для проверки (ревизии).

Всего доброго вам решить ваш вопрос!

Юрий!

Важно!

Поскольку аудитор является третьим лицом, то получение персональных данных работников, передаваемых ему оператором (предприятием) в соответствии с ч.3 ст.6 Условия обработки персональных данных Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" может быть только с персонального согласия самих работников.

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта (далее - поручение оператора).

Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом.

В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке