Согласие на обработку персональных данных

Не всегда. Статья 6 закона 152-ФЗ перечисляет 11 оснований для обработки ПДн без согласия: исполнение договора, выполнение законных обязанностей оператора, защита жизненно важных интересов и другие. Но для большинства ситуаций (формы на сайте, маркетинговые рассылки, обработка данных о здоровье) согласие обязательно.

Любая, позволяющая подтвердить факт получения: письменная (подпись на бумаге), электронная (электронная подпись), в форме действия (чекбокс на сайте, нажатие кнопки). Для специальных категорий ПДн (здоровье, биометрия) и трансграничной передачи — только письменная форма.

Часть 4 ст. 9 закона 152-ФЗ требует 9 реквизитов письменного согласия: ФИО, адрес и паспортные данные субъекта; данные представителя и документ о его полномочиях, если согласие даёт представитель; наименование и адрес оператора; цель обработки; перечень ПДн; наименование и адрес лица, которому поручена обработка, если она поручена; перечень действий и способы обработки; срок действия и способ отзыва; подпись субъекта. Без любого из них письменное согласие не соответствует ч. 4 ст. 9.

С 1 сентября 2022 года (266-ФЗ) — да. Для каждой цели обработки требуется отдельное согласие или отдельный раздел в общем документе с возможностью дать согласие на каждую цель отдельно. Общие формулировки вроде «в маркетинговых целях» недопустимы.

За обработку ПДн без законного основания — штраф 150 000–300 000 ₽ для юрлиц (ст. 13.11 ч. 1 КоАП), а без письменного согласия, когда оно требуется, — 300 000–700 000 ₽ (ч. 2). За обработку спецкатегорий без согласия — 10–15 млн ₽ (ч. 16), биометрии — 15–20 млн ₽ (ч. 17). При утечке данных — оборотные штрафы до 500 млн ₽ (420-ФЗ).

Разместите под каждой формой сбора данных чекбокс со ссылкой на политику конфиденциальности. Текст: «Даю согласие на обработку персональных данных в соответствии с Политикой конфиденциальности». Чекбокс не должен быть предустановлен. Форму нельзя отправить без отметки.

Да. По ч. 2 ст. 9 закона 152-ФЗ субъект вправе отозвать согласие в любой момент. Оператор обязан прекратить обработку и уничтожить данные в течение 30 дней, если нет иных законных оснований для их хранения (договор, закон).

Для обработки данных в рамках трудового договора (ст. 86 ТК РФ) — не нужно. Но для целей, выходящих за рамки трудовых отношений (размещение фото на сайте, передача данных в страховую для ДМС, рассылки) — нужно отдельное согласие.