По общему правилу обработка персональных данных допускается только с согласия субъекта. Но Федеральный закон № 152-ФЗ прямо указывает случаи, когда согласие не требуется. В этих ситуациях оператор может обрабатывать данные на основании закона или договора.
Согласие не требуется, если:
- Обработка необходима для исполнения договора, стороной или выгодоприобретателем которого является субъект (например, трудовой договор, договор купли-продажи).
- Обработка необходима для исполнения обязанностей, установленных законом, — налоговый учёт, ведение кадровой документации, отчётность в ПФР, ФНС и другие госорганы.
- Обработка необходима для осуществления правосудия или исполнения судебного акта.
- Обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта, и получить согласие невозможно.
- Обработка необходима для осуществления полномочий органов государственной власти или местного самоуправления.
- Обработка осуществляется для статистических или научных целей, при условии обязательного обезличивания данных.
- Данные обрабатываются в целях исполнения международных договоров РФ.
- Данные сделаны субъектом общедоступными (например, человек сам разместил свои данные в соцсети или на сайте в открытом доступе).
Однако важно помнить: даже если согласие не требуется, организация обязана соблюдать все остальные требования закона — защищать данные, ограничивать цели обработки, разрабатывать внутренние документы.
Обоснование по законодательству
- Ст. 6 ФЗ-152 — закрепляет все случаи обработки персональных данных без согласия субъекта.
- Ст. 10, ч. 2 ФЗ-152 — устанавливает исключения для обработки специальных категорий данных без согласия (например, если данные субъект сделал общедоступными).
- Ст. 11 ФЗ-152 — биометрические данные обрабатываются в общем случае только с согласия, кроме случаев, установленных федеральным законом.
Практика Роскомнадзора
- Работодатель не получил согласия сотрудников на обработку паспортных данных для кадрового учёта. Роскомнадзор подтвердил, что согласие не требуется, так как обработка осуществляется в рамках Трудового кодекса.
- Интернет-магазин собирал телефоны клиентов для доставки заказов. Для этих целей согласие не нужно, но рассылка рекламы по этой базе без согласия признана нарушением.
Важный нюанс: пределы исключений
Отсутствие необходимости в согласии не означает «свободу действий». Например, если данные получены для договора, использовать их для маркетинга уже нельзя без согласия. Также даже для общедоступных данных нужно соблюдать принцип минимизации и законности.
Рекомендации и выводы
Организации должны чётко разделять ситуации: когда согласие обязательно, а когда нет. Чтобы исключить ошибки:
- Проанализируйте все цели обработки персональных данных в компании.
- Определите, где можно работать без согласия (трудовые отношения, налоговый учёт, договоры).
- Для всех иных целей разработайте формы согласий.
- Включите эти разграничения в пакет документов по 152-ФЗ (политику, положения, инструкции).
Компания ICTech поможет вашей организации провести аудит процессов обработки ПДн и подготовить полный пакет документов, в котором будут учтены все случаи, когда согласие нужно, а когда можно обойтись без него. Это обеспечит соответствие закону и снизит риски штрафов.
