Согласие на обработку персональных данных: что обязательно и готовый бланк
Всегда ли нужно брать согласие?
Нет. Согласие — лишь одно из оснований обработки, и закон перечисляет их несколько. Если данные нужны, чтобы исполнить договор с самим человеком, отдельное согласие не требуется: основанием служит договор.
Зато если согласие берётся, к нему есть жёсткие требования. Главное из них: согласие должно быть оформлено отдельно от других документов, которые человек подписывает. Галочка «согласен с условиями и политикой» одним чекбоксом этому требованию не отвечает.
Когда согласие нужно, а когда нет
- Клиент оформляет заказ или заключает договор
- Согласие не нужно. Обработка допускается, если она необходима для исполнения договора, стороной которого является сам человек, либо для заключения договора по его инициативе. Имя, телефон и адрес доставки — это исполнение договора.
- Вы хотите слать рекламу и рассылки
- Согласие нужно, и отдельное. Продвижение товаров и услуг — самостоятельная цель, она не вытекает из договора о покупке.
- Сотрудник устраивается на работу
- Часть данных обрабатывается по требованиям трудового законодательства, но за пределами обязательного — например, для пропускной системы или ДМС — берётся согласие.
- Передаёте данные третьим лицам
- Нужно согласие с прямым указанием, кому именно передаются данные. Закон требует назвать это лицо в тексте.
- Обработка нужна для защиты жизни и здоровья
- Согласие не требуется, если получить его невозможно. Норма для экстренных ситуаций, а не для обычной работы.
Опасная ошибка — брать согласие «на всякий случай» там, где основанием служит договор. Тогда человек может отозвать согласие, и вы формально теряете право обрабатывать данные, которые нужны вам для исполнения обязательств перед ним же.
Пять требований к самому согласию
«Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. <…> Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных».
Часть 1 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ
На практике из этого следует: одна галочка на всё сразу не работает. Согласие на рассылку не может прятаться внутри согласия с офертой, а согласие с политикой обработки — это не то же самое, что согласие на обработку.
Ещё одна деталь, о которую спотыкаются интернет-магазины: договор с человеком не может содержать положения, допускающие в качестве условия его заключения бездействие субъекта. Предустановленная галочка, которую надо снять, если вы не согласны, — это как раз бездействие.
Девять пунктов, которые требует закон
Для согласия в письменной форме перечень прямо назван в законе. Отсутствие любого из них делает документ уязвимым при проверке:
- ФИО и адрес человека, номер паспорта, дата выдачи и выдавший орган.
- Данные представителя и реквизиты доверенности — если согласие даёт представитель.
- Наименование и адрес оператора, который получает согласие.
- Цель обработки. Конкретная, а не «для уставной деятельности».
- Перечень персональных данных, на обработку которых даётся согласие.
- Наименование и адрес того, кто обрабатывает данные по вашему поручению — если вы поручаете обработку подрядчику.
- Перечень действий с данными и общее описание способов обработки.
- Срок действия согласия и способ его отзыва.
- Подпись человека.
Электронный документ, подписанный электронной подписью, приравнивается к бумажному с собственноручной подписью. Но «приравнивается» относится именно к подписанному документу, а не к любому клику на сайте.
Из-за чего согласие признают недействительным
Вопросы, которые задают чаще всего
Нужно ли согласие, если человек просто оформил заказ?
Для исполнения самого заказа — нет: основанием служит договор, стороной которого является покупатель. Согласие понадобится для того, что за рамками договора, прежде всего для рекламных рассылок.
Можно ли объединить согласие с политикой обработки?
Нет. Это разные вещи: политика — документ оператора, который он публикует и в котором описывает свои процессы; согласие — волеизъявление конкретного человека, и оно должно быть оформлено отдельно от иных документов, которые он подписывает. Что должно быть в политике.
Достаточно ли галочки на сайте?
Форма может быть любой, позволяющей подтвердить факт получения согласия. Вопрос не в галочке как таковой, а в том, что рядом с ней: отдельная и понятная формулировка с целью, перечнем данных, сроком и способом отзыва — либо ссылка на текст, который всё это содержит.
Как человек отзывает согласие?
Способом, который вы сами указали в тексте. Поэтому пункт про отзыв обязателен: не описав процедуру, вы получите отзыв в произвольной форме и будете обязаны его исполнить.
Сохраняются ли данные из конструктора у вас?
Нет. Текст собирается в браузере, на сервер ничего не уходит. На портале стоит Яндекс.Метрика, но блок конструктора закрыт от записи отдельно — ни введённые поля, ни собранный документ в аналитику не попадают. Портал про персональные данные, который собирал бы персональные данные через форму конструктора, выглядел бы странно.