Работодатель требует оформить КЭП?

Письменная консультация

1. Должно ли быть дополнительное соглашение к трудовому договору?Да, с точки зрения строгого соблюдения Трудового кодекса РФ — должно. Согласно ст. 22.2 ТК РФ, переход на взаимодействие с работодателем посредством электронного документооборота осуществляется исключительно с письменного согласия работника. Если вы не давали такого согласия ранее (например, при приеме на работу), работодатель обязан был уведомить вас о переходе и получить вашу подпись под согласием.Более того, использование вами личной или корпоративной электронной подписи для выполнения трудовых обязанностей является существенным изменением условий труда (способа подписания документов). Согласно ст. 72 ТК РФ, изменение определенных сторонами условий трудового договора допускается только по соглашению сторон, которое оформляется в письменной форме. Работодатель неправ, утверждая, что допсоглашение «не должно быть». Оно фиксирует: Ваше согласие на ЭДО.Порядок ознакомления вас с документами.Вашу обязанность использовать КЭП для отгрузочных документов.Отсутствие допсоглашения сейчас выгодно вам: если возникнет спор о том, почему документ не был подписан вовремя, отсутствие вашего юридически оформленного согласия на ЭДО будет сильным аргументом в суде.2. Причастен ли работодатель к хранению ваших КЭП?Здесь важно разделить два понятия: саму электронную подпись (ключ) и доступ к ней.Как это устроено технически: С 2022 года правила изменились. Работники коммерческих организаций получают сертификаты квалифицированной электронной подписи (КЭП) не в самом удостоверяющем центре работодателя, а в Удостоверяющем центре Федеральной налоговой службы (ФНС) или у ее доверенных лиц (Сбербанк, ВТБ, Тинькофф и др.). Роль работодателя: Он выступает посредником (доверенным лицом), который помогает вам записаться в ФНС, собирает документы и оплачивает услуги (если применимо). Где хранится ключ: По закону, закрытый ключ (тот самый файл, которым вы «подписываете») должен генерироваться и храниться на защищенном носителе — токене (похож на флешку). Этот токен выдается лично вам в руки.Ответственность за хранение: Юридическая ответственность: Согласно ФЗ-63 «Об электронной подписи», именно владелец сертификата (вы) несет обязанность по обеспечению конфиденциальности ключа. Если кто-то подпишет вашим ключом фальшивую накладную, пока он лежал у вас на столе, отвечать будете вы. Работодатель не имеет права брать ваш токен себе в сейф, но он может прописать во внутренних правилах необходимость его хранения в шкафчике раздевалки.Фактическая роль работодателя: Тот факт, что работодатель требует скан паспорта через неделю после начала работы по ЭДО, говорит о том, что процесс оформления запущен массово и, возможно, с нарушениями регламентов ФНС. Сама цифровая запись о вашем сертификате действительно хранится в базе данных удостоверяющего центра (государственном ресурсе), но этот ресурс содержит только открытый ключ (которым проверяют подпись). Ваш закрытый ключ (пароль/токен) физически находится либо у вас, либо в компьютере, к которому подключен ваш токен.3. Вопрос утечки и правомерность требования скана паспортаВаше беспокойство обосновано. Требование скинуть скан паспорта с фото на рабочую почту или мессенджер — это грубое нарушение правил обработки персональных данных (ФЗ-152).Паспортные данные нужны сотруднику удостоверяющего центра (ФНС) для идентификации личности. Вы должны предъявить оригинал лично.Если работодатель сам оформляет вам подпись как «сервис» от компании, он действует по доверенности. Но даже в этом случае передача скана паспорта по открытым каналам связи (почта) небезопасна.Что касается доступа работодателя к вашей подписи: Технически работодатель (администратор ИТ) никак не может «украсть» ваш закрытый ключ из государственной базы, так как его там нет. Утечка возможна только двумя путями: Кто-то скопирует файл ключа с вашего рабочего компьютера, если политика безопасности позволяет сохранять ключи в реестре ПК (это грубая ошибка настройки ЭДО, ключи должны работать только с токена).Кто-то получит физический доступ к вашему токену и узнает PIN-код (потому что вы его записали на бумажке под клавиатурой или передали коллеге).Резюме и рекомендацииНе передавайте скан паспорта. Откажитесь отправлять скан по почте со ссылкой на риск утечки персональных данных. Сообщите, что готовы предоставить оригинал ответственному лицу (безопаснику или бухгалтеру) для личного визита в отделение ФНС/сбера, либо требуйте официальный запрос через канцелярию.Требуйте локальный нормативный акт (ЛНА). Ссылка работодателя на то, что допсоглашение не нужно, незаконна. Потребуйте ознакомить вас с Приказом о введении ЭДО и Положением об электронном документообороте. В этих документах должно быть четко прописано, где вы обязаны хранить токен (носитель с подписью) и кто отвечает за настройку компьютеров.Настаивайте на выдаче токена. Убедитесь, что ваша подпись выпускается на аппаратном ключе (Рутокен/LiteTouch), который выдается вам в руки. Если работодатель просит создать «облачную подпись» без физического носителя — риски компрометации возрастают многократно, так как пароль будет приходить вам на телефон, а серверы могут быть уязвимы.Зафиксируйте игнорирование вопросов. Сохраняйте копии писем в отдел безопасности, где вы спрашиваете о месте хранения ключей. В случае инцидента (утечки) эта переписка снимет с вас вину за ненадлежащую сохранность ключа.

