Согласие на распространение персональных данных: приказ Роскомнадзора №18

Как только организация публикует персональные данные людей в открытом доступе — ФИО и фото сотрудников на сайте, отзывы с именами клиентов, списки участников, — включается особый режим: обработка персональных данных, разрешённых субъектом для распространения. Для неё нужно отдельное согласие, содержание которого задано приказом Роскомнадзора от 24.02.2021 №18 (вместе со статьёй 10.1 152-ФЗ). Разберём, что это и как оформить.

Что это за согласие

С 1 марта 2021 года (поправки 519-ФЗ) в 152-ФЗ появилась статья 10.1 об особенностях обработки данных, которые субъект разрешил распространять — то есть раскрывать неопределённому кругу лиц. Раньше для публикации данных хватало обычного согласия; теперь для распространения нужно отдельное согласие, оформленное именно под эту цель. Приказ №18 устанавливает требования к его содержанию.

Отдельное согласие и молчание не в счёт

Два ключевых правила статьи 10.1. Во-первых, согласие на распространение оформляется отдельно от иных согласий субъекта — его нельзя «зашить» в общее согласие или в договор. Во-вторых, молчание или бездействие субъекта ни при каких обстоятельствах не считается согласием на распространение: нельзя трактовать «не запретил — значит разрешил».

Что обязательно в содержании (приказ №18)

Согласие на распространение должно, в частности, содержать:

• фамилию, имя, отчество субъекта;
• контактную информацию (телефон, электронную почту или почтовый адрес);
• наименование или ФИО и адрес оператора, получающего согласие;
• цель (цели) обработки;
• категории и перечень персональных данных, на распространение которых даётся согласие;
• категории и перечень данных, для которых субъект устанавливает условия и запреты, а также сами эти условия и запреты;
• сведения об информационных ресурсах оператора (адрес сайта), через которые будет предоставляться доступ;
• срок действия согласия.

Субъект вправе разрешить распространение одних данных и запретить — других, а также установить условия (например, запрет на передачу данных или на их обработку неограниченным кругом лиц, кроме предоставления доступа). Такое согласие можно подать в том числе через информационную систему Роскомнадзора.

Обязанности оператора

Получив согласие, оператор обязан в срок не позднее трёх рабочих дней опубликовать сведения об условиях обработки и о наличии запретов и условий, установленных субъектом. Передавать такие данные другим лицам можно только в объёме и на условиях, которые субъект разрешил. Субъект в любой момент вправе потребовать прекратить распространение — и оператор обязан прекратить.

Что оформить

• Отдельную форму согласия на распространение с обязательным содержанием по приказу №18 — под конкретные цели (сайт, соцсети, справочники).
• Механизм фиксации запретов и условий субъекта и их публикации в срок.
• Порядок реакции на требование прекратить распространение.

Как это соотносится с другими видами согласий — в статье «Согласие на обработку персональных данных».

Типичные ошибки

• Публикуют данные по обычному согласию. Размещают ФИО и фото в открытом доступе без отдельного согласия на распространение.
• «Молчание — согласие». Считают, что раз субъект не возражал, распространение разрешено.
• Игнорируют запреты субъекта. Не публикуют и не соблюдают установленные субъектом условия и запреты.

Главное

Если организация раскрывает персональные данные неограниченному кругу лиц (сайт, соцсети, списки), нужно отдельное согласие на распространение по статье 10.1 152-ФЗ, содержание которого задаёт приказ Роскомнадзора №18: цели, перечень данных, условия и запреты субъекта, ресурсы и срок. Молчание согласием не считается, а установленные субъектом запреты обязательны для оператора. ГрамотаИБ помогает подготовить корректные формы согласий под ваши цели обработки — попробовать можно в сервисе.