Обработка персональных данных без согласия субъекта: когда это законно

Когда обработка ПДн без согласия возможна на основании договора?

Вопрос о том, когда можно работать с персональными данными без согласия, зависит от правового основания и цели обработки. Если клиент заключил с компанией договор или принял оферту, его персональные данные можно обрабатывать без отдельного согласия в той мере, в которой это необходимо для исполнения договора.

Основание — п. 5 ч. 1 ст. 6 152-ФЗ. Как правило, это основание действует в трех сценариях: клиент является стороной договора, его выгодоприобретателем или поручителем по нему.

Для интернет-магазина это означает следующее: имя, адрес доставки и номер телефона покупателя обрабатываются на основании договора купли-продажи, согласие не требуется. Для салона красоты — данные клиента используются в рамках договора на оказание услуг, а для банка — ПДн заемщика хранятся в рамках кредитного договора.

Важное ограничение: обработка допустима строго в рамках целей договора. Если клиент купил товар, это не означает, что его контакты теперь можно использовать для маркетинговых рассылок. У рекламы другая цель, выходящая за пределы договора купли-продажи, поэтому для нее нужно отдельное согласие на маркетинговую рассылку.

Обработка персональных данных работников без их согласия: что разрешает закон?

Если федеральный закон обязывает оператора собирать, хранить или передавать определенные данные, согласие субъекта для этого не нужно. Закон сам является основанием по п. 2 ч. 1 ст. 6 152-ФЗ.

Наиболее распространенный пример — трудовые отношения . Работодатель обрабатывает ПДн сотрудников на основании Трудового кодекса РФ, Налогового кодекса и законодательства о страховых взносах. Отдельного согласия для этого не требуется.

Именно поэтому требование подписать «согласие на обработку персональных данных» при приеме на работу само по себе не является нарушением, но юридически избыточно для большинства кадровых операций. Закон уже дал оператору это основание. При этом важно учитывать категории персональных данных: для специальных категорий, например сведений о здоровье, действуют дополнительные требования и самостоятельные основания обработки.

Если в компании нет четкого разграничения, для каких кадровых операций достаточно закона, а для каких нужно согласие, это чревато рисками при проверке РКН, поскольку надлежащие правовые основания обработки ПДн в таком случае не будут обеспечены. Юристы «Хелп Консалтинг» проведут правовой аудит и помогут привести документооборот в порядок.

Является ли судопроизводство основанием для обработки персональных данных без согласия?

Участие в судебном споре или исполнение судебного решения — самостоятельное основание для обработки персональных данных. Согласие стороны спора для этого не нужно и юридически нерелевантно.

Основание закреплено в п. 3 и п. 3.1 ч. 1 ст. 6 152-ФЗ. Первый охватывает участие в конституционном, гражданском, административном, уголовном и арбитражном судопроизводстве. Второй — исполнение судебных актов в рамках исполнительного производства.

Это означает, что если компания судится с контрагентом и в ходе разбирательства обрабатывает его ПДн (передает их юристу, указывает в исковом заявлении, направляет судебные извещения), то она действует законно без какого-либо согласия ответчика. Если судебный пристав в рамках исполнительного производства запрашивает у работодателя данные должника-сотрудника, работодатель обязан их предоставить, и согласие сотрудника здесь также не требуется.

Вправе ли государственные органы обрабатывать ПДн без согласия субъекта?

Государственные органы, органы власти и организации, оказывающие государственные и муниципальные услуги, вправе обрабатывать персональные данные в рамках своих полномочий, то есть без согласия субъекта.

Вопрос о том, кто может запросить персональные данные без согласия субъекта, определяется полномочиями конкретного органа и основанием для такого запроса. Например, данные могут потребоваться муниципальному или государственному органу в предусмотренных законом случаях для оказания соответствующих услуг.

Основание — п. 4 ч. 1 ст. 6 152-ФЗ. Налоговая инспекция, полиция, прокуратура, Роспотребнадзор и органы опеки обрабатывают ПДн граждан и организаций на основании собственных полномочий, закрепленных в отраслевых законах. Согласие субъекта не является условием для такой обработки.

Из этого следует важный вывод: если оператор получил официальный запрос от государственного органа с требованием предоставить персональные данные клиента или сотрудника, он обязан выполнить этот запрос. Отказ со ссылкой на «отсутствие согласия субъекта» является незаконным. Согласие субъекта в данном случае к делу не относится, так как запрос исходит от органа, уполномоченного законом.

