Что такое согласие на обработку персональных данных
Согласие на обработку персональных данных — это добровольное и осознанное разрешение человека на то, чтобы организация собирала и использовала сведения о нём. Оно служит одним из законных оснований работать с такой информацией и подтверждает, что субъект заранее понимал, кто, зачем и в каком объёме её получает.
В белорусском праве правила закреплены Законом от 7 мая 2021 года №99-З «О защите персональных данных», который действует с 15 ноября 2021 года. Документ ввёл единые требования к тому, как бизнес запрашивает разрешение у клиентов, посетителей сайта и работников.
Добровольное разрешение не единственное основание: закон допускает обработку и в прямо названных случаях без него. Но если другого основания нет, именно корректно оформленный документ отделяет законную работу со сведениями от нарушения.
Когда разрешение обязательно, а когда можно обойтись без него
Разрешение требуется не всегда: закон называет ситуации, где организация вправе работать со сведениями и без него. Поэтому первый шаг это определить основание, и только при отсутствии подходящего оформлять документ от субъекта.
Чаще всего без отдельного разрешения обходятся в трудовых отношениях. Когда человек устраивается на работу, наниматель собирает информацию из его документов, результаты обязательного медосмотра и другие сведения, прямо предусмотренные законодательством. Здесь основанием служит сам закон, а не подпись работника.
Вот типичные основания, при которых документ от человека не нужен:
- оформление и ведение трудовых либо служебных отношений в рамках, очерченных законом;
- исполнение договора, где субъект выступает стороной;
- случаи, когда обработку прямо предписывают законодательные акты;
- защита жизни и здоровья человека, когда получить разрешение невозможно.
Во всех остальных ситуациях, будь то рассылки, программы лояльности или передача сведений партнёрам, добровольное разрешение остаётся обязательным.
В какой форме можно получить согласие
Закон допускает три формы: письменную, электронный документ и иную электронную форму. Все они равнозначны, а выбор зависит от того, как удобнее вести бизнес и подтверждать факт получения.
Письменная форма это привычный бумажный бланк с личной подписью. Электронный документ удостоверяется электронной цифровой подписью. Иная электронная форма самая гибкая: сюда относят ввод кода из SMS, отметку на сайте или подтверждение по электронной почте.
| Форма | Как оформляется | Где удобна |
|---|---|---|
| Письменная | Бумажный бланк с подписью субъекта | Офис, приём документов, кадры |
| Электронный документ | Файл, заверенный ЭЦП | Электронный документооборот с клиентом |
| Иная электронная | Код из SMS, отметка на сайте, письмо на e-mail | Сайты, приложения, интернет-сервисы |
Какую бы форму вы ни выбрали, закон возлагает на оператора обязанность доказать, что разрешение действительно получено. Поэтому систему фиксации продумывают заранее: где хранится бланк, как логируется отметка, сколько живёт запись.
Какие сведения должно содержать согласие
Документ оформляют так, чтобы из него было ясно, кто, какие сведения и для чего собирает. Минимальный набор включает данные субъекта, идентификацию оператора, цели, перечень обрабатываемой информации и срок.
При этом действует принцип минимизации. Если для цели не нужен идентификационный номер или серия и номер паспорта, запрашивать их у человека нельзя. Берут ровно столько информации, сколько требует заявленная задача, и не больше.
Что обычно включают в текст:
- фамилию, имя, отчество, а при необходимости дату рождения и адрес субъекта;
- наименование и адрес оператора, который получает сведения;
- конкретные цели, например доставку заказа или участие в акции;
- перечень действий с информацией: сбор, хранение, передачу;
- срок действия и порядок отзыва.
Чем точнее описаны цели и перечень, тем меньше вопросов возникнет при проверке. Если штатного юриста нет, шаблон и весь пакет проще заказать как помощь с защитой персональных данных под конкретные процессы компании.
Как правильно указать срок действия
Срок действия это поле, на котором ошибаются чаще всего. Он должен быть конкретным и понятным субъекту: точная дата, период времени или ясный критерий для его определения.
Допустимы такие варианты: «до 31 декабря 2027 года», «один год с даты подачи заявки», «год с момента последней покупки». А формулировки «бессрочно», «до отзыва согласия» или «срок устанавливается законодательством» прямо признаются недопустимыми.
Когда указанный период заканчивается, у организации есть выбор: прекратить обработку и удалить сведения либо запросить разрешение заново. Поэтому срок привязывают к реальной цели, а не ставят с запасом.
