Согласие на обработку персональных данных: образец

Что собой представляет согласие на обработку ПД?

В соответствии с ч. 1 ст. 9 Закона № 152-ФЗ, согласие, о котором идет речь, может быть дано субъектом ПД в любой форме, позволяющей подтвердить факт его получения. Но на практике согласие обычно дается в письменном виде. Оно запрашивается и оформляется в письменном виде заинтересованной стороной,  а затем подписывается самим гражданином. Данный документ представляет собой, таким образом, письменное разрешение физлица на обработку и использование персональной информации о себе. Правомерно говорить о том, что данный документ обуславливает появление у оператора персональных данных обязательства по обеспечению использования ПДстрого в определенных целях, недопущению ее незаконной передачив руки третьих лиц.

Согласие на обработку персональных данных применяется повсеместно, его оформляют во всех государственных и коммерческих организациях как для работников, так и для лиц, с которыми такие организации взаимодействуют, используя тем или иным способом персональные данные.

В каких случаях необходимо соглашение?

Бланк согласия на обработку персональных данных чаще всего оформляется в следующих ситуациях:

• при приеме на работу;
• при открытии расчетного счета в банке;
• при заключении договора со страховой компанией;
• при подаче пакета документов на ребенка в школу или детский сад;
• в других случаях, когда гражданин вынужден предоставлять заинтересованным лицам свои личные документы.

Обработка персональной информации может проводиться без согласия гражданина в таких случаях:

• если она будет использована для исполнения условий заключенного трудового договора, при предоставлении сведений в государственные органы (ИФНС, ПФР, военкоматы (п. 2.3, п. 8 ч. 2 ст. 10 Закона № 152-ФЗ);
• при сборе данных о состоянии здоровья человека (п. 4 ч. 2 ст. 10 Закона № 152-ФЗ);
• для защиты жизни, здоровья человека в случаях, когда получение согласия на обработку ПД невозможно (п. 3 ч. 2 ст. 10 Закона № 152-ФЗ);
• для установления или осуществления прав субъекта ПД или третьих лиц, в связи с осуществлением правосудия (п. 6 ч. 2 ст. 10 Закона № 152-ФЗ);
• в соответствии с законодательством об обороне, безопасности, противодействии терроризму (п. 7 ч. 2 ст. 10 Закона № 152-ФЗ);
• в целях выполнения норм законодательства о гражданстве (п. 10 ч. 2 ст. 10 Закона № 152-ФЗ).

Что относится к персональной информации?

В соответствии с законом № 152-ФЗ, к личным данным физических лиц относится любая информация, позволяющая безошибочно идентифицировать их. При этом в законе нет четкого перечня сведений, которые могут быть отнесены к персональным. На сегодняшний день сложилось устойчивое мнение касательно того, что к личным данным гражданина следует относить в т.ч.:

• Ф.И.О.;
• дату и место рождения;
• адрес, по которому физлицо зарегистрировано или проживает;
• сведения об образовании, профессии;
• сведения о доходах.

Узнать более подробно о том, какие сведения точно являются персональными данными можно в системе КонсультантПлюс. Перейдите по ссылке и получите бесплатны йдоступ к пробной версии системы на 2 дня.

Что не относится к персональной информации?

Строгий перечень критериев, по которым информацию, в свою очередь, не следует относить к персональным данным, законодательством также не определен. Но можно выделить ряд конкретных разновидностей данных, которые официальные структуры не классифицируют как персональные.

Так, Минкомсвязи России в письме от 07.07.2017 № П11-15054-ОГ указывает, что абонентский номер или адрес e-mail могут быть признаны ПД, только если они относятся прямо или косвенно определенному (либо определяемому) физическому лицу. Соответственно, если номер телефона принадлежит юрлицу, то он не может считаться персональными данными.

