Критикуешь – предлагай — 23 марта 2026 г. в 14:02:04.415
Критикуешь – предлагай Начало года выдалось не менее горячим, чем его окончание, в связи с чем DPO не отвечал отвечал чуть реже, чем обычно. В прошлом году мы выразили некоторый скепсис по поводу широко обсуждаемой инициативы по разработке «стандартов» обработки персональных данных. Теперь хотелось бы поговорить о том, что, на наш взгляд, действительно могло бы упростить жизнь DPO без ущемления интересов субъектов. «Культ согласий» В последнее время на разных площадках много говорят о так называемом «культе согласий». Это ситуация, когда согласия берутся «для галочки» и используются для формальной легализации обработки там, где они не нужны или в принципе не могут служить корректным основанием (например, при явно избыточной обработке). При этом часто умалчивается важный момент: многие операторы собирают эти многочисленные согласия не от хорошей жизни. Хрестоматийный пример – десятки согласий, которые собираются у работников на передачу их данных третьим лицам. Эта практика является результатом причудливого симбиоза ст. 88 ТК РФ («…не сообщать персональные данные работника третьим лицам без его письменного согласия») и ч. 4 ст. 9 152-ФЗ (требующей указывать в письменном согласии «цель» обработки персональных данных, что регулятор толкует как запрет указания в таком согласии нескольких целей). Кто-то скажет, что проблема преувеличена, т.к. тут и тут. Роскомнадзор разъяснил, что во многих случаях можно опираться на требования закона, если передача данных работника связана с трудовыми отношениями. Однако есть мероприятия (28.11.2020 [1:02:45], 27.07.2023 [2:43:15], 28.01.2021 [31:18]), и, что важнее, судебные решения, где регулятор и суды занимали куда более консервативную позицию (один, два, три) по ситуациям, связанным с трудовыми отношениями ничуть не меньше. Говоря о ст. 88 ТК РФ, нельзя не вспомнить и ч. 3 ст. 6 152-ФЗ, которая требует получать согласие субъекта на поручение обработки его персональных данных третьему лицу во всех случаях, кроме прямо предусмотренных федеральным законом. Эта норма существенно усложняет жизнь операторам (и DPO). Во многих ситуациях, когда оператор мог бы опереться на иные основания (в том числе на законный интерес), даже банальное размещение данных на стороннем хостинге делает это невозможным без согласия субъекта. Кроме того, норма создаёт множество блокирующих ситуаций. Например, при каждой смене подрядчика требуется новое согласие, а вернуться к субъекту за ним удаётся далеко не всегда. Что можно сделать? 🔹 Проблему множественности согласий работников можно было бы решить исключением слова «письменного» из текста ст. 88 ТК РФ. Даже эта минимальная мера позволила бы снизить требования к форме согласия работника и избежать огромного массива бумажной работы. 🔹 Имеет смысл полностью исключить из ч. 3 ст. 6 152-ФЗ условие о необходимости получения согласия субъекта на поручение обработки его данных. Дополнительную прозрачность для субъектов можно обеспечить более жесткими требованиями к раскрытию информации о получателях данных и нормативным регулированием порядка привлечения субобработчиков. Оператор в любом случае отвечает за обработчика перед субъектом – независимо от того, давал субъект согласие или нет. Это во многом лишает такое согласие практического смысла. Все же для борьбы с «культом» нужны изменения в нормативных актах, а не «мягкое» регулирование в виде стандартов. Без таких изменений DPO и дальше будут тратить время на составление, сбор и анализ во многом бессмысленных согласий, а также на изобретение всё более изощрённых конструкций, вроде модульных согласий и динамично меняющихся списков подрядчиков, спрятанных где-нибудь в недрах сайта.