Что значит «информированное» согласие
Информированным называют такое разрешение, когда человек до его дачи получил всё нужное для осознанного решения. Это требование прозрачности: подписывать «вслепую» субъект не должен.
Перед тем как поставить подпись или отметку, человеку показывают цели обработки, перечень собираемой информации, наименование оператора и его права, включая право на отзыв. Обычно эти сведения дают в самом тексте и дублируют в политике обработки на сайте.
На практике связка выглядит так: короткий текст рядом с галочкой и ссылка на подробную политику. Человек видит суть сразу, а детали находит по ссылке.
Согласие на сайте: чекбокс и политика обработки
На сайте разрешение оформляют через отметку в чекбоксе рядом с формой, и это тоже иная электронная форма. Главное правило: галочка не должна стоять заранее, человек проставляет её сам.
Рядом с полем размещают короткую формулировку и ссылку на политику обработки персональных данных. Сама форма настраивается так, чтобы сохранять дату, время и факт согласия, иначе оператор не докажет, что разрешение получено.
Отдельный вопрос это информационная безопасность: где и как хранятся собранные сведения. Здесь помогает выстроенная система менеджмента, например сертификация по ISO 27001, которая задаёт правила доступа, хранения и реагирования на утечки.
Типичные требования к чекбоксу на сайте:
- отметка не проставлена по умолчанию;
- текст рядом понятен и не спрятан мелким шрифтом;
- есть рабочая ссылка на политику обработки;
- система сохраняет доказательство: дату, время, версию текста.
Как работник даёт согласие в трудовых отношениях
В трудовых отношениях часть сведений наниматель обрабатывает без отдельного разрешения, но не любые и не для любых целей. Граница проходит между тем, что прямо предусмотрено законом, и всем остальным.
Без подписи работника собирают информацию из документов при приёме, результаты обязательного медосмотра, сведения для начисления зарплаты и отчётности. А публикация фото на сайте, передача данных в сторонние сервисы или съёмка для рекламы требуют отдельного разрешения сотрудника.
Поэтому в кадровых процессах удобно разделять два потока: обязательная обработка по закону и всё, что сверх неё. Для второго потока заранее готовят бланк, который работник подписывает добровольно.
Как субъект может отозвать согласие
Отозвать разрешение человек вправе в любой момент и без объяснения причин, это его прямое право по закону. Организация обязана прекратить обработку и удалить сведения в установленный срок.
Отзыв подают в той же форме, в какой давали документ. Поставили галочку на сайте, значит отозвать можно так же, через сайт или приложение. Письменное заявление обычно содержит фамилию, имя, отчество, адрес, дату рождения и, если он запрашивался, идентификационный номер.
Бизнесу важно заранее продумать механику: куда поступает обращение, кто его обрабатывает, как фиксируется факт прекращения. Отлаженный процесс отзыва показывает, что компания всерьёз относится к защите личной информации.
Частые ошибки при оформлении согласия
Большинство нарушений повторяются и легко предотвратимы. Зная их заранее, компания экономит на штрафах и переоформлении.
- Срок указан как «бессрочно» или «до отзыва»: такие формулировки недопустимы.
- Чекбокс на сайте отмечен по умолчанию, то есть выбор за человека сделала система.
- Запрашивают лишнее: паспорт и идентификационный номер там, где цель этого не требует.
- Цели расплывчаты, вроде «для улучшения качества» без конкретики.
- Нет доказательств: оператор не может показать, когда и как получил разрешение.
- Одно разрешение «на всё» вместо разделения по целям.
Любой из этих промахов превращает корректную на вид бумагу в недействительную. При проверке такой документ не защитит, а станет подтверждением нарушения.
Чем грозит нарушение и как навести порядок
За незаконную обработку предусмотрена административная ответственность, а сам документ при ошибках признаётся недействительным. Контролирующий орган вправе вынести предписание и привлечь нарушителя к штрафу, размер которого зависит от обстоятельств.
Чтобы не доводить до санкций, обработку выстраивают системно: проводят инвентаризацию сведений, определяют основания, готовят корректные бланки и политику, настраивают фиксацию и процесс отзыва. Точные сроки и объём работ зависят от масштаба компании и рассчитываются индивидуально.
Если разобраться своими силами сложно, аудит и подготовку всех документов можно поручить специалистам: сопровождение по защите персональных данных закрывает вопросы от оснований обработки до готовых форм. Так бизнес снижает риск проверок и работает со сведениями спокойно.
