Советы
Как взять согласие на обработку персональных данных
Чтобы не нарваться на штраф и разочарование пользователей
Почти каждый владелец бизнеса или маркетолог собирает персональные данные пользователей. Это могут быть имена, email, номера телефонов, дни рождения и другая информация.
Персональные данные помогают персонализировать общение с клиентами и настроить рекламу в разных каналах. В большинстве случаев предоставлять персональную информацию выгодно пользователям — так они могут автоматически авторизовываться на сайте и получать уникальные предложения.
Проблемы возникают в том случае, если персональные данные собираются, хранятся или используются не по правилам. В таком случае пользователь может пожаловаться, а компания получит штраф.
Разберемся, что такое согласие на обработку персональных данных и как правильно собирать, хранить и обрабатывать информацию о пользователях.
Что считается персональными данными
Закон РФ №152-ФЗ «О персональных данных» объясняет, как компаниям собирать информацию о пользователях. Даже если владелец сайта сразу удаляет пользовательские данные после получения, он всё равно является оператором по их обработке и несёт ответственность.
Уведомления о сборе cookies на сайтах появились после введения Регламента об использовании персональных данных жителей Европейского Союза — GDPR (General Data Protection Regulation).
GDPR требует, чтобы все европейские компании прозрачно показывали пользователю, как они обрабатывают информацию о его поведении на сайте. В целом мало отличается от российского закона о персональных данных и похожих законов в других странах: Украине, Беларуси, Казахстане.
Под персональными данными понимают любую информацию, по которой можно идентифицировать человека. Это может быть:
- email;
- ФИО;
- номер телефона;
- дата рождения;
- фотография;
- IP-адрес пользователя;
- ссылка на профиль в социальной сети.
Сбором данных клиентов будет считаться любая форма на сайте: подписка на рассылку, регистрация в личном кабинете, отправка заявки или обратного звонка.
Владелец сайта несёт ответственность за работу с персональными данными. Он должен:
- предупредить, какую информацию и с какой целью собирает;
- изменять или удалять информацию по запросу от пользователя;
- обеспечить конфиденциальность и сохранность информацию для других организаций и пользователей.
За пользователем остаётся право отказаться и не оставлять данные.
За невыполнение требований ФЗ №152 организациям грозит штраф от 30 000 до 75 000 рублей и блокировка сайта. Если нарушений несколько, сумма штрафа может составить несколько десятков или сотен тысяч рублей.
Например, сайт Linkedin заблокировали на территории РФ и оштрафовали за нарушение сбора cookie и данных пользователей без их уведомления.
Facebook* и Twitter вслед за Linkedin получили предупреждение за хранение данных россиян не на территории России. В январе 2020 года Роскомнадзор возбудил уже административное дело. Facebook* и Twitter получили штраф в размере 4 млн рублей.
Как получить согласие пользователей на сайте
Требования ФЗ 152 относятся и к юридическим лицам, и к физическим. Как получить согласие на обработку персональных данных на сайте:
- Составьте соглашение о работе с персональными данными клиентов.
- Разместите соглашение на сайте в общем доступе.
- Разместите уведомление о сборе cookies и данных незарегистрированных пользователей.
- Добавьте в каждую форму на сайте пустой чек-бокс для согласия на передачу данных.
- Настройте работу с персональными данными внутри компании.
- Локализуйте хостинг и хранение данных на российских ресурсах.
Дальше я расскажу о каждом из этих пунктов подробнее.
Составьте соглашение о работе с персональными данными клиентов. Соглашение разрешает вам собирать, хранить и использовать персональные данные. В этом документе пользователь может прочитать ваши правила работы с контактной информацией и узнать, как отозвать свое согласие на обработку.
Закон не предусматривает устного соглашения сторон. Сайт обязательно должен хранить логи, чтобы, в случае чего, доказать Роскомнадзору, что тот или иной пользователь действительно заходил на сайт и соглашался на передачу персональных данных.
Политика конфиденциальности Яндекса
Чтобы составить грамотное соглашение, лучше обратиться к юристу. Я приведу обязательные пункты соглашения о работе с персональными данными на сайте.
- Контакты оператора: наименование компании или ФИО для физического лица, адрес местонахождения.
- Цели обработки. Обычно это информирование пользователя посредством отправки электронных писем и SMS-уведомлений или предоставление доступа пользователю к информации, сервисам и материалам, содержащимся на веб-ресурсе.
- Перечень персональных данных, которые поддаются сбору. Учтите, что данные и цели сбора должны совпадать. Например, если в цели обозначено только информирование по электронной почте, то берём у пользователя только email и имя.
- Перечень действий по работе с персональными данными: что планируется делать с полученной информацией. По закону, данные можно собирать, записывать, систематизировать, накапливать, хранить, уточнять (обновлять, изменять), извлекать, использовать, передавать (распространять, предоставлять доступ), обезличивать, блокировать, удалять, уничтожать.
- Срок действия согласия пользователя, а также условия отзыва. Как пользователь может изменить или отозвать согласие на обработку.
- Если в процессе работы с персональными данными принимает участие другое юридическое лицо, в соглашении указывается его наименование и адрес.
Соглашение составляется с соблюдением ФЗ-152. Если какой-то из пунктов будет ему противоречить, документ считается незаконным. В Тильде создали шаблон, чтобы составить пользовательское соглашение. Вбиваете нужную информацию, а на выходе получаете готовый документ для сайта.
Примеры соглашений об обработке персональных данных:
Политика М.Видео в отношении работы с персональными данными
Политика конфиденциальности «Т—Ж»
Пользовательское соглашение и Политика конфиденциальности «Манн, Иванов и Фербер»
Политика использования файлов cookies на сайте BMW
Разместите соглашение на сайте в общем доступе. Когда соглашение будет готово, разместите его на сайте. Обычно это делается ссылкой в подвале в виде отдельного документа и в каждой форме, где вы собираете персональные данные.