С переходом на новые стандарты электронного документооборота сотрудники больше не используют сертификаты с реквизитами компании. Вы будете подписывать отгрузочные накладные исключительно личной КЭП физического лица, которая применяется в связке с машиночитаемой доверенностью (МЧД), выпущенной работодателем. Работодатель в этой схеме — лишь инициатор и плательщик, компенсирующий расходы на выпуск подписи в аккредитованном удостоверяющем центре. Ваша КЭП не хранится на абстрактных «госресурсах» или серверах работодателя. Закрытый ключ генерируется на защищенном физическом аппаратном носителе (USB-токене), работающем через специализированное программное обеспечение (например, КриптоПро). Доступ к нему открывается только через ваш личный ПИН-код. Работодатель не имеет к нему никакого отношения. Согласно ч. 1 Ст. 10 ФЗ № 63 «Об электронной подписи», передача токена или ПИН-кода руководителю, коллегам или системному администратору прямо запрещена законом. За каждый документ, подписанный вашей КЭП, юридическую и материальную ответственность несете лично вы. Обеспечение сотрудника КЭП для выполнения прямых должностных обязанностей (подписание накладных) — это выдача современного инструмента труда, а не изменение трудовой функции. Отдельное дополнительное соглашение к трудовому договору не требуется. Однако работодатель обязан издать внутренний приказ о переходе на ЭДО и получить от вас письменное согласие на обработку персональных данных (скан паспорта необходим удостоверяющему центру для идентификации вашей личности по закону). Передайте скан паспорта — без него удостоверяющий центр не выпустит сертификат. Получив USB-токен на руки, немедленно подключите его к компьютеру и измените стандартный заводской ПИН-код на свой личный. Храните токен при себе. Никогда не оставляйте его торчащим в рабочем компьютере, уходя на перерыв. ​Если работодатель потребует сдать токен в сейф компании или сообщить ПИН-код — это грубейшее нарушение ФЗ № 63. В таком случае вы обязаны немедленно обратиться в удостоверяющий центр с заявлением об отзыве сертификата в связи с угрозой компрометации.

Здравствуйте!

В соответствии с Федеральным законом от 06.04.2011 № 63‑ФЗ «Об электронной подписи» работодатель не является хранителем закрытого ключа КЭП: ключ формируется и размещается либо на персональном токене, либо в облачной инфраструктуре удостоверяющего центра, доступ к нему имеет только владелец подписи. При этом обязанность использовать КЭП в рамках трудовых функций подлежит закреплению в локальных нормативных актах либо в трудовом договоре; отдельное дополнительное соглашение к трудовому договору для выпуска сертификата не требуется, однако работодатель обязан получить письменное согласие работника на обработку персональных данных (в т. Ч. На передачу скана паспорта в удостоверяющий центр). Риски компрометации КЭП минимизируются соблюдением правил хранения токена и недопущением передачи средств аутентификации третьим лицам.

Готов оказать дальнейшее правовое сопровождение в удалённом формате — в том числе подготовить мотивированные запросы работодателю, правовую позицию по вопросам ЭДО и КЭП, проекты локальных документов и согласий, а также провести анализ действующих внутренних регламентов на соответствие законодательству.

С уважением, Александр.

Да, требование работодателя неправомерно в части передачи ключа, но оформление КЭП за счет работодателя — законно.

Дополнительное соглашение: Оформление ЭП — это изменение условий труда. Согласно ч. 12 Ст. 22.2 ТК РФ, если у вас нет своей КЭП, работодатель обязан компенсировать расходы на ее получение, а порядок и сроки фиксируются в допсоглашении к трудовому договору. Без письменного согласия работника требовать оформления подписи нельзя.

Передача КЭП и хранение: КЭП приравнена к собственноручной подписи (ст. 6 Закона № 63-ФЗ). Работодатель не вправе требовать передачи ему ключа или токена — это запрещено, а ответственность за действия, совершенные чужой подписью, ложится на вас. Сертификат хранится у владельца (на токене или в личном кабинете), работодатель не имеет к нему доступа.

Что делать: Подайте письменный запрос работодателю с требованием указать нормативный акт, обязывающий вас передать КЭП. При отказе — жалоба в ГИТ или прокуратуру. КЭП не передавайте.

Бойтесь всего, это Ваше право!)))