Как только организация публикует персональные данные людей в открытом доступе — ФИО и фото сотрудников на сайте, отзывы с именами клиентов, списки участников, — включается особый режим: обработка персональных данных, разрешённых субъектом для распространения. Для неё нужно отдельное согласие, содержание которого задано приказом Роскомнадзора от 24.02.2021 №18 (вместе со статьёй 10.1 152-ФЗ). Разберём, что это и как оформить.
Что это за согласие
С 1 марта 2021 года (поправки 519-ФЗ) в 152-ФЗ появилась статья 10.1 об особенностях обработки данных, которые субъект разрешил распространять — то есть раскрывать неопределённому кругу лиц. Раньше для публикации данных хватало обычного согласия; теперь для распространения нужно отдельное согласие, оформленное именно под эту цель. Приказ №18 устанавливает требования к его содержанию.
Отдельное согласие и молчание не в счёт
Два ключевых правила статьи 10.1. Во-первых, согласие на распространение оформляется отдельно от иных согласий субъекта — его нельзя «зашить» в общее согласие или в договор. Во-вторых, молчание или бездействие субъекта ни при каких обстоятельствах не считается согласием на распространение: нельзя трактовать «не запретил — значит разрешил».
Что обязательно в содержании (приказ №18)
Согласие на распространение должно, в частности, содержать:
- фамилию, имя, отчество субъекта;
- контактную информацию (телефон, электронную почту или почтовый адрес);
- наименование или ФИО и адрес оператора, получающего согласие;
- цель (цели) обработки;
- категории и перечень персональных данных, на распространение которых даётся согласие;
- категории и перечень данных, для которых субъект устанавливает условия и запреты, а также сами эти условия и запреты;
- сведения об информационных ресурсах оператора (адрес сайта), через которые будет предоставляться доступ;
- срок действия согласия.
Субъект вправе разрешить распространение одних данных и запретить — других, а также установить условия (например, запрет на передачу данных или на их обработку неограниченным кругом лиц, кроме предоставления доступа). Такое согласие можно подать в том числе через информационную систему Роскомнадзора.
Обязанности оператора
Получив согласие, оператор обязан в срок не позднее трёх рабочих дней опубликовать сведения об условиях обработки и о наличии запретов и условий, установленных субъектом. Передавать такие данные другим лицам можно только в объёме и на условиях, которые субъект разрешил. Субъект в любой момент вправе потребовать прекратить распространение — и оператор обязан прекратить.
Что оформить
- Отдельную форму согласия на распространение с обязательным содержанием по приказу №18 — под конкретные цели (сайт, соцсети, справочники).
- Механизм фиксации запретов и условий субъекта и их публикации в срок.
- Порядок реакции на требование прекратить распространение.
Как это соотносится с другими видами согласий — в статье «Согласие на обработку персональных данных».
Типичные ошибки
- Публикуют данные по обычному согласию. Размещают ФИО и фото в открытом доступе без отдельного согласия на распространение.
- «Молчание — согласие». Считают, что раз субъект не возражал, распространение разрешено.
- Игнорируют запреты субъекта. Не публикуют и не соблюдают установленные субъектом условия и запреты.
Главное
Если организация раскрывает персональные данные неограниченному кругу лиц (сайт, соцсети, списки), нужно отдельное согласие на распространение по статье 10.1 152-ФЗ, содержание которого задаёт приказ Роскомнадзора №18: цели, перечень данных, условия и запреты субъекта, ресурсы и срок. Молчание согласием не считается, а установленные субъектом запреты обязательны для оператора. ГрамотаИБ помогает подготовить корректные формы согласий под ваши цели обработки — попробовать можно в сервисе.