Согласие на обработку персональных данных

Что такое согласие на обработку персональных данных

Под таким согласием понимается письменное разрешение субъекта персональных данных, дающее право заинтересованной организации получать, собирать, обрабатывать, использовать и хранить законным способом личные сведения о себе. При этом получатель принимает на себя обязательство, что поступившая в его распоряжение информация будет использоваться только в определённых законом целях и защищена от посягательств третьей стороны. 

Что подразумевается под термином «персональные данные» (ПД)

Данное понятие регламентируется в законодательном порядке и подразумевает информацию, по которой прямо или косвенно можно идентифицировать личность, установить её индивидуальные особенности, семейный статус, положение в обществе и многое другое. 

Конкретного перечня ПД не существует, так как только по фамилии, имени и отчеству однозначно идентифицировать человека не получится: на просторах нашей Родины одних ивановых иванов ивановичей – многие тысячи. Если же Ф.И.О. сочетаются с другой информацией: датой/местом рождения, адресом, номером телефона, семейным положением, отношением к религии и т.д.), то весь этот набор переходит в категорию персональных данных. Какая именно комбинация может считаться ПД – вопрос дискуссионный.

Какие данные могут подвергаться обработке

Оператор имеет право обрабатывать (т.е. собирать, предавать, записывать, хранить) только те персональные данные, на которые получено письменное согласие субъекта ПД. Если раньше ПД, размещённые человеком в открытом доступе, разрешалось использовать без предварительного согласия на то их обладателя, то с принятием закона № 152-ФЗ подобные «вольности» стали недопустимы: теперь оператор должен доказать правомерность их обработки. Иначе можно «налететь» на солидный штраф.     

О случаях, когда обработка допустима без согласия держателя ПД, будет сказано ниже.

Что является личной информацией граждан

Понятия «личные» и «персональные» данные законодательно не разграничены, из-за чего их нередко отождествляют. Многие юристы рассматривают личную информацию граждан как общедоступные сведения, которые не характеризуют личность человека всесторонне (например, не раскрывают состояние здоровья, общественный статус и т.д.). Личные данные можно встретить в открытых источниках (в соцсетях, интернет-справочниках). Законом они не охраняются. 

В каких документах присутствуют персональные данные

В распоряжении работодателя, как правило, находится общепринятый пакет документов, содержащих сведения о своих работниках. К таким документам относятся:

• копии документов сотрудника (паспорт, СНИЛС, ИНН, диплом(ы) об образовании);
• фотография;
• кадровые документы (трудовая книжка, трудовое соглашение, приказы);
• бухгалтерские документы (расчётные листки по зарплате);
• прочее (резюме, результаты психологического тестирования и т.п.).

В совокупности эти сведения являются ПД. Работодатель несёт административную, гражданскую и уголовную ответственность за их неправомерное распространение или утечку.

Способы сбора согласий на обработку персональных данных

Под сбором данных понимается их передача субъектом оператору. Сбор согласий производится как в письменной, так и в электронной форме. Среди популярных способов:

Заполнение печатной анкеты

Анкета заполняется физическим лицом от руки с указанием согласия на обработку ПД.  

Подтверждение согласия через СМС-код или звонок

поставщик услуги со слов клиента вносит его личные данные в свою электронную базу и просит дать согласие на обработку полученных сведений посредством СМС-кода или звонка. Код отправляется системой автоматически. При этом клиенту предлагается ознакомиться с программой лояльности, ссылка на которую прикрепляется к СМС.    

Чекбокс с галочкой согласия в общей форме заявки

В форме на сайте компании имеется чекбокс, который клиент должен отметить галочкой, чтобы подтвердить своё согласие с правилами обработки ПД. Оформленная заявка хранится на сайте, а при необходимости может быть выгружена и предъявлена в качестве доказательства о согласии клиента. 

