Источник: Freepik
В современном мире персональные данные — это ценнейший ресурс. Компаниям они необходимы для маркетинга, анализа поведения клиентов и предложения персональных услуг. Однако вместе с удобствами существуют риски утечки и неправомерного использования такой информации, поэтому нужен внимательный контроль за ее предоставлением. В материале с помощью эксперта разберем, что такое согласие на обработку персональных данных, как правильно его оформить и отозвать.
Что такое согласие на обработку персональных данных
Это официальное разрешение, которое вы даете компании на сбор, хранение и использование вашей личной информации. Без такого согласия многие действия с вашими данными будут незаконными. Это своего рода договор между вами и той организацией, которой вы доверяете сведения о себе. При этом обрабатывать их она обязана строго в рамках закона и вашего разрешения. Согласие на обработку защищает вашу личную информацию, делая процесс ее использования прозрачным и контролируемым.
Что относится к персональным данным
В современном цифровом мире понятие «персональные данные» охватывает широкий спектр информации, которая позволяет идентифицировать конкретного человека. Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» — основной документ, который регулирует работу с такими сведениями. Перечислим основные категории данных, которые относятся к персональным:
- фамилия, имя, отчество;
- дата рождения для подтверждения возраста;
- адрес проживания: почтовый индекс, город, улица, дом и квартира;
- контактная информация: номер телефона, электронная почта и др.;
- данные документов: паспорт, ИНН, СНИЛС, водительское удостоверение и другие документы;
- фотографии и видеозаписи, позволяющие визуально идентифицировать человека;
- IP-адрес — уникальный сетевой адрес устройства;
- медицинская информация: диагнозы, данные о состоянии здоровья, медицинские карты, результаты обследований;
- финансовая информация: банковские реквизиты, данные кредитных карт, история покупок и транзакций;
- образовательные данные: дипломы, сертификаты;
- профессиональная деятельность: место работы, должность, стаж, резюме;
- семейное положение: статус брака, наличие детей;
- биометрические данные: отпечатки пальцев, сканирование радужки глаза, голосовые записи;
- данные о поведении в интернете: история посещений сайтов, предпочтения, интересы, профили, публикации, комментарии, друзья, подписки;
- геолокационные данные: местоположение, маршруты передвижения;
- специальные категории данных: сведения о расовой принадлежности, политических взглядах, религиозных убеждениях, сексуальной ориентации, которые требуют особой защиты.
Этот список далеко не исчерпывающий, поскольку технологический прогресс добавляет все новые виды данных, которые могут считаться персональными.
Когда требуется дать согласие на обработку персональных данных
Согласие на обработку персональных данных необходимо в тех случаях, когда компания планирует собирать, хранить или использовать вашу личную информацию. Приведенные ниже примеры показывают, насколько широко распространяется практика сбора таких сведений в современной жизни:
- регистрация на сайте: создание аккаунта на интернет-платформах или сервисах;
- оформление договоров: подписание контрактов с банками, страховыми компаниями, медицинскими учреждениями и другими организациями;
- получение услуг: медицинских, образовательных, транспортных и иных;
- маркетинговые акции: участие в рекламных кампаниях, розыгрышах призов, программах лояльности;
- трудоустройство: резюме, анкета при приеме на работу или заключении трудового договора;
- социальные сети: регистрация и использование профилей;
- государственные услуги: получение паспортов, виз, субсидий, других государственных документов и услуг;
- обработка биометрических данных: использование отпечатков пальцев, сканирование лица или голоса для аутентификации;
- научные исследования: опросы, анкетирования, клинические испытания;
- покупки онлайн: оформление заказов и доставки в интернет-магазинах;
- установка и использование мобильных приложений;
- запись на мероприятии: регистрация на конференции, семинары, мастер-классы и т. п.;
- подписка на рассылки: новостные письма, рекламные предложения и т. п.;
- использование геолокационных сервисов: разрешение отслеживать ваше местоположение;
- участие в благотворительных акциях: волонтерские проекты, пожертвования;
- медицинское обслуживание: сбор данных о состоянии здоровья для диагностики, лечения и профилактики заболеваний;
- оформление страховых полисов: данные о здоровье, имуществе и финансовых рисках;
- электронные платежи: транзакции через банковские приложения или платежные системы;
- интернет вещей (IoT): применение умных устройств, таких как смарт-телевизоры, холодильники или термостаты, которые обмениваются данными с облачными серверами.
Как оформить и заполнить согласие на обработку персональных данных
При оформлении согласия важно соблюдать требования законодательства РФ. Документ должен содержать всю необходимую информацию о целях сбора, порядке обработки и правах субъекта данных. Расскажем о его структуре.
1. «Шапка» документа: название организации или ФИО лица, собирающего данные, а также контактная информация (адрес, телефон).
