Согласие родителей на обработку данных ребенка: возраст и форма

Согласие родителей на обработку персональных данных ребенка: когда оно нужно

Согласие родителей на обработку персональных данных ребенка нужно в любой ситуации, когда сайт, сервис или организация собирает сведения о несовершеннолетнем: имя, дату рождения, фото, состояние здоровья, результаты обучения, контакты для связи. Ребенок физически не может сам подписать согласие в юридическом смысле этого действия, поэтому за него это делает взрослый, у которого на это есть основание - обычно родитель, но иногда опекун или усыновитель. Многие сайты вообще не задумываются о разнице между формой, которую заполняет взрослый про себя, и формой, где данные принадлежат ребенку, и собирают персональные данные детей по тем же правилам, что и данные обычного посетителя-совершеннолетнего.

На практике с этим сталкиваются детские кружки и спортивные секции, онлайн-школы и репетиторы, интернет-магазины детских товаров с программами лояльности на ребенка, семейные медицинские центры, лагеря и организаторы городских праздников. У всех этих сайтов есть общая точка риска: форма заявки или регистрации, где родитель вписывает не свои данные, а данные сына или дочери. Иногда к этому списку добавляются и обычные интернет-магазины: например, форма подбора одежды или обуви по размеру ребенка, где просят указать имя и возраст сына или дочери для персонального напоминания о смене сезона.

Игнорирование этого правила грозит стандартными последствиями по закону о персональных данных: обработка без надлежащего согласия расценивается как нарушение части 1 статьи 6 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», а штрафы для организаций и предпринимателей за подобные нарушения давно перестали быть символическими. Отдельный риск для организаций, которые работают с детьми, - жалобы самих родителей: если человек видит, что его ребенка записали на курс без нормального согласия или использовали его фото в рекламе без спроса, обращение в Роскомнадзор или прокуратуру пишется быстрее, чем в среднем по рынку.

Кто вправе дать согласие на обработку персональных данных несовершеннолетнего

Закон о персональных данных сам по себе не расписывает подробно, с какого возраста ребенок может действовать самостоятельно - этот вопрос регулируют общие нормы гражданского права о дееспособности. Дать согласие на обработку персональных данных с юридической точки зрения - это совершить сделку, а способность человека самостоятельно совершать сделки зависит от возраста.

До 14 лет: согласие целиком за родителями

За малолетних детей, не достигших 14 лет, сделки от их имени совершают только родители, усыновители или опекуны - это закреплено в Гражданском кодексе, в статье про дееспособность малолетних. Сам ребенок в этом возрасте не может ни подписать согласие, ни поставить отметку в форме с юридическими последствиями. На сайте, где регистрируется ребенок 6-13 лет, согласие на обработку персональных данных должен дать и подписать родитель или другой законный представитель, а не сам ребенок, даже если формально форму заполняет он с помощью взрослого.

От 14 до 18 лет: нужно и согласие ребенка, и согласие представителя

С 14 лет несовершеннолетний получает частичную дееспособность: он вправе самостоятельно распоряжаться своим заработком, стипендией, вкладами, совершать мелкие бытовые сделки. Но список таких самостоятельных действий закрытый, и согласие на обработку персональных данных в него не входит. Для подростка 14-17 лет согласие на обработку персональных данных несовершеннолетнего оформляется как совместное действие: сам подросток может подписать документ или поставить отметку, но дополнительно требуется письменное согласие одного из родителей или другого законного представителя. Отсутствие подписи представителя делает согласие юридически уязвимым, даже если ребенку 17 лет и 11 месяцев.

Если ребенка приводит один родитель, бабушка или тренер

Оба родителя обладают равными правами в отношении ребенка, и по общему правилу для обычной записи в кружок, секцию или на прием к врачу достаточно согласия одного из них - закон не требует, чтобы форму подписывали оба сразу. Требовать подпись от второго родителя на этапе онлайн-записи избыточно, если только у организации нет специальных оснований сомневаться в полномочиях, например известно о лишении родительских прав или запрете на общение по решению суда.

