Практически каждая организация так или иначе работает с персональными данными. В большинстве случаев на такую обработку требуется отдельное письменное согласие. Еще несколько лет назад, когда штрафы за нарушение законодательных норм о личной информации не были столь велики, многие игнорировали правила обработки персданных.
Однако недавно прошла новая волна повышения штрафов за неправильную обработку личных данных, поэтому ошибка может стоить организации сотен тысяч рублей.
Работникам также будет полезно знать, нужно ли на работе предоставлять согласие на обработку личной информации.
Обязательно ли согласие на обработку персональных данных
Обработкой личных данных законодатель считает любые действия, которые вы проводите с ними. А персональные данные – это всевозможные сведения о гражданах.
Таким образом, даже если вы, например, всего лишь получаете паспортные реквизиты своих клиентов или создаете базу их телефонных номеров, вы обрабатываете личную информацию и признаетесь их оператором. Это значит, что вы обязаны под риском ответственности соблюдать требования, которые предъявляются к обработке личной информации.
Так, вы должны определить цель обработки и строго ей следовать, при необходимости получать согласие на обработку и уведомлять о ней Роскомнадзор, а также принимать меры по защите информации.
По общему правилу обрабатывать персональные данные гражданина можно лишь с его согласия (п. 1 ч. 1 ст. 6 закона о персональных данных). Причем субъект данных имеет право в любой момент такое согласие отозвать (тогда продолжать обрабатывать данные можно лишь в строго установленных законом случаях). Согласие на действие с личными данными должно быть конкретным, информированным и сознательным.
Обязанность доказать наличие такого согласия или обстоятельств, в силу которых это согласие не требуется, возлагается на оператора. Из данной нормы видно, что действует презумпция отсутствия согласия у гражданина, поэтому разрешение не должно быть устным.
Самыми распространенными ситуациями, когда потребуется согласие на обработку персданных, это сбор данных (заявок) клиентов и прием новых сотрудников на работу (это включает в себя даже этап рассмотрения резюме, ведь там содержатся персональные данные).
Не требуется согласие на обработку персональных данных физического лица в случаях, приведенных в пп. 2–11 ч. 1 ст. 6 закона о персональных данных. Так, согласие не потребуется, если обработка необходима:
- для заключения договора по инициативе гражданина или договора, по которому он будет выгодоприобретателем или поручителем. Например, если физическое лицо арендует у вас помещение или квартиру;
- для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является гражданин. Так, не требуется дополнительное согласие, если гражданин заказал доставку на дом, а его адрес необходимо уточнить;
- для осуществления и выполнения функций, полномочий и обязанностей, которые возложены на вас законодательством. Например, если магазин уточняет у клиента адрес его электронной почты, чтобы направить ему электронный кассовый чек согласно закону № 54-ФЗ;
- для осуществления прав и законных интересов либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы гражданина. Например, охранник может записывать данные посетителей бизнес-центра, не получая от них дополнительное письменное согласие.
Во всех остальных случаях согласие обязательно. Обработка персданных без согласия субъекта грозит внушительными штрафами, о которых мы расскажем ниже.
Изменения в согласии на обработку персональных данных в 2021 и 2022 году
В марте 2021 вступил в силу закон от 30.12.2020 № 519-ФЗ. Теперь на персданные, которые будут передаваться третьим лицам или открыто публиковаться для распространения (например, на сайте), нужно дополнительное отдельное согласие помимо основного разрешения на обработку. При этом из текста закона исключено понятие персональных данных, ставших общедоступными.
Уточняется, что для нового вида персданных будут действовать отдельные требования:
- одобрение на работу с новой категорией данных фиксируется в письменном виде исключительно отдельно от общего согласия;
- лицо, распространившее личную информацию, обязано доказать законность совершенных действий;
- безмолвие субъекта не считается одобрением на распространение;
- субъект персданных может потребовать закончить распространение когда угодно;
Также 27.03.2021 вступил в силу закон от 24.02.2021 № 19-ФЗ, который внес изменения в КоАП в части штрафов за нарушения в работе с персданными.
За обработку личных данных в незаконных случаях должностных лиц и ИП теперь штрафуют на сумму от 10 до 20 тыс. рублей, а компании – от 60 до 100 тыс. рублей. Наказание ждет также в том случае, если персданные обрабатывались в целях, не заявленных гражданину. До этого штраф был на 100% меньше, а за нарушение могли всего лишь предупредить.
Приказом Роскомнадзора от 24.02.2021 № 18 утверждены обязательные требования к согласию на обработку персональных данных разрешенных для распространения. В согласии среди прочего должны указывать такие сведения:
- Ф.И.О. субъекта персданных, его контактную информацию;
- данные оператора, его информационные ресурсы;
- цель обработки, категории и перечень персданных;
- срок действия согласия.
Документ вступил в силу 1 сентября 2021 года и будет действовать до 1 сентября 2027 года.
С 1 июля 2021 года заработал новый интернет-сервис для операторов персональных данных. Он поможет правильно подготовить шаблон формы согласия на обработку данных, которые лицо разрешило распространять. В нем учтены обязательные с 1 сентября требования.
Оператор заполнит необходимые поля в формате конструктора. Шаблон рассмотрит специалист Роскомнадзора и при необходимости даст рекомендации по доработке. Форму согласия оператор сможет использовать в своей деятельности.
Кроме того, вдвое увеличены штрафы за обработку персональных данных без письменного согласия гражданина, если оно обязательно. Должностные лица и ИП заплатят от 20 до 40 тыс. рублей, а компании – от 30 до 150 тыс. рублей.
Появился состав о повторном нарушении. Он предусматривает штраф:
- для должностных лиц – от 40 до 100 тыс. рублей;
- для ИП – от 100 до 300 тыс. рублей;
- для компаний – от 300 до 500 тыс. рублей.
Учтите, что заполнение данного документа зависит от целей обработки данных и типа организации.
Ответственность за обработку персональных данных без согласия
Как мы уже упоминали, в 2021 и 2022 году были существенно увеличены штрафы за обработку персданных без согласия субъекта. Ответственность за данное нарушение установлена ч. 2 и п. 2.1 ст. 13.11 КоАП.
ИП могут быть оштрафованы до 40 тыс. рублей за первое нарушение (до 100 тыс. рублей за повторное), а юридические лица – до 150 тыс. рублей за первое нарушение (до 500 тыс. рублей – за повторное). Оспорить такой штраф в суде очень сложно. Приведем лишь один недавний пример из судебной практики.
Прокуратура Республики Башкортостан провела проверку соблюдения ООО «Микрокредитная компания «МФЦ» законодательства о микрофинансовой деятельности, законодательства о персональных данных, в ходе которой было установлено, что компания требовала от клиентов заявление на предоставление потребительского займа, анкету клиента-физлица, согласие на обработку персональных данных.
Однако, помимо информации о клиентах, компания просила также указать Ф.И.О., контактные номера и сведения о работе близких людей заемщиков.
Мировой судья признал ООО виновной в совершении административного правонарушения, предусмотренного ч. 2 ст. 13.11 КоАП, и назначил компании штраф 15 тыс. рублей. ООО попыталось оспорить штраф в вышестоящем суде, но районный суд оставил штраф в силе.
При этом судьи не приняли довод компании, что, собирая персональные данные третьих лиц заемщика, она осуществляет свои права и законные интересы взыскателя в рамках договора займа (решение Баймакского районного суда Республики Башкортостан от 03.03.2021 по делу № 12-30/2021).
Начать дискуссию