Согласие на обработку ПДн: требования, форма и содержание

Согласие — самое популярное и самое часто нарушаемое основание обработки данных: оно спрятано в пользовательском соглашении, слито с политикой или собирается галочкой по умолчанию. Закон предъявляет к нему конкретные требования, а доказывать получение должен оператор. Ниже признаки законного согласия, состав согласия в письменной форме, особый режим согласия на распространение и порядок отзыва.

Оговорка. Статья не юридическая консультация. Требования сверены по тексту статей 9 и 10.1 152-ФЗ в редакции с изменениями, внесёнными в том числе законом от 30.12.2020 № 519-ФЗ; закон меняется, проверяйте действующую редакцию: текст закона. Структура проверки соответствует разделу о правовых основаниях в методике контроля Группы Сбер (источник); это методика для крупных компаний, мы пересказываем её своими словами. Формы документов согласуйте с юристом.

Когда согласие нужно, а когда нет

Согласие — одно из оснований обработки по статье 6, но не единственное. Обработка возможна без согласия на других основаниях: исполнение договора, требование закона, судебные и исполнительные процедуры, законные интересы оператора и другие. Если есть другое законное основание, не навязывайте согласие: оно создаёт лишние обязанности (отзыв, доказательства). Нельзя «подстраховаться» согласием там, где правовым основанием служит договор или закон: в методике Группы Сбер такие подмены проверяются отдельно. Какое основание у каждого процесса, решается в реестре процессов: чек-лист оператора ПДн.

Признаки законного согласия

По статье 9 согласие должно быть:

Признак	Что это значит на практике
Свободным, по своей воле и в своём интересе	Услуга не должна зависеть от согласия на лишнюю обработку; нет принуждения
Конкретным и предметным	Названы цели и состав данных; нет формулировок «любые данные для любых целей»
Информированным и сознательным	Человек понимает, на что соглашается: простой текст, видны оператор и цели
Однозначным	Нужно действие субъекта; молчание, предустановленная галочка и бездействие согласием не являются
Оформленным отдельно	Согласие отделено от иных документов и информации, которые человек подписывает или подтверждает (например, не растворено в договоре или условиях использования)

Закон разрешает давать согласие в любой форме, позволяющей подтвердить факт его получения, если иное не установлено федеральным законом. Согласие от представителя принимается после проверки его полномочий. Если субъект недееспособен, согласие даёт законный представитель; после смерти — наследники, если согласия не было при жизни.

Письменная форма: когда и что включить

В случаях, предусмотренных федеральным законом (например, для специальных категорий данных), требуется согласие в письменной форме. Электронный документ, подписанный электронной подписью в соответствии с законом, равнозначен бумажному с собственноручной подписью. По части 4 статьи 9 согласие в письменной форме включает, в частности:

фамилию, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, дату выдачи и орган, выдавший его;
те же данные представителя и реквизиты документа, подтверждающего его полномочия (если согласие даёт представитель);
наименование или ФИО и адрес оператора;
цель обработки;
перечень данных, на обработку которых дано согласие;
наименование или ФИО и адрес лица, обрабатывающего данные по поручению, если оно будет привлечено;
перечень действий с данными и общее описание способов обработки;
срок действия согласия и способ его отзыва, если иное не установлено законом;
подпись субъекта.

Этот перечень удобно использовать как чек-лист и для согласий в электронной форме: даже если письменная форма не обязательна, наличие этих сведений упрощает доказательство и снижает риск спора.

Согласие на распространение данных

Если вы публикуете персональные данные для неограниченного круга лиц (например, фото и контакты сотрудников на сайте, отзывы с фамилиями), нужно отдельное согласие по статье 10.1. Его особенности:

оформляется отдельно от иных согласий; оператор обязан дать субъекту возможность определить перечень данных по каждой категории;
молчание или бездействие согласием не считаются ни при каких обстоятельствах;
если из согласия не следует, что человек согласился на распространение, данные обрабатываются без права распространения;
субъект вправе установить запреты и условия обработки, отказ оператора в их установлении не допускается;
информацию об условиях обработки и о запретах нужно опубликовать не позднее трёх рабочих дней с момента получения согласия;
по требованию субъекта передача (распространение, доступ) прекращается в любое время; действие согласия прекращается с момента поступления требования;
требования к содержанию такого согласия устанавливает Роскомнадзор (закон ссылается на них в статье 9, часть 9).

Если данные раскрыл сам субъект без вашего согласия на распространение, доказывать законность последующего распространения придётся вам.

Отзыв согласия

Субъект вправе отозвать согласие. Тогда оператор прекращает обработку и, если сохранение данных не требуется для целей обработки, уничтожает их в срок до 30 дней, если иное не предусмотрено договором или законом (статья 21, часть 5). Исключение: если есть иные основания обработки (пункты 2–11 части 1 статьи 6, часть 2 статьи 10 и часть 2 статьи 11), обработку можно продолжить, но только в части этих оснований. Способ отзыва должен быть простым и описанным в согласии: запросы субъектов ПДн, уничтожение ПДн.

Доказательства получения

Бремя доказывания лежит на операторе (статья 9, часть 3). Сохраняйте:

для бумаги: подписанный документ в архиве с учётом по журналу;
для электронной формы: дату и время, версию текста согласия, способ подтверждения (отдельное действие, подпись), идентификатор субъекта, журнал событий;
версии текстов согласия: что именно показывали людям на каждый период;
связь согласия с процессом: для каких целей и систем оно используется.

Типовые ошибки

Что делают	Почему плохо и как правильно
Галочка проставлена заранее	Нет действия субъекта. Пусть человек сам отметит отдельное согласие
Согласие внутри договора или пользовательского соглашения	Нарушено требование об отдельном оформлении. Выделите согласие в отдельный документ или окно
«Для любых целей, связанных с деятельностью»	Нет конкретности. Перечислите цели и данные
Согласие на всё сразу, включая рассылки	Разделяйте цели: рассылка и обработка для услуги требуют отдельных согласий
Нельзя отозвать на сайте	Опишите способ и обеспечьте возможность
Согласие расходится с уведомлением РКН и политикой	Цели, категории субъектов и данные должны совпадать во всех документах

Где это в моделях

Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Правовые основания, согласие и согласие на распространение — крупная область контроля в методике Группы Сбер.

Как проверить

Для каждого процесса определено правовое основание; согласие используется только там, где оно действительно нужно.
Тексты согласий соответствуют пяти признакам, оформлены отдельно, содержат цели, данные, срок и способ отзыва.
Для публикации данных есть отдельное согласие на распространение, условия опубликованы в срок.
Получение согласий можно доказать: есть журнал и версии текстов.

Источники

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 6, 9, 10.1, 21: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
Размеры штрафов: штрафы за нарушения с ПДн.