Что такое портал персональных данных

Портал персональных данных – это сайт Роскомнадзора, уполномоченного защищать права субъектов ПД. Через портал можно найти реестр операторов и нарушителей, подать обращение или жалобу, получить доступ к электронной библиотеке по защите прав граждан и другим полезным ресурсам.

Кто такие операторы персональных данных и что они делают

Это государственные и муниципальные органы, юридические и физические лица, которые организуют и/или осуществляют обработку ПД, определяют её содержание и цели. В задачу оператора также входит обеспечение конфиденциальности и сохранности ПД. Оператор не вправе обрабатывать информацию, не получив предварительного одобрения их обладателя, за исключением предусмотренных законом случаев.   

Когда нужно получение согласия на обработку персональных данных

В случаях, когда цель определяется организацией (оператором) самостоятельно в силу особого характера своей деятельности, то она обязана получить согласие у обладателя ПД. Например, если фирма практикует выплату зарплаты на банковскую карту, для передачи сведений в банк она должна взять у сотрудника соответствующее согласие, поскольку прямого требования закона на этот счёт не существует. То же относится к специальным и биометрическим данным.

Согласие при трудоустройстве

При приёме на работу работодатель должен заручиться согласием соискателя на обработку его ПД. Если целью сбора и обработки ПД является исполнение установленных законом требований, оператор вправе свободно собирать и обрабатывать индивидуальные сведения. В частности, принимая на работу сотрудника в рамках трудового договора, организация должна  знать его имя и фамилию, возраст, место регистрации, контактный телефон, уровень образования.    

Если работодатель собирается не только обрабатывать, но и распространять ПД потенциального сотрудника, он обязан получить на это отдельное согласие. Работодатель также обязан ясно обозначить, какую информацию, в какой форме и с какой целью он намерен обрабатывать и/или распространять. 

Согласие на обработку персональных данных при получении кредита

Центробанк вместе с Роскомнадзором согласовали совместную позицию, касающуюся согласия заёмщика на обработку его ПД. Кредитные учреждения не имеют право распространять личную информацию своих клиентов без их согласия. Рекомендовано оформлять отдельное согласие на работу с биометрическими данными и ограничить срок действия документа датой завершения взаиморасчётов по кредиту. Более подробную информацию по данной теме можно посмотреть по ссылке http://www.garant.ru/hotlaw/federal/1476479/.    

Согласие при определении ребенка в садик или школу 

Согласие на обработку ПД несовершеннолетнего (ребёнка, школьника) даёт его законный представитель (отец, мать, опекун). Сведения о ребёнке и его представителе образовательное учреждение использует для организации воспитательного и образовательного процесса, медицинского обслуживания, льготного питания, статистической отчётности, проведения ЕГЭ, конкурсов, олимпиад.  

Требования к документу в 2022 году

С марта 2021 г. начали действовать новые правила, призванные обеспечить ещё большую защиту персональных данных россиян. Прежний термин «общедоступные ПД» заменён на новый: «ПД, разрешённые для распространения». Цель поправки – поставить под жёсткий контроль использование ПД, имеющихся в открытых источниках. 

Теперь не разрешается получать согласие на распространение ПД «по умолчанию», вдвое увеличились штрафы за нарушения, связанные с неправомерными действиями с персональными данными. На ПД, передаваемые третьим лицам либо публикуемым с целью распространения, необходимо получать отдельное разрешение.

Гражданам даются правомочия требовать прекращения распространения своих ПД в любое время.  

Обязательно ли получать согласие в 2022 году

Как правило, такой документ работодатель подписывает практически с каждым работником – субъектом ПД, чьи данные он собирается обрабатывать. В данном случае лучше перестраховаться, чем иметь дело с Роскомнадзором. При этом принцип добровольности никто не отменял: субъект ПД вправе передать лишь те сведения, которые сочтёт необходимыми. Об исключениях из этого правила сказано ниже.  

