Когда можно хранить ПДн без согласия:
- если это необходимо для исполнения закона (например, кадровый, налоговый и бухгалтерский учёт);
- если обработка данных требуется для заключения и исполнения договора, стороной или выгодоприобретателем которого является субъект;
- если данные сделаны субъектом общедоступными;
- если обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта;
- если обработка нужна для отправки обязательных уведомлений, исполнения судебных решений, взаимодействия с государственными органами.
Когда без согласия хранить нельзя:
- если речь идёт о публикации данных в открытом доступе (сайт, СМИ, реклама);
- при передаче данных третьим лицам, не связанным с законом или договором;
- при обработке специальных и биометрических данных — кроме случаев, прямо указанных в законе.
Обоснование по законодательству
- Ст. 6 ФЗ-152, ч. 1 — согласие не требуется в случаях, установленных законом (исполнение договора, законные обязанности оператора, защита жизни, общедоступные данные и др.).
- Ст. 5 ФЗ-152, ч. 7 — хранение ПДн должно быть ограничено целями обработки и сроками, предусмотренными законом или договором.
- Ст. 9 ФЗ-152 — если оснований нет, согласие субъекта обязательно.
- Ст. 22 ФЗ-152 — оператор обязан уведомить Роскомнадзор о начале обработки, если она не ограничивается только трудовыми или договорными случаями.
Практика проверок Роскомнадзора
В организации хранили копии паспортов сотрудников без письменных согласий. Проверка подтвердила, что согласие не требуется — основание для хранения закреплено в Трудовом кодексе.
Компания сохранила данные клиентов после завершения договора и использовала их для рассылки рекламы. Роскомнадзор признал это нарушением, так как согласия на новые цели не было.
Важный нюанс
Согласие не требуется, если хранение связано с исполнением закона или договора. Согласие обязательно, если оператор использует данные для дополнительных целей (маркетинг, публикация, передача третьим лицам). Срок хранения всегда ограничен целями обработки или требованиями законодательства (например, кадровые документы — до 75 лет, бухгалтерские — 5 лет).
Рекомендации и выводы
Да, хранить ПДн можно без согласия, если это прямо предусмотрено законом или договором. Чтобы исключить нарушения:
- Чётко разделяйте данные, которые можно хранить по закону, и те, что требуют согласия.
- Не используйте данные для дополнительных целей без получения согласия.
- Пропишите порядок хранения ПДн в комплекте документов по 152-ФЗ.
- Документируйте сроки хранения и порядок уничтожения данных.
Компания ICTech поможет вашей организации правильно определить, какие данные можно хранить без согласия, и разработать полный пакет документов по 152-ФЗ. Это позволит работать в рамках закона и избежать штрафов Роскомнадзора.
