Согласие на обработку персональных данных по Закону № 152-ФЗ: каким оно должно быть, что включить в письменную форму, как оформить согласие на распространение и рекламу, как его отзывают и что ждёт компанию без согласия.
Коротко
Согласие субъекта на обработку персональных данных — решение человека, принятое свободно, своей волей и в своём интересе; оно должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 Закона № 152-ФЗ). Форма — любая, позволяющая подтвердить получение, если федеральный закон не требует письменной, а сам документ оформляется отдельно от договора и других бумаг. Доказывает получение согласия или наличие иного основания обработки оператор (ч. 3 ст. 9 Закона № 152-ФЗ), а человек вправе его отозвать (ч. 2 ст. 9 Закона № 152-ФЗ).
Первые шаги компании, когда вопрос о согласии уже возник
ч. 2 ст. 9 Закона № 152-ФЗ
ч. 3 ст. 9 Закона № 152-ФЗ
ч. 12 ст. 10.1 Закона № 152-ФЗ
ч. 1, 2 ст. 15 Закона № 152-ФЗ
ч. 1, 4 ст. 9 Закона № 152-ФЗ
ч. 3, 4 ст. 16 Закона № 152-ФЗ
Дефекты формы и порядка получения согласия
Ситуации, где текст согласия решает исход спора
Кто даёт согласие, кто его получает и кто подписывает за человека
| Участник | Обязанность или право | Норма |
|---|---|---|
| Субъект персональных данных | Решает, предоставлять ли данные, и даёт согласие; вправе его отозвать | ч. 1, 2 ст. 9 Закона № 152-ФЗ |
| Оператор | Получает согласие, проверяет полномочия представителя и доказывает получение согласия | ч. 1, 3 ст. 9 Закона № 152-ФЗ |
| Представитель субъекта | Даёт согласие от имени человека; в письменном согласии указываются его данные и реквизиты доверенности | ч. 1, п. 2 ч. 4 ст. 9 Закона № 152-ФЗ |
| Законный представитель | Даёт согласие на обработку данных недееспособного субъекта | ч. 6 ст. 9 Закона № 152-ФЗ |
| Наследники | Дают согласие после смерти субъекта, если он не дал его при жизни | ч. 7 ст. 9 Закона № 152-ФЗ |
| Лицо, которому поручена обработка | Его наименование и адрес указываются в письменном согласии, если обработка будет ему поручена | п. 6 ч. 4 ст. 9 Закона № 152-ФЗ |
| Третье лицо, передающее данные | Может передать оператору данные о человеке, если подтвердит наличие оснований, названных в законе | ч. 8 ст. 9 Закона № 152-ФЗ |
| Роскомнадзор | Как уполномоченный орган по защите прав субъектов устанавливает требования к содержанию согласия на распространение; через его информационную систему такое согласие можно предоставить оператору | ч. 9 ст. 9 Закона № 152-ФЗ; п. 2 ч. 6 ст. 10.1 Закона № 152-ФЗ |
Какие качества закон требует от согласия и какие виды согласия бывают
Согласие — это решение самого человека о предоставлении его данных, принятое свободно, своей волей и в своём интересе. Закон требует, чтобы оно было конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 Закона № 152-ФЗ): человек должен понимать, кто, зачем и какие сведения о нём будет обрабатывать.
Форма согласия — любая, позволяющая подтвердить факт его получения, если федеральный закон не устанавливает иное. В случаях, предусмотренных федеральным законом, нужно согласие в письменной форме; ему равнозначен электронный документ, подписанный электронной подписью (ч. 1, 4 ст. 9 Закона № 152-ФЗ).
Кроме общего согласия, закон выделяет согласие на обработку данных, разрешённых для распространения, — его оформляют отдельно от иных согласий (ч. 1 ст. 10.1 Закона № 152-ФЗ), предварительное согласие на рекламные контакты (ч. 1 ст. 15 Закона № 152-ФЗ) и письменное согласие на решения на основании исключительно автоматизированной обработки персональных данных (ч. 2 ст. 16 Закона № 152-ФЗ).