Правила работы компании с персональными данными размещаются в подвале сайта и гиперссылкой во всех формах
Разместите уведомление о сборе cookies и данных незарегистрированных пользователей. Cookies — служебная информация о поведении пользователей на сайте. Ее расценивают как персональные данные. Если у вас установлены системы аналитики сайта, следует предупредить всех новых пользователей, что вы собираете их данные: тип устройства, геоположение, браузер, IP-адрес.
Порядок работы с cookies пользователей можно добавить к соглашению.
Пример уведомления о сборе cookies на сайте detmir.ru
Некоторые компании используют довольно нестандартные решения, чтобы рассказать о сборе cookies
Добавьте в каждую форму на сайте пустой чек-бокс для согласия на передачу данных. Любая форма, включающая пользовательскую информацию, должна содержать похожий текст: «Нажимая на кнопку, вы подтверждаете согласие на обработку персональных данных». Текст также должен содержать ссылку на документ, где вы описываете порядок работы с персональными данными. Такой документ может называться «Политика конфиденциальной информации», «Пользовательское соглашение» или «Оферта» — с юридической точки зрения разницы нет. Все эти документы регулируют обработку персональных данных пользователей.
Размещая чекбокс о согласии, вы исполняете требования закона ФЗ-152. Галочка не должна быть предзаполненной, чтобы пользователь осознанно дал своё согласие
Настройте работу с персональными данными внутри компании. Если сайт принадлежит компании, следует:
- ознакомить сотрудников с правилами работы с персональными данными и взять подписи об их неразглашении;
- подписывать соглашения при передаче данных третьим лицам, например с рекламными агентствами;
- добавить пункты о согласии на обработку персональных данных в договоры с физическими лицами;
- не игнорировать запросы пользователей об изменении данных или отказе от согласия.
Обычно пользователи хотят отозвать согласие, если компания нарушает обязательства по работе с персональными данными. Например, вы поделились базой подписчиков с партнёрской компанией и она отправила им письма.
Заявление делается в свободной форме и направляется по электронному адресу компании. Если вы получили такое письмо, выполнить требования следует в течение 30 дней. Когда вы обработаете запрос, напишите пользователю ответное сообщение.
Локализуйте хостинг и хранение информации на российских ресурсах. Роскомнадзор запрещает компаниям хранить персональные данные в зарубежных дата-центрах и облачных системах. Уточните у своего хостинга готовые решения на такой случай или выберите другого провайдера с местными дата-центрами.
Чеклист: как проверить сайт на соответствие ФЗ-152
✅ В подвале сайта размещена ссылка на «Соглашение о работе с персональными данными». Соглашение актуально и включает обязательные пункты.
✅ В каждой форме подписки есть чек-бокс о согласии пользователя.
✅ В каждой форме подписки есть ссылка на «Соглашение о работе с персональными данными».
✅ Новый пользователь сайта получает уведомление о сборе персональных данных через cookies.
ЭКСКЛЮЗИВЫ ⚡️
Читайте только в блоге
Unisender
Поделиться
СВЕЖИЕ СТАТЬИ
Другие материалы из этой рубрики
Не пропускайте новые статьи
Подписывайтесь на соцсети
Делимся новостями и свежими статьями, рассказываем о новинках сервиса
«Честно» — авторская рассылка от редакции Unisender
Искренние письма о работе и жизни. Свежие статьи из блога. Эксклюзивные кейсы
и интервью с экспертами диджитала.
Относительно недавно в России был введен в оборот новый документ под названием «Согласие на обработку персональных данных». Очень быстро он получил повсеместное распространение и на данный момент широко используется в самых разных организациях, начиная от государственных бюджетных учреждений и до коммерческих компаний.
ФАЙЛЫ
Скачать пустой бланк согласия на обработку персональных данных .docСкачать образец согласия на обработку персональных данных .doc
Что собой представляет согласие
Согласие на обработку персональных данных – это письменное разрешение гражданина Российской Федерации, которое он дает заинтересованной стороне на получение, сбор, хранение и использование персональных сведений о себе.
Также документ гарантирует человеку то, что информация о нем будет применяться для строго определенных целей и будет защищена от неправомерных действий.
Когда чаще всего требуется согласие
Сейчас согласие необходимо писать почти повсеместно:
- при подаче документов на ребенка в садик или школу;
- при трудоустройстве;
- при заключении договора с банком, страховой компанией и т.д.
Иными словами, везде, где гражданин предоставляет свои личные документы или документы лица, представителем которого он является, заполняет различного рода тесты и анкеты, он подписывается такое согласие.
Что вкладывается в термин «персональные данные»
Закон четко определяет это понятие: под персональными данными понимается вся информация, которая напрямую относится к человеку, как к физическому лицу. Это:
- фамилия, имя, отчество;
- дата и место рождения;
- сведения из паспорта, трудовой книжки и прочих документов;
- а также некоторые характеристики его личности.
При этом следует отметить, что согласие на обработку персональных данных требуется даже несмотря на то, что далеко не все эти сведения имеют характер конфиденциальных и закрытых.
В частности их условно можно поделить на три основных вида:
- общедоступные данные (ФИО, пол, дата, место рождения, гражданство и т.п.)
- биометрические (физиологические особенности индивида, его внешние параметры)
- специальные (народность, религия, здоровье и т.д.). Сюда же в некоторой степени относится и информация о месте работы человека, его отношениях с законодательством, привычках и т.п.
По закону, согласие на обработку персональных действий строго необходимо только тогда, когда оно касается двух последних из вышеназванных категорий, однако зачастую оно пишется и в отношении той информации, которая имеет позицию общедоступной.
