(в ред. Федерального закона от 25.07.2011 N 261-ФЗ)
(см. текст в предыдущей редакции)
1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
(в ред. Федерального закона от 14.07.2022 N 266-ФЗ)
(см. текст в предыдущей редакции)
2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.
3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:
1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
4) цель обработки персональных данных;
5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
9) подпись субъекта персональных данных.
5. Порядок получения в форме электронного документа согласия субъекта персональных данных на обработку его персональных данных в целях предоставления государственных и муниципальных услуг, а также услуг, которые являются необходимыми и обязательными для предоставления государственных и муниципальных услуг, устанавливается Правительством Российской Федерации.
6. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.
7. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
8. Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.
9. Требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, устанавливаются уполномоченным органом по защите прав субъектов персональных данных.
(часть 9 введена Федеральным законом от 30.12.2020 N 519-ФЗ)
Осенью вступает в силу Приказ Роскомнадзора, устанавливающий требования к содержанию согласия на обработку персональных данных, которые субъект данных разрешает распространять. Срок действия приказа — до 1 сентября 2027 года.
Последние значительные изменения в Федеральном законе от 27.07.2006 № 152-ФЗ начали действовать с 1 марта 2021 года. Они были внесены Федеральным законом от 30.12.2020 № 519-ФЗ и затронули вопрос предоставления доступа к данным субъекта через согласие на обработку таких данных. Поправки были инициированы с целью решить проблему бесконтрольного использования персональных данных граждан третьими лицами.
В законе подчеркивается, что согласие на обработку персональных данных, разрешенных для распространения, оформляется отдельно. А молчание или бездействие владельца данных ни при каких обстоятельствах не может восприниматься как согласие на их обработку.
В согласии на обработку данных, разрешенных для распространения, можно установить запреты:
- на их передачу неограниченному кругу лиц;
- на обработку или условия обработки данных неограниченным кругом лиц.
Распространение персональных данных должно быть приостановлено в любое время по требованию субъекта, даже если ранее он дал на это согласие.
В п. 9 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ уточняется, что требования к содержанию согласия на обработку персональных данных, разрешенных для распространения, устанавливаются Роскомнадзором. Эти требования ведомство прописало в Приказе от 24.02.2021 № 18, который вступает в силу с 1 сентября 2021 года.
Требования к сведениям, которые должны быть в согласии
В Приказе приводится перечень обязательных сведений субъекта персональных данных, которые должны содержаться в согласии на обработку:
- ФИО;
- контактная информация (номер телефона, адрес электронной почты или почтовый адрес);
- сведения об операторе-организации;
- сведения об операторе-физическом лице;
- сведения об операторе-гражданине, являющимся ИП;
- сведения об информационных ресурсах оператора, через которые неограниченному кругу лиц предоставляется доступ к данным и производятся иные действия с персональными данными;
- цель обработки персональных данных;
- категории и перечень персональных данных, на обработку которых дается согласие субъекта: персональные данные (ФИО, год, месяц, дата рождения, место рождения, адрес, семейное положение и др.), специальные категории персональных данных и биометрические данные;
- срок действия согласия.
По желанию субъекта персональных данных заполняется следующая информация:
- категории и перечень данных, для обработки которых субъект устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов;
- условия, при которых полученные данные могут передаваться оператором только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных.
Шаблон согласия на обработку ПД, разрешенных для распространения
Роскомнадзор решил помочь бизнесу и разработал специальный конструктор для формирования шаблона согласия. Рекомендуемый документ соответствует всем необходимым требованиям и учитывает особенности деятельности конкретного оператора.
Конструктор создавался с учетом правоприменительной практики и обращений операторов по оформлению согласия на обработку персональных данных, разрешенных для распространения.
Сервис Роскомнадзора предлагает заполнить поля, после этого шаблон рассматривается экспертами ведомства. При необходимости оператору даются рекомендации по доработке документа. Результаты проверки отправляются на электронный адрес, указанный в форме.
В дальнейшем оператор может использовать проверенную форму согласия в своей работе.
В шаблон согласия на обработку персональных данных от Роскомнадзора учитываются все сведения, указанные как обязательные в Приказе от 24.02.2021 № 18:
- сведения об операторе;
- сведения об информационных ресурсах оператора;
- цель обработки персональных данных;
- категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных, в том числе биометрические данные и специальные категории персональных данных;
- специальные категории персональных данных;
- биометрические персональные данные;
- срок действия согласия;
- другая информация.
Напомним, что с 27 марта заметно выросли штрафы за нарушения в работе с персональными данными (Федеральный закон от 24.02.2021 № 19-ФЗ).
Чтобы работать с личной информацией граждан в большинстве случаев нужно брать у них согласие на обработку персональных данных (ПД), а на распространение ПД оформлять отдельный документ. С 1 сентября 2022 года требования закона о персональных данных в этой части изменились. Рассказываем, как правильно оформить согласие гражданина на действия с его ПД.