Согласие — не единственное основание обработки: после его отзыва оператор вправе продолжить работу с данными только при наличии иных оснований, прямо перечисленных в законе (ч. 2 ст. 9 Закона № 152-ФЗ). Если такого основания нет, отзыв лишает компанию права обрабатывать данные по этому согласию.
Норма о бремени доказывания, на которой строится любой спор о согласии
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
Эта часть переворачивает привычную логику: не человек доказывает, что согласия не давал, а компания показывает, что получила его. Поэтому я оцениваю согласие не по тексту шаблона, а по тому, можно ли восстановить, кто, когда и в какой редакции его подписал. Хранение согласий и журналов — такая же часть соблюдения закона, как сама форма.
Статьи закона, на которых держится тема, — с названиями из официального текста
Официальный текст: О персональных данных
Типичные ситуации, с которыми приходят по согласию на обработку
Согласие клиента собирают в заявке или регистрации; спор возникает, когда оно спрятано в пользовательском соглашении (ч. 1 ст. 9 Закона № 152-ФЗ).
Кадровые сведения передают в банк или аутсорсеру; виновные в нарушениях с данными работника несут ответственность — от дисциплинарной до уголовной (ст. 90 ТК РФ).
Школы, секции, лагеря и вузы при поступлении берут согласие у представителя; в письменной форме указываются его данные и документ о полномочиях (п. 2 ч. 4 ст. 9 Закона № 152-ФЗ).
Решение о кредите принимает программа; без письменного согласия такое решение допустимо лишь в случаях, предусмотренных федеральными законами (ч. 2 ст. 16 Закона № 152-ФЗ).
Если медицинская организация обрабатывает данные на основании согласия пациента, его оформляют отдельным документом, а не строкой в договоре на услуги (ч. 1 ст. 9 Закона № 152-ФЗ).
Данные сотрудников или участников выкладывают на сайт; нужно отдельное согласие на распространение с запретами и условиями (ч. 1, 9 ст. 10.1 Закона № 152-ФЗ).
Абонент оспаривает рассылку, и оператор должен доказать предварительное согласие на прямые контакты (ч. 1 ст. 15 Закона № 152-ФЗ).
Компания получает базу контактов у третьего лица и должна иметь подтверждение оснований, названных в законе (ч. 8 ст. 9 Закона № 152-ФЗ).
Что прямо следует из норм о согласии для компании и её работников
| Нарушение | Кто отвечает | Санкция | Норма |
|---|---|---|---|
| Нет доказательства полученного согласия | Оператор | Обязанность доказать согласие или иное основание остаётся на операторе | ч. 3 ст. 9 Закона № 152-ФЗ |
| Рекламные контакты без доказанного предварительного согласия | Оператор | Обработка признаётся проведённой без согласия; по требованию её прекращают немедленно | ч. 1, 2 ст. 15 Закона № 152-ФЗ |
| Передача данных, разрешённых для распространения, с нарушением правил | Любое лицо, обрабатывающее эти данные | Прекращение передачи в течение трех рабочих дней с момента получения требования или в срок из вступившего в силу решения суда | ч. 14 ст. 10.1 Закона № 152-ФЗ |
| Нарушение правил обработки данных работника | Лица, виновные в нарушении | Дисциплинарная и материальная — по ТК и иным федеральным законам; гражданско-правовая, административная и уголовная — по федеральным законам | ч. 1 ст. 90 ТК РФ |
| Незаконные сбор, хранение или передача компьютерной информации с персональными данными, полученной незаконным путём | Физическое лицо | Штраф до трехсот тысяч рублей, принудительные работы или лишение свободы | ч. 1 ст. 272.1 УК РФ |
Руководители и работники организаций, совершившие административное правонарушение в связи с выполнением организационно-распорядительных или административно-хозяйственных функций, а также предприниматели без образования юридического лица, если КоАП не установлено иное, отвечают как должностные лица (примечание к ст. 2.4 КоАП РФ).