Для чего формируется согласие на обработку при трудоустройстве
Когда человек устраивается на работу, он дает представителю работодателя свои личные документы: паспорт, трудовую книжку, СНИЛС, свидетельство об образовании, медкнижку, военный билет и т.д. Как только эти бумаги попадают на стол специалиста по кадрам, они получают статус конфиденциальных (что обеспечивается статьей 14 Трудового Кодекса РФ), поэтому для их дальнейшего использования (а без этого в кадровом делопроизводстве никак не обойтись), необходимо заручиться письменным согласием работника (п. 8 ст. 65 ТК РФ).
В этом документе должно быть подробно расписано, как, с какой целью и какие конкретно сведения из персональных данных будут применяться, обрабатываться и храниться.
Следует отметить, что по закону, вся персональная информация, предоставленная работодателю, может использоваться только в служебных целях.
Если сотрудник отказывается подписывать согласие
Законодательство РФ однозначно говорит о том, что согласие должно быть только и исключительно добровольным, то есть работодатель не имеет права принудить подчиненного подписать данный документ, поэтому в практике кадровых специалистов встречаются люди, которые отказываются подписывать согласие на обработку персональных данных.
Обычно это бывает вызвано тем, что они не понимают истинного назначения документа: защитить права работника, а напротив, опасаются, что личные сведения о них попадут в руки недобросовестных граждан.
В этих случаях закон допускает обработку персональных данных без согласия работника, но только тогда, когда это нужно для реализации условий и целей ранее заключенного трудового договора.
Здесь отдельно следует акцентировать внимание на том, что это касается только тех сотрудников организации, которые уже зачислены в ее штат, а вот в отношении новых работников согласие на обработку персональных данных получить необходимо – без него в большинстве случаев человека на сегодняшний день даже невозможно принять на работу. Связано это с тем, что между сторонами еще не заключен трудовой договор, а значит, у работодателя еще нет и обязанности его исполнять.
Логично, что администрация предприятия стремится избежать ситуаций, когда, например, даже в таких мелочах, как выписка пропуска на территорию компании, отсутствие согласия на обработку персональных данных может сыграть свою негативную роль.
Что грозит за разглашение персональных данных
Как уже говорилось выше, действия, которые работодатель может совершать с персональными данными работников, четко прописываются в тексте согласия.
Если полномочия в какой-то степени превышаются, а, тем более, если происходит какое-то злоупотребление, ответственность может наступить самая серьезная: начиная от дисциплинарной и административной, вплоть до уголовной.
Для того, чтобы сотрудник имел четкое представление о том, не выходит ли запрашиваемая у него информация за рамки нужной по закону или не превышаются ли полномочия работников предприятия по тексту согласия, следует заранее проанализировать документ (возможно даже воспользовавшись помощью квалифицированного юриста) и только тогда ставить под согласием свою подпись.
В частности, данные о том, отбывал ли гражданин срок в местах лишения свободы, нужна только тогда, когда должность, на которую он претендует, напрямую требует отсутствия судимости (иными словами, если соискатель хочет работать менеджером по рекламе, такие данные он имеет право не предоставлять).
Как уведомить
Законодательство гласит о том, что представители организаций должны извещать Роскомнадзор об обработке поступивших в их распоряжение всех персональных данных (статья 22 закона № 152-ФЗ). Посмотреть, исполняет ли работодатель эту норму закона можно на сайте данной госструктуры.
Можно ли отозвать согласие
Обычно действие с согласием на обработку персональных данных происходит так: устраиваясь на работу, человек подписывает документ, после чего благополучно о нем забывает. Но в некоторых случаях, возникает необходимость об отзыве ранее подписанного согласия. Как правило, это бывает, когда работодатель нарушает условия хранения, использования и обеспечения закрытости поступившей в его распоряжение информации, а также при увольнении.
Для того, чтобы оформить отзыв достаточно всего лишь написать заявление в свободной форме, потребовать в нем прекратить сбор, обработку, использование, хранение персональных данных и уничтожить всю информацию о подчиненном (сослаться надо на закон № 152-ФЗ: п. 1 ст. 9 и п. 5 ст. 22).
Это требование должно быть выполнено не позже чем через месяц после написания отзыва.
Образец согласия
Согласие пишется в произвольной форме или по шаблону, который разработан и утвержден внутри организации. При этом в бланке обязательно должны быть следующие данные:
- наименование компании-работодателя;
- место и дата составления документа;
- фамилия, имя, отчество работника, его паспортные данные и сведения о месте жительства.
Далее в основной части подробно указывается:
- каких именно персональных данных касается документ;
- в каких целях и что именно допустимо с ними делать;
- срок действия согласия и возможность его отзыва (хотя это итак гарантировано законодательством).
Обязательно следует поставить отметку о том, что согласие написано без принуждения и в добровольном порядке. После того этого под документом ставится подпись.
СОГЛАСИЕ
НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
г. Иваново
03.08.2018 г.
Я, Ковтун Инна Олеговна, паспорт 2495 564738, выдан Ленинским РОВД г. Иваново, адрес регистрации: г. Иваново, ул. Мельничная д.73, кв. 8, даю свое согласие ОАО «КомЖилФонд» на обработку моих персональных данных. Согласие касается фамилии, имени, отчества, данных о поле, дате рождении, гражданстве, типе документа, удостоверяющем личность (его серии, номере, дате и месте выдачи), а также сведений из трудовой книжки: опыте работы, месте работы и должности.
Я даю согласие на использование персональных данных исключительно в целях формирования кадрового документооборота предприятия, бухгалтерских операций и налоговых отчислений, а также на хранение всех вышеназванных данных на электронных носителях. Также данным согласием я разрешаю сбор моих персональных данных, их хранение, систематизацию, обновление, использование (в т.ч. передачу третьим лицам для обмена информацией), а также осуществление любых иных действий, предусмотренных действующим законом Российской Федерации.
