Персональные данные в НКО и благотворительном фонде: жертвователи, волонтеры, подопечные

Персональные данные в НКО и благотворительном фонде - это не одна форма согласия на сайте, а как минимум три параллельных потока людей: те, кто дает деньги, те, кто дает время, и те, ради кого все это делается. У каждого потока свой набор данных, свое основание для обработки и своя дыра, через которую данные обычно утекают. Дальше - про каждый поток отдельно и про то, где фонды чаще всего ошибаются на практике.

Федеральный закон 152-ФЗ не делает исключения для некоммерческих организаций. Если фонд принимает пожертвования через сайт, ведет базу волонтеров и публикует истории подопечных, он полноценный оператор персональных данных - с уведомлением в Роскомнадзор, набором согласий и теми же рисками при проверке, что и у коммерческой компании. Разница в том, что штата и юриста в фонде обычно нет, а данные при этом более чувствительные: диагнозы, статус инвалидности, истории детей и их семей. При этом проверка для НКО ничем не отличается от проверки любого другого сайта - тот же запрос документов, те же вопросы про согласия и уведомление, только отвечать на них часто приходится директору фонда лично, без юридического отдела за спиной.

Три потока персональных данных в благотворительном фонде

Удобно сразу разложить работу фонда на три потока и для каждого зафиксировать, какие данные внутри и на каком основании их можно обрабатывать. Устройство похоже на то, как ведется учет в других объединениях граждан - например, в СНТ, где реестр членов, взносы и общие собрания дают почти зеркальную структуру данных, только вместо взносов - пожертвования, а вместо собственников участков - подопечные, которым фонд помогает.

Жертвователи

Жертвователь оставляет ФИО, платежные реквизиты, иногда телефон и почту - для чека, для благодарственного письма, для отчета о том, куда ушли деньги. Основание обработки - договор пожертвования по главе 32 Гражданского кодекса, а если фонд потом присылает новости и просит подписаться на регулярные платежи - для этого нужно отдельное согласие на рассылку.

Волонтеры

У волонтера набор шире: паспортные данные для договора, контакты, а если он работает с детьми, пожилыми людьми или в медицинском учреждении - еще и сведения о здоровье, а иногда о судимости. Основание - согласие плюс договор о добровольческой деятельности по закону 135-ФЗ о благотворительной деятельности и добровольцах.

Подопечные

Подопечный - самый чувствительный поток. Здесь чаще всего встречаются специальные категории данных: диагноз, инвалидность, а для детей - сведения о семье и законных представителях. Основание - согласие законного представителя и договор об оказании помощи, а не просто галочка в форме на сайте фонда.

Поток	Какие данные	Основание обработки	Особая осторожность
Жертвователи	ФИО, платежные реквизиты, контакты	Договор пожертвования, согласие на рассылку	Публикация списка с суммами без согласия на распространение
Волонтеры	Паспортные данные, контакты, иногда данные о здоровье	Согласие плюс договор по 135-ФЗ, полис страхования	Медицинские данные - спецкатегория, нужен отдельный документ
Подопечные	ФИО, диагноз, статус инвалидности, фото, данные о семье	Согласие законного представителя, договор об оказании помощи	Публикация историй и фото - отдельное согласие плюс статья 152.1 ГК

Таблица - не формальность для внутреннего документа, а рабочий инструмент: если для каждого потока заранее выписано, какие данные собираются и зачем, ответ на вопрос проверяющего или на запрос самого человека занимает пять минут, а не день поиска по переписке и старым файлам.

Данные жертвователей: платежи, отчеты и согласие на рассылку

Прием платежа сам по себе не требует отдельного согласия: обработка данных для исполнения договора пожертвования - самостоятельное законное основание, и просить жертвователя поставить галочку под каждым переводом не нужно. Другое дело - все, что фонд делает с этими данными после: включает в рассылку, публикует в отчете, передает партнеру для совместной акции. Для каждого такого действия нужна своя цель и часто свое согласие.

Многие доноры принципиально хотят остаться анонимными, и это не прихоть, а часто требование безопасности - например, если речь о крупной сумме или о помощи в чувствительной теме. Фонд, который публикует полный список поступлений с именами и суммами без разбора, нарушает закон даже тогда, когда действует из лучших побуждений и хочет показать прозрачность.

Пример из практики: фонд помощи бездомным животным ежегодно публиковал отчет о поступлениях, и в таблице стояли полные имена и суммы каждого перевода. После жалобы одного из жертвователей список заменили: в открытом отчете остались только обезличенные суммы по месяцам, а благодарности с именами - только для тех, кто отдельно подтвердил, что согласен быть в публичном списке.