адвокат · рег. № 78/8790
Согласие на обработку персональных данных компании часто скачивают готовым образцом и считают вопрос закрытым. Проверяю я его иначе: совпадает ли цель в тексте с тем, что компания реально делает с данными, перечислены ли действия и подрядчики, указан ли срок и способ отзыва. Расхождение между бумагой и практикой обнаруживается при первом же запросе.
Второе, на что смотрю, — отделено ли согласие от договора и оферты. Закон требует отдельного оформления, и пункт в середине условий обслуживания этого требования не выполняет. Для публикации данных и рекламных звонков готовлю самостоятельные согласия: у них свои правила и свои последствия.
Если спор уже начался, первым делом восстанавливаю цепочку доказательств: кто подписал, в какой редакции формы, через какой канал, где хранится подтверждение. Без этого позиция компании держится только на словах, а доказывать согласие закон обязывает именно оператора. Абитуриенту, пациенту или покупателю должно быть понятно, на что именно он соглашается.
Шаги оператора от выбора основания до хранения доказательств
Что подписывает человек и что хранит оператор
| Документ | Зачем | Кто подписывает, форма |
|---|---|---|
| Письменное согласие на обработку персональных данных | Основание обработки в случаях, когда федеральный закон требует письменной формы (ч. 4 ст. 9 Закона № 152-ФЗ) | Субъект собственноручно или электронной подписью; с обязательными сведениями (ч. 4 ст. 9 Закона № 152-ФЗ) |
| Документ о полномочиях представителя | Подтверждает право подписать согласие за человека (ч. 1 ст. 9 Закона № 152-ФЗ) | Доверенность или иной документ; реквизиты вносятся в согласие (п. 2 ч. 4 ст. 9 Закона № 152-ФЗ) |
| Согласие на распространение | Разрешение раскрывать данные неограниченному кругу лиц с запретами и условиями (ч. 1, 9 ст. 10.1 Закона № 152-ФЗ) | Субъект — оператору напрямую или через информационную систему Роскомнадзора (ч. 6 ст. 10.1 Закона № 152-ФЗ) |
| Согласие на решение на основании исключительно автоматизированной обработки персональных данных | Без него решение исключительно по автоматизированной обработке допустимо лишь в случаях, предусмотренных федеральными законами (ч. 2 ст. 16 Закона № 152-ФЗ) | Субъект, в письменной форме (ч. 2 ст. 16 Закона № 152-ФЗ) |
| Требование прекратить распространение | Прекращает действие согласия на распространение с момента поступления оператору (ч. 13 ст. 10.1 Закона № 152-ФЗ) | Субъект; с фамилией, именем, отчеством, контактами и перечнем данных (ч. 12 ст. 10.1 Закона № 152-ФЗ) |
Рабочие и календарные дни отсчитываются от разных событий
| Действие | Срок | С какого дня | Норма |
|---|---|---|---|
| Опубликовать условия и запреты по согласию на распространение | Не позднее трех рабочих дней | С момента получения согласия | ч. 10 ст. 10.1 Закона № 152-ФЗ |
| Прекратить передачу данных, разрешённых для распространения | В течение трех рабочих дней или в срок из вступившего в силу решения суда (не указан — три рабочих дня со вступления в силу) | С момента получения требования субъекта | ч. 14 ст. 10.1 Закона № 152-ФЗ |
| Прекратить обработку для рекламных контактов | Немедленно | По требованию субъекта | ч. 2 ст. 15 Закона № 152-ФЗ |
| Рассмотреть возражение против автоматизированного решения | В течение тридцати дней | Со дня получения возражения | ч. 4 ст. 16 Закона № 152-ФЗ |
| Давность административной ответственности за нарушения в области персональных данных | Постановление выносится не позднее одного года | Со дня совершения, при длящемся — со дня обнаружения | ч. 1, 2 ст. 4.5 КоАП РФ |
| Заявление в арбитражный суд об оспаривании акта, решения или действия органа | Три месяца, если федеральным законом не установлено иное; пропуск по уважительной причине суд может восстановить | Со дня, когда компании стало известно о нарушении её прав | ч. 4 ст. 198 АПК РФ |
Как адвокат ведёт поручение компании
№ 78/8790 · адвокат · в профессии с 2006 года
Я веду поручение лично. При обращении разбираю задачу, необходимые действия и объём помощи, который закрепляю в соглашении.
