Согласие на обработку персональных данных, разрешённых для распространения
Отдельный документ, которым человек разрешает раскрыть свои данные неограниченному кругу лиц — опубликовать на сайте, в соцсетях, в списке участников или в отзыве с именем.
Зачем нужен документ
Есть обработка «внутри» — когда данные лежат у оператора и видны только тем, кому положено. И есть раскрытие «наружу» — когда те же данные становятся доступны неограниченному кругу лиц. Второе закон вынес в отдельную статью 10.1 и обставил собственными правилами, потому что последствия здесь необратимы: опубликованное копируется и живёт дальше само.
Отсюда главная особенность документа, которую почти всегда упускают. Это согласие устроено не как разрешение, а как набор настроек. Оператор обязан дать человеку возможность определить перечень данных по каждой категории и установить запреты на передачу и условия обработки. Иными словами, форма должна давать выбор — а не предлагать подписать «согласен со всем».
И вторая особенность: по умолчанию здесь стоит «нет». Молчание или бездействие человека ни при каких обстоятельствах согласием не считаются. Ни предзаполненная галочка, ни «продолжая пользоваться сайтом», ни отсутствие возражений после публикации — ничто из этого не создаёт основания.
Чем грозит отсутствие
Публикация данных без отдельного согласия — обработка без основания, и наказывается она по той же норме, что и остальные пороки обязательного письменного согласия.
Отдельная неприятность этой темы в том, что нарушение видно всем и всегда. Опубликованная страница — это доказательство, доступное любому: и субъекту, который передумал, и конкуренту, и регулятору. Проверять по документам ничего не нужно, достаточно открыть сайт.
Как ещё называют этот документ
Что должно быть в документе
Требования к содержанию заданы приказом Роскомнадзора от 24 февраля 2021 года № 18 и самой статьёй 10.1. Ключевое отличие от прочих согласий — блок выбора, без которого форма недействительна по существу.
Требования законодательства
Как связан с другими документами
Публикация данных почти всегда идёт поверх обычной обработки, поэтому эта форма работает не вместо остальных согласий, а вместе с ними.
Когда обновлять документ
Форма живёт вместе с площадками: каждая новая точка публикации — это изменение предмета согласия, а не мелкая деталь.
Что спросит проверяющий
Эта тема проверяется быстрее всех остальных: проверяющий открывает ваш сайт и сверяет опубликованное с документами.
Разбор эксперта
Статью 10.1 писали от обратного по отношению ко всем остальным согласиям. Обычное согласие — это «да» с оговорками. Согласие на распространение — это «нет» с исключениями, которые человек отмечает сам. Отсюда и категоричность нормы про молчание: закон прямо говорит, что бездействие не считается согласием ни при каких обстоятельствах. Такая формулировка в нашем законодательстве встречается редко, и появилась она потому, что до 2021 года публикацию обосновывали именно молчанием — человек же не возражал.
Практический разбор мы всегда начинаем с сайта клиента, а не с папки документов. Открываем раздел «Наша команда» и считаем: фотографии, имена, должности, прямые телефоны, иногда личная почта. Дальше спрашиваем, на каком основании это опубликовано, и слышим про галочку в кадровом пакете. Так вот, галочка при приёме на работу — это не то согласие: закон требует оформлять распространение отдельным документом и давать человеку возможность выбрать, что именно раскрывается. Сотрудник вполне может согласиться на имя и должность, но не на фотографию и телефон, и это его право, а не каприз.
И о том, что дороже всего обходится, — об обратном ходе. Опубликованное не возвращается: страницу скопировали агрегаторы, фотографию забрал поисковый кэш, список участников разошёлся по каналам. Когда человек передумает — а он передумает, особенно после увольнения, — исполнять его требование придётся вам, и объём работы будет зависеть от того, насколько широко вы раскрыли данные. Поэтому наш совет простой: публикуйте минимум, необходимый для дела. Имя и должность решают девяносто процентов задач, ради которых на сайт выкладывают целые досье.
Сначала проведите ревизию публичного: сайт, соцсети, каналы, презентации, списки участников. По каждой находке ответьте, есть ли отдельное согласие на распространение. Форму делайте с настоящим выбором — перечень по категориям, запреты на передачу, условия обработки; форма без выбора недействительна по существу. Перечисляйте ресурсы поимённо и обновляйте список при появлении новых площадок. Никогда не собирайте это согласие молчанием: предзаполненные галочки — прямое нарушение нормы. Заведите порядок снятия данных с публичных страниц при увольнении и по требованию человека — и проверьте, что кто-то за него отвечает.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Как только данные становятся доступны неограниченному кругу лиц: публикация на сайте, в соцсетях, в открытом списке участников, отзыв с именем клиента.
Нет. Закон требует оформлять согласие на распространение отдельно от иных согласий субъекта.
Нет. Молчание или бездействие человека ни при каких обстоятельствах согласием не является — норма сформулирована именно так.
Возможность выбрать перечень данных по каждой категории, установить запреты на передачу и условия обработки, а также перечень ресурсов, где данные раскрываются.
Общедоступность — это обстоятельство, а не основание. Публикуя такие сведения у себя, распространяете их вы и отвечаете за это тоже вы.
Да, если людей можно узнать. Заодно стоит помнить, что у изображения гражданина есть и своя охрана по гражданскому законодательству.
Исполнить требование и снять данные со всех площадок, где они были раскрыты. Порядок такого снятия лучше описать заранее.
Да. Цель, ради которой данные публиковались, отпала, а согласие обычно давалось на период работы.