Что должно быть в согласии на обработку персональных данных
При подготовке бланка нужно учитывать, что в законе от 27.07.2006 № 152-ФЗ «О защите персональных данных» вся обработка личной информации граждан привязана к целям, которые бывают двух видов:
- исполнение требований законодательства. Например, работодатель обязан включать данные сотрудника в кадровую отчётность;
- выполнение оператором обязательств перед физическим лицом в рамках своей предпринимательской деятельности. Например, интернет-магазин собирает личные данные покупателей, чтобы оформить покупку и организовать доставку товара клиенту.
Оператор не может собирать персональные данные, которые не относятся к конкретным целям или избыточны по отношению к ним. Например, интернет-магазин может запрашивать Ф.И.О. покупателя, телефон, адрес доставки, паспортные и платёжные данные для оформления доставки. А вот адрес страницы в социальных сетях клиента и сведения о составе его семьи будут уже избыточными.
Ещё одно правило: одна цель — одно согласие. Это следует из п. 4 ч. 4 ст. 9 закона № 152-ФЗ. Это не значит, что нужно оформлять столько бланков согласий, сколько у оператора целей обработки. Их можно включить в один документ, но для каждой цели отдельно прописать перечень ПД, действия с ними и получить на них подпись субъекта ПД, либо другое выражение его доброй воли — хоть галочку или крестик. Из документа должно быть понятно, что субъект согласился с каждой целью.
Цели в одном согласии должны быть совместимы между собой. Если оператор запрашивает разрешение клиента на обработку ПД для выполнения обязательств перед ним по договору, нельзя включать туда же разрешение на рассылку рекламных материалов для продвижения компании на рынке.
Что должно быть в согласии на обработку персональных данных:
- Ф.И.О., адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи и выдавшем органе.
- Ф.И.О., адрес представителя субъекта ПД, номер основного документа, удостоверяющего его личность, сведения о дате выдачи и выдавшем органе, реквизиты доверенности или иного документа, подтверждающего полномочия представителя (при получении согласия от представителя).
- Наименование или Ф.И.О. и адрес оператора, получающего согласие субъекта ПД.
- Цель обработки персональных данных.
- Перечень данных, на обработку которых дается согласие.
- Наименование или Ф.И.О. и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу.
- Перечень действий с ПД, на совершение которых дается согласие, общее описание используемых оператором способов обработки ПД.
- Срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом.
- Подпись субъекта ПД.
Утверждённого бланка согласия на обработку ПД нет. Каждый оператор разрабатывает и использует свою форму. Не рекомендуем скачивать образцы из интернета, поскольку они не адаптированы под деятельность конкретной компании и могут не учитывать все её цели. Также есть риск, что они не актуальны.
Подарок для наших читателей — практическое пособие по подготовке отчётности в ПФР, ФСС и ИФНС в 2022 году от экспертов интернет-бухгалтерии «Моё дело». 62 страницы подробнейших инструкций с примерами заполнения форм.
Как оформить согласие на обработку персональных данных
Разрешение на обработку персональных может быть получено любым способом, который подтверждает его получение. Например, если гражданин записал его на диктофон — это законно, если по записи можно точно идентифицировать личность.
Но в ряде случаев закон № 152-ФЗ требует, чтобы согласие было оформлено именно в письменном виде. Например, на обработку биометрических персональных данных. Исключения, когда согласие на обработку не нужно, указаны в самом законе о ПД: пп. 2-11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2. ст. 11.
Например, проводить видеосъёмку посетителей торгового центра как места массового пребывания людей законно без их согласия. Это делается в целях антитеррористической защищённости и охраны правопорядка. А вот устанавливать видеокамеры в рабочих кабинетах без разрешения сотрудников незаконно.
Письменное согласие на обработку ПД можно оформить на бумаге или в электронном виде. Цифровой документ признаётся равнозначным документу с личной подписью гражданина, если он подписан электронной подписью, соответствующей требованиям закона.
В законе не написано, какой именно вид электронной подписи нужен, поэтому гражданин может подписать его простой электронной подписью. Но оператор должен доказать, что согласие получено именно от субъекта ПД. Поэтому целесообразно определить локальным актом, какой подписью подписывать электронные согласия на обработку ПД и как проверять их подлинность.
Когда согласие на обработку персональных данных не нужно
В законе о защите персональных данных есть три статьи, в которых перечислены случаи обработки ПД оператором без согласия гражданина:
- пп. 2-11 ч. 1 ст. 6. Например, согласие не нужно, если персональные данные используются в судебном деле, где физлицо участвует в качестве одной из сторон;
- ч. 2 ст. 10— в отношении специальных ПД. Например, не нужно письменное согласие гражданина на обработку сведений о его национальности в рамках Всероссийской переписи населения;
- ч. 2. ст. 11 — в отношении биометрических ПД. Например, без письменного согласия гражданина проводят обязательную государственную дактилоскопическую регистрацию.
Оператор имеет право поручить обработку персональных данных другому лицу с согласия субъекта ПД. Это может быть физлицо или компания. Тогда третьему лицу не нужно получать согласие субъекта ПД на обработку его личной информации.
Ответственность перед субъектом несёт оператор, если обработка поручена российскому физическому лицу или компании. Если иностранному лицу, то оно отвечает перед гражданином вместе с оператором за соблюдение его прав при действиях с ПД.
