Как и когда нужно оформлять согласие на передачу персональных данных?

Когда нужно оформлять согласие на передачу данных?

В соответствии со ст. 6 Федерального закона №152-ФЗ, передача персональных данных третьим лицам допускается лишь при наличии письменного согласия субъекта ПДн, за исключением случаев, прямо установленных законодательством (например, при исполнении договора или при необходимости защиты жизненно важных интересов). Из этого следует, что практически во всех ситуациях, когда вы передаете информацию о своих клиентах или сотрудниках подрядчикам и партнерам (страховым или банковским компаниям, CRM-системам), вам необходимо запрашивать согласие от субъекта этих ПДн. Передача данных без такого документа создает серьезные правовые риски для бизнеса.

Так, если вы планируете запуск маркетинговых кампаний и рассылок, то передача персональных данных о вашей целевой аудитории рекламным агентствам требует обязательного согласия субъектов этих данных. Если вы делитесь ПДн с IT-компаниям для обслуживания и обработки информации, в таком случае вы совершаете передачу. То же самое происходит и при заключении партнерского договора в целях работы над совместным проектом, где требуется изучение информации об общем клиенте. Все эти процессы не будут считаться законными, если вы приступили к ним без заранее полученного от субъекта согласия на передачу персональных данных.

Когда можно обойтись без согласия на передачу ПДн?

Закон предусматривает ряд оснований, при которых передача персональных данных допустима без согласия субъекта. Они касаются как сотрудников, так и клиентов, контрагентов и других лиц, чьи ПДн обрабатывает оператор.

• Исполнение договора. Если передача данных необходима для выполнения обязательств по договору, стороной которого является субъект, согласие не требуется. Например: интернет-магазин передает имя и адрес покупателя службе доставки — это условие исполнения договора купли-продажи.
• Исполнение обязанностей по закону. Организации обязаны передавать данные в ФНС, СФР и другие контролирующие органы. Это касается как сведений о сотрудниках (отчетность по НДФЛ, взносам), так и данных контрагентов в рамках налогового контроля. Согласие субъекта в таких случаях не требуется.
• Защита жизни и здоровья. В таких ситуациях не всегда представляется возможным получить согласие субъекта, например, если он находится в экстренном состоянии. Поэтому, допустим, вы можете передать информацию о субъекте бригаде скорой помощи, если стало плохо вашему сотруднику.
• Защита прав и законных интересов. Если передача ПДн необходима для защиты прав оператора или субъекта (например, при обращении в суд или к нотариусу), то согласие также не является обязательным.
• Государственные функции. Передача данных по запросу суда, прокуратуры, полиции или иных государственных органов, действующих в рамках своих полномочий, осуществляется без согласия субъекта.

Как оформить согласие на передачу ПДн?

Строгой формы для согласия на передачу ПДн закон не предусматривает, однако есть ряд обязательных разделов, которые следует поместить в этот документ. Чтобы согласие было признано действующим, оно должно содержать:

— ясное и конкретное описание целей обработки и передачи данных;

— перечень конкретных категорий персональных данных, которые будут переданы, в том числе сведений, носящих конфиденциальный характер;

— указание третьих лиц или категорий третьих лиц, которым могут быть переданы ПДн;

— информацию о сроках хранения ПДн и условиях их использования;

— подтверждение согласия субъектом ПДн: собственноручная подпись на бумажном документе либо электронная подпись при оформлении в электронном виде, а также проставление галочки в специальном чекбоксе для согласия на сайте.

— дату оформления согласия

Примеры формулировок согласия:

1. «Я, [ФИО], даю согласие на передачу моих персональных данных (ФИО, номер заказа, контактный телефон) третьим лицам — авторизованным сервисным центрам (АСЦ), осуществляющим гарантийный ремонт оборудования, в целях реализации гарантийного обслуживания: для связи со мной по вопросам диагностики, сроков и стоимости ремонта, а также для уведомления о готовности устройства к выдаче»

Помните: если цель передачи — маркетинговые коммуникации, такое согласие оформляется отдельным документом и должно соответствовать требованиям ст. 18 ФЗ «О рекламе»

2. «Настоящим я выражаю согласие [Наименование организации] на передачу моих персональных данных (имя, фамилия, дата рождения, данные загранпаспорта, контактный e-mail) непосредственным исполнителям услуг: авиаперевозчикам, отелям и страховым компаниям, входящим в цепочку бронирования, для подтверждения заказа, оформления билетов и проживания»

Согласие на передачу персональных данных работников

Передача персональных данных работников требует особого подхода, поскольку такие данные регулируются как трудовым кодексом, так и законодательством о защите персональных данных. Важно учитывать, что согласие на обработку и передачу персональных данных работников должно быть осознанным, добровольным и конкретным.

