Вы приходите на приём к врачу, оформляете кредит или заводите личный кабинет на сайте, и перед вами всплывает окошко с длинным текстом про персональные данные. Большинство людей ставят галочку и не дочитывают текст до конца. А зря: такое согласие определяет, что компания вправе делать с вашей информацией и сколько времени она её хранит. Разберём, что это такое, какие персональные данные это согласие охватывает и в каких случаях компания вообще не обязана его получать.
- Что такое согласие на обработку персональных данных
- Какие персональные данные можно обрабатывать
- Когда согласие на обработку персональных данных обязательно
- Когда согласие получать не нужно
- Что должно быть в согласии на обработку персональных данных
- Какие действия с данными можно указать
- В чём разница между согласием на обработку и согласием на распространение персональных данных
- Можно ли отозвать согласие
- На какой срок действует согласие
- Главное
Что такое согласие на обработку персональных данных
Это документ, в котором человек разрешает организации собирать, хранить и использовать информацию о себе. Человека, чьи данные обрабатывает компания, закон называет субъектом. Оператор персональных данных — это юридическое лицо или предприниматель, которые определяют цель обработки и совершают действия с данными.
Правила работы с личной информацией устанавливает Федеральный закон № 152-ФЗ «О персональных данных». Он определяет, какие данные закон относит к персональным, когда оператор вправе их обрабатывать и что обязательно нужно указать. С 2026 года согласие оформляют отдельным документом: его больше нельзя прятать внутри договора или другого текста, который подписывает клиент.
Зачем вообще это нужно? Компания получает право законно работать с данными клиента, а человек получает контроль над своей информацией: видит, кто и зачем собирает информацию, и может отозвать разрешение в любой момент. Персональная информация переходит к оператору только с разрешения человека, если закон не устанавливает иное.
Какие персональные данные можно обрабатывать
Персональные данные – любые сведения, которые прямо или косвенно указывают на конкретное физическое лицо.
- фамилию, имя и отчество;
- дату рождения;
- паспортные данные;
- номер телефона;
- адрес электронной почты;
- адрес проживания;
- СНИЛС;
- ИНН;
- фотографию.
Отдельно закон выделяет биометрические данные: отпечатки пальцев, снимок лица, голос. Их компания обрабатывает по особым правилам и почти всегда только с письменным согласием. Ещё строже закон охраняет специальные категории персональных данных – информацию о здоровье, религиозных взглядах, национальности. Такую персональную информацию компания вправе собирать лишь в узком перечне случаев, прямо указанных в законе.
Когда согласие на обработку персональных данных обязательно
Компания запрашивает согласие практически в любой ситуации, где ей нужна информация о клиенте.
- Оформление кредита. Банк проверяет платёжеспособность заёмщика и запрашивает предоставление персональных данных: паспорт, доход и кредитную историю.
- Трудоустройство. Работодатель собирает документы будущего сотрудника и другие данные: паспорт, СНИЛС, ИНН, диплом об образовании.
- Регистрация на сайте. Интернет-магазин или сервис просит email и телефон, чтобы создать личный кабинет.
- Оформление доставки. Курьерская служба получает адрес и телефон получателя, чтобы привезти заказ.
- Запись в клинику. Медицинское учреждение собирает не только контакты, но и сведения о здоровье пациента.
- Образовательные услуги. Школа или курсы запрашивают данные ученика и часто данные его законного представителя.
- Программы лояльности. Магазин собирает историю покупок клиента, чтобы начислять бонусы и присылать персональные предложения.
Обработка персональных данных требует ясной цели, которую компания определяет заранее. Без чёткой цели текст теряет смысл: человек должен понимать, зачем компания забирает эту информацию.
Когда согласие получать не нужно
Федеральный закон № 152-ФЗ перечисляет случаи, когда согласие не требуется, и компания обрабатывает данные без отдельного разрешения субъекта.
- исполнение договора, стороной которого выступает субъект персональных данных;
- исполнение требований законодательства, например, ведение бухгалтерской и налоговой отчётности;
- осуществление правосудия и исполнительное производство;
- защита жизни, здоровья или иных жизненно важных интересов человека, когда получить согласие заранее невозможно;
- реализация полномочий органов государственной власти и местного самоуправления;
- иные случаи, прямо предусмотренные законом.
