Согласно общим правилам, обрабатываться данные работников могут только с их согласия (п. 1 ст. 6 Закона № 152-ФЗ).
Предлагая работнику подписать согласие на обработку персональных данных, следует пояснить, что он вправе вычеркнуть из списка ту информацию, которую он не хочет предоставлять для обработки.
Если работник отказывается подписать согласие на обработку его персональных данных, ему можно объяснить, что без его согласия нельзя будет, к примеру, поздравить с днем рождения, сделать подарки детям, использовать его Ф. И. О. при создании адреса электронной почты, на визитках. А если в организации действует пропускной режим, то нельзя будет выписать или заменить сотруднику пропуск. То есть попытаться убедить его дать согласие на обработку данных.
Вот пример письменного согласия работника на обработку его персональных данных.
Пример письменного согласия работника на обработку его персональных данных
Ответственность при нарушениях в сфере охраны персональных данных
Согласно статье 13.11 КоАП РФ, штрафы за нарушения в сфере составляют от 5000 до 10 000 рублей для организации и от 500 до 1000 рублей для ее руководителя, если в нарушении есть его вина.
Штраф налагают на каждое допущенное нарушение. Поэтому он может быть довольно существенным.
С 1 июля 2017 года Федеральным законом от 7 февраля 2017 года № 13-ФЗ ужесточена административная ответственность за нарушения при обработке персональных данных.
В случаях обработки персональных данных, не предусмотренных законодательством, а также несовместимых с целями сбора такой информации, составят:
- от 1000 до 3000 рублей – для граждан;
- от 5000 до 10 000 рублей – для должностных лиц;
- от 30 000 до 50 000 рублей – для предприятий.
Если оператор персональных данных не возьмет согласие гражданина на обработку информации о нем, штрафы, соответственно, составят:
- от 3000 до 5000 рублей – для граждан;
- от 10 000 до 20 000 рублей – для должностных лиц;
- от 15 000 до 75 000 рублей – для предприятий.
Персональными данными физического лица являются любая информация о нем (паспортные сведения, семейное положение и место работы, возраст и прочее). Часто такая информация разглашается со стороны работодателя в процессе осуществления его деятельности. Несмотря на то, что по закону это не является нарушением, многие люди заинтересованы в защите информации о себе, и такое предохранение работодателя обязывает производить российское законодательство.
ФЗ «О персональных данных» № 152-ФЗ был принят еще 27 июля 2006 года, последние изменения и дополнения в документ вносились 1 сентября 2015. Согласно этому документу персональные данные могут обрабатываться, храниться и передаваться третьим лицам только с согласия субъекта.
Но при этом сохранять такую информацию в тайне закон обязывает не всегда, разделяя все персональные данные на три категории:
- Специальные (национальность и вероисповедание, взаимоотношения с законом, сведения о состоянии здоровья и частично – информация о работе).
- Биометрические (данные, касающиеся внешности и физиологии).
- Общедоступные основные анкетные данные (Ф.И.О., дата рождения, пол и другие паспортные данные).
Для обработки информации третьей категории согласия носителя не требуется. Не требуется оно и при обработке, хранении и передаче данных первых двух категорий в таких исключительных случаях, как установление личности человека при отсутствии у него документов, а еще в ходе любых оперативно-розыскных работ.
Согласно закону в каждом предприятии имеется внутренний документ, в котором было бы оговорено, что именно относить к персональным сведениям, в каких случаях они могут передаваться и разглашаться, а поступающего на работу в организацию сотрудника необходимо с такой бумагой ознакомить и он должен дать свое согласие на обработку данных.
Сотрудникам не стоит относиться к этой информации как к материалам, которые могут как-то применяться против них, так как за суровой фразой «обработка персональных данных» фактически подразумевает лишь использование анкетных сведений (3 категория) для оформления:
- зарплатной карты или счета сотрудника;
- доверенности на предоставление интересов компании или на получение материальных ценностей;
- счетов;
- договоров;
- исходящих писем различного характера.
Но в то же время работодатель обязан ограничивать доступ к таким данным, обеспечивая его только ответственным за хранение и обработку этих сведений лицам. В компетенции таких сотрудников еще должно быть заполнение соответствующих бланков, которые являются формальным разрешением работника на использование информации. Этот документ должен составляться при каждом использовании данных и действует на протяжении прописанного в нем срока.
Пример заполнения бланка согласия
Бланк согласия на обработку персональных данных можно составить по приведенному на нашем сайте образцу, но при необходимости в него допускается внесение небольших поправок и изменений в оформлении. В верхней правой части бланка пишется Ф.И.О. и должность человека, на имя которого составляется документ, а также указывается название организации.
Далее пишется заголовок «Согласие на обработку моих персональных данных», после которого указываются паспортные сведения сотрудника и прописываются реквизиты организации, дающей разрешение. Обязательна ссылка на федеральный закон № 152-ФЗ.
