Обработка персональных данных без согласия: шесть законных оснований

Обработка персональных данных без согласия: когда это законно

Обработка персональных данных без согласия - это не исключение из правил и не серая зона, а обычный законный способ работать с данными людей, если для этого есть основание из перечня, который дает закон. Многие владельцы сайтов уверены, что без галочки согласен на обработку персональных данных любая обработка автоматически противоречит закону, и вешают чекбоксы там, где они не нужны и даже мешают - например, на форме, через которую человек сам инициирует договор с оператором. На деле часть 1 статьи 6 федерального закона номер 152-ФЗ от 27 июля 2006 года о персональных данных называет больше десятка оснований для обработки, и согласие субъекта - лишь одно из них, причем не самое удобное для оператора: его можно отозвать в любой момент, и тогда придется останавливать обработку и заново объяснять, на каком основании данные обрабатывались раньше.

Тема касается почти любого бизнеса с сайтом: формы заказа в интернет-магазине, кадровый учет в штате, переписка с клиентами и подрядчиками, работа колл-центра и отдела продаж. Если оператор берет согласие там, где закон и так разрешает обработку без него, это не нарушение само по себе, но лишняя зависимость и лишний риск: собранную подпись можно отозвать, а сама форма получения согласия должна быть оформлена правильно под угрозой отдельного штрафа. Если наоборот, оператор работает без согласия там, где оно требовалось, это уже нарушение части 1 статьи 6, а повторное нарушение того же правила наказывается кратно строже первого.

Игнорировать вопрос оснований дорого в буквальном смысле. Штрафы за обработку персональных данных без законного основания или без надлежащего согласия входят в число самых частых претензий Роскомнадзора к сайтам, а суммы за последние годы заметно выросли. Дело не только в размере штрафа: без внятного основания оператору нечем ответить на запрос субъекта или регулятора, и разбираться с последствиями приходится в разы дольше, чем один раз настроить процесс заранее.

Разобраться в основаниях стоит еще и потому, что от выбранного основания зависит содержание политики обработки персональных данных, содержание уведомления в Роскомнадзор и ответ, который оператор обязан дать субъекту, если тот спросит, почему его данные обрабатывают без разрешения. Дальше в статье - разбор шести оснований, которые чаще всего применимы к обычному бизнесу с сайтом, интернет-магазину, сервису или компании с наемными сотрудниками, без экзотики вроде оборонных предприятий и государственных структур, для которых закон предусматривает отдельные основания.

Зачем нужны основания обработки персональных данных, если можно просто получить согласие

Соблазн решить все одним чекбоксом понятен: согласие выглядит универсальным инструментом и на первый взгляд закрывает любой сценарий обработки. На практике у согласия есть несколько слабых мест, из-за которых юристы советуют искать другое основание там, где оно доступно, а не тянуться к чекбоксу по умолчанию.

• Согласие можно отозвать в любой момент без объяснения причин, и оператор обязан прекратить обработку данных, если только эта же обработка не опирается на другое, независимое от согласия основание. Получается, что бизнес, который строит процессы только на согласии, зависит от решения каждого отдельного человека продолжать или нет.
• Форма получения согласия сама по себе должна быть оформлена без ошибок: явно выражена, без предзаполненной галочки, с рабочей ссылкой на политику обработки - подробно об этом написано в материале про форму согласия на сайте. Ошибка в самой форме - повод для штрафа независимо от того, была ли обработка данных законной по существу.
• Согласие плохо подходит там, где обработка обязательна по закону: работодатель не может строить кадровый учет на добровольном желании сотрудника, потому что обязан вести такой учет независимо от того, согласен работник или нет.

Законные основания обработки персональных данных, которые не требуют согласия, устроены иначе: каждое из них существует ровно для той ситуации, где получать согласие либо невозможно, либо избыточно, либо просто нелогично с точки зрения самих отношений между оператором и человеком. Ниже эти основания разобраны по отдельности, с примерами из практики сайтов, интернет-магазинов и сервисов, чтобы было понятно, какое основание к какой ситуации подходит.