Как составить согласие на распространение персональных данных
Распространение ПД — это их передача неограниченному кругу лиц. Например, компания указывает на своём сайте Ф.И.О., должности, e-mail и номера мобильных телефонов некоторых сотрудников. Или публикует отзыв клиента с его фотографией, Ф.И.О., ссылкой на профиль в социальных сетях.
На все случаи распространения персональных данных нужно оформлять отдельное согласие. Молчание или бездействие гражданина ни при каких обстоятельствах не считаются разрешением на обработку ПД для распространения. Например, если работник не потребовал убрать с сайта номер своего мобильного телефона, ещё не означает, что он согласился его предоставить всем посетителям сайта.
Требования к составу сведений в согласии на распространение приведены в приложении к приказу Роскомнадзора от 24.02.2021 № 18:
- Ф.И.О. субъекта персональных данных.
- Контактная информация (номер телефона, адрес электронной почты или почтовый адрес субъекта персональных данных).
- Сведения об операторе-организации — наименование, адрес в ЕГРЮЛ, ИНН, основной государственный регистрационный номер (если он известен субъекту персональных данных). Сведения об операторе-физическом лице — Ф.И.О., место жительства или место пребывания. Сведения об операторе-гражданине, являющимся ИП — Ф.И.О., ИНН, основной государственный регистрационный номер (если он известен субъекту персональных данных).
- Сведения об информационных ресурсах оператора (адрес, состоящий из наименования протокола (http или https), сервера (www), домена, имени каталога на сервере и имя файла веб-страницы), посредством которых будут осуществляться предоставление доступа неограниченному кругу лиц и иные действия с персональными данными субъекта персональных данных.
- Цель (цели) обработки ПД.
- Категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных: персональные данные (Ф.И.О.), год, месяц, дата рождения, место рождения, адрес, семейное положение, образование, профессия, социальное положение, доходы, другая информация, относящаяся к субъекту персональных данных); специальные категории ПД (расовая, национальная принадлежности, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимной жизни, сведения о судимости); биометрические персональные данные.
- Категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов (заполняется по желанию субъекта ПД).
- Условия, при которых полученные персональные данные могут передаваться только сотрудникам оператора, либо передаваться свободно с использованием информационно-телекоммуникационных сетей, либо вообще не передаваться (заполняется по желанию субъекта персональных данных).
- Срок действия согласия.
Оператор может разработать бланк разрешения на распространение персональных данных самостоятельно или использовать специальный сервис Роскомнадзора. Для пользования им нужна подтверждённая учётная запись на портале Госуслуг. Оператор формирует макет согласия на портале и может отправить его на проверку в Роскомнадзор. Так он обезопасит себя от возможных нарушений.
Типичные ошибки, которые допускают операторы при работе с персональными данными
Ситуации, которые Роскомнадзор считает за нарушения при получении согласия на обработку персональных данных:
- не получают согласие субъекта ПД, хотя по закону обязаны;
- указывают не все сведения по ст. 9 закона № 152-ФЗ или приказу № 18;
- в согласие на обработку включают согласие на распространение, не соблюдая требования приказа № 18;
- в одном документе берут разрешение на несовместимые цели. Например, для оказания услуги по проведению анализа крови и для целей направления информации о новых услугах клиники;
- получают согласие от неуполномоченного представителя субъекта ПД. Например, на ребёнка согласие заполняет его бабушка, а не родитель.
За такие нарушения оператор может получить штраф по п. 2 ст. 13.11 КоАП РФ: от 30 000 до 150 000 рублей для юридических лиц.
Рекомендации по составлению документа на 2021 год с учетом требований действующего законодательства
Сегодня особенно актуальными среди многих групп пользователей стали вопросы защиты персональных данных. Статистика говорит о возрастании случаев завладения денежными средствами и/или имуществом граждан при помощи их личных данных. Поэтому как организация так и физическое лицо должны внимательно относится к вопросу передачи и приема персональных данных.
В статье мы коснемся по большей части вопросов, связанных с оформлением согласия на обработку персональных данных для юридических лиц.
Нужно ли брать согласие на обработку персональных данных в 2021 году?
Письменное согласие на обработку персональных данных необходимо при предоставлении информации о:
- Данных, которые касаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (п. 1 ч. 2 ст. 10 закона № 152-ФЗ).
- Биометрических данных (ч. 1 ст. 11 закона № 152-ФЗ).
- Данных, передающихся на территорию другого государства (трансграничная передача – п. 1 ч. 4 ст. 12 закона № 152-ФЗ).
- Данных, которые вносятся в общедоступные источники, например, в справочники, адресные книги, онлайн-ресурсы (ч. 1 ст. 8 закона № 152-ФЗ).
Существуют исключения, когда согласие на обработку персональных данных в 2021 году не требуется:
- Данные обрабатывают в целях, предусмотренных законом или международным договором РФ, а также для выполнения оператором обязанностей, которые он несет в силу закона.
- Субъект данных участвует в том или ином судебном процессе, либо обработка данных нужна для исполнения судебного акта.
- Обработкой информации занимаются органы власти.
