Вы приходите на приём к врачу, оформляете кредит или заводите личный кабинет на сайте, и перед вами всплывает окошко с длинным текстом про персональные данные. Большинство людей ставят галочку и не дочитывают текст до конца. А зря: такое согласие определяет, что компания вправе делать с вашей информацией и сколько времени она её хранит. Разберём, что это такое, какие персональные данные это согласие охватывает и в каких случаях компания вообще не обязана его получать.
Что такое согласие на обработку персональных данных
Это документ, в котором человек разрешает организации собирать, хранить и использовать информацию о себе. Человека, чьи данные обрабатывает компания, закон называет субъектом. Оператор персональных данных — это юридическое лицо или предприниматель, которые определяют цель обработки и совершают действия с данными.
Правила работы с личной информацией устанавливает Федеральный закон № 152-ФЗ «О персональных данных». Он определяет, какие данные закон относит к персональным, когда оператор вправе их обрабатывать и что обязательно нужно указать. С 2026 года согласие оформляют отдельным документом: его больше нельзя прятать внутри договора или другого текста, который подписывает клиент.
Зачем вообще это нужно? Компания получает право законно работать с данными клиента, а человек получает контроль над своей информацией: видит, кто и зачем собирает информацию, и может отозвать разрешение в любой момент. Персональная информация переходит к оператору только с разрешения человека, если закон не устанавливает иное.
Какие персональные данные можно обрабатывать
Персональные данные – любые сведения, которые прямо или косвенно указывают на конкретное физическое лицо.
Отдельно закон выделяет биометрические данные: отпечатки пальцев, снимок лица, голос. Их компания обрабатывает по особым правилам и почти всегда только с письменным согласием. Ещё строже закон охраняет специальные категории персональных данных – информацию о здоровье, религиозных взглядах, национальности. Такую персональную информацию компания вправе собирать лишь в узком перечне случаев, прямо указанных в законе.
Когда согласие на обработку персональных данных обязательно
Компания запрашивает согласие практически в любой ситуации, где ей нужна информация о клиенте.
Обработка персональных данных требует ясной цели, которую компания определяет заранее. Без чёткой цели текст теряет смысл: человек должен понимать, зачем компания забирает эту информацию.
Когда согласие получать не нужно
Федеральный закон № 152-ФЗ перечисляет случаи, когда согласие не требуется, и компания обрабатывает данные без отдельного разрешения субъекта.
Например, интернет-магазин не спрашивает отдельное согласие, чтобы передать адрес курьерской службе для доставки: это следует из исполнения договора купли-продажи. А налоговая инспекция обрабатывает информацию о доходах без разрешения гражданина, потому что действует на основании закона.
Что должно быть в согласии на обработку персональных данных
Форма согласия не утверждена законом жёстко, но перечень обязательных сведений закон определяет чётко.
Обязательные сведения
Если в согласии не хватает хотя бы одного пункта из этого перечня, оно теряет юридическую силу, а компания рискует получить претензию от Роскомнадзора.
Какие действия с данными можно указать
Перечень действий с персональными данными обычно включает сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, обезличивание, блокирование, удаление и уничтожение данных. Обработка данных всегда следует именно этому перечню: компания указывает только те пункты, которые реально применяет к клиенту. Третьи лица получают доступ к сведениям, только если компания прямо назвала такое действие в согласии.
В чём разница между согласием на обработку и согласием на распространение персональных данных
Это один из частых вопросов с тех пор, как Госдума добавила в закон отдельную статью про распространение персональных данных.
Обработка описывает работу компании с конкретной информацией ради конкретной цели: банк хранит паспортные данные заёмщика, магазин хранит адрес покупателя. Такая обработка без распространения не открывает доступ посторонним людям.
Распространение персональных данных — совсем другая история. Компания раскрывает информацию неограниченному кругу лиц: публикует ФИО и фотографию сотрудника на сайте, размещает отзыв клиента с указанием имени, показывает список участников мероприятия в открытом доступе.
Поэтому закон требует отдельный документ: согласие на распространение. Одно письменное согласие не даёт компании права публиковать информацию о человеке. Оператору нужно получить у субъекта персональных данных именно согласие на распространение, где человек сам устанавливает условия и запреты в отношении третьих лиц: например, разрешает публиковать имя, но запрещает публиковать фотографию.
Можно ли отозвать согласие
Отзыв согласия закон не ограничивает: субъект персональных данных подаёт его в любой момент и без объяснения причин. Для этого достаточно направить оператору письменное заявление об отзыве согласия: лично, по почте или через личный кабинет, если сервис такой кабинет предоставляет.
После получения отзыва оператор обязан прекратить работу с данными и уничтожить их в течение тридцати дней. Компания фиксирует поступивший отзыв как входящий документ и составляет акт об уничтожении сведений. Обработка по поручению оператора иногда переходит к подрядчику. Такое лицо, осуществляющее обработку по договору, соблюдает те же правила, что и оператор. После отзыва компания останавливает и свою работу, и работу этого лица.
Компания не всегда прекращает работу с данными сразу после отзыва. Организация вправе продолжить работу с данными, если для этого есть законные основания обработки: например, действующий договор, требования закона или судебное разбирательство с участием субъекта. Так, банк не удалит кредитную историю заёмщика по одному отзыву согласия, пока действует кредитный договор.
На какой срок действует согласие
Оператор и субъект обычно заранее устанавливают срок действия: конкретное число лет или период сотрудничества. Если срок в согласии не указан, оно действует до достижения цели обработки данных или до отзыва согласия субъектом.
После того как компания достигла цели обработки или получила отзыв, она хранит документ ограниченное время: ровно столько, сколько нужно для подтверждения законности прежней работы с данными, а затем уничтожает его вместе с этими данными.