После этого перечисляются цели, в которых организация намерена использовать персональную информацию, а также сами сведения (это могут быть как анкетные данные, так и специфические факты относительно сферы деятельности сотрудника). В некоторых ситуациях личные данные могут предоставляться в несколько разных учреждений, и в таком случае не стоит перечислять их в одном документе: для каждого составляется отдельный бланк.
В конце бланка указывается срок, в течение которого документ считается действительным, а также упоминание о том, что сотрудник имеет право отозвать свое разрешение. После этого вписывает должность сотрудника, его Ф.И.О., подпись и дата составления бланка.
В отдельных случаях (например – по запросу из государственных органов) работодатель имеет право обойтись без составления такого документа. Если же сотрудник считает, что сведения о нем были переданы третьим лицам неправомерно, он имеет право подать в жалобу в Роскомнадзор. Если незаконная передача персональной информации подтвердится – работодателя может ждать наказание (штраф или лишение свободы).
Узнаем некоторые особенности получения согласия на обработку персональных данных.
Если закон устанавливает обязанность получить согласие субъекта ПД на их обработку, оператор не имеет права принуждать этого субъекта к подписанию соответствующего соглашения. Гражданин принимает решение о предоставлении его ПД и дает согласие на их обработку свободно, своей волей и в своем интересе (п. 1 ст. 9 Закона о персональных данных).
Если субъект ПД недееспособен, согласие на обработку дает его законный представитель (например, если субъект – ребенок, его представляет один из родителей). Если субъект ПД мертв, согласие необходимо получить у его наследников (при условии, что это согласие не было дано субъектом ПД при жизни) .
Роскомнадзор в Разъяснениях указывает, что работодатель вправе обрабатывать персональные данные работника без получения соответствующего согласия в случаях, предусмотренных коллективным договором, в том числе правилами внутреннего трудового распорядка (являющимися обычно приложением к коллективному договору), соглашением, а также локальными актами.
А вот при привлечении сторонних организаций для ведения кадрового и бухгалтерского учета работодатель обязан получить согласие работников на передачу их персональных данных.
Пунктом 2 ст. 9 Закона о персональных данных предусмотрена возможность субъекта ПД отозвать свое согласие на их обработку. Там же оговаривается возможность такой обработки без согласия субъекта ПД в случаях, установленных законом.
Форма согласия на обработку ПД
Согласие на обработку ПД может быть дано субъектом ПД или его представителем в любой форме, позволяющей подтвердить факт его получения (если иное не установлено федеральным законодательством (п. 1 ст. 9 Закона о персональных данных).
Роскомнадзор в Разъяснениях рекомендует согласие работника либо оформлять в виде отдельного документа, либо закреплять в тексте трудового договора. Требования к содержанию такого документа указаны в ч. 4 ст. 9 Закона о персональных данных.
Согласие в письменной форме должно включать в себя , в частности:
1) фамилию, имя, отчество, адрес субъекта ПД, номер основного документа, удостоверяющего его личность, сведения о дате выдачи этого документа и выдавшем его органе;
2) фамилию, имя, отчество, адрес представителя субъекта ПД, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта ПД);
3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта ПД;
4) цель обработки персональных данных;
5) перечень ПД, на обработку которых дается согласие субъекта ПД;
6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки;
8) срок, в течение которого действует согласие субъекта ПД, а также способ его отзыва, если иное не установлено федеральным законом;
9) подпись субъекта персональных данных.
Если согласие на обработку ПД составляется в форме электронного документа , оно должно быть подписано электронной подписью – таково требование п. 4 ст. 9 Закона о персональных данных.
Некоторые вопросы получения согласия субъекта ПД на их обработку
Что нужно учитывать, когда условие об обработке ПД является частью документа, например, договора?
Когда условие об обработке ПД является неотъемлемой частью подписываемого документа:
1. Содержание согласия должно быть конкретным и информированным , то есть включать сведения, позволяющие субъекту ПД однозначно сделать вывод о целях, способах обработки с указанием действий, совершаемых с персональными данными, объеме обрабатываемых персональных данных. Законом о персональных данных установлены требования к форме такого согласия (которые разберем ниже).
2. Документ должен предусматривать возможность отказа от данного условия, поскольку согласие добровольное.
Возьмем в качестве примера Постановление Девятого арбитражного апелляционного суда от 20.04.2015 № 09АП-9095/2015-АК. Гарантийная мастерская вынудила клиента подписать приложение к заявлению о сдаче товара, включающее пункт о согласии на обработку персональных данных. Согласие было неотъемлемой частью приложения, имело типовую форму с заранее определенными условиями, что не позволяло потребителю влиять на его содержание. Кроме того, приложение не предоставляло возможности отказаться от этого условия. Суд признал ремонтную организацию виновной в нарушении Закона о персональных данных.
