Какие персональные данные разрешено обрабатывать

Чтобы определить, какие персональные данные обрабатывают правомерно, сначала нужно назвать задачу, ради которой они понадобились. Для каждой организации допустимый состав сведений зависит от цели обработки. Каждое сведение должно быть связано с конкретной, заранее определённой и законной целью. Включайте в обработку только необходимые для этой цели данные: название документа или желание организации собрать больше информации о человеке не оправдывают сбор лишних сведений. Ответ начинается с объяснения, зачем нужны сведения и какую роль они играют в этой задаче.

Например, организация ссылается на исполнение договора. Тогда нужно сопоставить запрашиваемые сведения с тем, что требуется для выполнения именно этого договора. Пункт 5 части 1 ст. 6 152-ФЗ допускает такую обработку, когда человек выступает стороной, выгодоприобретателем или поручителем. Основание также охватывает заключение договора по инициативе человека и договор, по которому он станет выгодоприобретателем либо поручителем. Но ссылка на договор не объясняет необходимость любого объёма информации: ограничение избыточности из ст. 5 сохраняется.

Согласие человека — другое основание, предусмотренное п. 1 ч. 1 ст. 6 152-ФЗ. Его нельзя воспринимать как разрешение на сбор любых сведений без определённой задачи. Если цель сформулирована, содержание и объём данных должны ей соответствовать. Если сведения собирали для одной цели, их нельзя обрабатывать способом, несовместимым с этой целью. Даже согласие на обработку не заменяет ответа на вопрос, почему организации нужен каждый элемент запрашиваемой информации.

Обработка без согласия не всегда означает нарушение. Статья 6 152-ФЗ предусматривает и другие основания. Среди них — выполнение обязанностей, возложенных законом, участие человека в судопроизводстве и исполнение судебного акта. Отдельно названа защита жизни, здоровья или иных жизненно важных интересов, когда получить согласие невозможно. Для каждого такого основания существенны условия соответствующего пункта. Нельзя просто сослаться на существование законных оснований вообще: нужно объяснить, какое из них подходит к конкретной обработке и почему сведения необходимы для указанной задачи.

Есть основания с дополнительными ограничениями. По п. 7 ч. 1 ст. 6 152-ФЗ права и законные интересы оператора или других лиц, а также общественно значимые цели допускают необходимую обработку при соблюдении прав и свобод человека. Оператор здесь — тот, кто организует обработку данных. Для журналистской и творческой деятельности п. 8 также предусматривает условие о правах человека. Для статистических и иных исследовательских целей п. 9 требует обязательного обезличивания, то есть исключения связи сведений с определяемым человеком, с оговорённым в норме исключением.

Требования относятся не только к первоначальному сбору. По ст. 5 152-ФЗ сведения должны быть точными и достаточными, а когда это нужно для цели — актуальными. Неполные или неточные данные нужно удалять либо уточнять, принимая необходимые меры самостоятельно или обеспечивая их принятие. Объединять базы, предназначенные для несовместимых целей, нельзя. Прежде чем сводить несколько массивов информации об одном человеке для новой задачи, проверьте совместимость целей обработки и соответствие сведений этой задаче.

Хранение тоже связано с целью. Часть 7 ст. 5 152-ФЗ ограничивает период, в течение которого можно сохранять данные в форме, позволяющей определить человека: он не должен превышать необходимого для обработки. Исключение предусмотрено для срока, установленного федеральным законом или указанным в норме договором. Когда цель достигнута либо необходимость в ней утрачена, сведения подлежат уничтожению или обезличиванию, если федеральный закон не предусматривает иного. Обоснованность первоначального сбора не даёт права хранить сведения бессрочно.

Если обработку передают другому лицу, её объём также нужно определить. По ч. 3 ст. 6 152-ФЗ поручение должно закреплять перечень данных, операции с ними и цели, а также обязанности по конфиденциальности и безопасности. По общему правилу для поручения нужно согласие человека, если федеральный закон не устанавливает иного. Исполнитель поручения не обязан получать отдельное согласие на обработку по ч. 4 этой статьи. Ответственность оператора перед человеком при передаче обработки сохраняется в соответствии с ч. 5.

Наконец, ч. 2 ст. 6 152-ФЗ отдельно выделяет специальные категории и биометрические данные. При их обработке нужно учитывать особенности, предусмотренные статьями 10 и 11 152-ФЗ. При оценке обычного запроса сведений полезно последовательно установить цель, подходящее основание и необходимый состав. Если организация может назвать основание, но не объясняет связь отдельных сведений с целью, вопрос об избыточности по ст. 5 остаётся. Именно связь с целью определяет допустимые границы обработки.