Нужно ли согласие на обработку персональных данных

Сначала нужно выяснить, кто и для чего собирается использовать сведения о человеке. Оператор — тот, кто организует обработку персональных данных. Субъект персональных данных — сам человек, которого эти сведения касаются. Для ответа на вопрос о согласии недостаточно увидеть анкету или просьбу поставить подпись. Нужно сопоставить цель обработки с основаниями из ст. 6 152-ФЗ. Попросите оператора объяснить, для чего нужны сведения из бланка.

Согласие требуется, если оператор опирается на разрешение человека и не имеет другого подходящего основания для обработки. В п. 1 ч. 1 ст. 6 152-ФЗ это самостоятельный случай допустимого использования сведений. Однако закон не сводит все отношения к получению подписи. Утверждение, что любое действие с персональными данными обязательно требует согласия, слишком широко: в той же статье предусмотрены другие основания.

Например, п. 5 ч. 1 ст. 6 152-ФЗ разрешает обработку, необходимую для исполнения договора с человеком. Основание также охватывает заключение договора по его инициативе. В норме названы и случаи, когда человек выступает выгодоприобретателем или поручителем. Здесь решающее значение имеет связь обработки с договором. Само наличие договорных отношений не объясняет использование любых сведений для любых целей: оператору нужно обосновать именно необходимость конкретной обработки.

Другое основание связано с выполнением обязанностей, возложенных законодательством на оператора, и достижением предусмотренных законом целей. Оно закреплено в п. 2 ч. 1 ст. 6 152-ФЗ. Если обработка необходима для такой обязанности, отсутствие согласия не отменяет её автоматически. Но ссылка только на собственные правила организации не заменяет предусмотренного законом основания. Нужно установить, какую именно обязанность исполняет оператор и почему для неё нужны эти сведения.

В отдельных ситуациях получить разрешение невозможно. Пункт 6 ч. 1 ст. 6 152-ФЗ допускает использование сведений для защиты жизни, здоровья или иных жизненно важных интересов человека, если согласие получить нельзя. Здесь существенны оба условия: цель защиты и невозможность получения согласия. Если оформить документ лишь неудобно, но получить согласие возможно, оператору нужно согласие или другое законное основание.

Обязательно ли давать согласие на обработку персональных данных, если его всё же предлагают подписать? По ч. 1 ст. 9 152-ФЗ решение должно быть свободным и отвечать воле самого человека. Он должен понимать, какое разрешение даёт. Перед подписью имеет смысл сопоставить обозначенную цель с перечнем сведений и действий. Согласие на одну понятную задачу нельзя рассматривать как безграничное разрешение использовать информацию о человеке.

Форма согласия не всегда ограничивается бумажным документом с подписью. Часть 1 ст. 9 152-ФЗ допускает форму, позволяющую подтвердить получение согласия, если федеральный закон не устанавливает иного. При этом согласие оформляется отдельно от других подтверждаемых или подписываемых человеком документов и информации. Это требование касается самого оформления: разрешение на обработку должно быть отделено от остальных документов, которые предлагается принять.

Когда закон требует письменного согласия, применяется ч. 4 ст. 9 152-ФЗ. В таком документе указывают сведения о человеке и операторе, цель обработки, перечень данных, разрешённые действия и способы обработки. Также отражают срок действия и способ отзыва, если закон не устанавливает иного, и ставят подпись. Если обработку поручают другому лицу, сведения о нём тоже включают в письменное согласие. Электронный документ с электронной подписью может быть равнозначен бумажному согласию на условиях этой нормы.

Отдельный вопрос возникает, когда сведения обрабатывает привлечённое оператором лицо. По ч. 3 ст. 6 152-ФЗ поручение обработки требует согласия человека, если федеральный закон не предусматривает иного. При этом исполнитель поручения сам получать согласие не обязан: такое правило установлено ч. 4 той же статьи. Законность поручения проверьте у оператора: запросите подтверждение согласия или другого законного основания для поручения обработки.

Выданное согласие можно отозвать по ч. 2 ст. 9 152-ФЗ. Однако отзыв не всегда прекращает обработку: оператор может продолжить её при наличии предусмотренного законом основания. Например, нужно разграничить обработку по разрешению человека и обработку, необходимую для исполнения договора. При споре о том, требовалось ли согласие, доказательства его получения либо наличия другого основания представляет оператор. Эта обязанность прямо закреплена в ч. 3 ст. 9 152-ФЗ.