Получатель жилищной субсидии не дает согласия на обработку персональных данных по религиозным соображениям. Имеет ли он право на получение госуслуги?
Когда обработка персональных данных необходима для предоставления государственной или муниципальной услуги в соответствии с Законом о госуслугах , для обеспечения предоставления такой услуги, для регистрации субъекта ПД на едином портале государственных и муниципальных услуг, согласие субъекта ПД на обработку указанной информации не требуется.
Статьей 6 Закона о персональных данных определены условия обработки персональных данных, в том числе указаны случаи, когда допускается обработка ПД без согласия на это субъекта ПД, среди которых и получение госуслуги. Из буквального толкования названной нормы следует, что каждый из таких случаев является самостоятельным основанием обработки персональных данных .
Получатель госуслуги в заявлении на ее получение выражает согласие на передачу и обработку своих персональных данных, необходимых для предоставления услуги.
Обращаясь с заявлением о предоставлении жилищной субсидии и указывая в нем необходимые данные, а также прилагая к нему предусмотренные законодательством документы, получатель госуслуг фактически выражает согласие на передачу и обработку своих персональных данных, требуемых для предоставления услуги.
Ни Законом о персональных данных, ни Законом о госуслугах не установлено, что обработка персональных данных гражданина в целях предоставления ему государственных или муниципальных услуг должна осуществляться только с его письменного согласия. Гражданин имеет право получать госуслуги даже без предоставления письменного заявления на обработку своих персональных данных.
Рассмотрим Апелляционное определение Костромского областного суда от 16.05.2012 по делу № 33-703А. При подаче документов в МФЦ гражданка не стала подписывать заявление о согласии на сбор ее персональных данных, в связи с чем ей было отказано в выплате субсидии. Суд первой инстанции признал действия сотрудников МФЦ правильными, поскольку обработка персональных данных заявителя сотрудниками МФЦ может осуществляться только с письменного согласия. Нежелание дать такое согласие – основание для отказа в приеме заявления и комплекта документов на предоставление государственных и муниципальных услуг.
Вывод суда о том, что МФЦ как оператор персональных данных обязан обеспечить их защиту, соответствовал нормам Закона о персональных данных и Закона о госуслугах. Вместе с тем последующие выводы о невозможности обработки персональных данных без письменного согласия получателя госуслуг и обоснованности отклонения документов на предоставление субсидии апелляционный суд признал ошибочными, поскольку заявление о предоставлении госуслуги с приложенными к нему документами получатель не отзывал, от предоставления услуги не отказывался. А отзыв заявления о согласии на обработку персональных данных, получение которого в силу закона необязательно, не являлся основанием для невозможности предоставления госуслуги. Тем более что у оператора были основания продолжить обработку персональных данных без согласия субъекта ПД.
Субъект ПД уклоняется от исполнения договора (не платит по счетам) и не хочет, чтобы кредитор беспокоил его звонками. Может ли субъект отозвать согласие на обработку своих персональных данных?
Обработка персональных данных может быть продолжена даже после того, как субъект ПД направил требование о ее прекращении, если правоотношения, возникшие между сторонами, продолжаются.
Рассмотрим в качестве примера Апелляционное определение Пермского краевого суда от 14.10.2015 по делу № 33-11127/2015. При заключении кредитного договора гражданин дал согласие на обработку ПД, а впоследствии обратился с заявлением об отзыве этого согласия. Банк отказался исполнить требования клиента, поскольку у него имелась просроченная задолженность. Суд первой инстанции, а затем и апелляционный суд, куда обратился должник, указали, что согласие на обработку персональных данных действительно может быть отозвано субъектом персональных данных (п. 2 ст. 9 Закона о персональных данных). Однако в случае отзыва субъектом ПД согласия на обработку оператор все равно может ее продолжить при наличии на то законных оснований.
Одно из таких оснований установлено п. 5 ч. 1 ст. 6 Закона о персональных данных: обработка ПД необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПД, для заключения договора по инициативе субъекта ПД или договора, по которому субъект ПД будет выгодоприобретателем или поручителем.
Субъект ПД отозвал согласие на их обработку. Но оператор может ее продолжить при наличии на то законных оснований, например, если это необходимо для исполнения договора с субъектом ПД.
Как следует из содержания данной нормы закона, согласие субъекта ПД на обработку персональных данных не требуется, если она осуществляется в целях исполнения договора, одной из сторон которого является субъект ПД. Поскольку субъект ПД задолженность перед банком не погасил – договор не расторгнут , для взыскания недостающих сумм кредитная организация вправе продолжать обработку ПД и после отзыва субъектом ПД своего согласия.