Когда согласие не требуется

Законом допускаются ситуации, при которых обрабатывать ПД разрешается даже при отсутствии согласия субъекта ПД. Такие случаи оговорены в Законе. Согласия не требуется, если обработка ПД осуществляется с целью: 

• исполнения договора, в котором одна из сторон – субъект ПД (например, договор аренды помещения);
• защиты жизненно важных интересов гражданина, если получить его согласие физически невозможно;
• сбора статистических данных, проведения научных исследований и иных мероприятий государственного масштаба с условием обязательного обезличивания ПД;
• доставки почтовых отправлений службами почтовой связи; 
• опубликования в СМИ персональных данных должностных лиц определённого ранга, кандидатов на выборные должности, общественных деятелей, когда это не противоречит федеральному законодательству.

Без согласия обработка ПД производится, когда лицо участвует в судопроизводстве (гражданском, арбитражном, уголовном). 

Как еще могут ужесточить правила обработки персональных данных

Минцифры РФ предлагает дальнейшее ужесточение законодательства в области ПД. Актуальность такого подхода объясняется наличием технологий, позволяющих идентифицировать человека даже по обезличенным данным. В частности, операторам могут запретить: 

• пользоваться информацией, дающей возможность установить принадлежность ПД конкретному лицу;
• кроме обезличенных данных, предоставлять третьей стороне сведения, позволяющие идентифицировать гражданина;
• деобезличивать сведения, кроме случаев, когда речь идёт о защите жизни и здоровья граждан.

Будут ли данные предложение реализованы на практике – покажет время. 

Что делать, если человек отказывается давать согласие

Закон предоставляет гражданину право отказаться от согласия на обработку и распространение ПД. Санкций за такой отказ не последует. Однако в ряде случаев у человека могут возникнуть проблемы при обращении во многие организации, включая коммерческие структуры. Дело в том, что для оказания некоторых услуг, в том числе электронных, требуются документы, содержащие, помимо прочего, и персональные данные.

Что касается работодателя, то от принципиальности упрямца он почти не испытает неудобств: организация во многих случаях имеет право обрабатывать и распространять ПД без согласия своего сотрудника. В частности, согласие не требуется для исполнения трудового договора.

Также работодатель может на законных основаниях передавать ПД работника в ПФР, ФНС, прокуратуру и другие госорганы, утверждённые законодательством.  

Что будет при незаконном разглашении персональных данных

Если оператор превышает свои полномочия при работе с ПД гражданина, это является прямым нарушением закона, за что может наступить административная, гражданская и даже уголовная ответственность. КоАП РФ предусматривает следующие штрафные санкции.

Вид нарушения	Сумма штрафа для юридических лиц	Основание	Реальный пример
Обработка данных в непредусмотренных законом случаях или с иными целями, чем заявлено при сборе данных	Первое нарушение – от 60 до 100 тыс. руб. Повторное нарушение – от 100 до 300 тыс. руб.	Ст.13.11 п.1, 1.1 КоАП РФ	Клиент дал вам свой e-mail для оформления заказа, а вы добавили его адрес в БД для рекламной рассылки
Обработка данных без письменного согласия клиента или несоблюдение требований, предъявляемых к составу включённых в согласие сведений	Первое нарушение – от 30 до 150 тыс. руб. Повторное нарушение – от 300 до 500 тыс. руб.	Ст.13.11 п.2, 2.1 КоАП РФ	Вы передали данные клиента агентству по маркетингу, а в согласии их передача третьей стороне запрещена

Как правильно составить согласие в 2022 году

Что должно присутствовать в согласии в обязательном порядке

Согласно требованием Роскомнадзора в согласии субъекта ПД должно быть указано:

1. Ф.И.О.
2. Контактная информация.
3. Сведения об операторе.
4. С какой целью обрабатываются ПД.
5. Обработка каких ПД запрещена.
6. Срок действия.
7. Какие информационные ресурсы будет использовать оператор для распространения ПД.

Гражданин правомочен сам выбирать, какого рода ПД оператору разрешается распространять и на каких условиях.