При этом, номера мобильных телефонов и e-mail, наименования должностей работников предприятия, не подлежащих распространению в силу конфиденциальности, могут быть признаны персональными данными (определение Второго кассационного суда общей юрисдикции от 04.08.2020 по делу № 88-16944/2020, 2-2939/2019).

Не являются персональными данными:

• информация о задолженности по жилищно-коммунальным услугам без указания ФИО собственников квартир (апелляционное определение Свердловского областного суда от 19.09.2019 по делу № 33-15137/2019);
• ИНН физлица (письма Минфина России от 12.02.2020 № 03-01-11/9505, от 28.01.2020 № 03-01-11/4925).

Так или иначе, основной критерий отнесения данных к персональным — возможность прямо или косвенно определить их принадлежность к конкретному человеку. Во многих случаях такая возможность устанавливается только в судебном порядке.

Нет согласия на обработку ПД: штрафы

Следует учитывать, что, если согласие на обработку персональных данных в 2022 году будет с отсутствовать, или же если состав сведений, включенных в согласие, не соответствует закону, и при этом обработка ПД произведена, то  нарушителей привлекут к административной ответственности по ч. 2 ст. 13.11 КоАП РФ. По ней предусмотрены штрафы:

• на гражданина — в размере 6-10 тыс. рублей;
• на должностное лицо, к которому в данном случае приравнивается ИП, как следует из примечания к ст. 2.4 КоАП РФ — в размере 20-40 тыс. рублей;
• на юридическое лицо — в размере 30-150 тыс. рублей.

При повторном нарушении наказание строже. Может быть выписан штраф (ч. 2.1 ст. 13.11 КоАП РФ):

• на гражданина — на 10-20 тыс. рублей;
• на должностное лицо — на 40-100 тыс. рублей;
• на ИП — на 100-300 тыс. рублей;
• на юрлицо — на 300-500 тыс. рублей.

Что должны знать работодатели?

При оформлении согласия работника на обработку персональных данных работодатели должны руководствоваться нормами ст. 86 и 87 ТК РФ.  Так, в соответствии с п. 3 ст. 86 ТК РФ, в случае, если ПД работника могут быть запрошены только у третьей стороны, то работника потребуется заранее уведомить о таком запросе, а также получить от него письменное согласие на получение соответствующих персональных данных. Работодатель сообщает работнику о целях, вероятных источниках и механизмах получения ПД, о характере таких данных, а также о последствиях отказа работника предоставить письменное согласие, о котором идет речь.

Предприятия обязаны самостоятельно составлять нормативные положения по обработке персональных сведений по работникам. Выбранный порядок необходимо закрепить в отдельном локальном акте.

Одна из обязанностей работодателя - защита персональных данных.

При этом,указанные в нем нормы не должны противоречить требованиям закона № 152-ФЗ, трудового законодательства и других законодательных актов. Отсутствие у работодателя Положения о персональной информации может стать основанием для наложения штрафных санкций со стороны контролирующих органов — в данном случае, по ст. 5.27 КоАП РФ. По ч. 1 данной статьи предусмотрены штрафы на должностных лиц и ИП в размере 1-5 тыс. рублей, на юрлиц — в размере 30-50 тыс. рублей. При повторном нарушении применяются более строгие наказания по ч. 2 ст. 5.27 КоАП РФ:

• штраф на должностное лицо в 10-20 тыс. рублей (или дисквалификация на 1-3 года);
• штраф на ИП — 10-20 тыс. рублей;
• штраф на юрлицо — 50-70 тыс. рублей. 

Утверждена ли унифицированная форма документа?

В соответствии с ч. 9 ст. 9 Закона от 152-ФЗ, Роскомнадзор утверждает требования к содержанию согласия на обработку ПД. Соответствующие требования введены приказом ведомства от 24.02.2021 № 18, который вступил в силу с 1 сентября 2021 года.