Случается и другое – оператор обрабатывает персональные данные лица, не участвующего в договоре , которые предоставлены другой стороной при заключении сделки. Например, получатель кредита указывает телефоны своих близких родственников, по которым можно с ним связаться. Оператор может получить такие данные иным путем, если другая сторона не выполняет обязательства по договору. Но следует помнить, что в рассматриваемом случае обработка полученных оператором персональных данных незаконна, несмотря на то, что это могло бы помочь исполнению договора.
Объект ПД, не давший своего согласия на обработку ПД и не являющийся стороной договора, имеет право потребовать прекратить незаконно использовать полученные сведения , а также компенсировать моральный и материальный вред, полученный в результате указанных действий. Рассмотрим Апелляционное определение Верховного Суда Республики Карелия от 14.09.2015 по делу № 33-3094/2015. При заключении договора по просьбе сотрудника банка клиент предоставил телефон своей супруги. После несвоевременного внесения очередной суммы обязательного платежа сотрудники банка стали звонить женщине с требованием посодействовать в возвращении долга. В первом же разговоре жена должника сообщила, что не согласна на использование ее персональных данных, и просила прекратить их обработку. Однако звонки с угрозами и требованиями продолжали поступать. Суд, куда обратилась истица, признал действия банка незаконными, потребовал прекратить обработку персональных данных и выплатить женщине компенсацию морального вреда, поскольку ст. 17, 24 Закона о персональных данных предусмотрено право субъекта ПД на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
Вправе ли прокурор потребовать от медучреждения предоставить персональные данные пациентов, больных наркоманией, если согласия на такую обработку ПД эти пациенты не давали?
Прокурор или иное должностное лицо имеет право на получение персональных данных в том числе пациентов больницы, если обработка данных необходима для осуществления и выполнения возложенных на него законодательством РФ функций, полномочий и обязанностей.
В качестве примера рассмотрим Апелляционное определение Челябинского областного суда от 17.07.2014 по делу № 11-6845/2014. Районный прокурор в интересах неустановленного круга лиц через суд лишил водителя права на управление транспортным средством. Причиной послужило наличие у гражданина заболевания, запрещающего вождение автомобиля. Информация была получена прокурором посредством предоставления выписки из истории болезни.
Водитель решил, что его персональные данные были обработаны без согласия, и обратился в суд, указав, что не давал согласия на обработку ПД во время лечения от алкоголизма в районной больнице. Суд счел правильными действия прокурора, а также действия администрации больницы, предоставившей должностному лицу выписку из истории болезни пациента. Суд установил, что администрация больницы предоставила список лиц, состоящих на диспансерном учете с диагнозом «наркомания» районному прокурору по его требованию.
Должностное лицо вправе получить персональные данные, если это необходимо для осуществления и выполнения возложенных на него функций, полномочий и обязанностей.
В силу толкования ст. 1, 21, 22 Закона о прокуратуре прокурор при осуществлении возложенных на него функций вправе в том числе требовать от руководителей организаций и других должностных лиц представления необходимых для выяснения возникших вопросов сведений.
В соответствии с п. 2 ч. 1 ст. 6 Закона о персональных данных обработка ПД допускается для достижения целей, указанных в законе, для осуществления и выполнения возложенных законодательством РФ функций, полномочий и обязанностей. Таким образом, Закон о персональных данных, которым предусмотрена обработка персональных данных с согласия их носителя, не препятствует удовлетворению запроса прокурора на истребование сведений в отношении лиц, состоящих на учете в медучреждениях с диагнозами, не позволяющими иметь разрешение на управление транспортными средствами.
Имеет ли право медучреждение заключить договор с ритуальным агентством на предмет перевозки умерших? Не будет ли это расценено как нарушение врачебной тайны и незаконная передача персональных данных?
Если доказательств получения ритуальным агентством в качестве встречного обязательства информации о родственниках умершего суду не будет представлено, то есть если будет доказано, что договор с медучреждением заключен без обязательной передачи персональных данных, действия участников договора будут признаны правомерными.
Рассмотрим в качестве примера Постановление ФАС УО от 26.03.2013 № Ф09-1909/13. Между ритуальным агентством и муниципальной больницей был заключен договор на оказание безвозмездных услуг по обеспечению перевозок умерших в морг специализированным транспортом. ФАС посчитала, что данный договор противоречит п. 5 ч. 1 ст. 14 Закона о защите конкуренции , что выражается в совершении действий, направленных на незаконное получение и использование информации (персональных данных), и вынесла постановление о прекращении нарушения. По мнению антимонопольного органа, ритуальное агентство оказывало услуги в обмен на контакты родственников умершего.
Факт незаконной передачи персональных данных третьему лицу может быть установлен только при наличии соответствующих доказательств.