Сформулировать цель обработки для каждого потока отдельно, а не одной обтекаемой строкой на все случаи - это ровно то, о чем мы подробно разбирали в материале про цели обработки персональных данных и про то, как сформулировать их так, чтобы не переписывать документы заново. Для жертвователей цель - прием и учет пожертвований, для рассылки - отдельная цель и отдельное согласие, для публичной благодарности - третья цель со своим согласием.

Есть еще один поток, про который часто забывают: донор-физлицо имеет право на социальный налоговый вычет за пожертвование, а для этого фонду нужно выдать справку с его паспортными данными, а иногда и с ИНН. Эта справка попадает не в маркетинговую базу, а в бухгалтерию, и именно поэтому про нее забывают при составлении реестра обработки - кажется, что раз это документ для налоговой, то персональных данных в нем как будто и нет. На деле это тот же самый жертвователь и то же самое основание нужно прописать отдельно, с указанием, что данные передаются исключительно для целей налогового учета и никуда больше.

Волонтеры: согласие на обработку персональных данных и медицинские документы

Закон 135-ФЗ о добровольцах требует письменного договора в ряде случаев: если фонд возмещает волонтеру расходы, оформляет страховку или волонтер работает с несовершеннолетними в рамках организованной группы. В договоре и приложениях к нему неизбежно оказываются персональные данные - паспорт, контакты, а иногда результаты медицинского осмотра.

Требования к медицинской книжке волонтера почти дословно повторяют то, что применяется к сотрудникам - механика описана в статье про медицинские данные сотрудников: справки, больничные и медосмотры. Справка о состоянии здоровья - специальная категория персональных данных, и хранить ее нужно отдельно от общего личного дела волонтера, с ограниченным доступом только для тех, кому это действительно нужно по работе.

Если волонтеру меньше 18 лет, добавляется еще один слой: согласие на обработку его данных должен подписать родитель или законный представитель, а не сам подросток, даже если он уже фактически ведет всю переписку с координатором фонда самостоятельно.

Частая ошибка - регистрация волонтеров через общедоступную гугл-форму без единого слова о целях обработки, без ссылки на политику и без отдельной галочки согласия. Данные при этом оседают в таблице, доступной по ссылке всем, у кого эта ссылка есть, включая бывших сотрудников и случайных людей, которым ссылку переслали.

Отдельная ситуация - корпоративное волонтерство, когда сотрудники компании-партнера приходят помогать фонду целой группой. Здесь данные волонтера сначала проходят через работодателя - список участников, иногда контакты для пропуска на территорию - и уже потом попадают к фонду. Формально это передача персональных данных третьему лицу, и лучше заранее договориться, кто и на каком основании эту передачу оформляет, чем разбираться постфактум, когда кто-то из участников попросит удалить свои данные.

Если для мероприятия волонтера страхуют, данные - фамилия, дата рождения, паспорт - уходят в страховую компанию, и это тоже передача третьему лицу, которая требует либо согласия волонтера на такую передачу, либо прямого указания на нее в самом договоре о добровольческой деятельности. Устная договоренность здесь не работает: при проверке спросят именно бумагу.

Подопечные: специальные категории данных - здоровье, инвалидность, дети

Сведения о здоровье и инвалидности отнесены законом к специальной категории персональных данных, обработка которой запрещена по общему правилу и разрешена только в перечисленных законом случаях: с согласия субъекта, в медицинских целях, для защиты жизни и здоровья и в ряде других ситуаций. Работа фонда с подопечными почти всегда попадает в эту категорию, и относиться к ней как к обычным контактным данным нельзя.

Для детей-подопечных согласие дает законный представитель - родитель, опекун, а для детей без семьи - орган опеки или организация, на попечении которой находится ребенок. Собирать стоит ровно тот объем данных, который нужен для решения о помощи, а не полную медицинскую карту, если для сбора средств достаточно диагноза и общего описания ситуации.

Показательный пример: фонд помощи детям с онкологическими заболеваниями для страницы сбора обычно указывает имя, возраст, диагноз и фотографию ребенка. Каждый из этих элементов - отдельная единица персональных данных со своим основанием, и публикация требует отдельного согласия именно на публикацию, а не только на оказание помощи как таковой.

Часто в фонде подписывают один общий документ при обращении семьи за помощью, где сказано, что фонд обрабатывает данные ребенка и семьи. Для внутренней работы - сбора документов, переговоров с клиникой, отчетности - этого достаточно. Для размещения истории на сайте и в соцсетях нужен отдельный документ, который прямо описывает, какие данные публикуются, на каких площадках и как долго они там останутся.

