Чек-лист для проверки согласия на обработку персональных данных
Пошаговая самопроверка для работодателей и операторов ПД: какие согласия нужны, как они должны быть оформлены по статье 9 закона № 152-ФЗ и в каких случаях согласие можно не получать.
Чьи персональные данные вы собираете?
Отметьте все категории субъектов, данные которых обрабатывает ваша организация. Для каждой категории проверьте наличие и корректность согласия.
Соответствуют ли согласия статье 9 закона № 152-ФЗ?
Проверьте каждое имеющееся согласие по всем пунктам. Любое несоответствие делает согласие недействительным.
У вас точно есть все необходимые согласия?
22 вопроса для самопроверки. Пройдитесь по каждому — за типовыми процессами часто скрывается передача данных, о которой вы не подумали.
Вам точно нужно согласие? Проверьте по каждому случаю
Обработка возможна без согласия по пунктам 2–11 части 1 статьи 6 закона № 152-ФЗ:
Обработка необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления функций, полномочий и обязанностей, возложенных законодательством на оператора.
Обработка осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах.
Обработка необходима для исполнения судебного акта, акта другого органа или должностного лица в соответствии с законодательством об исполнительном производстве.
Обработка необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, органов власти субъектов РФ, органов местного самоуправления и функций организаций, участвующих в предоставлении государственных и муниципальных услуг (210-ФЗ), включая регистрацию субъекта на портале госуслуг.
Обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПД, а также для заключения договора по его инициативе. Такой договор не может ограничивать права субъекта и не может ставить заключение договора в зависимость от бездействия субъекта.
Обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПД, если получение согласия невозможно.
Обработка необходима для осуществления прав и законных интересов оператора или третьих лиц (в т.ч. при возврате просроченной задолженности), либо для достижения общественно значимых целей — при условии, что не нарушаются права и свободы субъекта ПД.
Обработка необходима для профессиональной деятельности журналиста и (или) законной деятельности СМИ либо научной, литературной или иной творческой деятельности — при условии, что не нарушаются права и законные интересы субъекта ПД.
Обработка осуществляется в статистических или иных исследовательских целях (за исключением целей ст. 15) при условии обязательного обезличивания персональных данных.
Обработка обезличенных данных в целях повышения эффективности государственного или муниципального управления и в иных целях, предусмотренных 123-ФЗ (эксперимент по ИИ в Москве) и 258-ФЗ (экспериментальные правовые режимы), в установленном порядке.
Утратил силу с 1 марта 2021 года.
Осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
Частые вопросы о согласии на обработку персональных данных
Когда согласие на обработку персональных данных обязательно?
Согласие требуется всегда, когда нет иного законного основания из п. 2–11 ч. 1 ст. 6 закона № 152-ФЗ. В первую очередь — при распространении данных или передаче третьим лицам, в маркетинговых целях, при публикации фото сотрудников, в зарплатных проектах, ДМС и т.п.
Что обязательно должно быть в тексте согласия?
По ст. 9 № 152-ФЗ: сведения о субъекте (ФИО, адрес, данные паспорта), сведения об операторе, цель обработки, перечень данных и перечень действий, срок действия согласия и способ его отзыва, подпись субъекта. При поручении обработки — сведения о лице, которому она поручается.
Можно оформить одно согласие «на все случаи жизни»?
Нет. Действуют принципы: один субъект — одно согласие, одна цель — одно согласие, один перечень данных — одно согласие, один набор действий — одно согласие, один оператор — одно согласие. Разные сроки обработки также означают разные цели.
Может ли согласие быть бессрочным или действовать «до отзыва»?
Нет — в согласии должен быть указан конкретный срок действия. Исключение: документы, срок хранения которых установлен законодательством, и иные случаи недопустимости отзыва согласия.
Какая ответственность за обработку без согласия?
По ч. 2 ст. 13.11 КоАП РФ обработка ПД без письменного согласия, когда оно обязательно, влечет штраф: для граждан 3–5 тыс. руб., для должностных лиц и ИП — 100–300 тыс. руб., для юридических лиц — 300–700 тыс. руб.
Нашли пробелы в согласиях?
Не откладывайте: приведите формы согласий в соответствие со ст. 9 № 152-ФЗ до проверки Роскомнадзора.
Пройти проверку зановоМатериал носит справочный характер и основан на требованиях Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 6, 9). Не является юридической консультацией. Актуальность проверяйте по действующей редакции закона.
