Передавать работодателю пароль, одноразовый код подтверждения или иные данные для входа в личные Госуслуги сотрудник не обязан. Если рабочая задача действительно выполняется через Госуслуги, сотрудник может самостоятельно войти под своей учетной записью и работать в профиле организации с предоставленными полномочиями.
Особенно опасна просьба "просто назвать код из СМС". Такой код может подтверждать вход или юридически значимое действие от имени владельца учетной записи.
Может ли работодатель вообще требовать пользоваться Госуслугами для работы
Само использование Госуслуг в рабочем процессе не является незаконным.
Для организаций и ИП на портале предусмотрены отдельные профили. Руководитель может добавить сотрудников, настроить им доступ, предоставить соответствующие полномочия и при необходимости оформить машиночитаемую доверенность.
Работник при этом входит самостоятельно под своей учетной записью, а затем действует в пределах предоставленной ему роли от имени организации.
Например, кадровому специалисту поручено подать предусмотренное законодательством уведомление через государственный сервис. Если организация предоставила ему соответствующий доступ, а подача таких документов входит в трудовые обязанности, требование выполнить работу в электронной системе само по себе может быть законным.
Это принципиально отличается от ситуации, когда директор говорит:
"Пришли свой пароль от Госуслуг";
"Назови код из СМС, я сам зайду";
"Оставь телефон, бухгалтер сейчас все сделает";
"Дай доступ к личному кабинету, потом поменяешь пароль".
Для выполнения корпоративной задачи работодателю не требуется становиться сотрудником внутри его личной учетной записи.
Если от имени компании регулярно совершаются юридически значимые действия, правильнее оформить полномочия. Порядок подробно разобран в материале о том, как создать, проверить и отменить машиночитаемую доверенность сотрудника.
Можно ли требовать именно пароль или код подтверждения
Нет убедительного законного основания заставлять сотрудника раскрывать такие данные другому работнику или руководителю.
Официальные правила безопасности Госуслуг прямо предусматривают, что пароли и коды подтверждения нельзя сообщать другим лицам.
Это связано не только с риском мошенничества. Учетная запись ЕСИА используется для доступа к большому количеству государственных сервисов и подтверждения личности человека.
Кроме того, по Федеральному закону об электронной подписи код, пароль или другое средство идентификации при определенных условиях может использоваться как простая электронная подпись.
При использовании простой электронной подписи действует требование о конфиденциальности ее ключа. Оно прямо предусмотрено статьей 9 Федерального закона N 63-ФЗ.
Поэтому схема "сотрудник сообщает начальнику код, а начальник нажимает кнопку от его имени" создает серьезный юридический риск для обеих сторон.
Чем отличается вход сотрудника от передачи учетной записи работодателю
Это главное различие для всей ситуации.
Допустимая модель: сотрудник открывает Госуслуги сам, проходит идентификацию и переключается в профиль организации. В системе видно, какой сотрудник совершает действие и на основании каких полномочий.
Рискованная модель: руководитель или коллега получает логин, пароль и код сотрудника и работает через его учетную запись как будто это сам сотрудник.
Во втором случае фактический исполнитель действия и лицо, которое информационная система идентифицирует как пользователя, расходятся.
Если работодателю просто нужен доступ к корпоративному сервису с личного телефона сотрудника, дополнительно имеет смысл проверить правила использования собственной техники. Они разобраны в статье о том, может ли работодатель заставить использовать личный телефон и устанавливать рабочие приложения.
А если начальник говорит: "Я ничего личного смотреть не буду"
Этого недостаточно.
Личный кабинет Госуслуг не создавался как общий корпоративный аккаунт. В нем могут находиться сведения и сервисы, вообще не связанные с трудовыми отношениями.
Работодатель вправе обрабатывать персональные данные сотрудников для предусмотренных законом целей, связанных с трудовыми отношениями. Но объем собираемых сведений не должен быть избыточным.
Этот же принцип закреплен в Федеральном законе о персональных данных.
Поэтому для выполнения, например, кадрового отчета работодателю не нужен свободный доступ ко всему личному кабинету работника.
Даже если сотрудник добровольно показывает конкретный документ на экране, это не равнозначно разрешению пользоваться его учетной записью без ограничений.
Похожая граница между законным рабочим контролем и вмешательством в личную сферу возникает при цифровом наблюдении за экраном, клавиатурой и веб-камерой работника.
Кто отвечает за действие, совершенное через аккаунт сотрудника
Здесь нельзя ответить одной фразой "всегда сотрудник" или "всегда работодатель".
Для информационной системы действие, выполненное после успешной аутентификации, связывается с соответствующей учетной записью. Если документ дополнительно подтвержден кодом или электронной подписью, доказательственная ситуация для владельца аккаунта становится еще сложнее.
Но сам факт использования чужим человеком пароля или кода не означает, что владелец аккаунта автоматически несет любую гражданскую, административную или уголовную ответственность за последующее действие.