Данные семьи вокруг ребенка-подопечного - это тоже отдельный поток, а не приложение к данным ребенка. Родитель или опекун, который ведет переписку с фондом, оставляет свои контакты, паспортные данные, а иногда сведения о собственном доходе для оценки нуждаемости в помощи. У семьи есть право в любой момент отозвать согласие и попросить прекратить обработку - и фонду нужно заранее понимать, что произойдет с уже опубликованной историей и с уже собранными на лечение деньгами, если такой отзыв придет посреди сбора.

Истории и фото подопечных: согласие на распространение и статья 152.1 ГК

Публикация истории подопечного затрагивает сразу два разных правовых режима. Использование фотографии или видео человека регулируется статьей 152.1 Гражданского кодекса об охране изображения гражданина, а использование имени, диагноза и других сведений о нем - законом 152-ФЗ о персональных данных. Это два разных документа и две разных подписи, даже если по смыслу они об одном и том же случае.

С 2021 года в законе есть отдельный вид согласия - на распространение персональных данных, то есть на доведение их до неопределенного круга лиц через сайт, соцсети или прессу. Мы подробно разбирали, как оформить такой документ, в материале про согласие на распространение персональных данных по статье 10.1. Для НКО этот документ важнее, чем для среднего интернет-магазина: фонд живет за счет того, что рассказывает истории людей, и без такой бумаги публикация - нарушение, даже если родители устно разрешили и лично прислали фотографии.

Отдельно согласие на изображение по статье 152.1 ГК не требуется в узком перечне случаев - например, если съемка велась на публичном мероприятии и человек не является основным объектом кадра. Портретная фотография ребенка для сбора средств под этот случай не подпадает почти никогда, и согласие нужно получать заранее, а не постфактум, когда сбор уже опубликован.

Практический совет, который экономит время при последующих спорах: хранить согласие рядом с самим материалом - фотографией и текстом истории, а не в общей папке документов фонда отдельно от контента. Если родители через полгода попросят убрать историю, нужно быстро понять, что именно убирать и на каком основании она вообще была опубликована.

Есть еще один нюанс, который редко замечают: сама по себе история может деанонимизировать человека даже без фамилии, если в тексте есть название конкретной школы, небольшого города или редкого диагноза в сочетании с возрастом. Прежде чем публиковать текст, стоит перечитать его глазами постороннего человека и убрать детали, которые не нужны для сбора средств, но помогают узнать конкретного ребенка или семью тем, кто их знает лично.

Отчетность в Минюст: что туда попадает

Некоммерческие организации, включая благотворительные фонды, обязаны отчитываться перед Минюстом о своей деятельности по закону 7-ФЗ о некоммерческих организациях - о составе органов управления, источниках поступлений и о том, на что потрачены средства. Если у фонда нет зарубежного финансирования и поступления укладываются в порог, который устанавливает Минюст, можно ограничиться упрощенным заявлением о продолжении деятельности, но и полный, и упрощенный вариант отчета так или иначе включают персональные данные учредителей и членов руководящих органов.

Проблема начинается там, где фонд решает выложить этот отчет на сайт целиком ради прозрачности. Публикация фамилий членов совета фонда обычно не вызывает вопросов - это их публичная роль. А вот если в отчет случайно попадают персональные данные крупных доноров или сведения о подопечных, это уже раскрытие данных сверх необходимого. Рабочая практика - вести две версии отчета: полную для Минюста и публичную, отредактированную для сайта.

Часть данных об учредителях и руководителе фонда в любом случае доступна публично через единый государственный реестр юридических лиц - это не зависит от того, что решил фонд, и на такую обработку согласие не нужно. А вот донор, волонтер или подопечный в этот реестр не попадают, и на них правило публичности не распространяется, даже если кажется логичным перенести его на всех, кто связан с фондом.

Уведомление в Роскомнадзор для НКО

Некоммерческий статус не освобождает фонд от подачи уведомления об обработке персональных данных в Роскомнадзор. Освобождение действует только для узкого перечня случаев - в частности, когда организация обрабатывает данные исключительно своих работников по трудовому договору и не передает их третьим лицам. Фонд с донорами, волонтерами и подопечными почти никогда не попадает под это исключение, даже если формально называет себя некоммерческой организацией и по привычке считает эти правила написанными для бизнеса.

