Что такое согласие и зачем оно вашему бизнесу

Согласие на обработку персональных данных — это волеизъявление человека, разрешающее вам работать с его информацией. Чаще всего это электронная форма на сайте или бумажный документ. Это всего лишь одно из двенадцати законных оснований для обработки данных, указанных в Федеральном законе № 152-ФЗ «О персональных данных». Однако именно согласие стало самым популярным инструментом в бизнес-среде — возможно, потому что оно первое в списке и кажется самым простым и очевидным.

Но простота — обманчива: согласие на обработку накладывает на бизнес конкретные обязательства и риски, о которых многие забывают в погоне за формальным соблюдением закона.

 

Ответственный за персданные: кто это и кого из сотрудников назначить

 

В какой форме можно получать согласие на обработку

Закон допускает получение согласия в любой форме, которая позволяет доказать факт его получения. Это дает бизнесу гибкость:

  • Электронная форма (онлайн): галочка на сайте, подтверждение по SMS, нажатие кнопки. Доказательством могут служить логи формы, IP-адреса.
  • Письменная форма на бумаге: классический подписанный документ.
  • Электронный документ с квалифицированной электронной подписью: для дистанционного взаимодействия с повышенными требованиями к безопасности.

 

Для некоторых особых случаев закон прямо требует письменной формы или электронного документа, подписанного квалифицированной электронной подписью . Это касается обработки биометрических данных или специальных категорий данных о здоровье, расе.

 

Какие бывают согласия: таблица-шпаргалка для предпринимателя

Чтобы не запутаться, сверяйтесь с этой таблицей. Она поможет быстро определить, с каким типом согласия вы имеете дело и какие к нему требования.

№ Наименование согласия Требование (норма закона) Форма получения
1 На обработку персональных данных п. 1 ч. 1 ст. 6 152-ФЗ Любая
2 На получение данных работника у третьей стороны п. 3 ст. 86 ТК РФ Письменно или КЭП
3 На поручение обработки данных третьему лицу ч. 3 ст. 6 152-ФЗ Любая
4 На поручение обработки данных работника третьему лицу ст. 88 ТК РФ Письменно или КЭП
5 На передачу персональных данных ст. 7 152-ФЗ Любая
6 На передачу персональных данных работника ст. 88 ТК РФ Письменно или КЭП
7 На включение данных в общедоступные источники (например, справочники) ч. 1 ст. 8 152-ФЗ Письменно или КЭП
8 На обработку данных недееспособных лиц (от представителей) ч. 6 ст. 9 152-ФЗ Любая
9 На обработку данных умершего (от наследников) ч. 7 ст. 9 152-ФЗ Любая
10 На рекламные рассылки и политическую агитацию ч. 1 ст. 15 152-ФЗ Любая
11 На обработку специальных категорий данных (здоровье, убеждения и пр.) п. 1 ч. 2 ст. 10 152-ФЗ Письменно или КЭП
12 На обработку биометрических данных (отпечатки, фото и т.д.) ч. 1 ст. 11 152-ФЗ Письменно или КЭП
13 На распространение данных (публикация в открытых источниках) ч. 10.1 152-ФЗ Любая

 

Жесткие требования к форме: что должно быть в согласии

Закон требует письменной формы, включая квалифицированную электронную подпись, согласие должно содержать строгий набор реквизитов, указанных в части 4 статьи 9 152-ФЗ. Для согласий в любой форме действуют базовые принципы: они должны быть конкретными, информированными и легко отзываемыми.

Сравнительная таблица требований к содержанию:

Требование Письменная форма / КЭП Любая форма, в т.ч. онлайн
ФИО субъекта данных Да Да (логин, email)
Реквизиты паспорта (для физлиц) Да Нет (не требуется)
Данные представителя (если есть) Да Да (при наличии)
Цель обработки данных Да Да
Перечень обрабатываемых данных Да Да
Наименование/ФИО и адрес обработчика Да Да
Список действий с данными и способы обработки Да Да (можно общим списком)
Срок действия согласия и способ его отзыва Да Да (обязательно!)
Подпись субъекта Собственноручная Конклюдентное действие (галочка, клик)

 

Ключевое правило для любого согласия: субъект должен иметь возможность так же легко отозвать его, как и дать. Невыполнение этого требования — прямой путь к штрафам.

 

Скрытые риски и ограничения: почему согласие — не панацея

Согласие кажется удобным, но с управленческой точки зрения оно таит в себе ловушки:

Мгновенная отзывность. Клиент или сотрудник может отозвать согласие в любой момент, и вы обязаны немедленно прекратить обработку его данных. Это может сорвать маркетинговую кампанию или бизнес-процесс.

Принцип «одна цель — одно согласие». Нельзя в одном документе дать согласие на все. Для каждой новой цели или нового обработчика нужно отдельное волеизъявление.

Обязанность хранить доказательства. Вы должны хранить доказательство получения согласия (логи, подписанный документ) весь срок его действия, плюс еще год в течение срока исковой давности.

Высокие штрафы за нарушения. За невыполнение требований к письменной форме согласия (ст. 13.11 КоАП РФ) предусматривает значительные штрафы для компаний — до 300 тыс. рублей, а для должностных лиц — до 50 тыс. рублей.