- Сведения о субъекте, который участвует в договоре, используют, чтобы исполнять договор. Если в отдел кадров субъект персональных данных (сотрудник) предоставляет документы, содержащие общедоступные сведения о нём, то письменное согласие на их хранение и обработку данных в 2020 г. необязательно.
- Не требуется согласие на обработку данных при передаче сведений о сотруднике по запросу органов прокуратуры, правоохранительных органов, органов безопасности, государственных инспекторов труда при осуществлении ими государственного надзора и контроля за соблюдением трудового законодательства и иных органов, уполномоченных запрашивать информацию о работниках в соответствии с компетенцией, предусмотренной законодательством РФ.
- Работа с данными потребовалась для защиты жизни, здоровья или иных интересов, а согласие получить невозможно (п. 2–11 ч. 1 ст. 6 закона № 152-ФЗ).
Если у Вас есть сомнения по поводу самостоятельного составления документа согласие на обработку персональны данных применимо к сфере деятельности Вашей организации — рекомендуем совместно с нашей командой экспертов разработать документ или получит консультацию по составлению бланка, написав нам на почту
hello@pdmaster.ru
Что делать, если Вам отказываются давать согласие на обработку персональных данных?
Иногда люди из-за низкой правовой культуры и незнания законов, отказываются давать письменное согласие на обработку персональных данных. Причиной являются опасения, что работодатель или работники отдела кадров воспользуется этой информацией во вред владельцу. В этой ситуации рекомендуется добросовестно объяснить, что письменное согласие на законных основаниях защищает владельца информации от незаконных действий. В противном случае, к примеру, работодатель не имеет права принять на работу человека, отказавшегося заполнить данный бланк, а банк не имеет права обрабатывать платежи. За нарушение данного требования тот же работодатель может бытьпривлечен к ответственности.
Условия, необходимые для хранения персональных данных, законом не предусмотрены, но организация обязательно должна обеспечить их сохранность и недоступность для посторонних.
Обращаем внимание, что организации так же должны учесть следующие аспекты, при получении согласия на обработку персональных данных:
- получить подтверждение, что субъект персональных данных добровольно разрешает обработку личных данных.Такое подтверждение понадобится в случае спора (подробнее о доказательствах наличия согласия на обработку персональных данных 2021 в суде)
- убедится, что данные принадлежат субъекту, который предоставил сведения
Вид согласия на обработку персональных данных в 2021 году
Закон не содержит правил получения согласия устной форме. Безопасная форма получения согласия на обработку персональных данных – письменная. Такой документ можно предоставить в суд при наличии конфликтных ситуаций.
Если компания получает согласие на обработку данных через проставление отметки в чекбоксе о согласии (соглашению по клику), то необходимо удостоверится, что данные заполнял конкретно субъект ПДн, например, получив на предоставленную электронную почту уведомление или SMS-код. В противном случае у компании могут возникнуть сложности. Если у Вас собираются персональные данные через персональный сайт, рекомендуем ознакомиться отдельно с циклом статей, посвященных адаптации сайта к требованиям защиты персональных данных.
Обратите внимание! Письменное согласие субъекта на обработку персональных данных в 2021 признается равнозначным согласию в электронной форме, скрепленному электронной подписью субъекта (п. 2 ст. 5 Федерального закона от 06.04.2011 № 63-ФЗ).
Форма согласия на обработку персональных данных
В каждой организации разрабатывается собственный бланк согласия на обработку данных (входит в перечень разрабатываемых документов). Согласно ст. 9 Федерального закона № 152-ФЗ, он обязательно должен содержать ФИО человека, его паспортные данные, название организации-работодателя, цель и способы обработки данных, их перечень, время действия согласия, способы его отзыва, дату заполнения и подпись владельца данных.
Бланки документов по защите персональных данных утверждает руководитель организации. На каждом бланке ставятся визы согласования с заинтересованными лицами. С некоторыми документами, в т.ч. с согласием на обработку данных, граждане должны ознакомиться под роспись.
Как заполнить согласие на обработку персональных данных?
Если вы обрабатываете персональные данные по общему правилу, то в форме согласия на обработку персональных данных следует точно указать:
Фамилия, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе
Фамилия, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных)
Срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом, а так же подпись субъекта персональных данных
Наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу
Перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных
Ниже мы рассмотрели на примере, как заполнить бланк согласия на обработку персональных данных в 2021 году с минимальными вводными.
Отзыв согласия субъекта на обработку персональных данных в 2021 году
В большинстве случаев отзыв согласия на обработку персональных данных происходит, когда оператор персональных данных нарушает условия обработки, хранения, использования и обеспечения защиты сведений о субъекте персональных данных.
Оформляют отзыв в форме заявления в свободной форме. В содержании прописывают просьбу прекратить сбор, обработку, использование, хранение персональных данных и уничтожить всю информацию о субъекте персональных данных согласно п.1 ст.9 и п.5 ст. 22 152-ФЗ «О персональных данных».
Требование должно быть выполнено в течении 30 дней с момента получения данного уведомления.
