Передача персональных данных без согласия: когда это законно и что нужно соблюдать

Когда согласие на передачу персональных данных не нужно?

Следует отметить, что передача относится к частному случаю обработки ПДн по смыслу закона, и на нее распространяются все те же основания.

Каждое основание самодостаточно: если ситуация попадает под любое из них, получать согласие не нужно. Оператору достаточно зафиксировать, какое именно основание применяется, и действовать в его рамках.

Стоит обратить внимание на основание № 5 — исполнение договора. Оно покрывает значительную часть операций интернет-торговли, логистики и сервисного бизнеса. Если субъект ПДн является стороной договора, то его персональные данные можно передавать всем, кто участвует в исполнении этого договора, без отдельного согласия на каждого контрагента.

Основание № 6, то есть защита жизни и здоровья, применяется только тогда, когда получить согласие невозможно. Если субъект находится в сознании и способен выразить свою волю, это основание не действует.

Как передавать ПДн сотрудников третьим лицам

Трудовой кодекс РФ и закон №152-ФЗ разграничивают ситуации, когда передача персональных данных обязательна по закону, и когда без согласия сотрудника не обойтись.

Куда работодатель передает персональные данные без согласия

Передача в Социальный фонд России (СФР), ФНС и военкомат прямо предусмотрена законодательством, поэтому согласие сотрудника здесь не требуется. То же правило действует в отношении запросов суда, ФССП и прокуратуры при наличии мотивированного письменного запроса.

Когда согласие обязательно:

• Банк для зарплатной карты. Если банк выбирает работодатель, а не работник, то передача персональных данных требует письменного согласия сотрудника.
• Страховая для ДМС. ДМС является добровольным видом страхования. Включение сотрудника в полис без его согласия нарушает 152-ФЗ, даже если он получает от этого выгоду.
• ЧОП для пропусков. Передача списков сотрудников в частную охранную организацию требует письменного согласия каждого работника.

Запросы государственных органов: как правильно передавать им ПДн?

Передача персональных данных по запросу госоргана законна без согласия субъекта, но только если сам запрос оформлен корректно. Устное обращение или письмо без реквизитов дела основанием не является.

Какой запрос считается законным

Мотивированный письменный запрос должен содержать: наименование органа, ссылку на норму закона, номер производства и перечень запрашиваемых сведений. Запрос без номера дела или без ссылки на конкретную норму служит достаточным основанием для отказа. Передача ПДн по такому запросу является нарушением 152-ФЗ.

Полномочия госорганов

Как отказать по незаконному запросу

Отказ оформляется письменно с указанием причины, а именно отсутствие номера дела или ссылки на норму закона. Документ направляется с уведомлением о вручении, что необходимо для формирования доказательной базы. Игнорировать запрос или отказывать устно не стоит: первое расценивается как воспрепятствование, второе не фиксируется.

Ответственность за незаконную передачу персональных данных третьим лицам

Незаконная передача ПДн влечет административную и уголовную ответственность.

Административная ответственность

Согласно ч. 1.1 ст. 13.11, за незаконную передачу персональных данных физическому лицу грозит штраф от 10 000 до 15 000 рублей, должностному — от 50 000 до 100 000 рублей, а юридическому — от 150 000 до 300 000 рублей. За повторное нарушение суммы выше: от 15 000 до 30 000, от 100 000 до 200 000 и от 300 000 до 500 000 рублей, соответственно.

Если передача осуществлялась без письменного согласия, когда оно было обязательно в силу закона, в рамках ч. 2 ст. 13.11 КоАП назначаются следующие санкции: от 10 000 до 15 000, от 100 000 до 300 000 и от 300 000 до 700 000 рублей, соответственно. При повторном нарушении сумма штрафа для юридических лиц может достигать 1 500 000 рублей.

Отдельно следует рассмотреть размеры санкций за незаконную утечку ПДн. При утечке данных более 100 000 субъектов юридическому лицу грозит штраф до 15 000 000 рублей, а за повторное совершение нарушений по ч. 12–14 ст. 13.11 КоАП (по сути — повторную утечку) назначается оборотный штраф в размере от 1 до 3% от годовой выручки. За утечку биометрических и специальных категорий ПДн предусмотрены более крупные штрафы, о чем можно прочитать подробнее в этой статье.

Уголовная ответственность

Статья 137 УК РФ применяется при незаконном сборе или распространении сведений о частной жизни лица, составляющих его личную или семейную тайну (ч. 1 ст. 137 УК РФ). За такое нарушение назначается штраф до 200 000 рублей или лишение свободы сроком до двух лет. При использовании служебного положения, наказание ужесточается до четырех лет с запретом занимать определенные должности (ч. 2 ст. 137 УК РФ).

Как подать жалобу в Роскомнадзор

Жалоба подается через сайт РКН или бумажным письмом. В обращении указываются данные заявителя, описание нарушения, наименование оператора и доказательства: переписка, скриншоты, документы. При подтверждении нарушения Роскомнадзор инициирует проверку.

Как снизить риски при передаче персональных данных: чеклист для бизнеса

Большинство нарушений закона № 152-ФЗ не связаны с умыслом, а возникают по причине отсутствия внутренних регламентов и непонимания границ законной передачи ПДн.

Выполнение нескольких практических шагов значительно снижает этот риск.

• Зафиксировать основание для каждой передачи. Перед тем как передать персональные данные третьей стороне, стоит определить, какое из двенадцати оснований статьи 6 закона №152-ФЗ применяется в отношении их обработки.
• Заключить договор поручения обработки. Если сторонняя организация получает доступ к ПДн и обрабатывает их, необходим письменный договор с указанием перечня данных, целей обработки, обязанностей обработчика и требованиями к безопасности.
• Проверить кадровые процессы. Универсальное согласие при приеме на работу не покрывает конкретные передачи ПДн. Банк для зарплатной карты, страховая для ДМС и ЧОП для пропусков требуют отдельных согласий.
• Выстроить регламент работы с запросами госорганов. Сотрудники, получающие запросы от МВД, прокуратуры или ФССП, должны знать, как проверить законность запроса и как оформить отказ. Передача персональных данных по неформальному запросу является нарушением закона №152-ФЗ.
• Провести правовой аудит. Разовая проверка процессов обработки и передачи персональных данных позволяет выявить системные нарушения до того, как их обнаружит Роскомнадзор. Эксперты команды «Хелп Консалтинг» проводят правовой аудит сайта и помогают привести процессы передачи данных в соответствие с требованиями закона.

Заключение

Статья 6 закона №152-ФЗ дает бизнесу достаточно оснований для законной передачи персональных данных, без избыточных требований к субъектам и правовых рисков. Проблема возникает там, где эти основания не фиксируются, процессы не регламентированы, а запросы госорганов обрабатываются по наитию.

Аудит процессов до первой проверки РКН обходится в разы дешевле, чем штрафы после нее. Свяжитесь с нами прямо сейчас, чтобы обеспечить правовую защиту вашему бизнесу на долгие годы.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

121 публикация на сайте

Подробнее о специалисте