Согласие на обработку ПДн несовершеннолетнего

Гражданский кодекс РФ разделяет несовершеннолетних на две группы: малолетние до 14 лет, за которых сделки совершают законные представители, и несовершеннолетние от 14 до 18 лет, которые уже вправе самостоятельно совершать часть сделок, а остальные — с письменного согласия своих законных представителей (ст. 26 ГК РФ).

Закон 152-ФЗ не содержит отдельной статьи о возрасте согласия на обработку персональных данных — он говорит о субъекте данных и его законном представителе в общих чертах. На практике операторы ориентируются на общий статус дееспособности:

Операторы, работающие с подростками, вправе строить процедуру согласия одним из двух способов: получать согласие самого несовершеннолетнего с письменного согласия родителя, либо получать согласие от родителя как законного представителя — как за малолетнего ребёнка. Второй вариант проще для оператора, но менее точно отражает реальный объём дееспособности подростка. Выбор конкретной модели — вопрос внутренней политики организации, а не жёсткого требования закона; стоит зафиксировать её письменно и придерживаться единообразно.

Наиболее устойчивый к оспариванию вариант — двойное согласие: подросток подписывает документ как субъект персональных данных, родитель или иной законный представитель ставит подпись, подтверждающую письменное согласие на совершение этого действия, по аналогии с порядком совершения сделок несовершеннолетними.

В такой форме согласия должны быть указаны:

• ФИО и дата рождения несовершеннолетнего, реквизиты его документа, удостоверяющего личность, — паспорта, если он уже получен;
• ФИО, паспортные данные законного представителя и указание на то, что он даёт согласие на совершение подростком этого действия;
• наименование и адрес оператора, конкретная цель обработки, перечень данных и действий с ними;
• срок действия согласия и порядок отзыва;
• две подписи — несовершеннолетнего и законного представителя.

Эта форма особенно уместна там, где подросток сам активно взаимодействует с оператором: регистрируется на онлайн-курс, оформляет подработку, записывается на кружок самостоятельно, а родитель подключается на этапе оплаты или зачисления.

Если подросток фактически не участвует в оформлении отношений с оператором — например, данные собирает образовательная организация при зачислении, а сам процесс ведёт родитель, — допустимо оформить согласие так же, как за малолетнего ребёнка, с указанием сведений о законном представителе по п. 2 ч. 4 ст. 9 закона 152-ФЗ, без отдельной подписи подростка.

Такой упрощённый вариант снижает риски только в одном отношении — административном: меньше документов, меньше точек, где можно ошибиться в оформлении. Но он не учитывает частичную дееспособность подростка и хуже защищает оператора там, где подросток впоследствии сам оспаривает объём обработки — например, публикацию своих данных в открытых источниках.

Организациям, которые работают преимущественно с подростками старшего школьного возраста — 16-17 лет, — стоит склоняться к двойному согласию: разница в трудозатратах небольшая, а устойчивость документа выше.

Отдельного внимания требуют ситуации, где несовершеннолетний действует как самостоятельный субъект отношений:

• трудоустройство подростка. С 14 лет допускается заключение трудового договора с письменного согласия одного из родителей и органа опеки в установленных законом случаях; обработка персональных данных такого работника ведётся по правилам главы 14 Трудового кодекса РФ, а согласие на использование данных за пределами трудовых целей оформляется как у взрослого работника, но с учётом статуса несовершеннолетнего;
• публикация в соцсетях и на сайте. Публикация фото и материалов о подростке требует согласия на охрану изображения по ст. 152.1 ГК РФ; подросток старше 14 лет способен сам осознанно выразить эту волю, но операторы часто дополнительно запрашивают согласие родителя — это разумная перестраховка, а не требование закона;
• онлайн-сервисы и регистрация на платформах. Если подросток регистрируется самостоятельно, сервису стоит предусмотреть механизм подтверждения возраста и, где это применимо, привязку согласия к законному представителю.

Право отозвать согласие в любой момент, закреплённое ч. 2 ст. 9 закона 152-ФЗ, принадлежит субъекту персональных данных — то есть самому несовершеннолетнему, если согласие было дано в форме двойной подписи. Родитель, участвовавший в оформлении, также вправе отозвать своё согласие на совершение этого действия подростком, что на практике равносильно отзыву всего документа.

Если согласие оформлялось только законным представителем, без подписи подростка, отозвать его вправе представитель — как и в случае с малолетним ребёнком. Оператору стоит заранее прописать в тексте согласия, кому именно направлять заявление об отзыве, чтобы не возникало споров, вправе ли подросток отозвать документ, который сам не подписывал.

После отзыва действуют общие правила прекращения обработки и уничтожения данных по ст. 21 закона 152-ФЗ — если у оператора не остаётся иного законного основания для их хранения.