Требования, предъявляемые к согласиям на обработку персональных данных
Требования, предъявляемые к согласиям на обработку персональных данных Мы решили заново раскрыть ключевые темы, связанные с 152-ФЗ, и начинаем с самого фундаментального — согласия на обработку ПДн. Согласие субъекта на обработку ПДн является одним из возможных юридических оснований для обработки ПДн (п. 1 ч. 1 ст. 6 152-ФЗ). Согласие должно отвечать определенным требованиям. Их можно разделить на общие (применимые к любой форме) и специальные (зависящие от конкретного вида согласия). Сегодня мы поговорим подробнее про первые. В соответствии с ч. 1 ст. 9 152-ФЗ, согласие должно быть однозначным, информированным, конкретным, предметным, сознательным и свободным. Указанные критерии применяются независимо от формы согласия — будь то письменное, простое, на распространение ПДн или выраженное посредством проставления отметки «галочки». Ниже приведена интерпретация данных требований, основанная на анализе позиции Роскомнадзора и судебной практики. 1. Однозначность Согласие должно быть явным и недвусмысленным. Недопустимо использовать бездействие субъекта в качестве согласия на обработку ПДн. Субъект должен совершить активное действие (поставить «галочку», нажать кнопку, подписать документ), явно подтверждающее его волю. 2. Информированность До того, как субъект даст согласие, необходимо предоставить ему полную информацию о порядке обработки его ПДн. В момент запроса согласия должны быть раскрыты цели, перечень ПДн, сроки, способ отзыва, информация о передаче третьим лицам (если планируется). Данный момент часто упускается компаниями, когда они собирают согласия в форме проставления «галочки» и используют лишь одну формулировку «Вы соглашаетесь на обработку Ваших персональных данных», что является нарушением указанного принципа. 3. Конкретность Данный принцип является продолжением информированности. Согласие должно однозначно определять информацию о порядке обработки. Недопустимо содержание в согласии открытого перечня ПДн, целей, третьих лиц. Фразы «иные цели», «любые другие ПДн», «необходимый перечень» без расшифровки являются нарушением. 4. Предметность Согласие должно соответствовать направлению деятельности оператора, охватываться рамками его законных интересов и не содержать положений, выходящих за пределы ожидаемого для субъекта в рамках конкретных правоотношений. Иными словами, согласие не должно включать аспекты деятельности оператора, которые субъект не в состоянии обоснованно ожидать. 5. Сознательность Данный критерий приобретает особое значение в контексте способа оформления согласия. Судебная практика свидетельствует о том, что согласие может быть признано недействительным в случаях, когда: – текст согласия представлен в нечитаемом виде; – в тексте согласия используются термины, непонятные субъекту без специальной подготовки. Таким образом, согласие должно быть читаемым, доступным для понимания и оформлено таким образом, чтобы субъект имел достаточное время и условия для его осмысленного принятия. 6. Свободное согласие Субъект должен обладать реальной возможностью отказаться от дачи согласия без неблагоприятных для него последствий. В частности, отсутствие согласия на обработку ПДн не может являться основанием для отказа в заключении договора (ч. 4 ст. 16 Закона «О защите прав потребителей»). Указанный подход дополнительно закреплён недавними изменениями в законодательстве, запрещающими объединение согласия на обработку ПДн с иными документами. В следующих постах будут рассмотрены специальные требования, предъявляемые к отдельным видам согласий.