Согласие на обработку персональных данных: когда нужно и как отозвать
Согласие на обработку персональных данных — самый переоценённый документ в российской практике. Его суют везде, где только можно, хотя закон не всегда его требует. А иногда, наоборот, без него нельзя, и тогда одна ошибка в формулировке делает обработку незаконной.
Разберу, когда согласие действительно нужно, что в нём должно быть и как его отозвать.
Когда согласие нужно, а когда нет
Главная ошибка — думать, что согласие нужно всегда. Это не так. Согласие — лишь одно из правовых оснований обработки.
Обрабатывать персональные данные можно, если есть основание из ст. 6 152-ФЗ: согласие, договор с субъектом, требование закона, жизненно важные интересы и другие.
На практике чаще всего работают три случая.
Договор. Вы заключили договор с человеком, и обработка данных нужна для его исполнения. Согласие отдельно не требуется. Например, доставка заказа по адресу.
Закон. Есть норма, прямо обязывающая обрабатывать данные. Например, работодатель обрабатывает данные работника по Трудовому кодексу, а не потому, что сотрудник подписал согласие.
Согласие. Когда ни договора, ни закона нет, а обработать нужно. Классика — рассылка рекламы, передача данных партнёрам, публикация фото.
Согласие даётся свободно, своей волей и в своём интересе — это прямо написано в ч. 1 ст. 9 152-ФЗ. Поэтому галочка «согласен» не может быть обязательным условием там, где согласие не требуется по закону. И согласие, данное «под давлением», юридически шаткое.
Что должно быть в согласии
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным — так прямо сказано в ст. 9 152-ФЗ. Это не пустые слова — суды отменяют обработку, когда согласие размытое.
Для согласия на распространение данных Роскомнадзор утвердил требования приказом от 24.02.2021 № 18. Действуют они с 1 сентября 2021 года до 1 сентября 2027 года.
В таком согласии должны быть:
- ФИО субъекта;
- контакт — телефон, email или почтовый адрес;
- сведения об операторе — организации или ИП;
- информационные ресурсы, через которые данные будут доступны неограниченному кругу лиц;
- цель или цели обработки;
- категории и перечень данных, на которые даётся согласие;
- специальные категории: раса, национальность, политические взгляды, религиозные и философские убеждения, здоровье, интимная жизнь, судимость;
- биометрические данные;
- условия и запреты на использование;
- срок действия согласия.
Отдельная тонкость — согласие на распространение. Это когда данные делают доступными неограниченному кругу лиц, например публикуют на сайте. Тут нужно отдельное согласие, и в нём человек сам отмечает, что именно разрешает публиковать.
Как отозвать согласие
Субъект вправе отозвать согласие в любой момент. Написал заявление — оператор обязан прекратить обработку.
Отзыв не ретроактивен: данные, обработанные до отзыва, законны. Но дальше — стоп. Если другого основания нет, обработку прекращают, а данные при необходимости уничтожают.
Для бизнеса это значит: не стройте процессы, где отзыв согласия ломает всё. Удобнее опираться на договор или закон, где это возможно.
Согласие ребёнка
Согласие за несовершеннолетнего даёт законный представитель — родитель или опекун.
Отдельная боль — согласие на обработку данных ребёнка в школах и секциях. Там согласие родителей собирают массово, и часто с нарушениями: без перечня данных, без целей, без срока. Шаблон «на всё и навсегда» — это не согласие, а повод для претензий.
Коротко
Согласие — инструмент, а не ритуал. Нужно оно не всегда, должно быть конкретным, и его можно отозвать. Проверьте свои согласия: если там нет целей, перечня данных и срока — переделайте.
Скачайте рабочий шаблон согласия на обработку персональных данных — он закрывает обязательные пункты, останется только подставить свои реквизиты.
Частые вопросы
Можно ли обрабатывать данные без согласия? Да, если есть другое основание: договор, закон, жизненно важные интересы.
Согласие обязательно должно быть письменным? Для общих категорий закон допускает и иные формы, позволяющие подтвердить факт получения. Для биометрии и спецкатегорий требования жёстче.
Что будет, если обрабатывать без согласия? Штраф по ст. 13.11 КоАП. Суммы зависят от состава.
Согласие сотрудника на обработку данных — обязательно? Не всегда. Работодатель во многом опирается на Трудовой кодекс. Подробнее в статье про данные работников.
Можно ли взять согласие задним числом? Нет. Обработка без основания до получения согласия — уже нарушение.
Не является юридической консультацией. Проверяйте актуальную редакцию 152-ФЗ.
Связанные статьи
Не является юридической консультацией. Проверяйте актуальную редакцию 152-ФЗ.