До моего сведения доведено, что ОАО «КомЖилФонд» гарантирует обработку моих персональных данных в соответствии с действующим законодательством Российской Федерации. Срок действия данного согласия не ограничен. Согласие может быть отозвано в любой момент по моему письменному заявлению.
Подтверждаю, что давая согласие я действую без принуждения, по собственной воле и в своих интересах.
Ковтун И.О. (подпись)
Согласие на обработку персональных данных — бланк 2022-2023 годов, который можно использовать для заполнения, мы приводим в нашей статье. Иметь такой документ необходимо лицу, получившему персональные сведения. Персональная информация о конкретном человеке не относится к общедоступной, поэтому одновременно с ее передачей этот человек должен разрешить и работу с ней.
Как составить согласие на обработку персональных данных, смотрите в нашем видео:
Для чего нужно письменное согласие работника на обработку его данных
Получение письменного согласия человека на обработку его персональных данных становится необходимо юридическому или физлицу, которое получает доступ к этим данным. Основные вопросы, связанные с персональными сведениями о человеке, регулируются законом «О персональных данных» от 27.07.2006 № 152-ФЗ. В их число входит:
- определение круга сведений, являющихся персональными;
- установление условий обработки, хранения и уничтожения данных их получателем;
- описание ситуаций, как требующих, так и не требующих согласия лица на обработку сведений о нем;
- перечисление прав носителя персональных данных на ознакомление с результатами их обработки;
- определение ответственности лиц, разгласивших персональную информацию.
Наиболее частым случаем получения и обработки персональной информации о человеке является сбор и анализ работодателем сведений о своем работнике (уже работающем или вновь принимаемом на работу).
Узнайте об особенностях обработки персональных данных сотрудников из тематической публикации, размещенной в системе «КонсультантПлюс». Получите пробный доступ к ней бесплатно.
Персональные данные без штрафов
Время прохождения около 5 мин.
Пройти тест
Помимо общедоступных сведений, к которым закон № 152-ФЗ относит данные о Ф. И. О., принадлежности к определенному полу, дате рождения, работодателю оказывается нужна и иная информация, содержащаяся в документах, предъявляемых при трудоустройстве (ст. 65 ТК РФ):
- в удостоверении личности (паспорте);
- трудовой книжке;
- свидетельстве ПФР;
- документах об обучении;
- документах воинского учета;
- дополнительных справках (в частности, об отсутствии судимости) или документах, наличие которых является условием приема на определенную работу.
Сбор и обработка таких данных требуют от работодателя получения предварительного письменного согласия работника на эти действия (п. 1 ст. 9 закона № 152-ФЗ). Согласие является добровольным и может быть отозвано работником.
Если предприятие оказывает услуги клиентам, то с 1 сентября 2022 года оно будет не вправе отказывать в заключении договора потребителю, не желающему предоставлять личную информацию фирме.
Есть и исключения из данного правила. Подробнее — здесь.
Кроме того, с 1 сентября 2022 года необходимо уведомлять Роскомнадзор о необходимости включения организации или ИП в реестр операторов персональных данных, если эта организация или ИП собираются такие данные обрабатывать. Несложно сообразить, что любая организация и ИП с работниками персональные данные обрабатывают, принимая на работу сотрудников. То есть с 1 сентября 2022 года уведомить Роскомнадзор должно буквально каждое юрлицо и многие ИП. Раньше в законе были установлены исключения — при обработке персональных данных только в рамках трудового законодательства уведомлять никого не надо было. С 1 сентября 2022 года данное исключение убрали.
Уведомить следует по определенной форме, отправив ее по почте или же через официальный сайт Роскомнадзора при наличии ЭЦП. Делать это следует до начала обработки персональных данных. Изначально была информация о том, действующие фирмы отправляют уведомление строго до 1 сентября. Но потом Роскомнадзор уточнил, что сделать это можно и позже.
Подробнее о новшестве с уведомлением рассказали эксперты КонсультантПлюс. Оформите пробный доступ к системе и переходите в Обзор ситуации. Это бесплатно.
О том, что еще понадобится сделать при заключении трудового договора, читайте в статье «Порядок заключения трудового договора (нюансы)».
Об ответственности за разглашение персональных данных читайте здесь.
Что входит в содержание заявления о согласии
Перечень основных моментов, которые должны быть отражены в документе, закрепляющем согласие на обработку персональных данных, содержится в п. 4 ст. 9 закона № 152-ФЗ. Это:
- информация о лице, разрешающем обработку данных (Ф.И.О., данные паспорта), или его представителе (для него дополнительно понадобится документ, удостоверяющий его полномочия);
- данные о получателе персональной информации (наименование или Ф.И.О., адрес);
- определение цели, с которой предоставляются данные;
- перечень сведений, которые подлежат обработке;
- способы обработки данных, в т. ч. указание на иное лицо, которое будет выполнять обработку, если есть намерение привлечь его к этому;
- срок действия согласия или способ его отзыва;
- собственноручная подпись лица, дающего разрешение.
Об основных принципах оформления документа, удостоверяющего полномочия представителя, читайте в статье «Доверенность на получение заработной платы — образец».
Требования к хранению и защите персональных данных подробно изложены в Путеводителе по персональным данным работников системы «КонсультантПлюс». Получите бесплатный пробный доступ к системе прямо сейчас.
Документ о согласии 2022-2023 годов: форма и образец
Бланк согласия на обработку персональных данных не имеет законодательно утвержденной формы. При его оформлении нужно только соблюсти обязательность включения в него сведений, предусмотренных п. 4 ст. 9 закона № 152-ФЗ. Каждый получатель персональной информации может разработать форму согласия самостоятельно, отразив в ней необходимый ему перечень сведений и особенности их обработки.
С одним из образцов согласия на обработку персональных данных можно ознакомиться на нашем сайте:
Скачать образец согласия на обработку персональных данных
Альтернативный вариант согласия работника на обработку персональных данных разработан экспертами «КонсультантПлюс». Получите бесплатный пробный доступ к системе и переходите к образцу.
