Что грозит, если собирать персональные данные без подписания согласия на их обработку

Содержание

Коротко о главном: 5 пунктов

Как правильно собирать персональные данные по закону

Любая компания, которая заводит базу клиентов и ведет рассылку, автоматически становится оператором персональных данных (ПД). К операторам персональных данных относится и любой работодатель, собирающий и обрабатывающий данные сотрудников. Все они подпадают под действие 152-ФЗ и обязаны соблюдать установленные им правила сбора. Для приобретения подобного статуса не требуется проходить специальную регистрацию. Любые действия по сбору персональных данных уже являются основанием для признания компании оператором. Чтобы фирму не оштрафовали за ошибки при работе с указанными сведениями, рекомендуем руководствоваться следующим алгоритмом действий:

Шаг 1. Определите цель сбора

Перед тем как начать собирать информацию, следует определить точную цель, для которой она необходима. Собирать данные, которые не соответствуют заявленной цели, запрещено (п. 2 ст. 5 закона № 152).

Например, для доставки заказа онлайн — магазину косметики требуется ФИО, телефон и адрес заказчика. В случае же, если магазин требует для оформления заказа сведения о семейном положении и возрасте заказчика, то эти данные не являются обязательными для доставки товара. Требование об их предоставлении не соответствует целям обработки данных и является нарушением.

Шаг 2. Разработайте необходимые документы

Закон обязывает операторов составить и оформить внутренние локальные акты, регламентирующие порядок работы с персональными данными. В частности, компании следует обеспечить наличие следующих документов (п. 2 ч. 1 ст. 18.1 закона № 152):

• политика в отношении обработки данных;
• локальные акты, содержащие перечень обрабатываемой информации, в зависимости от категории субъектов этих данных и список сотрудников, допущенных к работе с ней;
• документы, содержащие порядок защиты данных от третьих лиц и нормы об ответственности лиц, нарушивших этот порядок.

Шаг 3. Направьте уведомление в Роскомнадзор

Направить уведомление о намерении осуществлять обработку персональных данных следует до начала их сбора (ч. 1 ст. 22 закона № 152). Это правило действует применительно ко всем случаям обработки рассматриваемой информации. Направлять уведомления не требуется только в трех случаях:

• при работе с данными, которые включены в государственные инфосистемы, созданные для защиты безопасности государства;
• при обработке сведений без использования средств автоматизации;
• при работе с персональными данными в случаях, предусмотренных законодательством о транспортной безопасности для обеспечения безопасного функционирования транспортного комплекса.

Форма уведомления утверждена Приказом Роскомнадзора от 28 октября 2022 г. № 180. Направить его разрешено либо в бумажном виде в территориальное отделение Роскомнадзора, либо через госуслуги в электронном виде.

Шаг 4. Получите согласие

По общему правилу сбор ПД осуществляется только с согласия их владельца (п. 1 ч. 1 ст. 6). Согласие должно быть конкретным, информированным, добровольным и составлено отдельно от других документов. Случаи, когда этот документ не требуется, строго регламентированы законом (ч. 1 ст. 6). Сбор без получения согласия разрешен, например, в случае, если это необходимо для защиты жизни или требуется для исполнения судебного акта.

Шаг 5. Обеспечите хранение и защиту собранных сведений

Работая с ПД, необходимо обеспечить их надежное хранение в течение срока, установленного законом. Если срок не установлен, данные хранятся не дольше, чем требуется для цели их сбора. После чего их следует уничтожить. Во время хранения необходимо использовать технические средства и специальное программное оборудование в целях предотвращения случаев их утечки.

Что нужно знать про согласие на обработку персональных данных

Согласие требуется практически во всех случаях сбора персональных данных. В отсутствие согласия любые действия с ними (от сбора до уничтожения) незаконны, за исключением случаев, прямо предусмотренных законом. Из текста согласия владелец ПД должен понимать, какие сведения собираются, для чего и кто их собирает. Лицо должно самостоятельно решить, предоставлять сведения о себе или нет. В законе нет требования, что такое согласие всегда должно оформляться в письменном виде. Но есть обязанность оператора подтвердить факт его получения. Поэтому, по моему мнению, письменная форма такого документа является оптимальной.

В отдельных случаях письменная форма согласия является обязательной. Документ необходимо в обязательном порядке оформлять на бумаге, если:

• ПД собираются в целях включения их в общедоступные источники (справочники, реестры и т. д.), ч. 1 ст. 8;
• собираются сведения о расовой и национальной принадлежности, религиозных убеждениях и политических предпочтениях (ст. 10);
• предлагается распространение ПД;
• предполагается трансграничная передача ПД;
• в других случаях, установленных законами.

Письменное согласие разрешено оформлять двумя способами (ч. 4 ст. 9):

• на бумажном носителе;
• в виде электронного документа, подписанного электронной подписью.

При этом запрета на подписание документа простой электронной подписью закон не содержит.

Единая форма согласия не утверждена, но существуют требования, которые необходимо соблюдать при его составлении (приказ Роскомнадзора от 24.02.2021 № 18).

В такой документ следует включать следующие сведения:

• ФИО, почтовый адрес, номер телефона, адрес электронной почты субъекта ПД;
• наименование, адрес, ИНН и ОГРН организации, являющейся оператором персональных данных (или ФИО, ИНН, адрес — если оператором выступает физическое лицо или ИП);
• цель обработки, категорию и перечень собираемых ПД;
• сведения об адресах интернет-ресурсов, с использованием которых планируется осуществление каких –либо действий с данными;
• период действия документа.

На официальном сайте Роскомнадзора размещена примерная форма согласия. Предлагаю ознакомиться с примером заполнения этого документа:

Образец заполненного согласия на обработку персональных данных

Закон предусматривает два способа передачи подписанного согласия оператору ПД: непосредственно или через информационную систему Роскомнадзора. Возможность передачи согласия через указанную систему предусмотрена Приказом Роскомнадзора от 21 июня 2021 г. № 106. Я попыталась найти, каким образом происходит обмен согласиями через данную систему, но на портале персональных данных Роскомнадзора подобная функция отсутствует. В целях реализации указанного приказа операторам ПД предоставлена возможность подготовить собственный шаблон согласия и направить его в Роскомнадзор для проверки и получения рекомендаций по правильному оформлению этого документа.

Что грозит, если собирать персональные данные без подписания согласия

Административные штрафы за нарушения в области обработки персональных данных существенно ужесточились с 30 мая 2025 года после внесения изменений в КоАП. Но ответственность при отсутствии согласия субъекта ПД не ограничивается только административной. Виновника могут привлечь и к уголовной ответственности, наказать на работе дисциплинаркой или взыскать ущерб в рамках гражданско-правовых норм. Всё зависит от тяжести последствий допущенного нарушения. В таблице привела основные санкции, которые грозят нарушителю в случае сбора персональных данных в отсутствие согласия, если его наличие обязательно по закону.

Санкции за уголовные преступления усиливаются, когда имеются отягчающие обстоятельства. К таким обстоятельствам, например, относятся:

• совершение преступления группой лиц;
• незаконное распространение ПД несовершеннолетних лиц;
• наличие крупного ущерба;
• использование служебного положения для совершения преступления.