Обработка персональных данных без согласия: когда согласие не требуется
Согласие — не единственное основание обрабатывать персональные данные, и далеко не всегда самое подходящее. Статья 6 152-ФЗ прямо перечисляет случаи, когда согласие не требуется: прежде всего — исполнение договора и требование закона. Разбираем, что можно без согласия, где оно всё же обязательно и почему его отсутствие не отменяет остальных обязанностей оператора.
Коротко. Без согласия можно обрабатывать данные, когда это нужно для исполнения договора с человеком, для исполнения обязанности по закону или для защиты жизни и здоровья. Всё, что выходит за эти рамки (прежде всего рассылки и передача данных ради рекламы), как правило требует согласия. Но основание — это только одна из обязанностей: уведомление, политика и защита нужны в любом случае.
Общее правило и исключения
Базовый принцип 152-ФЗ: обработка персональных данных допускается, если есть законное основание. Согласие субъекта — лишь одно из таких оснований, перечисленных в статье 6. Остальные основания работают самостоятельно: когда обработка подпадает под них, отдельное согласие брать не нужно — и наоборот, «лишнее» согласие не делает правомерной обработку, у которой нет цели.
Ключевая мысль: основание проверяется под каждую цель отдельно. Одни и те же данные клиента можно законно обрабатывать по договору для доставки — и при этом нельзя без согласия использовать их для рекламы. Что вообще относится к персональным данным — в материале что относится к персональным данным.
Основания обработки без согласия (ст. 6)
Наиболее востребованные в бизнесе и в быту основания, при которых согласие по общему правилу не требуется:
| Основание (ст. 6 ч. 1) | Типичный пример |
|---|---|
| Исполнение договора с субъектом | Доставка и оплата заказа, оказание услуги по договору |
| Заключение договора по инициативе субъекта | Заявка, оферта, оформление заказа человеком |
| Исполнение обязанности, возложенной законом | Кадры и бухгалтерия, отчётность, воинский учёт |
| Защита жизни и здоровья | Экстренная помощь, когда согласие получить невозможно |
| Правосудие, исполнение судебного акта | Участие в деле, исполнение решения суда |
| Осуществление правосудия / полномочий органов власти | Госуслуги, функции государственных органов |
Обработка данных работников в значительной части опирается именно на закон и трудовой договор, а не на согласие — подробно об этом в материале про обязанности оператора. Отдельно стоит помнить: перечень в статье 6 закрытый и формулировки в законе точнее, чем в таблице — при спорной цели сверяйтесь с действующей редакцией.
Когда согласие всё-таки нужно
Если цель обработки не закрывается договором, законом или жизненно важными интересами — по умолчанию нужно согласие. Самые частые такие ситуации:
- Маркетинговые рассылки и реклама от своего имени — покупка сама по себе права рекламировать не даёт.
- Передача данных партнёрам для их собственных целей.
- Распространение данных (публикация, открытый доступ) — тут нужно отдельное согласие на распространение.
- Специальные категории (здоровье, национальность, взгляды) и биометрические данные — согласие почти всегда и в письменной форме.
Практическое правило: сомневаетесь — берите согласие. Как оформить его так, чтобы оно было действительным, разобрано в материале про согласие на обработку персональных данных. «Законный интерес оператора» в российской практике трактуется узко и согласие на маркетинг не заменяет.
Без согласия ≠ без обязанностей
Самая дорогая ошибка — решить, что «раз согласие не нужно, то и делать ничего не надо». Основание обработки и остальные обязанности оператора — это разные вещи. Даже обрабатывая данные строго по договору и закону, вы обязаны:
- подать уведомление в Роскомнадзор и состоять в реестре операторов;
- иметь политику обработки и при наличии сайта — публиковать её;
- обеспечивать защиту данных и разграничивать доступ;
- соблюдать минимизацию и сроки хранения;
- отвечать на запросы субъектов и реагировать на утечки.
За невыполнение этих требований предусмотрены штрафы за персональные данные — и начисляют их независимо от того, было согласие или обработка шла по договору. Полный перечень того, что должен оператор, — в материале об обязанностях оператора персональных данных.
