Аудит согласий на обработку персональных данных
Определим, где использование согласий избыточно и порождает дополнительные риски, оценим процесс сбора, соответствие требованиям 152-ФЗ и настроим порядок работы с отзывами согласий
Согласие - не универсальное решение
С точки зрения техники исполнения, согласие — наиболее простое основание обработки персональных данных, но с точки зрения организации процесса создаются дополнительные риски.
Согласие является одним из оснований обработки персональных данных и равноценным по отношению к другим из ст. 6 152‑ФЗ. В ряде случаев оно не подходит, так как противоречит сути отношений между оператором и субъектом персональных данных либо специфике бизнес‑процесса.
Более того, внедрение согласия всегда требует выстраивания процессов работы с отзывами и требованиями субъектов, регламентации действий по завершении срока действия согласия и уничтожению персональных данных либо реактивации согласия.
Поэтому всегда необходимо проверять возможность использования других оснований обработки и отказываться от лишних согласий.
Подробнее о том, когда согласие обязательно по закону и как его оформлять, читайте в нашем руководстве по использованию согласия на обработку персональных данных.
Какие проблемы могут возникнуть при работе с согласиями?
Риск штрафов
Даже если согласие составлено идеально по пунктам, предусмотренным в законе, оно всё равно может быть признано незаконным. Это происходит, если оно дается на неправомерную цель или на бизнес-процесс с нарушениями (следствие ст. 5 ФЗ-152). В этом случае компания может быть привлечена к ответственности по ч. 1 ст. 13.11 КоАП РФ, несмотря на то что формально согласие есть.
Отзыв согласия может “сломать” бизнес-процесс
Бизнес-процессы, основанные на согласиях, очень хрупкие. У субъекта персональных данных есть право отозвать свое согласие на обработку персональных данных в любое время (ч.2 ст.9 ФЗ-152). В таком случае продолжение обработки допускается только при наличии других правовых оснований обработки.
Операционная нагрузка
Помимо отзыва согласия субъект может направить требование о прекращении обработки персональных данных. Чаще всего эти требования подлежат безусловному исполнению. В этом случае вам нужно будет вести систему управления отзывами согласий и требованиями субъекта персональных данных.
Риск раскрытия данных третьему лицу
Согласия, по которым не ведется идентификация субъектов ПД - источник потенциальных нарушений. В случае, если компания отвечает на отзыв согласия или требование субъекта персональных данных, при ненадлежащей идентификации в процессе сбора согласия присутствует риск передачи персональных данных неустановленному лицу: в реальности за человека обратился злоумышленник. Такие действия могут также рассматриваться как утечка персональных данных, которое будет требовать уведомления Роскомнадзора.
Риск необоснованного прекращения обработки ПД
Если за субъекта персональных данных обратилось другое лицо и компания не смогла это выявить, то могут быть нарушены права субъекта, связанные с необоснованным прекращением обработки данных, а компания будет нести убытки, например, в связи с потерей потенциальных клиентов.
Согласие не на то лицо
Согласие на обработку персональных данных необходимо брать на лицо, являющееся оператором персональных данных. Это правило может распространяться на случаи, когда сбором ПД занимается контрагент оператора персональных данных. Неправильная квалификация оператора персональных данных в отношениях сторон является эквивалентным отсутствию согласия.
Когда нужен аудит согласий?
Передаете персональные данные третьим лицам
Согласие требует указания лиц, осуществляющих обработку по поручению оператора, либо содержит информацию о передаче неограниченному кругу лиц. Неопределенность в третьих лицах создаёт серьёзные риски. Необходимо исследовать бизнес‑процесс, описать его и конкретизировать цепочки передачи данных.
Не проверены альтернативные правовые основания
Было введено согласие, но не проверены иные основания (например, пользовательское соглашение, законный интерес, исполнение договора). В этом случае требуется обратить внимание на весь бизнес‑процесс и посмотреть, в каких случаях можно полностью или частично убрать согласие, сделав обработку законной без него.
Используются типовые шаблоны из интернета
Большинство документов в интернете не отвечают реальным процессам компании. Необходимо пересмотреть бизнес‑процесс и уточнить, соблюдены ли общие требования и подходит ли форма согласия именно для вашей специфики.
Не настроен процесс отзыва согласия
Бизнес‑процессы, основанные на согласиях, очень хрупкие. У субъекта есть право отозвать согласие в любое время (ч. 2 ст. 9 152-ФЗ) или направить требование о прекращении обработки. Если компания не знает, что делать с отзывом (например, кандидат отозвал согласие на передачу третьим лицам, но не против рассмотрения резюме), процесс встанет или пойдёт с нарушением закона.
Документ не соответствует требованиям 152-ФЗ
Вы не можете однозначно подтвердить, что согласие является конкретным, предметным, информированным, сознательным и однозначным. Отсутствие хотя бы одного из этих критериев делает обработку нелегитимной.