Важнейший внутрикорпоративный документ на современном предприятии — положение о персональных данных. Ознакомьтесь в тематической публикации со спецификой его составления и применения.
Итоги
Согласно действующему законодательству обработка большей части персональных данных о человеке должна осуществляться с его письменного согласия. Определенной формы у документа, содержащего такое согласие, не имеется, однако установлен перечень обязательной информации, которая должна быть включена в него. Итоговый перечень необходимых персональных данных разрабатывает получатель этих сведений.
Чтобы работать с личной информацией граждан в большинстве случаев нужно брать у них согласие на обработку персональных данных (ПД), а на распространение ПД оформлять отдельный документ. С 1 сентября 2022 года требования закона о персональных данных в этой части изменились. Рассказываем, как правильно оформить согласие гражданина на действия с его ПД.
Что должно быть в согласии на обработку персональных данных
При подготовке бланка нужно учитывать, что в законе от 27.07.2006 № 152-ФЗ «О защите персональных данных» вся обработка личной информации граждан привязана к целям, которые бывают двух видов:
- исполнение требований законодательства. Например, работодатель обязан включать данные сотрудника в кадровую отчётность;
- выполнение оператором обязательств перед физическим лицом в рамках своей предпринимательской деятельности. Например, интернет-магазин собирает личные данные покупателей, чтобы оформить покупку и организовать доставку товара клиенту.
Оператор не может собирать персональные данные, которые не относятся к конкретным целям или избыточны по отношению к ним. Например, интернет-магазин может запрашивать Ф.И.О. покупателя, телефон, адрес доставки, паспортные и платёжные данные для оформления доставки. А вот адрес страницы в социальных сетях клиента и сведения о составе его семьи будут уже избыточными.
Ещё одно правило: одна цель — одно согласие. Это следует из п. 4 ч. 4 ст. 9 закона № 152-ФЗ. Это не значит, что нужно оформлять столько бланков согласий, сколько у оператора целей обработки. Их можно включить в один документ, но для каждой цели отдельно прописать перечень ПД, действия с ними и получить на них подпись субъекта ПД, либо другое выражение его доброй воли — хоть галочку или крестик. Из документа должно быть понятно, что субъект согласился с каждой целью.
Цели в одном согласии должны быть совместимы между собой. Если оператор запрашивает разрешение клиента на обработку ПД для выполнения обязательств перед ним по договору, нельзя включать туда же разрешение на рассылку рекламных материалов для продвижения компании на рынке.
Что должно быть в согласии на обработку персональных данных:
- Ф.И.О., адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи и выдавшем органе.
- Ф.И.О., адрес представителя субъекта ПД, номер основного документа, удостоверяющего его личность, сведения о дате выдачи и выдавшем органе, реквизиты доверенности или иного документа, подтверждающего полномочия представителя (при получении согласия от представителя).
- Наименование или Ф.И.О. и адрес оператора, получающего согласие субъекта ПД.
- Цель обработки персональных данных.
- Перечень данных, на обработку которых дается согласие.
- Наименование или Ф.И.О. и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу.
- Перечень действий с ПД, на совершение которых дается согласие, общее описание используемых оператором способов обработки ПД.
- Срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом.
- Подпись субъекта ПД.
Утверждённого бланка согласия на обработку ПД нет. Каждый оператор разрабатывает и использует свою форму. Не рекомендуем скачивать образцы из интернета, поскольку они не адаптированы под деятельность конкретной компании и могут не учитывать все её цели. Также есть риск, что они не актуальны.
Подарок для наших читателей — практическое пособие по подготовке отчётности в ПФР, ФСС и ИФНС в 2022 году от экспертов интернет-бухгалтерии «Моё дело». 62 страницы подробнейших инструкций с примерами заполнения форм.
Отчётность в ИФНС, ПФР и ФСС в 2022 году
практическое пособие для работодателя
Получите бесплатно 62 страницы экспертного контента!
Оставьте заявку в форме ниже, и мы вышлем вам запись
Как оформить согласие на обработку персональных данных
Разрешение на обработку персональных может быть получено любым способом, который подтверждает его получение. Например, если гражданин записал его на диктофон — это законно, если по записи можно точно идентифицировать личность.
Но в ряде случаев закон № 152-ФЗ требует, чтобы согласие было оформлено именно в письменном виде. Например, на обработку биометрических персональных данных. Исключения, когда согласие на обработку не нужно, указаны в самом законе о ПД: пп. 2-11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2. ст. 11.
Например, проводить видеосъёмку посетителей торгового центра как места массового пребывания людей законно без их согласия. Это делается в целях антитеррористической защищённости и охраны правопорядка. А вот устанавливать видеокамеры в рабочих кабинетах без разрешения сотрудников незаконно.
Письменное согласие на обработку ПД можно оформить на бумаге или в электронном виде. Цифровой документ признаётся равнозначным документу с личной подписью гражданина, если он подписан электронной подписью, соответствующей требованиям закона.
В законе не написано, какой именно вид электронной подписи нужен, поэтому гражданин может подписать его простой электронной подписью. Но оператор должен доказать, что согласие получено именно от субъекта ПД. Поэтому целесообразно определить локальным актом, какой подписью подписывать электронные согласия на обработку ПД и как проверять их подлинность.
Когда согласие на обработку персональных данных не нужно
В законе о защите персональных данных есть три статьи, в которых перечислены случаи обработки ПД оператором без согласия гражданина:
- пп. 2-11 ч. 1 ст. 6. Например, согласие не нужно, если персональные данные используются в судебном деле, где физлицо участвует в качестве одной из сторон;
- ч. 2 ст. 10— в отношении специальных ПД. Например, не нужно письменное согласие гражданина на обработку сведений о его национальности в рамках Всероссийской переписи населения;
- ч. 2. ст. 11 — в отношении биометрических ПД. Например, без письменного согласия гражданина проводят обязательную государственную дактилоскопическую регистрацию.