Порядок подачи такого уведомления мы разбирали пошагово - в пошаговой инструкции по уведомлению в РКН об обработке персональных данных. Для фонда в разделе о категориях субъектов стоит сразу указать все три группы - жертвователей, волонтеров и подопечных, а не только сотрудников. На практике уведомление часто ограничивают перечислением работников по привычке, а при проверке выясняется, что оно не покрывает реальный объем обработки.

Отсутствие уведомления там, где оно требовалось, - самостоятельное нарушение по статье 13.11 КоАП, и штраф здесь не зависит от того, произошла ли утечка данных на самом деле. Поводом для проверки нередко становится жалоба волонтера или жертвователя, а не плановый рейд регулятора.

Сайт фонда с формой пожертвований почти всегда ставит счетчики аналитики и куки, а это тоже обработка персональных данных, о которой нужно упомянуть в уведомлении и в политике конфиденциальности. Если платежный сервис или рассылка, которыми пользуется фонд, физически хранят данные за пределами России, добавляется требование сообщить об этом в уведомлении отдельно - трансграничная передача описывается отдельным пунктом, а не подразумевается по умолчанию.

Передача данных подрядчикам: платежные системы, CRM и рассылки

Фонд редко обрабатывает данные полностью своими силами. Платеж проходит через эквайринг или платежный агрегатор, база доноров и волонтеров часто ведется в CRM или таблице у стороннего сервиса, а рассылки уходят через отдельную почтовую платформу. Каждый такой сервис - это третье лицо, которому фонд поручает часть обработки, и по закону это оформляется поручением на обработку персональных данных, а не просто фактом регистрации аккаунта в сервисе.

На практике небольшие фонды часто выбирают бесплатные зарубежные конструкторы форм, таблицы и мессенджеры для рассылок, потому что это быстро и без бюджета. Проблема в том, что закон требует хранить персональные данные граждан России на серверах, которые физически находятся в России, и бесплатный иностранный сервис в большинстве случаев этому требованию не отвечает. Даже если утечки никогда не произойдет, сам факт хранения данных не там, где положено, - самостоятельное нарушение, которое всплывает при проверке быстрее всего, потому что его видно по одному запросу к техническому специалисту сервиса.

Практичный подход - не гнаться за заменой всех сервисов разом, а сначала описать, какие подрядчики вообще участвуют в обработке данных фонда, с кем есть письменное поручение на обработку, а с кем только устная договоренность или дефолтные условия сервиса. Дальше закрывать пробелы по одному, начиная с того сервиса, где хранится больше всего чувствительных данных - обычно это база подопечных, а не рассылка новостей.

Типичные нарушения, которые находят при проверках

• Список жертвователей с полными именами и суммами в открытом доступе без согласия на распространение;
• Фотографии и истории подопечных на сайте и в соцсетях без письменного согласия законного представителя;
• Регистрация волонтеров через общедоступную форму без текста о целях обработки и без отдельного согласия;
• Отсутствие уведомления в Роскомнадзор из-за уверенности, что для некоммерческой организации оно не требуется;
• Медицинские документы волонтеров и подопечных в общей папке вместе с остальными бумагами, без ограничения доступа;
• Полный отчет для Минюста, выложенный на сайт без сокращения персональных данных.

По отдельности каждый из этих пунктов кажется мелочью, а вместе они создают ситуацию, в которой у фонда физически нет ответа на простой вопрос проверяющего: кто и на каком основании обрабатывает данные конкретного подопечного. Разбираться с этим в момент проверки уже поздно - документы нужны заранее, а не по запросу.

Что сделать фонду в первую очередь

1. Разложить обработку данных на три потока - жертвователи, волонтеры, подопечные - и для каждого прописать отдельную цель и основание.
2. Завести отдельный документ согласия на распространение персональных данных для всех историй, фотографий и отчетов с именами.
3. Проверить, подано ли уведомление в Роскомнадзор, и если да - актуален ли в нем список категорий субъектов.
4. Разделить публичную версию годового отчета для сайта и полную версию для Минюста.
5. Хранить медицинские документы волонтеров и подопечных отдельно от остальных бумаг, с ограниченным доступом.
6. Прописать в договоре с волонтером условия обработки его данных, если работа связана с детьми, пожилыми людьми или пациентами.

Если в фонде накопилось много таких документов и разбираться с ними самостоятельно некогда, доработку сайта, форм и согласий можно заказать - подробнее об этом на главной странице 152fzpro.ru. Для большинства фондов правки касаются не всего сайта разом, а нескольких форм и пары документов, которые давно пора привести в соответствие с текущей редакцией закона.