Может ли работодатель понуждать работника дать согласие на обработку биометрических персональных данных?

Работодатель принуждает работника посредством дополнительного соглашения к трудовому договору зарегистрироваться в системе сбора биометрических данных в целях осуществления доступа работника на территорию. Речь идет не об объекте стратегической или иной важности и не о медицинском учреждении, а о простой организации. Сбор и хранение биометрических данных будет вести не сам работодатель, а третье лицо.
Может ли работодатель понуждать работника дать согласие на обработку биометрических персональных данных? Есть ли судебная практика по данному вопросу?

Рассмотрев вопрос, мы пришли к следующему выводу:

В рассматриваемой ситуации работодатель не вправе понуждать работника к даче письменного согласия на обработку биометрических персональных данных в целях организации пропускного режима.

Обоснование вывода:

Пропускной режим на объекте (в организации) представляет собой часть системы безопасности, позволяющий обеспечить санкционированный проход работников и (или) третьих лиц. Организация пропускного режима может носить обязательный характер в рамках мер по антитеррористической защищенности объектов, а также требований отраслевого законодательства*(1), либо вводится по усмотрению руководства организации.

Поскольку пропускной режим предполагает наличие определенных правил и порядка прохода (въезда) на территорию, и их доведение до заинтересованных лиц (в частности, работников, иных посетителей), то установление такого режима влечет необходимость наличия соответствующего локального документа, например положения (инструкции) о пропускном режиме, в котором отражены цели введения соответствующих режимов, правила прохода (проезда) на территорию объекта (условия осуществления прохода (проезда), в том числе с использованием различного рода идентификаторов, наличие постоянного или временного пропуска, оформление пропусков для лиц, не являющихся работниками), порядок оформления пропусков и предоставляемые для этого сведения, в частности персональные данные, порядок перемещения по территории, лица, уполномоченные на осуществление пропускного режима и т.п.

Правомерность установления пропускного режимов обеспечивается, таким образом, наличием соответствующего локального акта, что обусловлено установлением определенного порядка действий, непосредственно влияющего на возможность осуществления работниками своих трудовых обязанностей, а также беспрепятственный проход третьих лиц на территорию организации (если пропускной режим затрагивает и третьих лиц).

Пропускной режим может являться также частью системы учета рабочего времени работников (фиксация времени прихода и ухода), что влечет необходимость соответствующего отражения в правилах внутреннего трудового распорядка (ст. 91, 189-

190 ТК РФ).

Организация пропускного режима с учетом рабочего времени (приход/уход) связана с необходимостью обработки персональных данных работников, под которыми в целях Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), а любое действие (операция) или совокупность действий (операций), совершаемых как с использованием средств автоматизации, так и без использования таких средств с персональными данными, включая сбор, запись, накопление, хранение, использование, передачу (распространение, предоставление, доступ), является их обработкой, которая должна осуществляться с учетом установленных условий и принципов (пп. 1, 3 ст. 3, ст. 5, 6 Закона N 152-ФЗ).

На необходимость наличия локального документа оператора, определяющего обработку персональных данных в целях осуществления пропускного режима, а также учета рабочего времени указывает и п. 2 ч. 1 ст. 18.1 Закона N 152-ФЗ, в силу которого для каждой цели обработки персональных данных необходимо определить категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований.

При этом работники должны быть ознакомлены с данным локальным актом под подпись (ст. 86 ТК РФ).

Поскольку в рассматриваемой ситуации пропускной режим организован в автоматизированном режиме с использованием биометрических персональных данных*(2), то обязательным условием такой обработки будет являться письменное согласие работника (ч. 1 ст. 11 Закона N 152-ФЗ), которое должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 Закона N 152-ФЗ). Подчеркнем, в ч. 3 ст. 11 Закона N 152-ФЗ прямо предписано, что предоставление биометрических персональных данных не может быть обязательным, за исключением случаев, предусмотренных ч. 2 ст. 11 Закона N 152-ФЗ. Оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если в соответствии с федеральным законом получение оператором согласия на обработку персональных данных не является обязательным.