Проконсультируйтесь у экспертов для грамотного составления бланка на получение согласия
Согласие на обработку персональных данных в 2022 году должно быть конкретным, предметным, информированным, сознательным и однозначным (ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ). Это означает, что в нем есть:
- конкретная цель обработки — например, для оформления трудовых отношений;
- перечень ПД — например, ФИО, дата рождения, сведения об образовании, месте работы, адресе;
- список действий с персональными данными — к примеру, сбор, хранение;
- место и способы обработки ПД — адрес оператора, автоматизированная или неавтоматизированная обработка;
- срок действия согласия;
- наименование, ФИО, адрес лица, которое обрабатывает ПД, если оператор поручает это другому лицу;
- ясно выраженное согласие гражданина — подпись, галочка или другая отметка.
По умолчанию любые действия с личной информацией без согласия субъекта или законных оснований не допускаются (ст. 6, 9 152-ФЗ). При этом на распространение ПД документ оформляют отдельно (ст. 10.1 152-ФЗ).
Согласие получают конкретно для каждой цели. То есть у оператора будет несколько документов. Это следует из части 4 ст. 9 152-ФЗ, где цель указана в единственном числе, а также из требования не хранить в одной базе данных сведения для несовместимых целей (ч. 3 ст. 5 152-ФЗ).
Работать с персональными данными можно только на законных основаниях (ст. 5 152-ФЗ). Обработка без разрешения субъекта допускается в случаях, предусмотренных международными договорами или нормативными правовыми актами (ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 152-ФЗ). Например:
- личная информация обрабатывается при участии физлица в судебном процессе;
- гражданин регистрируется на портале Госуслуг;
- сведения нужны для исполнения условий договора с субъектом ПД;
- специальные персональные данные, например, о состоянии здоровья обрабатываются в соответствии с трудовым, социальным или пенсионным законодательством.
Гражданин имеет право отозвать выданное согласие на обработку ПД в любой момент. В этом случае действия с его личной информацией можно продолжать только при наличии указанных выше правовых оснований. Обязанность доказать законность обработки: предоставить согласие гражданина или отдельную норму права, возложена на оператора (ч. 2 ст. 9 152-ФЗ).
Работодателям стоит помнить, что обработка биометрических персональных данных работников в рамках трудовых отношений возможна только с письменного согласия сотрудника (ст. 11 152-ФЗ). Для специальных и общедоступных ПД оно не нужно. Это значит, что ФИО, сведения об образовании обрабатываются свободно. А вот видеонаблюдение за работником возможно только с его письменного разрешения.
Закон разрешает получить согласие физического лица на обработку его ПД в любом виде. Главное подтвердить, что оно есть и дано именно субъектом персональных данных либо его представителем (ч. 1 ст. 9 152-ФЗ). То есть теоретически согласие можно оформить даже в виде записи на диктофон, если по ней точно идентифицируется личность гражданина.
Если по Закону согласие должно быть оформлено именно в письменном виде — например, на обработку биометрических данных, то электронный документ с электронной подписью (ЭП) признается равнозначным бумажному оригиналу с личной подписью субъекта (ч. 4 ст. 9 152-ФЗ). Главное, чтобы ЭП соответствовала требованиям (Приказ ФСБ России от 27.12.2011 № 796).
Удобный сервис для подготовки и сдачи отчетов через интернет. Дарим доступ в Экстерн на 14 дней!
Попробовать
Утвержденного бланка согласия на обработку ПД нет. Общие требования к его содержанию приведены в статье 9 152-ФЗ.
В интернете доступно много образцов согласия, например, на сайте Управления Роскомнадзора Сибирского ФО. Пользоваться ими нужно аккуратно, с учетом изменений в Законе 152-ФЗ:
- одна цель обработки — одно согласие;
- разрешение на распространение ПД оформляется отдельно.
Лицо, которое обрабатывает ПД по поручению оператора, согласие субъекта не получает (ч. 4 ст. 6 152-ФЗ).
В некоторых случаях оператор раскрывает персональные данные неопределенному кругу лиц. Например, публикует на сайте отзыв клиента, содержащий ФИО, email и другую личную информацию. Или помогает заказчику получить кредит и отправляет от его имени заявку в разные банки и МФО.
Это называется распространением персональных данных, на которое нужно получать отдельное согласие субъекта ПД (ч. 1 ст. 10.1 152-ФЗ). Требования к содержанию такого разрешения определены Роскомнадзором (Приказ от 24.02.2021 № 18).
Сдать всю отчетность через интернет — с подсказками и проверкой на ошибки
Попробовать
Согласие на распространение может быть оформлено двумя способами (ч. 6 ст. 10.1 152-ФЗ):
- передано субъектом непосредственно оператору;
- заполнено с использованием информационной системы Роскомнадзора.
В первом случае оператор может получить шаблон документа на сайте Роскомнадзора. Для подготовки разрешения, адаптированного под конкретную деятельность, понадобится подтвержденная учетная запись на портале Госуслуг организации, ИП или физического лица.
На портале Роскомнадзора через ЕСИА формируется запрос. В результате оператор получает доступ к форме согласия на распространение ПД, которую он заполняет с учетом своей специфики. Готовый шаблон можно отправить на проверку в Роскомнадзор и получить его рекомендации.
Форму согласия на распространение ПД можно подготовить с использованием информационного ресурса Роскомнадзора.
