Согласие на обработку персональных данных

Согласие — не единственное основание обработки. Часть 1 статьи 6 закона 152-ФЗ перечисляет случаи, когда обрабатывать данные можно и без него: для исполнения договора, стороной которого является сам субъект; для исполнения обязанностей, возложенных на оператора законом; для защиты жизни и здоровья, когда получить согласие невозможно.

Согласие требуется там, где эти основания не работают:

• рассылка рекламных и информационных сообщений;
• публикация фотографий и отзывов клиентов на сайте и в соцсетях;
• передача данных третьим лицам, если она не следует из договора;
• обработка специальных категорий данных — о состоянии здоровья, национальности, религиозных убеждениях, судимости;
• обработка биометрических персональных данных.

Отсутствие основания — самостоятельное нарушение. Даже если данные собраны аккуратно и хранятся защищённо, обработка без основания остаётся незаконной.

Требования к содержанию перечислены в ч. 4 ст. 9 закона 152-ФЗ. Согласие должно включать девять обязательных элементов.

Отсутствие любого из этих элементов делает согласие уязвимым: при проверке Роскомнадзор может признать его несоответствующим закону, а обработку — не имеющей основания.

При проверке Роскомнадзор в первую очередь смотрит на пять типичных дефектов формулировок.

• Размытая цель. Формулировки вида «для целей, связанных с деятельностью компании» не отвечают требованию конкретности. Цель должна быть понятна субъекту: заключение и исполнение договора, кадровый учёт, информирование о новых курсах.
• Избыточный перечень данных. Закон требует, чтобы объём данных соответствовал целям обработки (ст. 5). Если в перечень включены паспортные данные, а для цели достаточно имени и телефона, это избыточность.
• Одно согласие на всё сразу. Обработка данных для исполнения договора и рассылка рекламы — разные цели. Объединять их в один чекбокс нельзя: человек должен иметь возможность согласиться на одно и отказаться от другого.
• Предзаполненный чекбокс на сайте. Согласие должно быть конкретным и осознанным. Галочка, проставленная заранее, этому требованию не отвечает.
• Нет способа отзыва. Пункт 7 ч. 4 ст. 9 требует указать не только срок действия согласия, но и порядок его отзыва.

Право отозвать согласие в любой момент закреплено в ч. 2 ст. 9 закона 152-ФЗ. Отзыв оформляется в том же порядке, который указан в самом согласии — обычно письменным заявлением на адрес оператора.

После отзыва оператор обязан прекратить обработку. Исключение — случаи, когда у него остаётся другое основание: например, данные нужны для исполнения действующего договора или их хранение предписано законом. Тогда обработка продолжается в объёме этого основания, а не в объёме отозванного согласия.

Сроки прекращения обработки и уничтожения данных установлены ст. 21 закона 152-ФЗ. Организации стоит заранее описать процедуру во внутренней инструкции и вести журнал учёта обращений субъектов — иначе отследить срок ответа на практике не получается.

На сайте согласие обычно оформляется чекбоксом рядом с формой. Полный текст при этом выносится на отдельную страницу, а рядом с чекбоксом остаётся короткая формулировка со ссылкой на неё.

Что важно учесть:

• чекбокс не должен быть отмечен по умолчанию;
• отдельный чекбокс — для рекламной рассылки, отдельный — для обработки данных по основной цели формы;
• факт согласия нужно фиксировать: дата, время, версия текста, на который человек соглашался. Без этого оператор не сможет доказать, что согласие вообще было получено;
• текст согласия на сайте и политика обработки ПДн — разные документы. Политика описывает обработку в целом и публикуется для всех, согласие фиксирует волю конкретного человека.