В споре будут выяснять:
- кто фактически совершил операцию;
- кто дал указание;
- имел ли работник соответствующие полномочия;
- понимал ли он содержание подтверждаемого действия;
- передавал ли код добровольно;
- какое именно заявление или документ был сформирован;
- от имени гражданина или организации оно подавалось;
- какие электронные журналы и другие доказательства сохранились.
Например, если бухгалтер с чужими реквизитами направил личное заявление от имени сотрудника, формально оно может отображаться как действие этого сотрудника. Потом человеку придется доказывать отсутствие собственной воли на его совершение.
Иная ситуация - сотрудник самостоятельно и в рамках предоставленной МЧД отправил документ от имени компании. Тогда он выступает представителем организации, а не совершает действие как частное лицо только потому, что авторизовался через собственную ЕСИА.
Значит ли сообщение кода, что сотрудник "сам все подписал"
Не обязательно, но риск очень высокий.
Простая электронная подпись основана именно на механизме, позволяющем определить лицо с помощью кодов, паролей или иных средств. Однако юридическая сила конкретного действия определяется правилами соответствующей информационной системы и законом.
Поэтому нельзя считать любой код из любого СМС электронной подписью.
Но если конкретный сервис использует одноразовый код для подтверждения документа или волеизъявления, сообщение кода постороннему существенно ухудшает позицию владельца аккаунта в будущем споре.
Верховный Суд РФ в спорах об электронных операциях обращает внимание не только на техническое использование кода, но и на установление того, кто совершал действия и выражалась ли действительная воля гражданина.
Поэтому фраза работодателя "не переживай, если что, я скажу, что это делал я" юридической защиты сотруднику не дает.
Что делать, если рабочую задачу можно выполнить только через Госуслуги
Сначала попросите правильно оформить доступ.
У организации должен использоваться собственный профиль. Сотрудника можно добавить в него и назначить необходимые полномочия.
Если государственная услуга требует представительства, проверяется возможность оформить МЧД или другой вид доверенности.
Сам сотрудник после этого входит под своей учетной записью. Пароль, одноразовый код и иные средства подтверждения остаются у него.
Если для выполнения задачи нужна электронная подпись, работодатель должен организовать использование подходящего вида подписи, а не заменять его передачей чужого кода.
Рабочее полномочие нужно передавать сотруднику, а не учетную запись сотрудника - работодателю.
Может ли работодатель заставить подать через Госуслуги заявление от имени самого сотрудника
Не любое.
Нужно определить, чье это юридически значимое действие.
Например, если законодательство предусматривает заявление именно работника о предоставлении определенной государственной услуги, согласие на обработку сведений или другое личное волеизъявление, работодатель не должен формировать его вместо человека путем использования его учетной записи.
Другая ситуация - электронный кадровый документооборот. ТК РФ допускает электронное взаимодействие работодателя и работника и использование инфраструктуры электронного правительства.
Но смысл такого порядка заключается именно в том, что работник сам направляет или подписывает документ предусмотренным способом. Электронный документооборот не превращает пароль работника в корпоративный реквизит.
Если организация использует электронные системы и получает большой объем данных работников, ей также нужно соблюдать обязанности оператора. Для работодателей об этом есть отдельный материал: кто обязан уведомлять Роскомнадзор об обработке персональных данных.
Как правильно отказаться передавать пароль
Лучше отказаться письменно и одновременно показать, что вы не отказываетесь выполнять трудовую функцию.
Не пишите только: "Госуслуги свои не дам".
Укажите, что готовы выполнить порученную рабочую операцию самостоятельно после предоставления необходимых полномочий в профиле организации, корпоративной системе или на основании доверенности.
Также попросите указать, какое именно действие требуется совершить, от чьего имени и на каком основании работодателю необходим пароль или одноразовый код от вашей личной учетной записи.
Важно! Этот документ можно скачать в КонсультантПлюс
Скачать в КонсультантПлюсБесплатный доступ к документуОбразец следует адаптировать. Укажите, что спор касается требования раскрыть данные аутентификации личной учетной записи ЕСИА. Подчеркните готовность выполнить рабочую задачу при предоставлении законного корпоративного доступа.
Для вопроса о собираемых работодателем сведениях можно отдельно использовать жалобу на обработку персональных данных.
Могут ли наказать за отказ назвать код
Сам по себе отказ передать пароль или одноразовый код не является отдельным дисциплинарным проступком.
По статье 192 ТК РФ взыскание применяется за виновное неисполнение или ненадлежащее исполнение трудовых обязанностей.
Поэтому нужно смотреть, от чего именно отказался сотрудник.
Если человек отказался выполнить законное рабочее действие, которое входит в его обязанности и для которого ему предоставили нормальный корпоративный доступ, вопрос о дисциплинарной ответственности действительно может возникнуть.
Если же сотрудник говорит: "Я выполню поручение сам, но пароль от моей личной учетной записи другому лицу не передам", это принципиально иная ситуация.
