Необходимо ли е съгласието на работниците и служителите за обработването на личните им данни от работодателя?

Отговор: Общият регламент за защита на данните (ОРЗД), който започна да се прилага от 25 май 2018 г., не промени принципното положение, че обработването на лични данни е законосъобразното, ако е налице поне едно от следните условия:

• Субектът на данните е дал съгласие за обработването;

• Обработването е необходимо за изпълнението на договор, по който субектът на данните е страна или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;

• Обработването е необходимо за спазването на законово задължение на администратора;

• Обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице;

• Обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия на администратора;

• Обработването е необходимо за целите на легитимните интереси на администратора, освен когато преимущество пред тези интереси имат интересите или правата и основните свободи на субекта.

Съгласието е само едно от възможните условия за законосъобразност на обработването, и то далеч не най-сигурното за администратора. На първо място, не е изключено да се постави под съмнение неговата валидност, особено когато между администратора и субекта на данните съществува икономическа неравнопоставеност, каквото често е положението между страните по трудовото правоотношение. Лесно могат да възникнат съмнения, че волята на работника или служителя е била опорочена, например поради упражнен натиск от страна на работодателя. На второ място, съгласието е несигурна основа за обработването на данните и защото то лесно може да бъде оттеглено. Регламентът изисква оттеглянето на съгласието да става по същия ред, по който и даването му – напр. чрез декларация от субекта на данните. Ето защо е препоръчително към съгласието да се прибягва само в „краен случай“, когато не е налице друго условие за законосъобразност на обработването.

В трудовите отношения изричното съгласие на субекта на данните за тяхното обработване не е необходимо, защото то се извършва с цел изпълнение на правата и задълженията по договор – трудовият договор. 
 

Често в практиката се допуска смесване между въпросите на съгласието и правото на информация. Независимо на какво основание са предприети действия по обработването на лични данни, субектът на данните винаги има правото да получи информация относно това кой е администраторът на данните и как може да се свърже с него, какви са целите на обработването, предоставят ли се данните на други лица и т.н. (вж. чл. 13 от ОРЗД). Това не означава, че във всички случаи се изисква той да даде съгласието си за обработването на данните, а само, че има правото да получи информация по посочените теми. С оглед осъществяването на това право, в договорите може да се включи клауза, че работникът или служителят е информиран, че предоставените от него лични данни подлежат на защита съгласно законодателството по защита на личните данни и съответните вътрешни правила на администратора, с които е надлежно запознат. Такава разпоредба би имала за цел създаването на яснота в отношенията между страните, без да налага декларирането на изрично съгласие за обработването на данните, каквото в случая не е необходимо.