Другое дело, когда ребенка приводит человек, который родителем формально не является - бабушка, дедушка, старшая сестра, тренер из другого клуба, няня. Родственная связь сама по себе не дает права подписывать согласие на обработку персональных данных ребенка: нужен документ, подтверждающий полномочия - статус опекуна или попечителя либо доверенность от родителя, если это допускают закон и внутренние правила организации для конкретной ситуации. На сайте эта тонкость обычно не проверяется вообще, но зафиксировать ее во внутреннем регламенте приема заявок - разумная страховка на случай спора.

Исключения: эмансипация и ранний брак

Из общего правила есть два исключения, о которых полезно знать сайтам, работающим с подростками старшего возраста. Если несовершеннолетний вступил в брак до 18 лет, что законом допускается в отдельных случаях с разрешения органов местного самоуправления, или прошел процедуру эмансипации через органы опеки либо суд, он приобретает полную дееспособность досрочно и с этого момента дает согласие на обработку своих персональных данных сам, без участия родителей. На практике такие случаи редки, и по умолчанию сайту разумнее считать, что перед ним обычный несовершеннолетний, которому нужен представитель, пока не доказано обратное документом.

Как оформить согласие родителей на обработку данных ребенка: форма и образец

Структура согласия за ребенка почти повторяет обычное согласие на обработку персональных данных, но с одним принципиальным дополнением: в документе нужно явно зафиксировать, кто и на каком основании выступает представителем. Форма может быть бумажной, с личной подписью при первом визите в секцию или клинику, или электронной - через отметку в форме, где родитель вводит собственные данные и данные ребенка, либо через сервис с подтверждением по коду из смс или почты, направленному на контакт родителя.

Я, Иванова Мария Петровна, являясь законным представителем (матерью) несовершеннолетнего Иванова Ивана Ивановича, 05.03.2016 года рождения, действуя на основании свидетельства о рождении, даю согласие ООО Кружок Радуга на обработку персональных данных моего ребенка: фамилия, имя, отчество, дата рождения, фотографии с занятий, сведения об аллергических реакциях - в целях зачисления в группу, ведения журнала посещаемости и обеспечения безопасности на занятиях. Согласие дается на сбор, запись, хранение, использование и уничтожение данных сроком на 1 год с даты подписания либо до отзыва. С политикой обработки персональных данных ознакомлена. Согласие может быть отозвано в любой момент по письменному заявлению.

Отдельно стоит продумать текст рядом с отметкой согласия на сайте: сам факт нажатия на кнопку отправить заявку согласием не считается, отметка должна быть отдельной, не предустановленной и сопровождаться ссылкой на полный текст согласия. Ссылка также должна вести на политику обработки персональных данных, которая должна содержать раздел про обработку данных несовершеннолетних - проверить, что в вашей политике этот раздел вообще есть, можно по списку из 12 обязательных пунктов политики конфиденциальности.

Общие требования к самому механизму отметки о согласии и к тому, чтобы она реально фиксировала согласие, а не просто украшала форму, разобраны в статье про чекбокс, всплывающее окно и отдельную форму согласия.

Детские кружки, секции и онлайн-школы: особые случаи

Секции и кружки

Запись ребенка в спортивную секцию, кружок робототехники или музыкальную школу почти всегда происходит через форму на сайте, которую заполняет родитель. Типичная ошибка - в этой форме родитель указывает не только имя и возраст ребенка, но и сведения о здоровье: противопоказания, хронические заболевания, аллергии, которые тренеру или педагогу действительно нужны для безопасности занятий. Такие сведения относятся к специальной категории персональных данных, и для их обработки нужно отдельное согласие с более строгими требованиями к форме. Подробно о том, что изменилось в правилах работы со спецкатегориями, рассказано в статье про согласие на обработку специальных категорий персональных данных. Секции, которые просто добавляют поле про особенности здоровья в общую анкету рядом с обычной отметкой согласия, формально нарушают закон, даже если делают это из лучших побуждений. Обычно согласие берут разово при зачислении сроком на весь период занятий, но если ребенок переходит в другую группу или программу с иными целями обработки, лучше запросить обновленное согласие, а не считать, что старое покрывает и новую ситуацию.

