Вопрос о необходимости получения согласия на обработку персональных данных (ПДн) при обращении граждан в государственные и частные организации остаётся актуальным в свете действующего законодательства и практики регулирующих органов․ Ниже рассмотрены основные положения Федерального закона № 152‑ФЗ «О персональных данных», практические рекомендации по оформлению согласия, а также альтернативные механизмы, предлагаемые регуляторами․

Когда согласие обязательно

Согласно ст․ 6 ФЗ‑152, обработка ПДн допускается только при наличии одного из законных оснований․ Согласие субъекта данных является таким основанием в следующих случаях:

• Обработка данных, не связанных с исполнением обязательств по договору, либо не предусмотренных законодательством как необходимые для выполнения государственных или муниципальных функций․
• Использование данных в маркетинговых целях, включая рассылку рекламных предложений, проведение опросов и анализ поведения пользователей․
• Передача персональных данных третьим лицам, если иное не предусмотрено законом (например, при оказании услуг по поручению субъекта данных)․

В этих ситуациях отсутствие согласия делает обработку unlawful и может повлечь административную ответственность․

Когда согласие не требуется

Закон предусматривает ряд исключений, при которых обработка ПДн возможна без получения явного согласия:

1. Исполнение обязательств по договору, стороной которого является субъект данных (например, оказание банковских услуг по кредитному договору)․
2. Выполнение обязанностей, возложенных на оператора законодательством РФ (налоговый учёт, судебное исполнение, обеспечение государственной безопасности и др․)․
3. Защита жизни и здоровья субъекта данных или иных лиц в экстренных ситуациях․
4. Обработка данных, которые уже сделаны публично субъектом данных самим (например, публикация в открытых источниках)․
5. Статистические или научные исследования, если данные обезличены и не позволяют идентифицировать личность․

В этих случаях оператор должен nevertheless обеспечить соблюдение принципов законности, справедливости и прозрачности обработки, а также предоставить субъекту данных информацию о целях и способах обработки․

Оформление согласия: лучшие практики

Если согласие требуется, его оформление должно соответствовать требованиям ст․ 9 ФЗ‑152:

• Согласие должно быть добровольным, информированным и конкретным․
• Текст согласия содержит:
• наименование оператора;
• цели обработки ПДн;
• перечень обрабатываемых данных;
• способы и сроки обработки;
• права субъекта данных (доступ, исправление, withdrawal согласия и т․д․);
• контактные данные оператора для обращений․
• Согласие может быть дано в письменной форме (включая электронный документ с усиленной квалифицированной подписью) либо в виде электронного подтверждения (например, галочка «Я согласен» на веб‑форме)․
• Оператор обязан вести учёт полученных согласий и обеспечивать возможность их отзыва в любой момент․

Альтернативные механизмы: отраслевые стандарты и платформа управления согласиями

В последние годы регуляторы отмечают рост количества согласий, что приводит к «согласительной усталости» у граждан․ В связи с этим:

• Роскомнадзор предлагает заменить массовые индивидуальные согласия отраслевыми стандартами, которые устанавливают единые правила обработки ПДн для конкретных секторов (банковское дело, телеком, здравоохранение и т․д․)․
• Министерство цифрового развития работает над созданием на портале «Госуслуги» платформы управления согласиями, где граждане смогут централизованно предоставлять, просматривать и отзывать согласия на обработку их данных различными операторами․
• Некоторые крупные компании уже пилотно тестируют системы «consent‑as‑a‑service», интегрированные с их CRM и позволяющие автоматически фиксировать факт предоставления согласия и его срок действия․

Эти инициативы направлены на снижение административной нагрузки на операторов и повышение прозрачности обработки данных для субъектов․

Практические рекомендации для организаций

1. Провести аудит всех процессов обработки ПДн и определить, какие из них требуют согласия, а какие могут основываться на иных законных основаниях․
2. Разработать шаблоны согласий, соответствующие требованиям закона, и обеспечить их доступность на сайтах и в мобильных приложениях․
3. Внедрить систему учёта и отзыва согласий (например, журнал согласий или специализированное ПО)․
4. Обучить сотрудников правилам работы с персональными данными и процедурам получения и отзыва согласий․
5. Следить за обновлениями регулятивной практики (постановления Роскомнадзора, рекомендации Минцифры) и своевременно корректировать внутренние документы․

Согласие на обработку персональных данных необходимо не во всех случаях․ Оно обязательно, когда иное законное основание отсутствует (маркетинг, передача данных третьим лицам без договора и т․п․)․ В ситуациях, связанных с исполнением договора, выполнением законодательных обязанностей или защитой жизненно важных интересов, обработка может осуществляться без согласия, при условии соблюдения принципов законности и прозрачности․ Учитывая текущие тенденции регуляторов к упрощению получения согласий через отраслевые стандарты и централизованные платформы, организациям рекомендуется гибко комбинировать традиционные формы согласия с новыми механизмами, обеспечивая при этом защиту прав субъектов данных и минимизацию правовых рисков․