Оператор имеет право поручить обработку персональных данных другому лицу с согласия субъекта ПД. Это может быть физлицо или компания. Тогда третьему лицу не нужно получать согласие субъекта ПД на обработку его личной информации.
Ответственность перед субъектом несёт оператор, если обработка поручена российскому физическому лицу или компании. Если иностранному лицу, то оно отвечает перед гражданином вместе с оператором за соблюдение его прав при действиях с ПД.
Как составить согласие на распространение персональных данных
Распространение ПД — это их передача неограниченному кругу лиц. Например, компания указывает на своём сайте Ф.И.О., должности, e-mail и номера мобильных телефонов некоторых сотрудников. Или публикует отзыв клиента с его фотографией, Ф.И.О., ссылкой на профиль в социальных сетях.
На все случаи распространения персональных данных нужно оформлять отдельное согласие. Молчание или бездействие гражданина ни при каких обстоятельствах не считаются разрешением на обработку ПД для распространения. Например, если работник не потребовал убрать с сайта номер своего мобильного телефона, ещё не означает, что он согласился его предоставить всем посетителям сайта.
Требования к составу сведений в согласии на распространение приведены в приложении к приказу Роскомнадзора от 24.02.2021 № 18:
- Ф.И.О. субъекта персональных данных.
- Контактная информация (номер телефона, адрес электронной почты или почтовый адрес субъекта персональных данных).
- Сведения об операторе-организации — наименование, адрес в ЕГРЮЛ, ИНН, основной государственный регистрационный номер (если он известен субъекту персональных данных). Сведения об операторе-физическом лице — Ф.И.О., место жительства или место пребывания. Сведения об операторе-гражданине, являющимся ИП — Ф.И.О., ИНН, основной государственный регистрационный номер (если он известен субъекту персональных данных).
- Сведения об информационных ресурсах оператора (адрес, состоящий из наименования протокола (http или https), сервера (www), домена, имени каталога на сервере и имя файла веб-страницы), посредством которых будут осуществляться предоставление доступа неограниченному кругу лиц и иные действия с персональными данными субъекта персональных данных.
- Цель (цели) обработки ПД.
- Категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных: персональные данные (Ф.И.О.), год, месяц, дата рождения, место рождения, адрес, семейное положение, образование, профессия, социальное положение, доходы, другая информация, относящаяся к субъекту персональных данных); специальные категории ПД (расовая, национальная принадлежности, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимной жизни, сведения о судимости); биометрические персональные данные.
- Категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов (заполняется по желанию субъекта ПД).
- Условия, при которых полученные персональные данные могут передаваться только сотрудникам оператора, либо передаваться свободно с использованием информационно-телекоммуникационных сетей, либо вообще не передаваться (заполняется по желанию субъекта персональных данных).
- Срок действия согласия.
Оператор может разработать бланк разрешения на распространение персональных данных самостоятельно или использовать специальный сервис Роскомнадзора. Для пользования им нужна подтверждённая учётная запись на портале Госуслуг. Оператор формирует макет согласия на портале и может отправить его на проверку в Роскомнадзор. Так он обезопасит себя от возможных нарушений.
Типичные ошибки, которые допускают операторы при работе с персональными данными
Ситуации, которые Роскомнадзор считает за нарушения при получении согласия на обработку персональных данных:
- не получают согласие субъекта ПД, хотя по закону обязаны;
- указывают не все сведения по ст. 9 закона № 152-ФЗ или приказу № 18;
- в согласие на обработку включают согласие на распространение, не соблюдая требования приказа № 18;
- в одном документе берут разрешение на несовместимые цели. Например, для оказания услуги по проведению анализа крови и для целей направления информации о новых услугах клиники;
- получают согласие от неуполномоченного представителя субъекта ПД. Например, на ребёнка согласие заполняет его бабушка, а не родитель.
За такие нарушения оператор может получить штраф по п. 2 ст. 13.11 КоАП РФ: от 30 000 до 150 000 рублей для юридических лиц.
Моё дело Бюро
Справочно-правовая система для бухгалтеров, юристов, кадровиков и профессиональный консалтинг
Моё дело
Интернет-бухгалтерия
#статьи
- 30 сен 2021
-
0
Вы собираете имейлы или телефоны клиентов — вы оператор персональных данных. Разбираемся, как не нарушить закон.
Polina Vari для Skillbox Media
Обозреватель Skillbox Media, отраслевой журналист. Работала с TexTerra, SMMplanner, «Нетологией», «ПланФактом», Semantica. Написала больше 60 текстов для рекламных кампаний в «Дзене». Вела нишевой канал на YouTube.
Управляющий RTM Group, эксперт в области IT-права и кибербезопасности. 15 лет в сфере защиты информации, из них более 10 лет — на руководящих позициях в крупных компаниях отрасли, включая Leta IT-Company и Swivel Secure. В 2018 году основал и возглавил группу компаний RTM Group, специализирующуюся на IT-праве, судебных компьютерных экспертизах и аудите в области ИБ и ИТ.
Сайт: RTM Group
- Что такое персональные данные
- Уведомление Роскомнадзора
- Необходимые документы и их шаблоны
- Согласие на обработку персональных данных
- Ответственность за нарушение закона
Понятие персональных данных и правила их обработки содержатся в федеральном законе №152-ФЗ «О персональных данных». Согласно ему, персональные данные — это «любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных)».
Это могут быть:
- фамилия, имя, отчество;
- мобильный телефон;
- электронная почта;
- адрес проживания;
- фотография;
- паспортные данные;
- другие сведения, позволяющие идентифицировать человека.