Кроме того, обработка персональных данных не допускается без согласия субъекта ПД, а в случае его смерти – без согласия его наследников (п. 1 ст. 6, п. 7 ст. 9 Закона о персональных данных). Также в силу ст. 7 Закона о персональных данных операторы и иные лица, получившие доступ к указанной информации, обязаны не раскрывать третьим лицам и не распространять персональные данные без соответствующего согласия.
Еще один запрет на передачу информации третьим лицам (в нашем случае – ритуальному агентству) содержат п. 1, 2 ст. 13 Закона о здоровье, не допускающие разглашение врачебной тайны (сведений о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иных сведений, полученных при медицинском обследовании и лечении) в том числе после смерти человека. Таким образом, по мнению антимонопольного органа, передавать информацию об умерших ритуальному агентству больница не имела права.
Однако суды указали, что из текста заключенного договора не следует, что ритуальное агентство в качестве встречного предоставления получило от больницы информацию об умерших. В договоре также не указано, что перевозчик получает какие-либо документы, содержащие персональные данные умерших. При этом антимонопольный орган не установил, каким способом осуществляется документооборот в больнице. Соответственно, доказательств, подтверждающих передачу от больницы ритуальному агентству персональных данных в период исполнения договора, антимонопольный орган предоставить не смог – суд первой инстанции, а впоследствии и апелляционный суд посчитали действия ФАС незаконными.
Итак, обратите внимание, что именно оператор – то есть организация или лицо, обрабатывающие персональные данные (производящие с ними любые действия), – обязан доказать, что согласие субъекта ПД на их обработку получено или что обработка данных возможна на основаниях, установленных законом .
В силу п. 2 ст. 24 Закона о персональных данных моральный вред, причиненный субъекту ПД вследствие нарушения его прав, правил обработки персональных данных подлежит возмещению в соответствии с законодательством РФ. Причем возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом ПД убытков.
См. статью С. П. Фролова «Какие персональные данные можно обрабатывать?», № 3, 2016.
Статья 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных).
Пункты 6, 7 Закона о персональных данных.
Письмо Роскомнадзора от 24.12.2012 «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве» опубликовано на официальном сайте www.rsoc.ru.
Федеральный закон от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг».
Федеральный закон от 17.01.1992 № 2202-1 «О прокуратуре Российской Федерации».
Федеральный закон от 26.07.2006 № 135-ФЗ «О защите конкуренции».
Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации».
Пункт 3 ст. 9 Закона о персональных данных.
Персональные данные – это ВСЯ информация, сведения, относящиеся к физическому лицу (или к субъекту персональных данных).
Их можно разделить на:
- Общие. Это информация, с помощью которой человека можно идентифицировать: ФИО (фамилия, имя, отчество), дата рождения, пол и пр.
- Специальные. К ним относятся сведения, относящиеся к расовой принадлежности, вероисповеданию, национальности и т.д.
- Биометрические. Измеримые, доступные для непосредственного наблюдения биологические и внешние данные, физиологические особенности. Например, рост, вес, состояние здоровья, медицинский диагноз, отпечатки пальцев и т.п.
В интернете требуется согласие на обработку только общих персональных данных. Информация зависит от используемого сервиса. Могут понадобиться следующие данные: ФИО, адрес прописки/фактического проживания, данные удостоверяющего личность документа, дата рождения, гендерная принадлежность, номер телефона, должность, образование и пр.
Когда и зачем нужно согласие на обработку персональных данных
Согласие на обработку персональных данных в интернете потребуется для исполнения условий договора между клиентом (пользователем, чьи персональные данные интересуют) и сервисом (которым пользуется клиент). Например, интернет-магазину (сервису) требуется адрес заказчика (клиента), чтобы доставить заказанный товар и провести операцию по оплате при безналичном или даже при наличном расчете. Также персональные данные клиента используют для рассылки информационных и рекламных объявлений по согласию клиента.
Необходимо учесть, что в понятие “обработка данных” включают сбор, систематизацию, сохранение, накопление, применение, уточнение/изменение, запись, извлечение, передачу и даже обезличивание, удаление из системы и полное уничтожение информации о клиенте. Поэтому интернет-сервису, не относящемуся к муниципальным или государственным учреждениям, необходимо взять согласие клиента на любые действия с персональными данными. Третьим лицам сведения передаются в ситуациях, указанных в законодательстве РФ. Регулируется это федеральным законом “О персональных данных” (N 152-ФЗ).
Соглашения на обработку персональных данных на разных интернет-ресурсах
Как правило, в интернете используются схожие пользовательские соглашения, в которые включен пункт о согласии на обрабатывание сведений.
Однако формулировки, обозначения, количество статей и пр. различаются в зависимости от ресурса, на котором заключается то или иное соглашение.
Пример согласия при регистрации на интернет-сервисах
Рассмотрим пример соглашения на ресурсе Mail.ru при создании (то есть, при ) ящика электронной почты (рис. 1).