В согласие на передачу ПДн работников необходимо включить описание целей обработки данных, перечня данных, которые могут быть переданы, а также категории третьих лиц, которым данные могут быть переданы. Например, в качестве таких лиц могут выступать банк для оформления зарплатной карты, страховая компания для подключения ДМС или кадровое агентство при подборе персонала. Кроме того, документ должен содержать информацию о сроках хранения данных, а также права работника по отзыву согласия. Подробнее обо всех нюансах оформления согласия на обработку ПДн с работниками рассказали в этой статье.

Процедура получения согласия в трудовых отношениях

Процесс получения согласия работников оформляется посредством подписания соответствующего документа — согласия на передачу персональных данных. Обычно этот документ оформляется в ходе трудоустройства или уже в процессе работы, если в процессе трудовой деятельности возникают новые цели обработки данных или меняются условия. Важно, чтобы работник ознакомился с текстом согласия и выразил свое согласие осознанно, без давления.

Чаще всего процедура включает следующие этапы:

1. Предоставление работнику полного текста документа, где подробно прописаны цели и условия обработки ПДн.
2. Обеспечение возможности получить разъяснения по поводу обработки и передачи персональных данных.
3. Подписание документа работником или его законным представителем.
4. В случае электронного оформления — использование электронной подписи или аналогичных средств идентификации.

Согласие на передачу персональных данных клиентов

В отличие от требований законодательства в отношении передачи данных сотрудников, при передаче ПДн клиентов не обязательно оформлять отдельное согласие. Его можно включить в общее согласие на обработку персональных данных, в котором указывается право оператора на передачу. Важно, что факт уведомления о дальнейшей передаче ПДн должен быть так или иначе зафиксирован, хотя и отдельный документ для этого не требуется.

Так, если клиент оформил заказ в вашей компании, то для передачи его адреса курьерским службам в целях осуществления доставки товаров отдельное согласие получать не нужно. Однако, при подписании электронной формы согласия на обработку персональных данных, клиент должен иметь возможность ознакомиться с его текстом, в котором будут четко прописаны цели этой обработки, условия передачи ПДн и их обработчики (третьи лица).

Согласие на передачу и согласие на распространение ПДн: в чем разница?

Важно уметь различать передачу ПДн от их распространения, чтобы не допустить ошибок при оформлении документов.

Передача подразумевает перемещение персональных данных между конкретными людьми или организациями, в то время как распространение охватывает более широкий круг лиц (неограниченный). Если вы делитесь данными ваших субъектов не только с заранее назначенными обработчиками для определенных целей, а публикуете их в общем доступе, то вы совершаете распространение. Из этого следует, что вместо согласия на передачу вам нужно запросить от субъекта ПДн отдельное согласие на их распространение. Подробнее о том, как это сделать, рассказали в статье.

Ответственность за нарушение правил передачи ПДн

За передачу персональных данных без надлежащего согласия субъекта предусмотрена административная ответственность по ст. 13.11 КоАП РФ. Размер штрафа зависит от того, какое именно согласие требовалось по закону.

Если оператор обработал или передал ПДн без согласия субъекта в тех случаях, когда согласие требовалось, но письменная форма не была обязательной, то применяется ч. 1 ст. 13.11 КоАП: штраф для юридических лиц от 150 000 до 300 000 рублей.

Если же закон требовал письменного согласия, а оно не было получено, применяется ч. 2 ст. 13.11 КоАП: штраф от 300 000 до 700 000 рублей. При повторном нарушении по той же части (ч. 2.1) размер штрафа: от 1 000 000 до 1 500 000 рублей.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

121 публикация на сайте

Подробнее о специалисте