Когда вы начинаете обрабатывать такие сведения, то становитесь оператором персональных данных. Под обработкой закон понимает любые действия: сбор, запись, систематизацию, накопление, хранение, — вплоть до уничтожения. Полный список можно посмотреть в этой статье.
Почти все компании в России — операторы персональных данных, потому что обрабатывают хотя бы сведения о сотрудниках. Также операторами становятся все, кто обрабатывает сведения о клиентах. Вот несколько типовых ситуаций:
- Пользователи оставляют имя и email, чтобы подписаться на новостную рассылку.
- Потенциальный покупатель заполнил заявку на бесплатный тест-драйв в автосалоне и указал имя и номер телефона.
- Клиент оформил заказ на маркетплейсе и указал там номер банковской карты, адрес и Ф. И. О.
В тот момент, когда вы начинаете обработку персональных данных, запускается и механизм ответственности. Вы становитесь оператором со всеми последствиями.
О чём необходимо помнить операторам, когда они обрабатывают персональные данные граждан? Нужно определить цель и сроки обработки ПДн, содержание, объём, перечень и категории обрабатываемых данных, заручиться согласием субъекта. Ниже мы разберём подробнее, какие требования законодательства нужно выполнить.
Просто так начать обрабатывать персональные данные нельзя. До старта нужно уведомить Роскомнадзор. Только компании и учреждения, которые вели эту деятельность до выхода соответствующего закона, могут регистрироваться по факту. Другими словами, они могут уведомлять ведомство уже после того, как начали обработку.
Перед подачей заявления нужно подготовиться:
- Разработать пакет необходимых документов — например, положение об обработке персональных данных и приказы о назначении ответственных. Мы разбираем документы в специальном разделе.
- Выполнить ряд организационных и технических мер, в том числе ограничить доступ в помещения, установить пароли.
Уже после этого можно регистрироваться. Роскомнадзор разработал форму уведомления для всех, кто будет обрабатывать персональные данные. Есть три способа подать уведомление:
- заполнить, распечатать и отправить в местное отделение Роскомнадзора;
- заполнить, подписать и отправить в электронной форме на сайте Роскомнадзора;
- заполнить форму и направить её ведомству на «Госуслугах», если у вас есть подтверждённая учётная запись. Если хотите подать уведомление от имени компании, ваша учётная запись должна быть привязана к организации на портале «Госуслуг».
Регулятор вносит сведения в реестр операторов персональных данных в течение 30 дней с даты поступления уведомления. Когда вы начнёте обрабатывать данные и потребуются какие-либо изменения, нужно будет сообщить о них Роскомнадзору. Также нужно будет уведомить, если вы прекратите собирать и обрабатывать данные.
Можно ли обойтись без регистрации в Роскомнадзоре? Можно, но в редких случаях — они описаны в статье 22 №152-ФЗ. В основном это прямые договоры с клиентами, когда вы никому не передаёте информацию о клиентах, а также не предоставляете им дополнительных услуг. Ещё можно обойтись без уведомления, если вы:
- обрабатываете данные сотрудников по ТК РФ;
- используете только Ф. И. О.;
- выдаёте разовый пропуск на территорию.
Но всё это — только если правоотношения строятся «в чистом виде», что на практике практически невозможно. Например, работодатель наверняка имеет зарплатный проект и передаёт сведения в банк.
Если у вас есть хотя бы небольшие сомнения, лучше спросить регулятора о вашем конкретном случае, чем в одностороннем порядке решить, что предписания к вам не относятся.
Случай из практики. Автосалон не зарегистрировали в качестве оператора персональных данных. Руководители организации решили, что организация подпадает под исключения из части 2 статьи 22 152-ФЗ. Все случаи обработки персональных данных, решили они, — это исключения: автосалон выдаёт разовые пропуска, заключает договоры купли-продажи авто и обрабатывает сведения о работниках.
Организация сообщила об этом в Роскомнадзор информационным письмом. В ответ регулятор разъяснил, что пройти процедуру придётся. Аргументы Роскомнадзора были такими:
- Когда салон продаёт автомобиль, в том числе конкретному клиенту, он взаимодействует с дилерами.
- Организация предоставляет услуги по гарантийному и техническому обслуживанию транспортных средств.
- Салон выступает посредником при продаже услуг страхования.
- Компания предлагает тест-драйв авто, собирая персональные данные в заявках, без договора.
Поскольку салон оказывает сопутствующие и посреднические услуги, ему пришлось зарегистрироваться в качестве оператора.
Правильно разработанная юридическая документация поможет свести к минимуму риск, что компанию обвинят в нарушении законодательства о персональных данных. Список необходимых документов включает:
- Политику конфиденциальности.
- Правила работы с персональными данными.
- Согласие на обработку персональных данных.
- Обязательство о неразглашении персональных данных.
В разделе мы расскажем об этих документах подробнее.
Политика конфиденциальности и правила работы с персональными данными. В документах многих компаний содержится одна и та же ошибка: правила работы с персональными данными они называют политикой конфиденциальности. Однако это разные документы.
Правила работы с персональными данными должны содержать то, что рекомендует Роскомнадзор и требует 152-ФЗ. Политика конфиденциальности шире: документ описывает работу со всей конфиденциальной информацией, в том числе с персональными данными. В политику добавляют то, что нужно защитить дополнительно. Например, это договоры, переписка с клиентами и партнёрами, внутренняя документация.
Два документа можно объединить в один, это не противоречит законодательству. Когда пользователи регистрируются на сайте, их нужно познакомить с политикой конфиденциальности и правилами работы с персональными данными до процедуры регистрации.
Согласие на обработку персональных данных. Форма, которую должен заполнять субъект персональных данных. В ней обязательно должны быть сведения об информационных ресурсах оператора. Это адрес, состоящий из наименования протокола (http или https), сервера (www), домена, имени каталога на сервере и имени файла веб-страницы. Нужно указать адреса всех сайтов, которые будут обрабатывать сведения о пользователях.