Как понять, нужно ли согласие: 6 шагов
Короткий порядок, чтобы под конкретную обработку выбрать правильное основание:
- Сформулируйте конкретную цель обработки. Основание проверяется не «вообще», а под каждую отдельную цель: доставка заказа, ответ на обращение, бухгалтерия, рассылка. Одна цель — одно основание. Пока цель размыта («храним данные клиентов»), понять, нужно ли согласие, невозможно.
- Проверьте, закрывает ли цель одно из оснований статьи 6. Если обработка нужна для исполнения договора с человеком (или для его заключения по его инициативе), для исполнения обязанности, прямо возложенной законом, или для защиты жизни и здоровья — согласие по общему правилу не требуется. Это самые частые «безсогласийные» основания в бизнесе.
- Убедитесь, что это не специальная категория и не биометрия. Для специальных категорий (здоровье, национальность, взгляды) и биометрических данных действует особый режим: согласие там нужно почти всегда и в письменной форме, даже когда для обычных данных оно бы не потребовалось. Если сомневаетесь — считайте, что согласие нужно.
- Нет подходящего основания — берите согласие. Если цель не закрывается договором, законом или жизненно важными интересами (типичный пример — маркетинговая рассылка, передача данных партнёру для рекламы), по умолчанию нужно согласие субъекта. «Законный интерес оператора» в российской практике трактуется узко и не заменяет согласие на маркетинг.
- Зафиксируйте основание документально. Для каждой цели держите понятную привязку к основанию: договор, норма закона, текст согласия. При проверке Роскомнадзора именно вы как оператор доказываете правомерность обработки — «нам казалось, что можно» доказательством не является.
- Не забывайте про остальные обязанности. Отсутствие согласия не отменяет прочих требований: уведомление в Роскомнадзор, политика обработки на сайте, меры защиты, минимизация, сроки хранения, ответ на запросы субъектов. «Без согласия» означает только одно — что конкретное основание другое, а не что обязанностей нет.
Начните с первого шага — списка целей: как только вы выпишете, зачем именно обрабатываете данные, станет видно, что закрывает договор, что — закон, а где не обойтись без согласия. И параллельно проверьте, поданы ли уведомление и запись в реестре.
Частые ошибки
- Считают договор индульгенцией на всё — и шлют рекламу «в рамках договора».
- Думают, что «без согласия» освобождает от уведомления Роскомнадзора и политики.
- Принимают публичность данных за право обрабатывать их для любых целей.
- Оформляют согласие «на всё сразу» вместо основания под каждую цель.
- Считают молчание, заранее проставленную галочку или бездействие согласием.
- Обрабатывают специальные категории и биометрию без письменного согласия.
Общий знаменатель — подмена вопроса «на каком основании и для какой цели» вопросом «есть ли где-то галочка». Правильно наоборот: сначала цель и основание, а согласие — только там, где без него действительно нельзя.
Читайте также
- Согласие на обработку персональных данных — как оформить, когда оно нужно.
- Биометрические персональные данные — исключение, где согласие обязательно.
- Согласие на распространение персональных данных — отдельное согласие для публикации.
- Обязанности оператора персональных данных — что нужно делать в любом случае.
- Кто подаёт уведомление в Роскомнадзор — обязанность, не зависящая от согласия.
Частые вопросы
01Правда ли, что персональные данные можно обрабатывать без согласия?
02Можно ли без согласия обрабатывать данные клиента по договору?
03Нужно ли согласие, если данные общедоступны или человек сам их опубликовал?
04Освобождает ли обработка без согласия от уведомления Роскомнадзора?
05Можно ли считать молчание или бездействие человека согласием?
06Что будет, если обрабатывать данные без основания?
Материал носит информационный характер и не является юридической консультацией. Перечень оснований и условия обработки без согласия со временем меняются — конкретные основания и их применимость к вашей ситуации сверяйте с действующей редакцией 152-ФЗ, а в спорном случае — с профильным юристом.