Коротко
Роботодавець повідомляє працівника, хто обробляє його дані, які саме, навіщо, кому їх передає і які права має працівник. Строк — у момент збору даних, а якщо дані отримано не від самого працівника — протягом 30 робочих днів. Форму закон не встановлює, але факт повідомлення треба вміти довести.
Що вимагає закон
Ключова норма
«Суб’єкт персональних даних повідомляється про володільця персональних даних, склад та зміст зібраних персональних даних, свої права, визначені цим Законом, мету збору персональних даних та осіб, яким передаються його персональні дані: в момент збору персональних даних, якщо персональні дані збираються у суб’єкта персональних даних; в інших випадках протягом тридцяти робочих днів з дня збору персональних даних, крім випадків, встановлених законом.»
— ч. 2 ст. 12 Закону України «Про захист персональних даних» № 2297-VI (ред. від 14.06.2025)
Отже, у повідомленні мають бути пʼять обовʼязкових елементів:
Володілець
Склад і зміст даних
Мета
Кому передаються дані
Права працівника
Чи потрібна згода працівника
Найпоширеніша помилка — збирати з усіх працівників «згоду на обробку персональних даних» і вважати, що цього досить. Згода — лише одна з шести підстав обробки, перелічених у ст. 11 Закону № 2297-VI.
Підстава для даних з охорони праці
«Підставами для обробки персональних даних є: […] 5) необхідність виконання обов’язку володільця персональних даних, який передбачений законом».
— п. 5 ч. 1 ст. 11 Закону України «Про захист персональних даних»
Журнали інструктажів, перевірка знань, медогляди, облік ЗІЗ і розслідування нещасних випадків — це обовʼязки роботодавця за законом. Для них підставою є саме п. 5, а не згода. Згоду працівник може відкликати, а обовʼязки з охорони праці від цього не зникають.
Для відомостей про здоровʼя діє окремий виняток із заборони їх обробки: обробка необхідна для здійснення прав і виконання обовʼязків роботодавця у сфері трудових правовідносин відповідно до закону із забезпеченням відповідного захисту (п. 2 ч. 2 ст. 7 Закону). Що ще треба зробити з такими даними, ми розібрали в окремій статті про персональні дані в охороні праці.
Коли згода все ж потрібна
Зразок повідомлення
Замініть текст у квадратних дужках на свій. Перелік даних у пункті 2 залиште лише тим, що ви справді збираєте.
ПОВІДОМЛЕННЯ про обробку персональних даних працівника [Повне найменування роботодавця], код ЄДРПОУ [код], місцезнаходження: [адреса] (далі — Роботодавець), повідомляє: 1. Володілець ваших персональних даних — Роботодавець. Питання щодо персональних даних: [посада й ПІБ відповідальної особи, email, телефон]. 2. Склад і зміст даних: прізвище, імʼя, по батькові; дата народження; посада, структурний підрозділ; контактні дані; відомості про навчання, перевірку знань і інструктажі з охорони праці; відомості про видачу засобів індивідуального захисту; висновки обовʼязкових медичних оглядів про придатність до роботи; відомості про нещасні випадки за вашої участі; [інше]. 3. Мета обробки: виконання обовʼязків Роботодавця у сфері охорони праці відповідно до Кодексу законів про працю України, Закону України «Про охорону праці» та інших актів законодавства. 4. Підстава обробки: виконання обовʼязку Роботодавця, передбаченого законом (п. 5 ч. 1 ст. 11 Закону України «Про захист персональних даних»); для відомостей про стан здоровʼя — п. 2 ч. 2 ст. 7 цього Закону. 5. Кому передаються дані: розпорядникам, які обробляють дані за договором з Роботодавцем ([назва постачальника програмного забезпечення чи хмарного сервісу]); закладам охорони здоровʼя, що проводять медичні огляди; органам державної влади та Пенсійному фонду України — у випадках, визначених законом. 6. Строк зберігання: протягом строків, установлених законодавством для відповідних документів. 7. Ваші права (ст. 8 Закону України «Про захист персональних даних»): знати про джерела збирання, місцезнаходження своїх даних і мету їх обробки; отримувати інформацію про умови доступу до них, зокрема про третіх осіб, яким вони передаються; на доступ до своїх даних; отримувати не пізніш як за 30 календарних днів відповідь, чи обробляються ваші дані, і їх зміст; вимагати зміни або знищення даних, якщо вони обробляються незаконно чи є недостовірними; на захист від незаконної обробки; звертатися зі скаргами до Уповноваженого Верховної Ради України з прав людини або до суду. Ознайомлений(а): ____________________ (ПІБ, підпис або КЕП) «___» __________ 20__ р.
Якщо ви ведете охорону праці в Bezpeco, готовий текст про обробку даних у платформі опубліковано на сторінці Повідомлення для працівників. Умови, на яких Bezpeco обробляє дані як розпорядник, — у Договорі про обробку персональних даних.
Як вручити й зафіксувати
- Новим працівникам — разом із документами при прийнятті на роботу, до першого інструктажу.
- Чинним працівникам — одноразово, а потім при зміні складу даних, мети або розпорядників.
- Паперово — підпис працівника на примірнику або в листі ознайомлення.
- Електронно — документ із КЕП працівника або ознайомлення в системі, яка фіксує особу й дату.
Типові помилки
- «Згода на все» замість повідомлення — і жодного слова про те, кому передаються дані.
- Не названо розпорядників: бухгалтерську програму, хмарний сервіс, медичний заклад.
- Повідомлення вручили, але підпису чи відмітки про ознайомлення немає.
- Зайві дані: копії паспортів без потреби, діагнози замість висновку про придатність.
- Не перевірено, чи потрібно повідомити Уповноваженого про обробку даних про здоровʼя.
Питання та відповіді
Чи треба повідомляти працівників, які працюють давно?
Так, якщо раніше їх не повідомляли. Закон вимагає повідомлення в момент збору даних, тому для чинних працівників достатньо одного повідомлення зараз і нового — коли змінюються склад даних, мета або особи, яким дані передаються.
Чи можна замінити повідомлення згодою на обробку персональних даних?
Ні, це різні речі. Повідомлення обовʼязкове завжди. Згода — лише одна з шести підстав обробки (ст. 11 Закону № 2297-VI), і для даних, які роботодавець веде за законом про охорону праці, підставою є виконання обовʼязку, передбаченого законом.
Чи має повідомлення бути паперовим?
Форму закон не встановлює. Важливо вміти довести, що працівника повідомили: підпис на паперовому примірнику, КЕП на електронному документі або ознайомлення в системі з фіксацією особи й дати.
Що вказати, якщо дані зберігаються в хмарному сервісі?
Назвіть постачальника сервісу серед осіб, яким передаються дані, як розпорядника. З ним має бути письмовий договір, що визначає мету й обсяг обробки (ст. 4 Закону № 2297-VI).