Шесть законных оснований обработки без согласия

Закон описывает основания сухим канцелярским языком, поэтому ниже - перевод каждого на практику: что оно означает для сайта, интернет-магазина или компании с наемными сотрудниками, и где проходит граница, за которой основание уже не работает.

Исполнение договора с самим субъектом

Если человек сам оформляет заказ, оставляет заявку на услугу или запрашивает расчет стоимости через форму на сайте, оператор обрабатывает его имя, телефон и адрес не потому, что получил отдельное согласие, а потому, что это необходимо для заключения и исполнения договора с этим же человеком. Сюда же относятся действия еще до заключения договора: расчет цены, бронирование, обратный звонок по инициативе самого посетителя сайта. Требовать в этой ситуации отдельную галочку согласия на обработку персональных данных избыточно - основание уже есть, а лишний чекбокс только удлиняет форму и снижает число заявок, не добавляя оператору никакой дополнительной защиты. Основание перестает действовать, как только оператор выходит за пределы самого договора: например, начинает использовать телефон покупателя для рассылки по товарам, с покупкой никак не связанным - для этого понадобится уже другое основание, чаще всего согласие. Как правильно устроить форму заявки, чтобы она и работала на конверсию, и не создавала лишних юридических рисков, разобрано в статье про формы обратной связи и сбор заявок.

Обязанность, возложенная на оператора законом

Работодатель ведет кадровый учет, потому что это прямо требует трудовое законодательство, а не потому, что сотрудник дал на это добровольное согласие. Бухгалтерия передает данные сотрудников и контрагентов в налоговую службу и во внебюджетные фонды, потому что обязана делать это по закону об отчетности, и никакое несогласие сотрудника этой обязанности не отменяет. Похожая логика работает при хранении первичных документов: сроки хранения бухгалтерских и кадровых бумаг задает не воля оператора, а закон, и обработка данных в течение этого срока опирается именно на обязанность, а не на согласие, которое давно могло быть отозвано. Основание работает, только если оператор может назвать конкретную норму, которая обязывает его обрабатывать именно эти данные именно так: общая фраза мы обязаны вести учет без ссылки на норму закона при проверке не поможет и будет выглядеть как попытка прикрыть отсутствие реального основания.

Защита жизни и здоровья, когда получить согласие невозможно

Это основание применяют редко и только тогда, когда получить согласие невозможно в буквальном смысле: пациент без сознания, розыск пропавшего человека, чрезвычайная ситуация, в которой нет времени и возможности спросить разрешение у самого человека или его представителя. Для обычного сайта с формой заявки это основание почти никогда не понадобится, но для медицинских сервисов, экстренных служб, страховых компаний и транспортных перевозчиков оно имеет реальное значение и должно быть отражено в документах именно как отдельный, редкий случай, а не как общее правило на все случаи жизни. Попытка использовать это основание для обычной коммерческой обработки - например, обосновать им сбор данных о здоровье клиентов фитнес-клуба - не выдержит проверки, потому что получить согласие в такой ситуации совершенно реально.

Законные интересы оператора или третьих лиц и общественно значимые цели

Сюда попадают взыскание задолженности с должника, внутреннее расследование инцидента внутри компании, меры против мошенничества с использованием персональных данных клиентов, обеспечение безопасности офиса или магазина камерами видеонаблюдения. Основание рабочее и востребованное, но с оговоркой прямо в законе: обработка допустима, только если при этом не нарушаются права и свободы самого субъекта. Это оценочное условие, и именно на нем чаще всего спотыкаются операторы, которые пытаются подвести под законный интерес что угодно - от email-рассылки без возможности отписаться до сбора данных о посетителях сайта конкурента без всякого отношения к собственному бизнесу. Проверка простая: спросить себя, ожидал бы человек в разумных пределах, что его данные будут использованы именно так, и не перевешивает ли его интерес не быть так обработанным интерес самого оператора. Если основание законный интерес используется, стоит держать под рукой письменное обоснование: зачем это нужно, почему нельзя иначе и как учтены интересы человека, чьи данные обрабатываются - без такой бумаги основание превращается в отговорку.