Форма согласия на обработку персональных данных в 2022 году

Унифицированного шаблона согласия на обработку ПД, разрешённых к распространению, пока нет. Поэтому рекомендуется придерживаться рекомендаций Роскомнадзора, которые сводятся к следующему.

1. В форме должны присутствовать сведения об операторе (работодателе) и субъекте ПД (работнике).
2. Работник должен перечислить категории своих ПД, которые могут быть переданы третьей стороне с указанием ограничений, если таковые имеются. 
3. В документе следует указать, посредством каких информационных ресурсов оператор будет распространять ПД. 
4. Согласие должно быть заверено личной подписью субъекта ПД и содержать указание о сроке действия.    

В согласии также должно быть указано, с какой целью оператор будет производить обработку поступивших в его распоряжение ПД. 

Возможные ошибки

К типичным ошибкам при заполнении формы согласия являются:

• документ выполнен не на бланке учреждения (либо не заверен печатью);
• указан адрес местонахождения организации, а не так, как в ЕГРЮЛ;
• цель обработки ПД не соответствует уставной деятельности организации.

Документ не должен быть бессрочным либо предусматривать его автоматическую пролонгацию. 

Образец заполнения

Как уведомить Роскомнадзор о получении новых персональных данных

Уведомить Роскомнадзор можно в бумажном или электронном виде.

«Бумажный» способ менее практичен: для его реализации нужно скачать форму уведомления, распечатать её, заполнить графы, подрезать у руководства, заверить печатью и отправить почтой или курьером в местное отделение ведомства. 

Более удобный способ – воспользоваться сайтом Ростехнадзора или порталом Госуслуг. Там нужно найти форму уведомления и внести данные в режиме онлайн. После отправки документ следует распевать, заверить и отправить заказным письмом в качестве подтверждения. Заявка должна быть рассмотрена надзорным органом в течение месяца.       

Можно ли отозвать согласие

Закон позволяет гражданину отозвать согласие на обработку своих ПД в любое время. При этом отзыв не обязан быть обусловлен какими-либо событиями или обстоятельствами.

Как прекратить передачу персональных данных

Так как согласие на обработку ПД оформляется в письменном виде, отзывать его следует путём подачи оператору письменного заявления. Форма отказа – свободная, передать её можно:

• лично;
• почтовым отправлением;
• в электронном виде.

Важно получить подтверждение даты получения – с неё начнётся отсчёт периода, в течение которого оператор обязан завершить действия с ПД. 

FAQ

Вопрос: Является ли сбор сведений о зарплате обработкой ПД?

Ответ: Да, поскольку ПД работника будут передаваться третьему лицу – банку. Работнику следует предложить дать согласие на такую передачу с указанием банка, его адреса и перечня действий, которые могут совершаться с полученными сведениями.

Вопрос: должен ли гражданин предоставлять сведения о наличии судимости?

Ответ: сведения об отбывании гражданином срока в местах лишения свободы требуются лишь тогда, когда занятие должности не допускается при наличии судимости. В остальных случаях такие сведения гражданин может не предоставлять.   

Вопрос: в каких случаях оператор имеет право не обеспечивать конфиденциальность ПД?

Ответ: обеспечение конфиденциальности ПД не требуется, если они: а) обезличены; б) общедоступны. 

Заключение

По мере цифровизации экономики и развития интернет-технологий защита ПД граждан от незаконного использования и распространения приобретает всё большее значение. Миллиарды денег, похищенные мошенниками с банковских счетов россиян, оформление кредитов на подставные лица, махинации с недвижимостью – всё это, так или иначе, связано с утечкой ПД. В одних случаях вина лежит на самих субъектах ПД – доверчивых или беспечных гражданах, в других – на операторах ПД.  Если граждане отвечают за себя сами, то ответственность оператора регламентируется государством в лице Роскомнадзора.

В 2022 году санкции за фривольное обращение с ПД серьёзно ужесточились.

Следует ожидать, что надзорный орган продолжит работу над проблемой реализации Закона № 152-ФЗ путём проведения правовых, организационных и технических мероприятий.