Снижение конверсии. Каждая лишняя галочка в форме заказа или регистрации увеличивает вероятность, что клиент передумает и уйдет.

Запрет на включение в договор. Согласие не может быть «спрятано» в текст оферты или договора оказания услуг. Это прямое нарушение, на которое обращает внимание Роскомнадзор.

 

Оговорка о персональных данных: как избежать штрафов и правильно оформить документы

 

Стоит ли использовать согласие: его сильные стороны

Несмотря на риски, у согласия есть и преимущества, которые делают его полезным инструментом:

Понятность для людей. Люди привыкли к этому формату, у них меньше вопросов и сопротивления.

Четкий законодательный шаблон. Закон (ст. 9 152-ФЗ) дает готовый список пунктов, которые должны быть в письменном согласии.

Гибкость формы получения. Чаще всего можно использовать удобные и недорогие электронные формы.

Возможность комбинировать цели (с оговорками). В некоторых случаях для онлайн-обработки (кроме рассылок и распространения) в одном согласии можно предусмотреть несколько совместимых целей.

 

Передача или поручение: ключевое различие для бизнеса

Одна из самых частых ошибок — путаница между передачей данных и поручением на их обработку. От этого зависит, какое согласие запрашивать. Передача данных происходит, когда вы не можете сами законно достичь цели обработки и передаете данные другому оператору. Например, вы передаете данные работников банку для выпуска зарплатных карт. У вас нет банковской лицензии, поэтому это передача, и необходимо согласие на передачу.

Поручение обработки происходит, когда вы можете сами обрабатывать данные, но поручаете это техническое действие исполнителю (аутсорсеру). Например, вы нанимаете внешнюю бухгалтерию для расчета зарплаты. Это поручение, в связи с чем нужно согласие на поручение обработки.

Если для цели нужна чужая лицензия или особый статус — это передача. Если просто не хватает своих рук или компетенций — это поручение.

 

Утечка персональных данных: как предотвратить и что делать, если данные все-таки утекли

 

Стратегия отказа от согласий: как легально упростить бизнес-процессы

Роскомнадзор активно критикует практику избыточного сбора согласий, а требования ужесточаются. Умный бизнес ищет способы минимизировать их использование предоставляемыми законом альтернативами.

Вот практические способы заменить согласие на иные правовые основания:

№ Ситуация (тип согласия) Альтернатива (правовое основание)
1 Обработка для исполнения договора с клиентом Исполнение договора (п. 2 ч. 1 ст. 6 152-ФЗ). Например, для доставки заказа вам нужны ФИО, адрес и телефон. Это не требует отдельного согласия, если указано в договоре купли-продажи или оферте.
2 Поручение обработки (аутсорсинг) Договор с исполнителем. Заключив договор, вы можете поручить обработку данных для исполнения ваших обязательств перед клиентом/сотрудником. С сотрудниками можно также оформить это через коллективный договор (ст. 40 ТК).
3 Передача данных контрагенту Используйте трехстороннее соглашение между вами, субъектом данных и контрагентом. Или убедитесь, что передача необходима для исполнения требований закона (например, в ФНС, ПФР).
4 Рекламные рассылки Откажитесь от таргетированных рассылок по базе клиентов в пользу контекстной или баннерной рекламы, где вы не обрабатываете данные для выбора аудитории.
5 Обработка данных сотрудников (больничные, дипломы) Трудовое законодательство (ст. 86 ТК РФ). Для многих кадровых и бухгалтерских действий согласие не требуется, так как обработка предписана законом.
6 Использование биометрии для контроля доступа Если система безопасности нужна для противодействия терроризму (№ 35-ФЗ) или коррупции (№ 273-ФЗ), можно ссылаться на эти законы. Или рассмотрите альтернативные методы идентификации (пропуск, PIN-код).
7 Публикация данных (например, на сайте компании) Если публикация требуется по закону (например, для руководителей в ЕГРЮЛ, для педагогов на сайте школы по № 273-ФЗ «Об образовании»), согласие не нужно. Либо дайте людям самостоятельно управлять своей публичной информацией.

 

Использовать с умом или искать альтернативу

Согласие на обработку персональных данных остается популярным, но «горячим» инструментом. Его главный плюс — простота и понятность. Главный минус — возможность отзыва и высокие риски при неправильном оформлении.

Для предпринимателя вывод прост:

  • Не собирайте согласия на обработку персональны данных «на всякий случай».
  • Если согласие необходимо, делайте его четким, конкретным и обеспечивайте простой механизм отзыва.
  • Инвестируйте время в анализ бизнес-процессов с точки зрения защиты персональных данных. Замена согласий на более стабильные основания — это не только снижение юридических рисков, но и оптимизация взаимодействия с клиентами и сотрудниками.

 

Согласие — не единственный ключ к работе с персональными данными. Гораздо важнее выстроить прозрачную и законную систему обработки, где каждый шаг обоснован, а права субъектов данных не просто формально соблюдены, а интегрированы в философию вашего бизнеса.