Сюда же относится обработка данных при регистрации на портале Госуслуги и взаимодействии с ведомственными информационными системами в рамках предоставления государственных и муниципальных услуг.

Законный интерес оператора как основание обработки ПДн без согласия

Исходя из п. 7 ч. 1 ст. 6 152-ФЗ, оператор вправе обрабатывать персональные данные, если это необходимо для реализации его законных интересов, при условии, что интересы субъекта не нарушаются. Это основание требует взвешенной оценки и чаще всего применяется для обеспечения безопасности.

Типичные примеры: видеонаблюдение на производственном объекте; мониторинг корпоративной IT-инфраструктуры; антифрод-системы, которые анализируют поведение пользователей для выявления мошеннических операций; ведение журналов доступа к корпоративным системам.

Ключевое условие — соразмерность. Интерес оператора должен быть конкретным и обоснованным, а обработка ПДн не должна выходить за рамки того, что необходимо для его достижения. Видеозапись в местах ограниченного пользования в офисе для обеспечения безопасности является законным интересом, а скрытая слежка за частной перепиской сотрудников — нет.

Перед тем как опираться на это основание, операторам рекомендуется провести внутренний тест на соразмерность: зафиксировать, в чем состоит законный интерес, почему для его реализации нужна именно такая обработка ПДн и не нарушает ли это права субъекта. При проверке РКН этот тест может стать документальным доказательством законности обработки.

Если в компании используется видеонаблюдение, системы мониторинга IT-инфраструктуры или антифрод, стоит убедиться, что обработка ПДн в этих системах оформлена корректно. Юристы «Хелп Консалтинг» помогут проверить, соответствует ли применяемое основание реальному сценарию обработки, не обрабатываете ли вы излишний объем персональных данных.

Можно ли обрабатывать персональные данные без согласия при угрозе жизни?

Если жизнь или здоровье человека под угрозой, а получить его согласие физически невозможно, оператор вправе обрабатывать персональные данные, включая медицинские сведения, без согласия субъекта.

Основание — п. 6 ч. 1 ст. 6 152-ФЗ, а в отношении специальных категорий данных (данные о здоровье) дополнительно действует п. 3 ч. 2 ст. 10 152-ФЗ. Чаще всего такое основание применяется в ситуациях, когда пациент доставлен в больницу без сознания, человек пострадал в ДТП или ребенок нуждается в экстренной медицинской помощи при отсутствии родителей.

Это основание действует ровно до тех пор, пока сохраняется угроза. Как только человек пришел в сознание и может выразить свою волю, обработка его ПДн должна либо перейти на иное законное основание (например, договор на оказание медицинских услуг), либо прекратиться. Использовать это основание для продолжения обработки данных после устранения угрозы нельзя.

Нужно ли согласие на обработку общедоступных персональных данных?

Данные, которые человек сам разместил в открытом доступе, можно обрабатывать без его согласия. Но только в той мере и для тех целей, для которых он их опубликовал.

Основание — ст. 8 152-ФЗ. Общедоступными считаются данные из справочников, адресных книг, открытых реестров, публичных профилей в социальных сетях и профессиональных платформах. Если человек сам указал свое ФИО, должность, email и номер телефона в открытом LinkedIn или на сайте компании, то эти данные можно использовать для делового общения, без запроса отдельного согласия. При этом владелец сайта или другого ресурса, на котором размещены такие сведения, должен учитывать требования закона к их публикации и дальнейшей обработке.

Важное ограничение: общедоступность не означает, что можно выполнять с ПДн любые действия. Обработка должна соответствовать той цели, с которой человек разместил данные. Контакты из профессионального справочника опубликованы для профессионального общения. Следовательно, собирать их в базу для рекламных рассылок без согласия нельзя, как и продавать агрегированные базы контактов, собранные из открытых источников.

Если субъект потребовал удалить свои данные из общедоступного источника, то они должны быть исключены по его требованию, даже если изначально были размещены с согласия.

Заключение

Согласие субъекта — не универсальный инструмент и не обязательное условие для любой обработки персональных данных. Закон предусматривает широкий перечень самостоятельных оснований, когда можно работать с персональными данными без согласия субъекта: в том числе, исполнение договора, требование закона, защита жизненно важных интересов, законный интерес оператора.

Однако каждое основание имеет свои условия и ограничения. Опираться на неподходящее основание или применять его шире, чем позволяет закон, так же рискованно, как и обрабатывать данные вообще без основания. Некорректно избранное правовое основание обработки персональных данных может стать поводом для привлечения вас к административной ответственности.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

132 публикации на сайте

Подробнее о специалисте