Если оператор решит разработать свой бланк, то он должен указать в нем обязательные пункты по Приказу от 24.02.2021 № 18. По каждой категории и перечню ПД у субъекта должна быть возможность выбора одной из трех категорий:
- разрешено;
- запрещено;
- разрешено с условиями — указать условия.
Молчание или бездействие гражданина ни при каких обстоятельствах не считаются согласием на обработку ПД, разрешенных для распространения (ч. 8 ст. 10.1 152-ФЗ).
Оператор обязан в течение трех рабочих дней с даты получения разрешения на распространение персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц (ч. 10 ст. 10.1 152-ФЗ). Например, разместить ее на своем сайте.
Эта мера нужна для защиты права субъекта ПД на конфиденциальность. Лица, получающие доступ к его личной информации, должны соблюдать условия и запреты, перечисленные в согласии на распространение.
Относительно недавно в России был введен в оборот новый документ под названием «Согласие на обработку персональных данных». Очень быстро он получил повсеместное распространение и на данный момент широко используется в самых разных организациях, начиная от государственных бюджетных учреждений и до коммерческих компаний.
ФАЙЛЫ
Скачать пустой бланк согласия на обработку персональных данных .docСкачать образец согласия на обработку персональных данных .doc
Что собой представляет согласие
Согласие на обработку персональных данных – это письменное разрешение гражданина Российской Федерации, которое он дает заинтересованной стороне на получение, сбор, хранение и использование персональных сведений о себе.
Также документ гарантирует человеку то, что информация о нем будет применяться для строго определенных целей и будет защищена от неправомерных действий.
Когда чаще всего требуется согласие
Сейчас согласие необходимо писать почти повсеместно:
- при подаче документов на ребенка в садик или школу;
- при трудоустройстве;
- при заключении договора с банком, страховой компанией и т.д.
Иными словами, везде, где гражданин предоставляет свои личные документы или документы лица, представителем которого он является, заполняет различного рода тесты и анкеты, он подписывается такое согласие.
Что вкладывается в термин «персональные данные»
Закон четко определяет это понятие: под персональными данными понимается вся информация, которая напрямую относится к человеку, как к физическому лицу. Это:
- фамилия, имя, отчество;
- дата и место рождения;
- сведения из паспорта, трудовой книжки и прочих документов;
- а также некоторые характеристики его личности.
При этом следует отметить, что согласие на обработку персональных данных требуется даже несмотря на то, что далеко не все эти сведения имеют характер конфиденциальных и закрытых.
В частности их условно можно поделить на три основных вида:
- общедоступные данные (ФИО, пол, дата, место рождения, гражданство и т.п.)
- биометрические (физиологические особенности индивида, его внешние параметры)
- специальные (народность, религия, здоровье и т.д.). Сюда же в некоторой степени относится и информация о месте работы человека, его отношениях с законодательством, привычках и т.п.
По закону, согласие на обработку персональных действий строго необходимо только тогда, когда оно касается двух последних из вышеназванных категорий, однако зачастую оно пишется и в отношении той информации, которая имеет позицию общедоступной.
Для чего формируется согласие на обработку при трудоустройстве
Когда человек устраивается на работу, он дает представителю работодателя свои личные документы: паспорт, трудовую книжку, СНИЛС, свидетельство об образовании, медкнижку, военный билет и т.д. Как только эти бумаги попадают на стол специалиста по кадрам, они получают статус конфиденциальных (что обеспечивается статьей 14 Трудового Кодекса РФ), поэтому для их дальнейшего использования (а без этого в кадровом делопроизводстве никак не обойтись), необходимо заручиться письменным согласием работника (п. 8 ст. 65 ТК РФ).
В этом документе должно быть подробно расписано, как, с какой целью и какие конкретно сведения из персональных данных будут применяться, обрабатываться и храниться.
Следует отметить, что по закону, вся персональная информация, предоставленная работодателю, может использоваться только в служебных целях.
Если сотрудник отказывается подписывать согласие
Законодательство РФ однозначно говорит о том, что согласие должно быть только и исключительно добровольным, то есть работодатель не имеет права принудить подчиненного подписать данный документ, поэтому в практике кадровых специалистов встречаются люди, которые отказываются подписывать согласие на обработку персональных данных.
Обычно это бывает вызвано тем, что они не понимают истинного назначения документа: защитить права работника, а напротив, опасаются, что личные сведения о них попадут в руки недобросовестных граждан.
В этих случаях закон допускает обработку персональных данных без согласия работника, но только тогда, когда это нужно для реализации условий и целей ранее заключенного трудового договора.
Здесь отдельно следует акцентировать внимание на том, что это касается только тех сотрудников организации, которые уже зачислены в ее штат, а вот в отношении новых работников согласие на обработку персональных данных получить необходимо – без него в большинстве случаев человека на сегодняшний день даже невозможно принять на работу. Связано это с тем, что между сторонами еще не заключен трудовой договор, а значит, у работодателя еще нет и обязанности его исполнять.
Логично, что администрация предприятия стремится избежать ситуаций, когда, например, даже в таких мелочах, как выписка пропуска на территорию компании, отсутствие согласия на обработку персональных данных может сыграть свою негативную роль.