Работодателю потребуется доказать, что передача именно чужих данных аутентификации являлась законной трудовой обязанностью. Обосновать это значительно сложнее, чем обязанность работать в предоставленной информационной системе.
Что делать, если требуют объяснительную
Не игнорируйте запрос.
В объяснении зафиксируйте, что от исполнения трудовой обязанности вы не отказывались. Опишите, какой именно пароль или код требовал руководитель и кому его предлагалось передать.
Укажите, что предложили самостоятельно выполнить действие после предоставления надлежащих полномочий.
Приложите переписку, если требование поступало через мессенджер или электронную почту.
До применения дисциплинарного взыскания работодатель обязан запросить письменное объяснение. На его предоставление работнику даются два рабочих дня.
Если взыскание все же объявлено, его можно обжаловать с помощью жалобы на дисциплинарное взыскание.
Что делать, если пароль или код уже передали
Сначала прекратите дальнейший доступ.
Смените пароль учетной записи и проверьте настройки безопасности. Посмотрите историю действий и убедитесь, что нет незнакомых операций.
Проверьте отправленные заявления, предоставленные согласия и другие действия, которые могли быть совершены в период, когда учетными данными владел другой человек.
Сохраните переписку с работодателем. Особенно важны сообщения, где руководитель просит пароль, запрашивает код или подтверждает, что вход осуществлял другой сотрудник.
Если обнаружено действие, которого вы не совершали, сохраните его реквизиты и немедленно обратитесь в соответствующий государственный орган или организацию с заявлением о спорной операции.
При компрометации электронной подписи действует похожий доказательственный алгоритм. Он разобран в статье о том, что делать, если незаконно использовали электронную подпись ИП или директора.
Важно не удалять рабочую переписку после смены пароля. Она может стать главным доказательством того, кто фактически запросил и использовал учетные данные.
Можно ли пожаловаться в трудовую инспекцию
Да, если требование сопровождается давлением, угрозой взыскания, незаконным изменением обязанностей или последующим наказанием.
Для обращения подойдет жалоба в трудовую инспекцию.
Приложите сообщение руководителя, скриншот запроса кода, локальные документы и собственный письменный ответ.
Если основная проблема связана с избыточным доступом работодателя к персональным данным, можно обратиться в Роскомнадзор через жалобу в Роскомнадзор.
Не нужно автоматически подавать одновременно жалобы во все возможные органы. Адресат зависит от нарушения: трудовая инспекция проверяет соблюдение трудового законодательства, Роскомнадзор - законодательство о персональных данных.
Как оспорить взыскание или увольнение в суде
Если за отказ передать учетные данные объявили замечание или выговор, работник может требовать признать взыскание незаконным.
Для большинства индивидуальных трудовых споров срок обращения в суд составляет три месяца со дня, когда сотрудник узнал или должен был узнать о нарушении.
Для спора об увольнении действует специальный срок - один месяц со дня вручения копии приказа об увольнении, выдачи трудовой книжки либо предоставления сведений о трудовой деятельности.
Досудебная претензия работодателю перед таким трудовым иском по общему правилу не обязательна.
Для суда можно использовать исковое заявление по трудовому спору.
Работник по требованиям, вытекающим из трудовых отношений, освобожден от государственной пошлины.
Если спор пока не дошел до суда, безопаснее всего заранее создать письменное доказательство: сотрудник готов выполнять работу через Госуслуги, но только самостоятельно и с надлежащими полномочиями, без передачи пароля и одноразовых кодов другим людям.
FAQ: работодатель требует пароль или код от Госуслуг
Обязан ли сотрудник дать директору пароль от Госуслуг для подачи рабочего документа?
Нет. Если документ подается от имени организации, сотруднику следует предоставить доступ к профилю организации и необходимые полномочия. Сам пароль от личной учетной записи передавать директору не требуется.
Можно ли назвать бухгалтеру код из СМС, если она только отправит отчет?
Это рискованно. Код может подтверждать вход или юридически значимое действие именно под учетной записью сотрудника. Правильнее, чтобы сотрудник вошел самостоятельно либо бухгалтер получила собственные полномочия.
Могут ли уволить за отказ передать пароль от Госуслуг?
Сам отказ раскрыть личные данные для входа не является самостоятельным основанием увольнения. Для дисциплинарной ответственности работодатель должен доказать виновное неисполнение законной трудовой обязанности.
Кто отвечает, если начальник вошел в Госуслуги сотрудника и подал заявление?
Это зависит от конкретного действия и доказательств. Система может связать операцию с учетной записью сотрудника, но юридическая ответственность не определяется только логином. Важны фактический исполнитель, полномочия, воля и содержание действия.
Что делать, если код работодателю уже сообщили?
Смените пароль, проверьте историю действий и отправленные заявления, сохраните переписку с работодателем. При обнаружении чужой операции сразу сообщите об этом органу или организации, куда был направлен документ.