Рис. 1. Cогласие на обработку персональных данных при регистрации почтового ящика Mail.ru
Пользователь предоставляет следующие сведения: имя, фамилию, дату рождения, пол. По желанию: город и номер сотового телефона.
Так как сайт mail.ru не проверяет предоставленную информацию, данные именуются не персональными, а учетными.
Согласие в данном случае необходимо, чтобы ресурс мог предоставить услугу, вел учет пользователей, осуществлял информационную рассылку и т.д. Также оно обязательно потому, что сайт Майл ру имеет платные службы.
Здесь свое согласие на обработку персональных данных пользователь дает, нажимая на кнопку «Зарегистрироваться» (рис. 1). Возле кнопки стоит ссылка на «Пользовательское соглашение». Раскрыв это соглашение (кликнув по нему левой кнопкой мыши), пользователь одновременно соглашается на обработку своих персональных данных. Об этом сказано в «Пользовательском соглашении». Вот так не совсем просто можно найти ссылку на свое согласие с обработкой своих персональных данных. Кстати, это еще и о пользе прочтения того, что мы не любим читать и обычно пропускаем. А зря, иногда это полезно знать, под чем мы фактически подписываемся на интернет-ресурсах.
И еще один пример. Ниже приведена форма, которую нужно заполнить при :
Рис. 2. Cогласие на обработку персональных данных при регистрации почтового ящика Yandex
Как видите, при регистрации Яндекс.почты требуется наличие галочки напротив согласия на обработку персональных данных (см. “Политику конфиденциальности”), а в Майл ру и галочки нет, там все проще, но суть одна. Зато здесь более явно и прямо сказано о том, что сервис запрашивает согласие пользователя на обработку его персональных данных.
Главная особенность регистрации и соглашения на сервисах такого типа – возможность указать ложные сведения со стороны пользователя. Однако ответственность в данном случае полностью лежит на пользователе.
Еще обратите внимание, что давая согласие на обработку информации на подобных интернет-ресурсах, Вы также соглашаетесь с тем, что данные могут передаваться партнерам сервиса. Список партнеров, как правило, указывается в договоре, но также возможно, что партнеры не будут указаны в явном виде.
Подобные соглашения составляют опытные юристы, которые с одной стороны обеспечивают полное выполнение требований федеральных законов, а с другой стороны облегчают задачу сервиса в получении и обработке персональных данных пользователей с пользой для своего бизнеса.
Примеры согласий на обработку персональных данных в интернет-магазинах
Интернет-магазинам согласие клиента на обработку персональных данных необходимо, чтобы предоставить услугу, отправить заказ, сделать рассылку информационных/рекламных объявлений.
- На некоторых ресурсах Вам понадобится поставить отметку напротив предложения “Я согласен с условиями «Пользовательского соглашения»” (или подобном).
- На других – согласие дается автоматически при нажатии кнопки “Отправить (оформить) заказ”.
Как правило, такие соглашения составляются по единому шаблону, в пунктах которого прописано, что клиент:
- Соглашается на все действия с персональными данными с применением и без применения средств автоматизации.
- Обязуется предоставить конкретный перечень сведений и отвечает за их истинность.
- Имеет право отозвать персональную информацию, но это равнозначно разрыву договора между сторонами.
- Дополнительно в соглашение входит перечень партнеров, основания, на которых возможна передача данных, цель обработки, сроки действия соглашения и пр.
Отказ от согласия на обработку персональных данных и его возможные последствия
По закону клиент/пользователь имеет право не давать согласия на обработку своих данных, ведь этот акт полностью добровольный. Юридических последствий это не имеет, то есть человека не будут преследовать или как-то наказывать. Однако это практически всегда делает невозможным использование интернет-ресурса или получение услуги от сервиса.
Получается, что отказ от соглашения равносилен отказу от услуги. При этом даже несогласие изменять условия “Пользовательского соглашения” (которые, кстати, вносятся в одностороннем порядке) является основанием для разрыва договора.
Если же Вы уже подписали соглашение, но потом решили расторгнуть договор, то можете отозвать свои персональные данные. Для этого необходимо связаться с администрацией интернет-ресурса и написать о своем желании. Дальнейшие действия осуществляются по инструкции, предоставляемой администрацией интернет-сервиса.
Согласие на обработку персональных данных в реальной жизни
Согласие на обработку персональных данных может понадобиться не только в интернете, но и в любом магазине. Например, при заполнении анкеты на карту скидки есть мелкий шрифт про согласие, а также согласие требуется при устройстве на работу, во время учебы, во многих медицинских учреждениях. Часто не обойтись без аналогичного согласия родителей в детском саду, в школе и т.д.
Как ни странно, но именно без такого согласия банк не сможет обработать заявку на выдачу кредита. Также работодатель может отказать соискателю по причине его отказа от обработки персональных данных, поскольку работодатель может решить,что соискатель что-то от него скрывает.