Общедоступные данные, которые человек сам сделал публичными

Если человек сам разместил номер телефона в объявлении о продаже, оставил контакты на визитке или в открытом профиле, эти данные можно обрабатывать без отдельного согласия, но строго в пределах той же цели, ради которой они были раскрыты. Граница здесь именно в цели: то, что телефон висит в открытом объявлении о продаже квартиры, не дает права использовать его для рассылки рекламы других товаров или передавать третьим лицам под видом законного основания. Общедоступность снимает только требование получить согласие, но не снимает остальные обязанности оператора, включая ограничение цели обработки и обязанность прекратить обработку, если человек прямо попросил этого не делать. Отдельная ловушка - соцсети и агрегаторы объявлений: то, что данные видны в открытом доступе технически, не означает автоматического права собирать их массово и использовать в собственных коммерческих целях, если это не совпадает с целью первоначальной публикации.

Исполнение решения суда и требований государственных органов

Запрос от судебных приставов, следователя, прокуратуры или иного государственного органа, который действует в пределах своих полномочий и присылает официальный документ, - самостоятельное основание для передачи данных без согласия субъекта и без его уведомления об этом. Важное ограничение: оператор обязан передать данные строго в объеме, который указан в конкретном документе, а не выгружать всю базу на всякий случай, раз уж все равно попросили. Стоит также проверять, что запрос действительно оформлен как положено: подписан, содержит ссылку на дело или производство, исходит от органа, который вправе такой запрос направить, а не просто пришел на электронную почту в свободной форме без реквизитов.

Основание и типичная ситуация: таблица для проверки

Таблица ниже помогает быстро сверить свою ситуацию с подходящим основанием и понять, что стоит держать под рукой на случай проверки Роскомнадзора или запроса от самого субъекта персональных данных.

На практике один и тот же сайт или одна и та же компания часто опираются сразу на несколько оснований одновременно, просто для разных данных и разных целей. Форма заказа в интернет-магазине работает на исполнении договора, кадровые документы сотрудников - на обязанности, возложенной законом, а запись с камеры в торговом зале - на законном интересе, связанном с безопасностью помещения и товара. Частая ошибка - пытаться подобрать одно общее основание сразу для всего сайта или для всей базы клиентов. Правильный подход - расписать основание отдельно для каждой категории данных и каждой цели их сбора, даже если в итоге получится короткий список из двух-трех пунктов вместо одной универсальной фразы на все случаи.

Когда без согласия обойтись не получится

Шесть оснований выше закрывают типичные бизнес-сценарии, но не работают одинаково хорошо для любых данных. Закон отдельно и строже регулирует специальные категории персональных данных - сведения о здоровье, биометрические данные, которые используются для установления личности, информацию о судимости. Для таких данных перечень оснований без согласия значительно уже, а на практике почти всегда проще и безопаснее получить письменное согласие, оформленное по всем правилам, чем пытаться подобрать одно из шести оснований выше. Например, медицинский центр, который собирает информацию о диагнозах через форму записи на прием, не может опереться на исполнение договора так же свободно, как интернет-магазин, обрабатывающий адрес доставки: сведения о здоровье требуют отдельного, более строгого подхода. То же касается фотографий и видео, которые используются не просто для иллюстрации, а для распознавания и идентификации человека - здесь одного законного интереса недостаточно. Прежде чем выбирать одно из шести оснований для конкретной категории данных, стоит сначала проверить, не относится ли она к специальным категориям: для них правила жестче, а ошибка обходится дороже.

Как оформить обработку персональных данных без согласия на сайте

Отсутствие согласия не освобождает оператора от прозрачности перед человеком, чьи данные обрабатываются, и от готовности объяснить свою позицию Роскомнадзору. На практике оформление сводится к нескольким последовательным шагам, и пропуск любого из них оставляет формально верное основание без реальной защиты.

Во-первых, для каждой категории данных, которую собирает сайт или компания, нужно заранее решить, на каком основании она обрабатывается, и прямо это указать в политике обработки персональных данных - без общей фразы обрабатываем на законных основаниях, а с конкретикой по каждой цели сбора. Как устроена такая политика и какие разделы в ней обязательны, разобрано в статье про 12 обязательных пунктов политики конфиденциальности.