Что грозит за разглашение персональных данных
Как уже говорилось выше, действия, которые работодатель может совершать с персональными данными работников, четко прописываются в тексте согласия.
Если полномочия в какой-то степени превышаются, а, тем более, если происходит какое-то злоупотребление, ответственность может наступить самая серьезная: начиная от дисциплинарной и административной, вплоть до уголовной.
Для того, чтобы сотрудник имел четкое представление о том, не выходит ли запрашиваемая у него информация за рамки нужной по закону или не превышаются ли полномочия работников предприятия по тексту согласия, следует заранее проанализировать документ (возможно даже воспользовавшись помощью квалифицированного юриста) и только тогда ставить под согласием свою подпись.
В частности, данные о том, отбывал ли гражданин срок в местах лишения свободы, нужна только тогда, когда должность, на которую он претендует, напрямую требует отсутствия судимости (иными словами, если соискатель хочет работать менеджером по рекламе, такие данные он имеет право не предоставлять).
Как уведомить
Законодательство гласит о том, что представители организаций должны извещать Роскомнадзор об обработке поступивших в их распоряжение всех персональных данных (статья 22 закона № 152-ФЗ). Посмотреть, исполняет ли работодатель эту норму закона можно на сайте данной госструктуры.
Можно ли отозвать согласие
Обычно действие с согласием на обработку персональных данных происходит так: устраиваясь на работу, человек подписывает документ, после чего благополучно о нем забывает. Но в некоторых случаях, возникает необходимость об отзыве ранее подписанного согласия. Как правило, это бывает, когда работодатель нарушает условия хранения, использования и обеспечения закрытости поступившей в его распоряжение информации, а также при увольнении.
Для того, чтобы оформить отзыв достаточно всего лишь написать заявление в свободной форме, потребовать в нем прекратить сбор, обработку, использование, хранение персональных данных и уничтожить всю информацию о подчиненном (сослаться надо на закон № 152-ФЗ: п. 1 ст. 9 и п. 5 ст. 22).
Это требование должно быть выполнено не позже чем через месяц после написания отзыва.
Образец согласия
Согласие пишется в произвольной форме или по шаблону, который разработан и утвержден внутри организации. При этом в бланке обязательно должны быть следующие данные:
- наименование компании-работодателя;
- место и дата составления документа;
- фамилия, имя, отчество работника, его паспортные данные и сведения о месте жительства.
Далее в основной части подробно указывается:
- каких именно персональных данных касается документ;
- в каких целях и что именно допустимо с ними делать;
- срок действия согласия и возможность его отзыва (хотя это итак гарантировано законодательством).
Обязательно следует поставить отметку о том, что согласие написано без принуждения и в добровольном порядке. После того этого под документом ставится подпись.
СОГЛАСИЕ
НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
г. Иваново
03.08.2018 г.
Я, Ковтун Инна Олеговна, паспорт 2495 564738, выдан Ленинским РОВД г. Иваново, адрес регистрации: г. Иваново, ул. Мельничная д.73, кв. 8, даю свое согласие ОАО «КомЖилФонд» на обработку моих персональных данных. Согласие касается фамилии, имени, отчества, данных о поле, дате рождении, гражданстве, типе документа, удостоверяющем личность (его серии, номере, дате и месте выдачи), а также сведений из трудовой книжки: опыте работы, месте работы и должности.
Я даю согласие на использование персональных данных исключительно в целях формирования кадрового документооборота предприятия, бухгалтерских операций и налоговых отчислений, а также на хранение всех вышеназванных данных на электронных носителях. Также данным согласием я разрешаю сбор моих персональных данных, их хранение, систематизацию, обновление, использование (в т.ч. передачу третьим лицам для обмена информацией), а также осуществление любых иных действий, предусмотренных действующим законом Российской Федерации.
До моего сведения доведено, что ОАО «КомЖилФонд» гарантирует обработку моих персональных данных в соответствии с действующим законодательством Российской Федерации. Срок действия данного согласия не ограничен. Согласие может быть отозвано в любой момент по моему письменному заявлению.
Подтверждаю, что давая согласие я действую без принуждения, по собственной воле и в своих интересах.
Ковтун И.О. (подпись)
Согласие на обработку персональных данных — бланк 2022-2023 годов, который можно использовать для заполнения, мы приводим в нашей статье. Иметь такой документ необходимо лицу, получившему персональные сведения. Персональная информация о конкретном человеке не относится к общедоступной, поэтому одновременно с ее передачей этот человек должен разрешить и работу с ней.
Как составить согласие на обработку персональных данных, смотрите в нашем видео:
Для чего нужно письменное согласие работника на обработку его данных
Получение письменного согласия человека на обработку его персональных данных становится необходимо юридическому или физлицу, которое получает доступ к этим данным. Основные вопросы, связанные с персональными сведениями о человеке, регулируются законом «О персональных данных» от 27.07.2006 № 152-ФЗ. В их число входит:
- определение круга сведений, являющихся персональными;
- установление условий обработки, хранения и уничтожения данных их получателем;
- описание ситуаций, как требующих, так и не требующих согласия лица на обработку сведений о нем;
- перечисление прав носителя персональных данных на ознакомление с результатами их обработки;
- определение ответственности лиц, разгласивших персональную информацию.