2. Основная часть текста. Этот раздел должен включать следующие сведения:
- название документа: указывается заголовок, например «Согласие на обработку персональных данных»;
- информация о субъекте данных: ФИО, дата рождения, адрес проживания, контактная информация;
- цель обработки данных: например, предоставление услуг, маркетинговая рассылка, заключение договора;
- основание для обработки: например, выполнение обязательств перед субъектом;
- перечень обрабатываемых данных: указывается конкретная информация, которая будет храниться;
- способы обработки данных: автоматизированная, неавтоматизированная;
- уточняется, будут ли передаваться данные третьим лицам;
- срок действия согласия: например, бессрочно или до достижения конкретной цели;
- права субъекта данных на доступ к ним, отзыв согласия, исправление документа и т. д.
3. Подпись и дата подписания согласия: личная подпись подтверждает добровольность и осознанность действий.
Приведем инструкцию по заполнению согласия на обработку персональных данных.
1. Ознакомьтесь с документом: внимательно прочитайте весь текст соглашения, убедитесь, что понимаете цели и условия обработки данных.
2. Заполните поля с информацией о себе, тщательно проверьте правильность введенных данных.
3. Укажите цель обработки данных. Если целей несколько, отметьте подходящие варианты.
4. Изучите перечень обрабатываемых данных, убедитесь, что перечислены только те сведения, которые действительно необходимы для достижения указанных целей.
5. Обратите внимание на способы и методы обработки ваших данных, а также перечень лиц, которым они могут быть переданы.
6. Решите, на какой период вы даете согласие: неограниченный или конкретный срок.
7. Ознакомьтесь с правами субъекта данных, чтобы понимать, какими правами будете обладать после подписания согласия.
8. Поставьте свою подпись и укажите дату. Подтверждение согласия своей подписью делает его юридически значимым.
Образец
Приведем образец типовой формы согласия на обработку персональных данных с сайта Роскомнадзора.
Источник: Роскомнадзор
Правила работы с персональными данными в 2025 году
С 1 января 2025 года на основании распоряжения Правительства РФ от 09 апреля 2024 года № 856-р вступили в силу изменения, касающиеся согласия на обработку персональных данных. Перечислим некоторые из них:
- согласие на обработку персональных данных не будет включаться в состав других документов, которые подписывает субъект;
- с 30 мая 2025 года вырастут штрафы за неправомерную обработку персональных данных работников;
- утверждены бумажные и электронные формы согласия для размещения персональных данных в Единой системе идентификации и аутентификации (ЕСИА) и Единой биометрической системе (ЕБС);
- планируется создать реестр согласий на обработку персональных данных с помощью сайта «Госуслуги».
Основные требования к операторам персональных данных
Все операторы персональных данных обязаны зарегистрироваться в реестре Роскомнадзора. Рассмотрим подробнее, что включает в себя эта процедура и как она связана с новыми требованиями.
1. Все операторы, обрабатывающие персональные данные, обязаны зарегистрироваться в специальном реестре Роскомнадзора. Это касается как юридических лиц, так и индивидуальных предпринимателей.
2. Операторы обязаны информировать граждан о целях и способах обработки их персональных данных.
3. Особое внимание уделяется вопросам безопасности хранения и передачи персональных данных. Операторы обязаны принимать меры для предотвращения несанкционированного доступа к такой информации, ее утраты или повреждения.
4. В случае передачи персональных данных за границу оператор должен убедиться, что страна-получатель обеспечивает адекватный уровень защиты информации. Если такой гарантии нет, передача возможна только с согласия субъекта данных.
5. Граждане имеют право в любой момент отозвать свое согласие на обработку персональных данных. Оператор обязан уничтожить информацию в установленные законом сроки.
Срок действия согласия на обработку персональных данных
Рамис Абянов, партнер компании АНП ЗЕНИТ, руководитель практики сопровождения цифровой экономики, разъяснил, что срок действия согласия определяется целями обработки данных, указанными при его получении. Это прописано в статье 9 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных».
Срок действия документа законом не ограничен, поэтому можно указать любой. Если он явно не прописан, согласие считается действующим до момента его отзыва субъектом персональных данных. Однако оператор вправе установить конкретный срок. Например, согласие для участия в акции может быть ограничено периодом ее проведения.
«С 1 марта 2023 года в законодательстве закреплено, что согласие на обработку “биометрии” действует только в течение трех лет, если лицо добровольно не обновит биометрию до истечения этого срока», — дополнил эксперт (4).
Можно ли отозвать согласие на обработку персональных данных
Рамис Абянов подчеркнул, что отозвать согласие можно в любой момент. Это право гарантировано ч. 2 ст. 9 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных». Для этого необходимо направить оператору письменное заявление в бумажном или электронном виде с требованием прекратить обработку определенных персональных данных и уничтожить их.