Как уже отмечалось выше, персональными данными человека принято считать информацию, которая относится к конкретному физическому лицу. Повторю, что персональные данные можно разделить на три основные категории.
- Общедоступные. Такие данные не скрываются носителем. К ним относится информации об имени, дате рождения и пр.
- Биометрические. Внешний облик и особенности физиологии, если они визуально определяются.
- Специальные. Вероисповедание, национальность, наличие судимости, а также информация, которая касается сферы занятости.
Если в интернете согласие требуется на обработку общедоступных сведений, то в реальной жизни согласие необходимо получать по всем трем категориям персональных данных.
Защита сведений о человеке при трудоустройстве
Когда сотрудник принимается на работу, то работодатель должен потребовать некоторые документы для трудоустройства. В этом случае все документы содержат определенную информацию о соискателе. Естественно, что в этом случае необходимо получить согласие на обработку персональных данных под роспись. Также человека предупреждают, что он может отказаться от согласия путем отзыва своего согласия.
Работодатель должен донести до соискателя, каким образом будут храниться и обрабатываться полученные персональные данные, как они будут защищены от постороннего вмешательства, а также каким образом можно отозвать свое согласие на обработку персональных данных.
Можно ли отказаться давать согласие? – вопрос, который может волновать многих соискателей.
Согласно законодательству можно не давать согласие на обработку данных. Однако стоит отметить, что при трудоустройстве или же при обращении в банковское учреждение, отсутствие согласия на обработку может привести к отказу от приема на работу или от предоставления банковских или иных услуг. Поскольку и работодателя интересуют персональные данные для принятия решений по поводу приема на работу кандидата. А банки интересуются персональными данными для принятия решения по поводу предоставления услуг клиенту.
Ответственность за разглашение персональных данных
В соответствии с законодательством разглашение персональной информации работодателем чревато серьезными последствиями. В частности, это может быть как дисциплинарная, так и уголовная ответственность. Другими словами, того, кто будет виновен в передаче личной информации, ждет серьезное наказание.
То же самое касается и банков, и других учреждений, которые запрашивают согласие на обработку персональных данных.
Как отозвать согласие, данное работодателю?
Чтобы отозвать согласие на переработку данных, необходимо, чтобы был актуален 1 из 2-х случаев:
- При увольнении
- Если со стороны работодателя не обеспечивается конфиденциальность информации.
Отзыв согласия на обработку персональных данных осуществляется на основании письменного заявления работника, в котором надо указать причину отзыва.
При отзыве вся информация должна быть удалена работодателем в месячный срок.
Примечание. Информация про согласие на обработку персональных данных в реальной жизни (а не только в интернете) приведена мною для получения общей картины, в частности, для понимания связи происходящих событий в реальной жизни и в интернете.
Везде нужно согласие на обработку персональных данных:
.
Уже более 3.000 подписчиков
В 2005 году Российская Федерация ратифицировала Конвенцию Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных» (Страсбург, 28 января 1981 г.). С ратификацией этого международного документа наша страна и мы, её граждане вступили в новую социально-экономическую формацию, в которой полномочия государства и права человека вторичны относительно прав «операторов». Во исполнение Конвенции в 2006 году в России поспешно принят ФЗ-№152 «О персональных данных» (далее ФЗ-№152), который во всех базовых положениях повторяет Конвенцию. ФЗ-№152 действует с 2006 года, однако до последнего времени при походе в библиотеку или к стоматологу человеку не приходилось давать полный отчёт о своей жизни: себе, семье, работе, собственности.
Жёсткий и тотальный сбор информации обо всех сторонах жизни человека начался только в связи с принятием ФЗ-№210 «Об организации предоставления государственных и муниципальных услуг» . Здесь-то и заработали заблаговременно принятые Конвенция Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных» и ФЗ-№152. Именно на основании ФЗ-№152 в последнее время гражданам предлагают подписывать различные бланки « о согласии на обработку их персональных данных» по месту работы, учёбы, в детском саду, который посещает ребёнок. Собирают наши «добровольные» согласия школы, поликлиники, библиотеки, все социальные учреждения. Подсуетились и магазины, которые при предоставлении скидки раздают анкеты, где мелким шрифтом включена фраза о согласии на обработку персональных данных.
Прежде чем дать такое согласие, человеку необходимо знать, что стоит за понятиями, употребляемыми в бланках
1. В соответствии с ФЗ-№152 персональные данные – это любая информация, относящаяся прямо или косвенно к физическому лицу.
2. Понятие «обработка персональных данных» имеет далеко не такое невинное значение как большинству из нас кажется. В соответствии с п. 3 статьи 3 ФЗ-№152, «обработка» включает в себя – любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
3. Очень важно понятие «оператор». Нужно помнить, что оператор независимо от желания человека самостоятельно решает какие персональные данные он собирает и какие действия с этими данными человека совершает.