Во-вторых, выбор основания стоит зафиксировать не только на сайте, но и внутри компании - в локальном акте, который описывает, какие данные обрабатываются, для чего и на каком основании. Это тот документ, который в первую очередь спрашивают при проверке, и без него оператору придется объяснять основания на словах, что звучит куда менее убедительно, чем ссылка на утвержденный внутренний акт. Полный список таких документов есть в материале про локальные акты оператора персональных данных.

В-третьих, если компания подает или обновляет уведомление об обработке персональных данных в Роскомнадзор, в нем тоже нужно указать правовое основание обработки по каждой цели, а не только сам факт, что данные обрабатываются. Порядок заполнения такого уведомления подробно описан в отдельной инструкции по уведомлению РКН.

И наконец, стоит хранить доказательства выбранного основания там, где до них можно быстро добраться: копию договора или заявки, текст нормы закона, документ от суда или пристава, письменное обоснование законного интереса. Без этих доказательств формально верное основание при проверке превращается в голословное утверждение.

Если субъект не согласен с тем, что его данные обрабатывают без разрешения, он вправе потребовать объяснений или обратиться с жалобой в Роскомнадзор. Готовый ответ должен называть конкретное основание из части 1 статьи 6, а не общую формулировку на основании закона: чем точнее ответ, тем меньше повод для дальнейшей проверки.

Частые ошибки бизнеса с основаниями обработки

Даже когда компания в целом знает про существование оснований без согласия, на практике встречаются одни и те же промахи.

• Основание законный интерес используют как объяснение на все случаи, включая рассылки без возможности отписаться и сбор данных о посетителях сайта без всякой связи с его целью. Чем шире формулировка законного интереса, тем меньше она убеждает при проверке, а не наоборот.
• Собирают согласие там, где обработка и так обязательна по закону, а потом теряются, когда субъект это согласие отзывает: обработка продолжается на другом основании, но в документах это нигде не отражено, и получается противоречие между тем, что написано, и тем, что происходит на самом деле.
• Расширяют понятие общедоступных данных: телефон из объявления о продаже квартиры используют для звонков по совсем другим поводам, хотя цель, ради которой человек раскрыл номер, была иной.
• Не могут в моменте показать документ, который подтверждает основание: ни договор, ни ссылку на норму закона, ни решение суда - основание существует только в пересказе сотрудника, а не на бумаге, и рассыпается при первом же вопросе.
• Используют одно и то же основание для всех данных сразу, не разделяя их по категориям и целям: в одном разделе политики оказываются и данные из заказа, и данные из резюме соискателя, и записи с камер видеонаблюдения, хотя у каждой категории может быть свое основание.

Что делать, если не уверены в своем основании

Самый надежный способ проверить себя - пройти по списку данных, которые собирает сайт или компания, и для каждой категории задать один вопрос: на каком именно основании из части 1 статьи 6 закона эти данные обрабатываются, и есть ли документ, который это подтверждает. Если ответ находится сразу и подкреплен бумагой, основание выбрано верно. Если ответ мы всегда так делали или на всякий случай берем согласие - стоит пересмотреть категорию данных отдельно и решить осознанно, а не по привычке.

Такая ревизия занимает время, особенно если данные собираются в разных местах: на сайте, в CRM, в кадровых документах, в переписке с подрядчиками. На 152fzpro.ru эту работу можно передать: аудит сайта и документов показывает, какие данные на каком основании обрабатываются сейчас и что нужно поправить, чтобы формулировки в политике, во внутренних актах и в уведомлении РКН совпадали с тем, что реально происходит с данными пользователей.

Возвращаться к этому списку стоит не один раз, а периодически - при запуске новой формы на сайте, при подключении нового сервиса для аналитики или рассылок, при найме первого сотрудника, при старте сотрудничества с новым подрядчиком. Основание, которое было верным для одной цели обработки, не переносится автоматически на новую цель, даже если данные технически те же самые: новая цель означает новую проверку по тому же списку из шести оснований и, если ни одно не подходит, честный переход к оформлению согласия.