В рассматриваемой ситуации биометрическая идентификация работников законодательством не предусмотрена. Следовательно, работодатель не вправе понуждать работника к даче согласия на обработку его биометрических персональных данных в целях организации пропускного режима.

Для подобных ситуаций работодатель должен предусмотреть альтернативный вариант пропуска работников на территорию организации, например, путем выдачи разовых пропусков, что также должно быть отражено в локальных актах работодателя.

Заключение дополнительного соглашения к трудовому договору в данном случае не является способом устранения проблемы. Как было уже отмечено, обработка биометрических персональных данных возможна лишь при наличии согласия в письменной форме субъекта персональных данных (ч. 1 ст. 11 Закона N 152-ФЗ), содержание которого должно соответствовать положениям ч. 4 ст. 9 Закона N 152-ФЗ. В любое время работник вправе отозвать свое согласие (ч. 2 ст. 9 Закона N 152-ФЗ), что возлагает на работодателя обязанность прекратить обработку или обеспечить прекращение такой обработки и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить в срок, не превышающий тридцати дней с даты поступления указанного отзыва (ч. 5 ст. 21 Закона N 152-ФЗ). То есть согласие на обработку биометрических персональных данных не может включаться в текст договора. В противном случае отзыв согласия на обработку персональных данных означал бы изменение условий трудового договора работником в одностороннем порядке, что недопустимо. В силу ст. 72 ТК РФ изменение определенных сторонами условий трудового договора допускается только по соглашению сторон. Действующее законодательство не наделяет работника правом изменить трудовой договор в одностороннем порядке, несмотря на то, что на практике Роскомнадзор такую возможность ранее не отрицал (смотрите абзац 4 п. 5 разъяснений Роскомнадзора от 14 декабря 2012 г.).

Однако с 1 сентября 2025 г. вступают в силу изменения, внесенные в ч. 1 ст. 9 Закона N 152-ФЗ*(3), которыми прямо предусматривается, что согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.

Отметим также, что отказ работника от дачи согласия на обработку биометрических персональных данных не может быть основанием ни для привлечения такого работника к дисциплинарной ответственности, ни для расторжения трудового договора (смотрите, например, определение СК по гражданским делам Седьмого кассационного суда общей юрисдикции от 25 июля 2023 г. по делу N 8Г-8738/2023[88-10266/2023], определение СК по гражданским делам Второго кассационного суда общей юрисдикции от 27 сентября 2022 г. по делу N 8Г-18776/2022[88-18656/2022], апелляционное определение СК по гражданским делам Московского областного суда от 23 октября 2024 г. по делу N 33-37742/2024, апелляционное определение СК по гражданским делам Воронежского областного суда от 23 августа 2022 г. по делу N 33-4797/2022, апелляционное определение СК по гражданским делам Московского городского суда от 15 июня 2022 г. по делу N 33-16145/2022, решение Химкинского городского суда Московской области от 18 декабря 2023 г. по делу N 2-7369/2023, решение Левобережного районного суда г. Воронежа Воронежской области от 24 февраля 2022 г. по делу N 2-28/2022, решение Останкинского районного суда г. Москвы от 28 октября 2021 г. по делу N 02-3821/2021).

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Амирова Лариса

Ответ прошел контроль качества

30 июля 2025 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.

-------------------------------------------------------------------------

*(1) Смотрите, например, определение СК по гражданским делам Седьмого кассационного суда общей юрисдикции от 25 июля 2023 г. по делу N 8Г-8738/2023[88-10266/2023].

*(2) Смотрите Энциклопедию решений. Особенности обработки биометрических персональных данных (июль 2025 г.).

*(3) Смотрите Федеральный закон от 24 июня 2025 г. N 156-ФЗ.