Онлайн-школы и репетиторы

У онлайн-обучения своя специфика: ребенок часто заходит на платформу под собственным логином, оставляет комментарии, сдает домашние задания, а иногда общается с преподавателем в чате или на видеосвязи. Формально аккаунт создает родитель и дает согласие на обработку данных ребенка при регистрации, но дальше сервис должен понимать, что переписка, записи уроков и результаты тестов - это тоже персональные данные несовершеннолетнего, на которые распространяется то же самое согласие, а не какое-то отдельное молчаливое допущение вроде того, что раз ребенок сам печатает в чате, значит он согласился сам за себя. Более подробный разбор специфики образовательных платформ и работы с несовершеннолетними пользователями есть в статье об онлайн-школах и согласиях от несовершеннолетних. Отдельная сложность в том, что платформа технически не может проверить, кто именно вводит данные в форму регистрации - родитель или подросток, воспользовавшийся телефоном взрослого, поэтому важнее не мнимая проверка личности, а правильная формулировка текста согласия и понятная процедура его отзыва на случай, если выяснится, что аккаунт оформил ребенок сам, без ведома взрослого.

Фото и видео с занятий и мероприятий

Отдельная история - фотографии и видео с открытых уроков, соревнований, утренников и лагерных смен, которые организация выкладывает на сайт или в социальные сети. Публикация изображения ребенка, доступного другим посетителям сайта, - это распространение персональных данных, а не просто обработка, и требует отдельного согласия по правилам о распространении, а не общего пункта в анкете при записи. Родитель вправе разрешить, например, публикацию фото с соревнований, но запретить использование фото ребенка в рекламных материалах, и оператор обязан эту разницу учитывать, а не собирать одно согласие на все случаи разом.

С какого возраста можно давать согласие на обработку ПДн онлайн и как это проверить сервису

Вопрос, с какого возраста можно давать согласие на обработку персональных данных, в применении к сайтам звучит практичнее, чем в теории: как форма регистрации должна понять, что перед ней ребенок, а не взрослый, и кто на самом деле заполняет поля. Полноценной проверки возраста через форму не существует - сайт не может требовать паспорт при записи в кружок, да это и избыточно. Рабочий подход строится не на проверке личности ребенка, а на структуре самой формы:

• Регистрационные данные - логин, телефон, email, платежные реквизиты - принадлежат взрослому, родителю или представителю, а не ребенку, даже если услуга оказывается для ребенка.
• В форме есть отдельное поле для имени ребенка и отдельное поле для имени родителя или представителя, а не одна общая графа на двоих.
• Согласие на обработку данных ребенка сформулировано от имени родителя, с прямым указанием на статус законного представителя, а не общей фразой без этого уточнения.
• Если сервис допускает самостоятельную регистрацию подростка 14-17 лет, форма дополнительно запрашивает контакт родителя для подтверждения, например код, отправленный на номер взрослого.
• Для детей до 14 лет самостоятельная регистрация без участия взрослого на этапе оформления согласия не предусматривается вообще - учетную запись оформляет родитель.

Такая структура формы одновременно закрывает вопрос о том, кто дает согласие на обработку персональных данных несовершеннолетнего, и снимает с сайта необходимость гадать, сколько лет человеку по ту сторону экрана. Общие принципы построения форм заявок без нарушений закона, включая обязательные и необязательные поля, разобраны в статье про формы обратной связи и сбор заявок - те же правила применимы и к формам записи детей, только с поправкой на представителя.

