Обработка персональных данных без согласия · законные основания по 152-ФЗ

Среди предпринимателей живёт убеждение, что любое прикосновение к чужим персональным данным требует подписанного согласия, а его отсутствие автоматически ведёт к штрафу. Из-за этого мифа компании собирают согласия там, где они не нужны, и одновременно не понимают, на каком основании вообще обрабатывают данные. Реальность сложнее и удобнее. Статья 6 Федерального закона от 27.07.2006 N 152-ФЗ перечисляет одиннадцать самостоятельных случаев, при которых обработка допускается, и согласие субъекта это лишь первый из них. Остальные десять работают независимо.

Это принципиально меняет логику комплаенса. Вопрос не в том, есть ли согласие, а в том, есть ли законное основание. Если обработка опирается на договор или на прямое предписание закона, требовать дополнительное согласие избыточно, а иногда и вредно, потому что согласие можно отозвать, а основание из договора отозвать нельзя.

Одиннадцать оснований из части 1 статьи 6

Часть 1 ст. 6 152-ФЗ открывается согласием субъекта в пункте 1. Это базовый, но не единственный вариант. Пункт 2 разрешает обработку, необходимую для достижения целей, предусмотренных международным договором или законом, и для выполнения возложенных на оператора законом функций, полномочий и обязанностей. Пункт 3 допускает обработку в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве и судопроизводстве в арбитражных судах. Пункт 3.1 добавляет обработку, необходимую для исполнения судебного акта и акта другого органа в рамках исполнительного производства.

Пункт 4 покрывает обработку для исполнения полномочий органов власти и функций организаций, участвующих в предоставлении государственных и муниципальных услуг, включая регистрацию на портале госуслуг. Пункт 5 это одно из самых важных для бизнеса оснований. Обработка допускается, когда она необходима для исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект, а также для заключения договора по инициативе субъекта. При этом договор не может содержать условия, ограничивающие права субъекта, и не может ставить заключение договора в зависимость от бездействия субъекта.

Пункт 6 разрешает обработку для защиты жизни, здоровья или иных жизненно важных интересов субъекта, если получить согласие невозможно. Пункт 7 допускает обработку для осуществления прав и законных интересов оператора или третьих лиц, в том числе при возврате просроченной задолженности, либо для достижения общественно значимых целей, но только при условии, что не нарушаются права и свободы субъекта. Пункт 8 называет профессиональную деятельность журналиста, законную деятельность СМИ и научную, литературную, иную творческую деятельность при том же условии ненарушения прав субъекта. Пункт 9 разрешает обработку в статистических и исследовательских целях при обязательном обезличивании. Пункт 11 покрывает обработку данных, подлежащих опубликованию или обязательному раскрытию по федеральному закону.

Как выбрать основание на практике

Правильная работа начинается с цели обработки. Сначала фиксируется, зачем нужны данные, и только потом подбирается основание. Интернет-магазин, оформляющий доставку, обрабатывает адрес и телефон покупателя на основании пункта 5, потому что это исполнение договора купли-продажи. Отдельное согласие на сам факт доставки тут не требуется. Бухгалтерия, сдающая отчётность, опирается на пункт 2, потому что обработка нужна для выполнения возложенной законом обязанности. Кредитор, взыскивающий долг, использует пункт 7 в части законного интереса. Согласие по пункту 1 остаётся для всего, что не укладывается в иные основания, прежде всего для маркетинговых рассылок и рекламной коммуникации.

Пример из практики. Сервис аренды собирал у клиентов согласие на обработку для исполнения договора и одновременно для маркетинга в одной галочке. Это уязвимая конструкция. Часть обработки прекрасно держалась на пункте 5 без всякого согласия, а смешение её с маркетингом давало клиенту возможность отозвать согласие и парализовать исполнение договора. Решение состояло в разделении. Исполнение договора на пункте 5, маркетинг на отдельном согласии по пункту 1, которое можно отзывать без ущерба для основной услуги.

Где заканчивается обработка без согласия

Граница проходит по специальным категориям данных. Статья 10 152-ФЗ устанавливает, что обработка данных о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни по общему правилу не допускается. Исключения перечислены в самой статье 10, и для большинства частных операторов работающим основанием там оказывается письменное согласие субъекта. То есть общие основания статьи 6, позволяющие обходиться без согласия, для специальных категорий напрямую не действуют. Здесь нужен либо отдельный случай из статьи 10, либо письменное согласие.

Это значит, что схема, при которой обработка обычных данных идёт по договору без согласия, не переносится автоматически на данные о здоровье или убеждениях. Как только в наборе появляется специальная категория, оператор переходит в более строгий режим статьи 10.

На что смотрит регулятор

При проверке Роскомнадзор оценивает, заявлено ли в политике обработки и в уведомлении конкретное основание для каждой цели. Смотрит, не подменяется ли согласием то, что и так держится на договоре, и наоборот, не объявлено ли основанием договор там, где обработка реально выходит за его рамки. Проверяет, не смешаны ли в одном согласии несовместимые цели. Отдельно анализирует обработку специальных категорий и наличие письменного согласия либо иного основания из статьи 10. Несоответствие основания фактической обработке образует состав по части 1 статьи 13.11 КоАП как обработка в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора.

Частые ошибки

Первая ошибка это согласие на всё. Оператор собирает универсальное согласие и думает, что закрыл вопрос. Но если обработка выходит за рамки заявленной цели, согласие не спасает, а отзыв такого согласия может остановить и законную обработку. Вторая ошибка это ссылка на законный интерес по пункту 7 без проверки баланса. Пункт 7 работает только при условии, что не нарушаются права и свободы субъекта, и этот баланс нужно уметь обосновать. Третья ошибка это применение договорного основания по пункту 5 к специальным категориям, что прямо противоречит статье 10. Четвёртая ошибка это отсутствие зафиксированного основания вообще. Когда оператор не может назвать, на каком пункте статьи 6 держится обработка, это уже признак нарушения.

Авторская позиция. Грамотный комплаенс это не максимум согласий, а правильная карта оснований. Для каждой цели обработки нужно одно ясное основание из статьи 6, а согласие следует беречь для тех целей, где без него действительно не обойтись, прежде всего для рекламы и для специальных категорий. Такая карта делает обработку устойчивой к отзыву согласия и понятной для проверяющего. Разложить ваши процессы по основаниям мы помогаем в услуге по персональным данным, обсудить детали удобно через контакты.

Частые вопросы

Можно ли обрабатывать данные клиента без согласия, если есть договор. Да. Пункт 5 части 1 статьи 6 152-ФЗ прямо допускает обработку, необходимую для исполнения договора, стороной которого является субъект. Дополнительное согласие на саму обработку в рамках договора не требуется.

Нужно ли согласие на взыскание просроченной задолженности. Пункт 7 части 1 статьи 6 называет обработку для осуществления прав и законных интересов оператора, в том числе при возврате просроченной задолженности, при условии, что не нарушаются права и свободы субъекта. Это самостоятельное основание помимо согласия.

Распространяется ли работа без согласия на данные о здоровье. Нет. Данные о состоянии здоровья относятся к специальным категориям по статье 10 152-ФЗ, где для частного оператора чаще всего требуется письменное согласие или специальный случай из этой статьи. Общие основания статьи 6 сами по себе тут не применяются.