Сведения, полученные в связи с обращением за юридической помощью, охраняются адвокатской тайной.
Вопросы компаний и граждан о согласии — ответы по статьям закона
Конкретным, предметным, информированным, сознательным и однозначным; человек даёт его свободно, своей волей и в своём интересе, а оформляется оно отдельно от других документов (ч. 1 ст. 9 Закона № 152-ФЗ).
Только в случаях, предусмотренных федеральным законом; в остальных подходит любая форма, позволяющая подтвердить получение. Письменному согласию равнозначен электронный документ с электронной подписью (ч. 1, 4 ст. 9 Закона № 152-ФЗ).
Указать фамилию, имя, отчество, адрес человека, номер документа, удостоверяющего личность, дату его выдачи и выдавший орган; при подписании представителем — его данные и реквизиты доверенности; данные оператора, цель обработки, перечень данных, лицо, которому поручена обработка, перечень действий, срок действия и способ отзыва, поставить подпись (ч. 4 ст. 9 Закона № 152-ФЗ).
Согласие может быть отозвано субъектом (ч. 2 ст. 9 Закона № 152-ФЗ); способ отзыва указывается в письменном согласии, если иное не установлено федеральным законом (п. 8 ч. 4 ст. 9 Закона № 152-ФЗ). После отзыва оператор продолжает обработку только при иных основаниях, названных в законе.
Да, если у оператора есть иное основание из перечисленных в законе; доказать его наличие обязан оператор (ч. 3 ст. 9 Закона № 152-ФЗ).
Если согласие за ребёнка даёт родитель как его представитель, оператор проверяет его полномочия (ч. 1 ст. 9 Закона № 152-ФЗ), а в письменной форме указываются фамилия, имя, отчество, адрес, документ представителя и реквизиты документа о полномочиях (п. 2 ч. 4 ст. 9 Закона № 152-ФЗ). За недееспособного согласие даёт законный представитель (ч. 6 ст. 9 Закона № 152-ФЗ).
Если обработка идёт по согласию, согласие сотрудника оформляется отдельно от трудового договора и других документов, которые он подписывает (ч. 1 ст. 9 Закона № 152-ФЗ). За нарушения при обработке данных работника виновные несут дисциплинарную и материальную, а также гражданско-правовую, административную и уголовную ответственность (ст. 90 ТК РФ).
Срок, в течение которого действует согласие, и способ его отзыва указываются в письменном согласии, если иное не установлено федеральным законом (п. 8 ч. 4 ст. 9 Закона № 152-ФЗ).
Это отдельное согласие на раскрытие данных неограниченному кругу лиц; в нём человек вправе установить запреты и условия, а молчание согласием не считается (ч. 1, 8, 9 ст. 10.1 Закона № 152-ФЗ).
Нет: согласие оформляется отдельно от иных информации и документов, которые подписывает субъект (ч. 1 ст. 9 Закона № 152-ФЗ).
Решение, порождающее юридические последствия, принимается на основании исключительно автоматизированной обработки персональных данных только при письменном согласии или в случаях, предусмотренных федеральными законами (ч. 2 ст. 16 Закона № 152-ФЗ).
Сама фраза не делает согласие конкретным и информированным: из документа должно быть видно, какие данные, для какой цели и кому человек передаёт (ч. 1 ст. 9 Закона № 152-ФЗ).
Где нужна помощь адвоката и что прочитать дальше по этому вопросу