Что делать, когда ребенок становится совершеннолетним

Согласие, которое в свое время дал родитель, было действительным ровно в пределах его полномочий как представителя несовершеннолетнего. Когда человеку исполняется 18 лет, он приобретает полную дееспособность и с этого момента вправе сам распоряжаться своими персональными данными: соглашаться на новую обработку, отзывать старое согласие, требовать уточнения или удаления данных без участия родителей.

Для оператора это означает практическую задачу. Данные, собранные с согласия родителя, продолжают законно храниться и обрабатываться в рамках целей, под которые давалось согласие, например архив результатов обучения или истории посещений секции. Но для любой новой цели - новой рассылки, нового продукта, повторного использования данных не по изначальному назначению - нужно получить согласие уже от самого повзрослевшего человека, а не ссылаться на документ, подписанный его родителем несколько лет назад. На практике проще всего пометить в базе клиентов, кому в ближайшее время исполняется 18 лет, и при следующем контакте, продлении абонемента или новом наборе группы, взять согласие заново, уже от самого совершеннолетнего человека. Это особенно важно для сервисов с регулярной рассылкой: письмо с новым предложением, отправленное восемнадцатилетнему бывшему ученику по старому согласию его мамы, - формально обработка без актуального согласия, даже если на момент сбора данных все было оформлено верно.

Типичные ошибки в согласиях на обработку персональных данных несовершеннолетних

Проверка сайтов, которые работают с детьми, регулярно упирается в один и тот же набор недочетов.

Каждая из этих ошибок по отдельности выглядит мелочью, но при проверке или жалобе родителя они складываются в претензию сразу по нескольким пунктам закона одновременно, а не по одному формальному поводу.

Как хранить согласия и что предъявить при проверке

Отдельный вопрос - что происходит с подписанным согласием после того, как ребенка зачислили в группу или оформили заказ. Бумажный экземпляр логично подшивать в личное дело или отдельную папку с согласиями, электронный - хранить вместе с логом отправки формы: датой, временем и текстом, под которым стояла отметка о согласии на момент отправки. Если текст согласия на сайте меняется, старые версии тоже стоит сохранять - иначе через год трудно доказать, под каким именно текстом человек ставил отметку.

При проверке или запросе Роскомнадзора оператору нужно быть готовым предъявить не абстрактное упоминание, что согласия собираются, а конкретный экземпляр по конкретному ребенку: кто подписал, когда, на каких условиях. Организации, которые хранят такие данные только в переписке в мессенджере с администратором кружка, оказываются в невыгодном положении - переписку сложно систематизировать и предъявить как формальный документ. Отдельная папка или раздел в CRM с привязкой согласия к конкретному ребенку и родителю - минимальная организационная мера, которая экономит время именно в момент проверки.

Итог: как не попасть на проверку из-за согласий за детей

Работа с персональными данными детей отличается от обычной обработки одним ключевым моментом: согласие всегда идет через представителя, а форма на сайте должна явно это учитывать, а не маскировать под обычную заявку взрослого человека. Если сайт собирает данные о несовершеннолетних - через кружок, онлайн-школу, магазин детских товаров или медицинский центр, - стоит один раз пройти по всей цепочке: кто заполняет форму, что написано рядом с отметкой согласия, есть ли отдельное согласие на фото и на сведения о здоровье, и что происходит с данными, когда ребенок вырастает.

Такую проверку можно провести самостоятельно: пройтись по всем формам на сайте, где встречаются данные детей, и сверить каждую с базовыми пунктами - кто заполняет форму, есть ли отдельное поле для представителя, что написано рядом с отметкой согласия, есть ли отдельное согласие на фото и на данные о здоровье. Если формы писались давно и без оглядки на работу с несовершеннолетними, разумно привести в порядок именно эти узкие места: текст согласия, отдельные поля для представителя и ребенка, раздел про специальные категории данных здоровья. Специалисты 152fzpro.ru занимаются именно такими доработками - от аудита существующих форм и согласий до подготовки готовых документов под конкретный сайт и его аудиторию.