Например, интернет-магазин не спрашивает отдельное согласие, чтобы передать адрес курьерской службе для доставки: это следует из исполнения договора купли-продажи. А налоговая инспекция обрабатывает информацию о доходах без разрешения гражданина, потому что действует на основании закона.
Что должно быть в согласии на обработку персональных данных
Форма согласия не утверждена законом жёстко, но перечень обязательных сведений закон определяет чётко.
Обязательные сведения
- ФИО субъекта, адрес субъекта и документ, удостоверяющий личность;
- наименование и адрес оператора;
- цель обработки данных;
- перечень персональных данных, на обработку которых человек даёт разрешение;
- перечень действий с персональными данными, которые вправе совершать оператор;
- срок действия согласия;
- порядок отзыва согласия;
- подпись субъекта.
Если в согласии не хватает хотя бы одного пункта из этого перечня, оно теряет юридическую силу, а компания рискует получить претензию от Роскомнадзора.
Какие действия с данными можно указать
Перечень действий с персональными данными обычно включает сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, обезличивание, блокирование, удаление и уничтожение данных. Обработка данных всегда следует именно этому перечню: компания указывает только те пункты, которые реально применяет к клиенту. Третьи лица получают доступ к сведениям, только если компания прямо назвала такое действие в согласии.
В чём разница между согласием на обработку и согласием на распространение персональных данных
Это один из частых вопросов с тех пор, как Госдума добавила в закон отдельную статью про распространение персональных данных.
Обработка описывает работу компании с конкретной информацией ради конкретной цели: банк хранит паспортные данные заёмщика, магазин хранит адрес покупателя. Такая обработка без распространения не открывает доступ посторонним людям.
Распространение персональных данных — совсем другая история. Компания раскрывает информацию неограниченному кругу лиц: публикует ФИО и фотографию сотрудника на сайте, размещает отзыв клиента с указанием имени, показывает список участников мероприятия в открытом доступе.
Поэтому закон требует отдельный документ: согласие на распространение. Одно письменное согласие не даёт компании права публиковать информацию о человеке. Оператору нужно получить у субъекта персональных данных именно согласие на распространение, где человек сам устанавливает условия и запреты в отношении третьих лиц: например, разрешает публиковать имя, но запрещает публиковать фотографию.
Можно ли отозвать согласие
Отзыв согласия закон не ограничивает: субъект персональных данных подаёт его в любой момент и без объяснения причин. Для этого достаточно направить оператору письменное заявление об отзыве согласия: лично, по почте или через личный кабинет, если сервис такой кабинет предоставляет.
После получения отзыва оператор обязан прекратить работу с данными и уничтожить их в течение тридцати дней. Компания фиксирует поступивший отзыв как входящий документ и составляет акт об уничтожении сведений. Обработка по поручению оператора иногда переходит к подрядчику. Такое лицо, осуществляющее обработку по договору, соблюдает те же правила, что и оператор. После отзыва компания останавливает и свою работу, и работу этого лица.
Компания не всегда прекращает работу с данными сразу после отзыва. Организация вправе продолжить работу с данными, если для этого есть законные основания обработки: например, действующий договор, требования закона или судебное разбирательство с участием субъекта. Так, банк не удалит кредитную историю заёмщика по одному отзыву согласия, пока действует кредитный договор.
На какой срок действует согласие
Оператор и субъект обычно заранее устанавливают срок действия: конкретное число лет или период сотрудничества. Если срок в согласии не указан, оно действует до достижения цели обработки данных или до отзыва согласия субъектом.
После того как компания достигла цели обработки или получила отзыв, она хранит документ ограниченное время: ровно столько, сколько нужно для подтверждения законности прежней работы с данными, а затем уничтожает его вместе с этими данными.
- Согласие подтверждает право компании работать с информацией о человеке.
- Компания запрашивает согласие не всегда: закон разрешает обработку без него при исполнении договора, требований законодательства и в других похожих случаях.
- Документ обязательно содержит цель обработки, перечень данных и перечень действий с ними.
- Согласие на распространение персональных данных оформляют отдельно от согласия на обработку.
- Субъект персональных данных вправе отозвать согласие в любое время, а оператор обязан прекратить обработку в течение тридцати дней.
- В обязанности оператора входит хранение документов в соответствии с требованиями Федерального закона № 152-ФЗ и предоставление субъекту доступа к информации о том, как компания использует его данные.