В соответствии с ФЗ-№152 оператор это – государственный орган, муниципальный орган, юридическое или физическое лицо , самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных , подлежащих обработке, действия (операции), совершаемые с персональными данными .
4. Что прячется за понятием «использование персональных данных»?
Поскольку операторам предоставлено право любых действий с нашими персональными данными, то и принятие юридически значимых решений охватывается этим правом.
Давая согласие на обработку своих персональных данных, человек соглашается на совершение операторами любых действий и манипуляций с любой своей, в том числе и конфиденциальной информацией.
5. В соответствии с ФЗ-№152 «распространение» – это действия, направленные на раскрытие персональных данных неопределенному кругу лиц. Поскольку персональные данные – это любая информация о человеке, то распространение – это фактически не контролируемое человеком ознакомление с его самой конфиденциальной информацией любых физических и юридических лиц по усмотрению оператора.
Если оператор сочтёт необходимым, то в процессе обработки-распространения может осуществляться и трансграничная передача персональных данных – передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.
6. ФЗ-№152 даёт практически безграничные возможности для любых манипуляций с нашими персональными данными любому оператору, получившему согласие человека «на обработку персональных данных».
Формальная фраза бланков о праве человека отозвать согласие на обработку персональных данных ничего не решает. К моменту отзыва персональные данные человека уже разосланы в различные базы, где они остаются и используются. Кроме того, отзыв согласия чреват репрессивными мерами оператора. Некоторые операторы предупреждают о них сразу, а другие будут применять на практике без предупреждения. В статью 9 ФЗ-№152 внесены изменения, дающие оператору право продолжать обработку персональных данных и после отзыва согласия на обработку. А изменения в статье 6 этого закона допускают обработку персональных данных без согласия человека при оказании государственных и муниципальных услуг, включая регистрацию на едином портале государственных услуг. Если следовать логике этих положений, никакие электронные услуги не будут оказываться при отказе человека на обработку его персональных данных.
Итак, в информационном обществе на первый план выходит новое лицо – оператор, диктующий свои условия гражданам и государству.
7. Тысячи граждан по религиозным убеждениям не могут принять автоматизированный способ учета персональных данных, который основывается на использовании личных идентификаторов (СНИЛС, ИНН и других), штрихового кодирования информации, создании баз персональных данных, доступ в которые осуществляется на основании цифровых идентификаторов личности. Использование личных цифровых идентификаторов в любых правоотношениях нарушает право действовать под своим именем, гарантированное статьей 19 Гражданского кодекса РФ. Для верующего человека замена имени цифровым идентификатором неприемлема, поскольку происходит фактическая замена имени, данного при Крещении, цифровым номером, который является пожизненным и становится обязательным условием доступа к любым правам и услугам.
Однако отказ от использования автоматизированного способа учета персональных данных не лишает граждан прав, гарантированных Конституцией РФ. Первые примеры санкций за отказ предоставить всю информацию о себе в полное распоряжение оператора уже имеются. Так называемые операторы в ответ на отказ дать согласие на обработку персональных данных прекращают гражданам выплату дотаций, не оказывают медицинскую помощь и др. Учащиеся сообщают об угрозах не допустить к экзаменам или не выдать аттестат. Это является грубейшим нарушением прав граждан.
В Конституции РФ права граждан на социальное обеспечение, медицинскую помощь, образование и другие не обусловлены обязательным согласием на обработку персональных данных. Конституция имеет прямое действие и высшую юридическую силу. Граждане имеют право требовать реализации всех своих прав и в случае отказа на обработку персональных данных.
8. 4 февраля 2013 года Архиерейским Собором Русской Православной Церкви принят Документ «Позиция Церкви в связи с развитием технологий учета и обработки персональных данных».
В Документе говорится, что тысячи граждан на основе своих конституционных прав и по религиозной мотивации отказываются от использования новой идентификационной системы.
Церковь считает особенно важным принцип добровольности принятия любых идентификаторов и указывает, что необходимо проявлять уважение к конституционным правам граждан и не дискриминировать тех, кто отказывается от принятия электронных средств идентификации.
Церковь считает недопустимым ограничение прав граждан в случае отказа дать согласие на обработку персональных данных.
В п. 5 говорится: «В связи с тем, что обладание персональной информацией создает возможность контроля и управления человеком через различные сферы жизни (финансы, медицинская помощь, семья, социальное обеспечение, собственность и другое), возникает реальная опасность не только вмешательства в повседневную жизнь человека, но и внесения соблазна в его душу. Церковь разделяет опасения граждан и считает недопустимым ограничение их прав в случае отказа человека дать согласие на обработку персональных данных».