Согласие должно быть написано чёткими и ясными фразами, чтобы пользователь понял, кому и в каких случаях вы можете передавать его данные. Ошибкой будет написать что-то вроде «Пользователь ознакомлен и согласен с тем, что передача его персональных данных может осуществляться маркетплейсом в объёме, необходимом для получения Пользователем доступа к Платформе, любым третьим лицам, в том числе осуществляющим техническое обслуживание сайта и поддержку Пользователя».
Если собираете данные только в интернете, достаточно прописать в политике конфиденциальности случаи, в которых пользователь выражает согласие на обработку. Например, если он заполняет чекбокс.
Обязательство о неразглашении персональных данных. Документ обязывает работников не разглашать персональные данные, полученные компанией. Его должны подписывать все сотрудники, у которых есть доступ к сведениям о клиентах.
Приказ о назначении ответственного за работу с персональными данными. Внутренний документ. Его не нужно нигде публиковать, но Роскомнадзор может попросить его при проверке. Как правило, ответственным назначают IT-специалиста или сотрудника службы безопасности.
Важно! Если на сайте можно зарегистрироваться, нужно знакомить пользователей с политикой конфиденциальности и получать согласие на обработку персональных данных перед тем, как он отправит анкетные сведения.
Когда клиент подписался на новостную рассылку на сайте, оформил заказ на маркетплейсе или оставил заявку на тест-драйв авто, он сообщил как минимум своё имя, номер телефона или email. Это основание запросить и получить согласие на обработку персональных данных.
Пользователь должен принять решение о предоставлении данных свободно и по своей воле. В подтверждение он должен подписать официальное согласие на обработку такой информации.
Законодательство не предполагает конклюдентного подтверждения: то есть пользователь не может дать согласие, выполнив определённые действия. Нельзя прописать в политике, что клиент выражает согласие на обработку его данных, заполняя форму для заказа в интернет-магазине.
Получить согласие на обработку можно в любой форме, позволяющей подтвердить факт его получения. Например, чекбоксом — пунктом, в котором пользователь должен поставить галочку. Предустанавливать её нельзя: субъект персональных данных должен сам выразить согласие. Разместить чекбокс нужно во всех формах, в которых собирают персональные данные.
Также можно поместить уведомление о согласии на обработку рядом с кнопкой. Нажав на неё, пользователь согласится с тем, что вы будете обрабатывать его данные. Часто веб-сервисы собирают разрешения в личных кабинетах, где пользователи также проставляют метки в специальных формах.
Важно! Если собираете биометрические данные (фото пользователей или аудио с их голосом), нужно получать только письменное согласие на обработку персональных данных. Чекбокс не подойдёт.
В любой момент пользователь может отозвать согласие на обработку персональных данных. Тогда вы должны будете прекратить обрабатывать их, то есть удалить.
Бывают ли случаи, когда не нужно брать согласие на обработку персональных данных? Бывают, но их мало. Закон разрешает не брать согласие, если «обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора».
Не забывайте получать согласие на обработку персональных данных, даже если это кажется избыточным. Самые частые нарушения, за которые штрафуют операторов: компании обрабатывали данные без согласия владельцев или объём запрошенных данных не соответствовал целям обработки. Эти нарушения приводят не только к штрафам, но и к утечкам.
Правомерную обработку персональных данных контролирует Роскомнадзор, иногда это делают также Роструд и ФАС. Ответственность за нарушения в этой сфере год за годом ужесточается. Подробнее о видах ответственности читайте здесь.
По статье 13.11 КоАП РФ Роскомнадзор может возбудить дело об административном правонарушении и наложить штраф:
- для граждан — от 700 до 100 000 рублей;
- для должностных лиц — от 3000 до 800 000 рублей;
- для индивидуальных предпринимателей — от 5000 до 20 000 рублей;
- для юридических лиц — от 15 000 до 18 000 000 рублей.
Риск привлечения к ответственности и размер штрафа не зависят от масштабов компании. Главное — характер и злостность нарушения.
Кейс. Роскомнадзор выявил нарушения на интернет-ресурсе, принадлежащем французскому регистратору доменов Gandi SAS. Когда клиент проставлял галочку о согласии на обработку персональных данных, он не получал информации об операторе.
Кроме того, компания обрабатывала личные сведения граждан России на территории США с нарушением требований 152-ФЗ. Согласно пункту 5 статьи 18 152-ФЗ, при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», оператор обязан обеспечить обработку персональных данных с использованием баз данных, находящихся на территории России. У компании также не было политики обработки персональных данных. В результате рассмотрения дела ресурс включили в Реестр нарушителей прав субъектов персональных данных.
Только за 2020 год число заблокированных Роскомнадзором ресурсов превысило 190 тысяч. У регулятора есть широкий список оснований, в соответствии с которыми он может включить ресурс в список нарушителей. Подробный список представлен здесь.
Кроме того, в июле 2021 года вступил в силу 355-ФЗ, который внёс поправки в статью 7 115-ФЗ — закона о борьбе с легализацией доходов и финансированием терроризма.
Согласно новой редакции закона, банки обязаны принимать на обслуживание только те компании, сайт которых работает легитимно. А значит, он не заблокирован, не нарушает правила обработки персональных данных и другие предписания Роскомнадзора. Если есть какие-то нарушения, банк обязан отказать в обслуживании: компания не сможет совершать любые операции по расчётному счёту.
Закон касается не только новых компаний, но и тех, кто давно работает с расчётным счётом. Сфера бизнеса и организационно-правовая форма не имеют значения — никаких исключений нет. Банкам предписано выборочно проверять сайты на соответствие закону и бить тревогу, если выявлены нарушения.
Научитесь: Профессия Директор по маркетингу
Узнать больше