Согласие не отвечает интересам субъекта
Вы не можете гарантировать, что согласие даётся в собственных интересах субъекта. Например, контрагент запрашивает согласие у бухгалтера на передачу данных, но при проверке выявляется конфликт интересов. В этом случае собственного интереса у бухгалтера нет - согласие недействительно.
Как проходит работа
Исследование бизнес-процессов, в которых используются согласия
Сопоставим процессы компании с основаниями обработки и определим, где согласие может быть не нужно или нецелесообразно. Определим необходимость и риски использования согласия в конкретном потоке обработки персональных данных, предложим и обсудим другие, более безопасные основания обработки.
Выявление целей и состава данных
Выявим реальные цели обработки и перечень задействованных данных. Составим или внесем изменения в реестр процессов обработки персональных данных при необходимости.
Выявление случаев передачи данных третьим лицам
Разберем цепочку лиц, обрабатывающих данные по поручению оператора. Проверим, учтена ли передача в согласиях и договорах. Составим план внесения изменений в договоры с обработчиками при необходимости.
Организация работы с отзывами и порядка прекращения обработки
Внесем изменения в инструкции по работе с обращениями и локальные нормативные акты. Поможем выстроить систему управления отзывами согласий и требованиями субъектов.
Корректировка текста согласий
Проверим, достаточно ли ясно описаны обработка и её участники, а также отражены ли все предусмотренные законом требования к форме и содержанию согласия, возможна ли идентификация обратившегося лица.
Автоматизация
Поможем внедрить согласие в системы кадрового электронного документооборота или другие системы, которые используются компанией для автоматизации подписания документов .
Обучение персонала
Проведём необходимые тренинги по работе с согласиями, чтобы снимать возражения при подписании.
Результат аудита согласий
Итоги работы зависят от поставленных целей
Правовое заключение по текущим рискам.
Обновленные тексты согласий (для сайта, бумажных носителей, ЭДО).
Шаблоны и конкретные дополнения в договоры с контрагентами (обработчиками).
Обновленные локальные нормативные акты (ЛНА) и инструкции для персонала.
Дорожная карта — конкретизированный план действий по устранению нарушений и внедрению безопасных процессов.
Сделаем работу с согласиями корректной и безопасной
Вопросы и ответы
Какие документы и сведения нужны для проверки?
Для качественного аудита нам потребуется предоставить текущие версии документов и описание процессов. Если каких-то документов нет, мы проведем опросы. Обычно это: действующие шаблоны согласий на обработку ПДн (бумажные и электронные), политика в отношении обработки персональных данных (если есть), реестр процессов обработки персональных данных (или описание бизнес-процессов: HR, маркетинг, продажи и тд.), типовые договоры с контрагентами, которые обрабатывают данные по вашему поручению (CRM-системы, службы доставки), локальные нормативные акты, регламентирующие работу с ПДн и обращениями субъектов. Если каких-то документов нет или они не систематизированы, мы можем их собрать и описать процессы в рамках услуги Аудит по персональным данным.
Сколько стоит проверка согласий и от чего зависит цена?
Стоимость зависит от цели оказания услуги: это может быть разовая консультация, проверка конкретного шаблона или комплексные действия по внедрению в бизнес-процессы компании порядка работы с согласиями. Точную смету мы формируем после брифинга.
Сколько времени занимает проверка?
Трудозатраты по работе с согласиями начинаются от 2 часов и могут достигать 50+ часов работы на протяжении нескольких месяцев (комплексный аудит, интервью, составление недостающих документов, внедрение и обучение).
Проверяете ли вы согласия для сайта и электронных форм?
Да, мы проводим юридический аудит цифровых точек сбора данных: проверяем, есть ли необходимые оговорки и "галочки", видна ли ссылка на полный текст согласия, настроено ли логирование факта получения согласия (IP, время, версия документа), а также реализован ли на сайте понятный и работающий механизм отзыва согласий (например, через личный кабинет или специальную форму).
Можно ли одно согласие использовать для обработки данных для нескольких целей?
Если согласие не требует обязательной письменной формы, то это возможно. При этом необходимо оценивать другие требования к согласию, например, предметность. Для обязательных письменных согласий это невозможно, так как в ч. 4 ст. 9 152-ФЗ согласие указано в единственном числе.
Объединение целей может повлечь сложности в операционных процессах, даже если получится законно объединить цели.
Во многих случаях достаточно просто укрупнить цели, поработав с реестром обработки персональных данных.
Можно ли брать одно согласие на несколько операторов?
Не рекомендуем такой подход. Сооператорство в российском праве не предусмотрено. Для независимых операторов практичнее иметь собственное основание и согласие на передачу, если данные передаются другому оператору. Одно согласие на нескольких операторов допустимо только при явном указании каждого из них, но за этим будет стоять снижение операционной эффективности, связанной с управлением согласиями.