Наиболее частым случаем получения и обработки персональной информации о человеке является сбор и анализ работодателем сведений о своем работнике (уже работающем или вновь принимаемом на работу).
Узнайте об особенностях обработки персональных данных сотрудников из тематической публикации, размещенной в системе «КонсультантПлюс». Получите пробный доступ к ней бесплатно.
Персональные данные без штрафов
Время прохождения около 5 мин.
Пройти тест
Помимо общедоступных сведений, к которым закон № 152-ФЗ относит данные о Ф. И. О., принадлежности к определенному полу, дате рождения, работодателю оказывается нужна и иная информация, содержащаяся в документах, предъявляемых при трудоустройстве (ст. 65 ТК РФ):
- в удостоверении личности (паспорте);
- трудовой книжке;
- свидетельстве ПФР;
- документах об обучении;
- документах воинского учета;
- дополнительных справках (в частности, об отсутствии судимости) или документах, наличие которых является условием приема на определенную работу.
Сбор и обработка таких данных требуют от работодателя получения предварительного письменного согласия работника на эти действия (п. 1 ст. 9 закона № 152-ФЗ). Согласие является добровольным и может быть отозвано работником.
Если предприятие оказывает услуги клиентам, то с 1 сентября 2022 года оно будет не вправе отказывать в заключении договора потребителю, не желающему предоставлять личную информацию фирме.
Есть и исключения из данного правила. Подробнее — здесь.
Кроме того, с 1 сентября 2022 года необходимо уведомлять Роскомнадзор о необходимости включения организации или ИП в реестр операторов персональных данных, если эта организация или ИП собираются такие данные обрабатывать. Несложно сообразить, что любая организация и ИП с работниками персональные данные обрабатывают, принимая на работу сотрудников. То есть с 1 сентября 2022 года уведомить Роскомнадзор должно буквально каждое юрлицо и многие ИП. Раньше в законе были установлены исключения — при обработке персональных данных только в рамках трудового законодательства уведомлять никого не надо было. С 1 сентября 2022 года данное исключение убрали.
Уведомить следует по определенной форме, отправив ее по почте или же через официальный сайт Роскомнадзора при наличии ЭЦП. Делать это следует до начала обработки персональных данных. Изначально была информация о том, действующие фирмы отправляют уведомление строго до 1 сентября. Но потом Роскомнадзор уточнил, что сделать это можно и позже.
Подробнее о новшестве с уведомлением рассказали эксперты КонсультантПлюс. Оформите пробный доступ к системе и переходите в Обзор ситуации. Это бесплатно.
О том, что еще понадобится сделать при заключении трудового договора, читайте в статье «Порядок заключения трудового договора (нюансы)».
Об ответственности за разглашение персональных данных читайте здесь.
Что входит в содержание заявления о согласии
Перечень основных моментов, которые должны быть отражены в документе, закрепляющем согласие на обработку персональных данных, содержится в п. 4 ст. 9 закона № 152-ФЗ. Это:
- информация о лице, разрешающем обработку данных (Ф.И.О., данные паспорта), или его представителе (для него дополнительно понадобится документ, удостоверяющий его полномочия);
- данные о получателе персональной информации (наименование или Ф.И.О., адрес);
- определение цели, с которой предоставляются данные;
- перечень сведений, которые подлежат обработке;
- способы обработки данных, в т. ч. указание на иное лицо, которое будет выполнять обработку, если есть намерение привлечь его к этому;
- срок действия согласия или способ его отзыва;
- собственноручная подпись лица, дающего разрешение.
Об основных принципах оформления документа, удостоверяющего полномочия представителя, читайте в статье «Доверенность на получение заработной платы — образец».
Требования к хранению и защите персональных данных подробно изложены в Путеводителе по персональным данным работников системы «КонсультантПлюс». Получите бесплатный пробный доступ к системе прямо сейчас.
Документ о согласии 2022-2023 годов: форма и образец
Бланк согласия на обработку персональных данных не имеет законодательно утвержденной формы. При его оформлении нужно только соблюсти обязательность включения в него сведений, предусмотренных п. 4 ст. 9 закона № 152-ФЗ. Каждый получатель персональной информации может разработать форму согласия самостоятельно, отразив в ней необходимый ему перечень сведений и особенности их обработки.
С одним из образцов согласия на обработку персональных данных можно ознакомиться на нашем сайте:
Скачать образец согласия на обработку персональных данных
Альтернативный вариант согласия работника на обработку персональных данных разработан экспертами «КонсультантПлюс». Получите бесплатный пробный доступ к системе и переходите к образцу.
Важнейший внутрикорпоративный документ на современном предприятии — положение о персональных данных. Ознакомьтесь в тематической публикации со спецификой его составления и применения.
Итоги
Согласно действующему законодательству обработка большей части персональных данных о человеке должна осуществляться с его письменного согласия. Определенной формы у документа, содержащего такое согласие, не имеется, однако установлен перечень обязательной информации, которая должна быть включена в него. Итоговый перечень необходимых персональных данных разрабатывает получатель этих сведений.