Таким образом, для согласия утверждена унифицированная форма. В приказе № 18 указано, что в данном документе должны быть отражены:

1. ФИО субъекта персональных данных.
2. Контактные данные субъекта (телефон, e-mail, почтовый адрес).
3. Данные об операторе ПД (например, работодателе) — название предприятия, адрес по ЕГРЮЛ, ИНН, ЕГРН.

Если оператор — физлицо, то указывается его ФИО, место жительства, пребывания. Если он ИП, то отражаются ФИО, ИНН, ОГРНИП.

4. Адрес сайта оператора, через который возможно предоставление доступ к персональным данным неограниченному кругу лиц (либо совершение иных действий с ПД).
5. Цели обработки ПД.
6. Категории и перечни ПД, на обработку которых получается согласие.

Это могут быть:

• общие персональные данные (ФИО, дата и место рождения, адрес проживание, семейное положение, образование, профессия, социальное положение, уровень доходов, иные сведения о субъекте ПД);
• специальные персональные данные (например, расовая принадлежность, национальность, политическая ориентация, религиозные или философские убеждения, сведения о здоровье);
• биометрические ПД.

7. По желанию субъекта ПД — категории перечни ПД, в отношении обработки которых субъект определяет условия и запреты, а также перечни определяемых условий и запретов.
8. Условия, при которых полученные ПД могут передаваться оператором только в рамках его внутренней сети, к которой имеют доступ только определенные работники.
9. Срок действия согласия на обработку ПД.

Важно знать, что по общему правилу работодатель не вправе запрашивать у работника специальные сведения (п. 4 ст. 86 ТК РФ). Поэтому, соответствующий пункт в форму согласия на обработку ПД включать не следует.

 При составлении документа необходимо руководствоваться  в том числе положениями ст. 9 закона № 152-ФЗ. Так, например, в соответствии с п. 1 ч. 1 ст. 9 Закона № 153-ФЗ, согласие должно включать реквизиты паспорта субъекта персональных данных. Приказ № 18 не содержит такого требования. Но поскольку в федеральном законе оно есть, то в согласии необходимо зафиксировать указанные реквизиты.

Читайте также: Изменение персональных данных

Особенности составления заявления о согласии на обработку персональных данных

Общераспространен нижеследующий алгоритм составления заявления о согласии на обработку ПД (с учетом требований Закона № 152-ФЗ и приказа № 18):

• В «шапке» документа указывают название организации и Ф.И.О. руководителя (или Ф.И.О. индивидуального предпринимателя), Ф.И.О. гражданина, адрес, реквизиты документа, удостоверяющего личность (паспорта).
• Далее надо указать полное название документа.
• После этого от имени гражданина следует перечислить, для каких целей предоставляются персональные данные и кому именно (название организации или ИП, адрес).
• Далее надо привести перечень персональных данных.
• Затем следует прописать, что документ начинает действовать со дня его подписания до дня отзыва в письменной форме. Также можно указать, что согласие написано в добровольном порядке.
• Заявление на согласие на обработку персональных данных (образец, приведенный ниже, можно взять за основу) в обязательном порядке должен подписать сам гражданин.

Если гражданин отказывается подписывать согласие на обработку персональных данных

В ч. 1 ст. 9 Закона № 152-ФЗ указано, что согласие должно быть подписано только в добровольном порядке.Работодатель или иные заинтересованные лица не имеют права принуждать человека подписывать его. В некоторых случаях, как мы уже знаем, законодательством допускается обработка персональной информации без согласия гражданина (при передаче сведений в налоговую службу, ПФР и другие ведомства). Но это возможно, главным образом, в случаях, если речь идет о реализации условий действующего, уже заключенного трудового договора. Новых сотрудников без подписания такого соглашения во многих случаях невозможно принять на работу.

Так, если человек — соискатель на вакантную должность, то его персональные данные потребуются будущему возможному работодателю в целях принятия решения о его трудоустройстве или отказе в подписании трудового договора. Как и о включении претендента в кадровый резерв (п. 5 Разъяснений Роскомнадзора об обработке ПД работников).