«Оператор обязан выполнить это требование в течение 30 дней с даты поступления отзыва согласия. Исключение — случаи, предусмотренные в пунктах 2-11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27 июля 2006 года № 152-ФЗ “О персональных данных”. Например, если сведения нужны для исполнения договора (банк сохраняет информацию, пока вы являетесь клиентом) или для реализации публично-правовых интересов (например, при участии лица в уголовном судопроизводстве или при проведении оперативно-разыскных мероприятий», — дополнил эксперт.
Расскажем, как отозвать согласие на обработку персональных данных с помощью сайта «Госуслуги».
1. Зайдите в личный кабинет на сайте «Госуслуги», перейдите в раздел «Профиль».
2. Нажмите на рубрику «Согласия и доверенности», там откроется список ваших действующих разрешений.
Источник: Госуслуги
3. Выберите разрешение, которое собираетесь отозвать.
4. Пролистайте вниз и нажмите «Отозвать согласие».
Источник: Госуслуги
5. Подтвердите действие.
Источник: Госуслуги
Советы эксперта
Рамис Абянов дал рекомендации субъектам персональных данных при предоставлении личных сведений третьим лицам.
1. Не подписывайте согласия «на автомате». Проверяйте, какие именно данные собирают (паспорт, геолокация, фото) и для каких целей (маркетинг, аналитика, передача третьим лицам). Также оператор обязан обеспечить свободный доступ к Политике обработки персональных данных. Это требование распространяется на все случаи сбора информации, включая ее получение через интернет (например через сайты, мобильные приложения, формы обратной связи).
2. Ограничивайте объем информации. Не давайте согласие на обработку избыточных данных. Например, СНИЛС не нужен для подписки на новости. Это нарушает принцип соразмерности.
3. Регулярно проверяйте и по возможности чистите свой «цифровой след». Раз в полгода можно запрашивать у операторов список организаций, которым вы давали согласие, и отзывать ненужные.
4. Пользуйтесь правом на отзыв. Если компания игнорирует ваше требование, можно отправить жалобу в Роскомнадзор.
5. Минимизируйте риск утечки информации через IoT-устройства. Активным пользователям умных часов, колонок и прочей умной техники лучше ограничить сбор данных в соответствии с принципом минимальной достаточности. Например, можно отключить функцию сбора необязательных сведений в настройках устройств. Для этого в приложении умной колонки следует перейти в раздел «Конфиденциальность» и деактивировать опцию «Сохранение аудиозаписей».
Также Рамис Абянов дал несколько рекомендаций операторам персональных данных по снижению риска получить штраф.
1. Соблюдайте требования к форме согласия: она должна быть конкретной и информативной. Указывайте цели обработки, перечень данных, сведения об операторе.
2. Не собирайте данные «про запас»: опирайтесь на принцип минимальной достаточности.
3. Обеспечьте доступ к Политике обработки персональных данных: разместите документ на сайте в открытом доступе.
4. Предусмотрите механизм отзыва согласия. Например, можно добавить в личный кабинет пользователя кнопку «Отозвать согласие на обработку персональных данных» либо предусмотреть другой способ отзыва.
5. Необходимо удалять данные в течение 30 дней после получения отзыва, если нет законных оснований для хранения.
Главное о согласии на обработку персональных данных
Соблюдение правил предоставления и получения согласия позволяет защитить интересы пользователей и избежать правовых рисков для организаций. Перечислим главное об этой процедуре
1. Согласие на обработку персональных данных — это официальный документ, подписанный физическим лицом, подтверждающий разрешение обрабатывать персональные данные человека.
2. Согласие требуется при любом сборе личных сведений, кроме случаев, предусмотренных законом.
3. Согласие оформляется или письменно, или онлайн (электронная форма с обязательным выражением личного волеизъявления). При желании его можно отозвать.
4. Работа с персональными данными требует высокой степени ответственности и соблюдения нормативных требований.
5. Нарушение правил работы с персональными данными влечет за собой серьезные санкции, включая крупные штрафы. Ожидается, что размер штрафов будет увеличиваться, стимулируя операторов более ответственно подходить к защите информации.
Список источников:
1. Раздел «Нормативные правовые и иные акты в сфере защиты прав субъектов персональных данных» на официальном сайте Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзора).
2. Памятка субъекту персональных данных о согласии на обработку персональных данных на официальном сайте Роскомнадзора.
3. Раздел «Согласия и доверенности» на сайте «Госуслуги».
4. Постановления Правительства РФ от 15.06.2022 года № 1067 «О случаях и сроках использования биометрических персональных данных, размещенных физическими лицами в единой биометрической системе с использованием мобильного приложения единой биометрической системы».
Автор: Ольга Ковика
Эксперт: Рамис Абянов, партнер компании АНП ЗЕНИТ, руководитель практики сопровождения цифровой экономики
