Как понять, нужно ли согласие на обработку персональных данных: таблица случаев

Когда мне на согласование приносят форму заказа звонка с тремя галочками, я первым делом спрашиваю, какую из них можно убрать без последствий, и почти всегда выясняется, что галочки добавляли по принципу "на всякий случай, так спокойнее".

Вопрос, нужно ли согласие на обработку персональных данных в конкретной форме, договоре или анкете, решается по закону за несколько минут, если знать, в каком порядке смотреть, и ниже я показываю этот порядок вместе с таблицей типовых случаев.

За годы во внутреннем аудите я привыкла смотреть на согласие со стороны цели обработки: сначала выясняю, зачем компании эти данные, потом ищу в законе основание, и только когда основания нет, согласие становится обязательным. Такой порядок экономит время юристов и убирает из интерфейса галочки, которые клиент все равно не читает.

Почему лишнее согласие тоже создаёт риск

Интуиция подсказывает, что согласие никогда не бывает лишним, и именно здесь она подводит сильнее всего. Если компания обрабатывает данные по договору, но оформила это как согласие, человек вправе его отозвать, и тогда придётся доказывать законность дальнейшей обработки на основании, которое в документах нигде не записано.

Второй риск тише и неприятнее. Согласие по закону должно быть конкретным, предметным, информированным, сознательным и однозначным, так сказано в статье 9 закона 152-ФЗ, и общая галочка "согласен на обработку данных для любых целей" этим требованиям не отвечает, поэтому при проверке она не прикрывает ни одну из целей, ради которых её ставили.

Третий риск организационный: когда согласие собирают везде, в компании перестают отличать обязательные галочки от декоративных, и настоящая обязательная, например на рекламную рассылку, теряется среди остальных или исчезает при очередной переделке формы.

Три зоны, по которым раскладывается любая обработка

Все случаи, которые мне встречаются, укладываются в три зоны, и полезно держать их в голове в виде светофора ещё до того, как открывать текст закона и искать нужный пункт.

Зелёная зона включает обработку, для которой закон сам даёт основание: исполнение договора с человеком, прямое требование закона, судебный процесс, оказание государственных услуг. Согласие здесь не требуется, и собирать его значит добровольно брать на себя учёт отзывов и хранение версий текста.

Жёлтая зона начинается там, где компания опирается на свои законные интересы, например на защиту от мошенничества или проверку контрагента. Закон такое основание допускает при условии, что права человека не нарушаются, и это условие придётся обосновать письменно, поэтому жёлтую зону я всегда разбираю вместе с юристом.

Красная зона включает случаи, где по общему правилу нужно согласие: продвижение товаров через прямые контакты, публикацию данных для неограниченного круга лиц, сведения о здоровье, биометрию и решения, которые принимает только программа, если законом не предусмотрено иное.

Для части этих случаев нужно письменное или отдельное согласие, и строчка в общей форме его не заменит.

Когда закон обходится без согласия

Основания обработки перечислены в части 1 статьи 6 закона, и согласие там стоит первым пунктом, хотя для бизнеса чаще всего работают три других основания, которые стоит знать в лицо до того, как садиться писать очередной текст согласия.

Первое основание касается договора: если человек сам заказывает товар, подписывает договор или просит подготовить его, данные для исполнения и заключения такого договора обрабатываются без отдельного согласия. Имя, телефон и адрес доставки в интернет-магазине живут именно здесь, пока используются для доставки, оплаты и возврата.

Второе основание касается обязанностей по закону, куда входят кадровый учёт, налоговая отчётность, хранение первичных документов и передача сведений в фонды. Спрашивать у работника разрешения на сдачу отчётности бессмысленно, ведь его отказ ничего бы не изменил, и компания все равно была бы обязана отчитаться.

Третье основание касается законных интересов оператора, и оно самое скользкое, потому что формулировка в законе общая, а доказывать баланс интересов придётся компании. Я пользуюсь им только там, где интерес описывается одной понятной фразой, которую спокойно можно показать проверяющему.

Когда без согласия не обойтись

Продвижение товаров и услуг через звонки, сообщения и письма требует предварительного согласия человека, это закреплено в статье 18 закона "О рекламе", и договор купли-продажи здесь ничем не помогает.

Логику "купил однажды, значит согласился на рассылку" закон не признает, поэтому галочку на рекламу я делаю отдельной и оставляю пустой по умолчанию, чтобы согласие было однозначным.

Распространение данных, то есть публикация для неограниченного круга лиц, в общем случае требует согласия по статье 10.1, оформленного отдельно от всех прочих. Фотография сотрудника на странице "Команда", отзыв клиента с именем и фамилией, список победителей конкурса относятся сюда, и общее согласие из трудового договора их не покрывает.

Сведения о здоровье и других специальных категориях, а также биометрия, по которой человека узнают, требуют письменного согласия, если в законе нет иного основания. Туда же относится ситуация, когда решение с юридическими последствиями для человека принимает только программа, без участия сотрудника.

Отдельно стоит передача данных третьим лицам, которую не предусматривает ни закон, ни договор с человеком: передать базу клиентов партнёру для совместной акции можно только с согласия, и в тексте должно быть понятно, кому именно уйдут данные.

Как я проверяю один случай

Каждую форму, анкету или выгрузку я прогоняю через одни и те же вопросы, и порядок здесь важен, потому что без ясной цели основание искать бесполезно, а без ясного основания спорить о тексте согласия рано.

Самая частая находка на этом шаге состоит в том, что у одной формы оказывается две или три цели сразу, и у каждой своё основание. Заявка на обратный звонок обрабатывается по инициативе человека ради будущего договора, тогда как подписка на новости в той же форме требует согласия, и значит, галочка нужна одна, под подпиской.

