Немного моей боли в части персональных данных. Что такое персональные данные? Никто толком сказать не может. В законе дана размытая формулировка, которая говорит, что ЛЮБАЯ информация, которая относится прямо или КОСВЕННО к физическому лицу (п.п. 1, п. 1, ст. 3 Закона «О персональных данных», далее - закон). Поэтому разброс что может относиться к персональным данным большой.

Обработка перс.данных-это совершение любых действий с данными (п.3, ст.3 Закона). Для обработки таких данных нужны основания. В законе перечислено 10 (!) оснований для обработки персональных данных (п.1, ст.6). НЕ ТОЛЬКО СОГЛАСИЕ.

Но многие пользуются согласием, как единственным основанием обработки данных.

🔔Каким критерием должно соответствовать согласие: ✅ согласие даётся человеком СВОБОДНО, по своей воле и В СВОЁМ интересе (п. 1, ст. 9 Закона) То есть, я (как физлицо) имею право В МОМЕНТ дачи согласия не давать своё согласие на определенные операции со своими данными, ограничить перечень данных, которые предоставляю, ограничить срок предоставления своего согласия, изменить или ограничить цели обработки, для которых я даю согласие. На практике, когда я пыталась в банке изменить согласие в момент подписания документа, мне заблокировали счет почти на месяц вынуждая подписать то согласие, которое мне предоставили. Заявляя, что я должна подписать согласие в том виде, в котором есть. А потом отозвать его. Но (!) я не хочу давать такое согласие здесь и сейчас. Это моё право, как субъекта персональных данных. А обязанность организации такую возможность предоставить (отказаться от чего-либо или изменить в момент подписания согласия). ✅ согласие должно быть КОНКРЕТНЫМ, ПРЕДМЕТНЫМ и ОДНОЗНАЧНЫМ (п.1 ст. 9 Закона). То есть формулировки «в целях исполнения постановления Правительства» являются недопустимыми. Потому что нет конкретики и чёткости. Кого? что? Постановление Правительства обвязывает исполнять? Как это относится к собираемым данным? Какое отношение обработка данного физлица будет иметь к обязательствам компании по Постановлению Правительства?- не понятно Если есть требование закона, то согласие не требуется (смотри ст. 6 Закона). ✅ цель должна быть достижимой. Так как при достижении цели обработки персональных данных должны быть удалены (п. 2,п.7 ст. 5 Закона); ✅ перечень перс.данных не должен быть ИЗБЫТОЧНЫМ по отношению к ЦЕЛИ (п. 5, ст. 5 Закона). То есть нельзя в согласии указывать больше данных, чем это реально необходимо. Часто я, как юрист согласовывающий согласия, проходилась по каждому критерию перс.данных уточняя у коллег как именно они будут использовать эти данные. И иногда собирали «на всякий случай».

Если согласие составлено с нарушением закона, то предусмотрена ответственность до 700 000 руб. для юридических лиц (ст. п.1,2 ст. 13.11 КоАП РФ) и в статье не указано за факт сбора или за каждое согласие. То есть, если компания собрала 1000 согласий, то умножаем на 700’000 штраф за каждое согласие и получаем общую сумму штрафа.

Вывод: компаниям стоит внимательно относиться к целям обработки перс.данных, перечню данных и исходя из этого определять на каком основании будут данные обрабатываться. А также стоит определить, как будут соблюдаться принципы получения согласия.

На данном этапе государству важно чтобы компании задумались и начали выстраивать процессы по обработке персональных данных. Пока РКН не особо реагируют, если согласие составлено с нарушением. Думаю, это следующий уровень. Я иногда обращаюсь в РКН с жалобой на то или иное согласие как физлицо, что бы прощупать почву и понять что говорить руководству относительно таких жалоб от Клиентов или пользователей. И как правило РКН всячески снимает с себя ответственность.