Помогает и обратная проверка: я представляю, что человек отозвал согласие, и спрашиваю, что компания обязана перестать делать. Если честный ответ звучит как "ничего, мы все равно должны это хранить", согласие здесь было лишним, и в документах нужно записать настоящее основание.

Таблица случаев: нужно ли согласие в типовых ситуациях

Заказ в интернет-магазине, данные для доставки и возврата: согласие не нужно. Основание: договор с покупателем, пункт 5 части 1 статьи 6.

Заявка на звонок или расчёт стоимости, отправленная человеком самостоятельно: согласие не нужно. Основание: заключение договора по инициативе человека, тот же пункт 5.

Подписка на рассылку, акции, рекламные звонки и сообщения: нужно отдельное предварительное согласие. Основание: статья 18 закона "О рекламе".

Кадровый учёт, отчётность в налоговую и фонды: согласие не нужно. Основание: обязанность по закону, пункт 2 части 1 статьи 6.

Фото и имя сотрудника на сайте или в соцсетях компании: нужно отдельное согласие на распространение. Основание: статья 10.1.

Резюме, которое кандидат прислал сам, на время рассмотрения вакансии: согласие обычно не требуется. Хранение в резерве после отказа: нужно согласие.

Отзыв клиента с именем и фамилией на сайте: нужно согласие на распространение. Основание: статья 10.1.

Передача клиентской базы партнёру для совместной акции: нужно согласие с понятным кругом получателей.

Сведения о здоровье, например справки для льготы или медицинская анкета: нужно письменное согласие, если нет иного основания. Основание: статья 10.

Вход по отпечатку пальца или распознаванию лица: обычно требуется письменное согласие, если федеральный закон не даёт иного основания. Основание: статья 11.

Обращение в суд с иском к клиенту: согласие не нужно. Основание: пункт 3 части 1 статьи 6.

Проверка контрагента и защита от мошенничества: согласие обычно не нужно, если права человека не нарушаются. Основание: законный интерес оператора, пункт 7 части 1 статьи 6.

Автоматический отказ в услуге без участия сотрудника: обычно требуется письменное согласие, если федеральный закон не предусматривает иного основания. Основание: статья 16.

Счётчики посещаемости и файлы куки для аналитики: спорная зона. Если данные связывают с конкретным человеком или передают сторонним сервисам, я собираю согласие.

Пользоваться таблицей удобно так: выписываете все формы, анкеты и выгрузки, для каждой пишете цели отдельными строками и находите в таблице ближайший случай, а все, что в неё не укладывается, отправляете юристу с уже сформулированной целью, и разговор с ним занимает минуты вместо часа.

Когда форм и процессов десятки и у каждого своя история, такую карту целей и оснований мы собираем в рамках приведения обработки данных в порядок, и начинаем ровно с вопросов со схемы выше. Писать согласия там, где они не нужны, невыгодно и нам самим, потому что каждое такое согласие потом приходится сопровождать.

Как растёт порядок с согласиями

Порядок в согласиях складывается ступенями, и полезно понимать, на какой из них вы стоите сейчас, чтобы следующий шаг был понятным и посильным.

Первые три ступени закрывают большую часть риска и делаются силами одного внимательного человека за несколько дней.

Четвёртая и пятая требуют участия ИТ, потому что согласие, записанное в документе, ничего не стоит, если система продолжает отправлять данные туда, куда в тексте ничего не написано, и эта сверка обычно приносит больше открытий, чем чтение самих документов.

Частые вопросы о согласии на обработку данных

Нужно ли согласие на обработку персональных данных для формы обратной связи?

Для заявки, которую человек отправил сам ради консультации или будущего договора, отдельное согласие обычно не нужно, основанием служит заключение договора по его инициативе. Согласие понадобится, если та же форма подписывает человека на рассылку или рекламные звонки, и тогда под этой целью ставится отдельная галочка.

Можно ли обрабатывать данные после отзыва согласия?

Можно, если у обработки есть другое основание из статьи 6 закона, например обязанность хранить документы по закону или исполнение действующего договора. Если другого основания нет, обработку по этой цели нужно прекратить, поэтому основания стоит фиксировать в документах заранее, до первого отзыва.

Нужно ли брать согласие у сотрудников?

Для кадрового учёта и отчётности согласие не нужно, эту обработку требует закон, и работник не может от неё отказаться. Для публикации фото и имени на сайте нужно отдельное согласие на распространение, и такое же правило действует для передачи данных третьим лицам сверх требований закона.

Нужно ли отдельное согласие на рекламную рассылку?

Да, продвижение товаров через звонки, сообщения и письма требует предварительного согласия по статье 18 закона "О рекламе", и покупка его не заменяет. Галочку на рекламу я всегда делаю отдельной, чтобы её можно было отозвать, не затрагивая обработку заказа.

Что проверить у себя сегодня

Откройте сайт компании и пройдите все формы так, как прошёл бы их клиент, записывая, сколько галочек вы ставите и за что каждая отвечает. Если галочка одна на все цели, у вас первая ступень лестницы, и таблица выше покажет, какие цели из неё выделить.

Затем проверьте страницу с командой и отзывами: для каждого человека с фото или полным именем должно найтись согласие на распространение, оформленное отдельно от трудового договора или договора на услуги. Отсутствие такого согласия обнаруживается проверяющим сразу, потому что страница открыта всем.

И последнее, самое показательное: спросите у того, кто отвечает за рассылки, откуда берётся список адресов и как в нем отмечаются отказы, потому что именно здесь документы и реальность расходятся чаще всего. Какая из ваших форм, по-вашему, первой не прошла бы такую проверку?

Новые разборы выходят в моём канале: t.me/promaren.