Согласие на обработку специальных категорий персональных данных
Отдельный документ, которым человек письменно разрешает обработку сведений о своём здоровье, убеждениях или происхождении — данных, обрабатывать которые закон по общему правилу запрещает.
Зачем нужен документ
Со специальными категориями закон работает не так, как со всеми остальными данными, и это стоит понять раньше, чем открывать бланк. Обычные персональные данные обрабатывать можно — нужно лишь одно из оснований: договор, требование закона, согласие. Специальные категории обрабатывать нельзя. Часть первая статьи 10 начинается с запрета, и уже из него закон делает несколько узких исключений.
К специальным категориям отнесены сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни. Перечень исключений, при которых запрет снимается, закрыт: расширять его по аналогии нельзя, даже если ситуация выглядит разумной и понятной. Письменное согласие субъекта — первый пункт этого перечня.
Отсюда назначение документа. Он не «подстраховывает» обработку и не добавляет вежливости к тому, что и так разрешено. Он единственный переводит конкретную обработку из запрещённой в допустимую — в тех случаях, когда другого основания у организации нет.
Чем грозит отсутствие
Обработка спецкатегорий без письменного согласия, когда другого основания нет, — это не «нарушение формальности», а обработка при действующем запрете. Наказывается она по той же норме, что и любая обработка без обязательного письменного согласия.
Повторное нарушение по части 2.1 той же статьи — от 15 до 30 тысяч для граждан, от 300 до 500 тысяч для должностных лиц, от 500 тысяч до миллиона для индивидуальных предпринимателей и от одного до полутора миллионов для юридических лиц.
Как ещё называют этот документ
Что должно быть в документе
Состав сведений задан частью 4 статьи 9 152-ФЗ, и он одинаков для любого письменного согласия. Специфика спецкатегорий не в дополнительных полях, а в том, что общие формулировки здесь не проходят: предмет должен быть назван словами, которые человек поймёт без юриста.
Требования законодательства
Как связан с другими документами
Согласие на спецкатегории — не отдельно стоящая бумага, а последнее звено: сначала организация признаёт, что обрабатывает такие данные, потом описывает это в политике, и лишь затем берёт согласие там, где без него нельзя.
Когда обновлять документ
Форму пересматривают не по календарю, а тогда, когда меняется предмет: состав сведений, круг людей или цель, ради которой их собирают.
Что спросит проверяющий
Разговор о спецкатегориях начинается не с бланка, а с вопроса, обрабатываете ли вы их вообще. Ответ «нет» проверяется по первым же кадровым документам.
Разбор эксперта
Самая частая ошибка в этой теме — не отсутствие согласия, а лишнее согласие. Логика оператора понятна: данные чувствительные, штрафы выросли, возьмём бумагу на всякий случай, хуже не будет. Хуже будет. Подписав согласие там, где обработка и без него законна, организация меняет её основание своими руками: было требование закона, стала воля человека. А волю можно отозвать в любой день и без объяснения причин.
Дальше начинается самое неприятное. Работник отзывает согласие — то самое общее, куда при оформлении сгребли и паспортные данные, и сведения о здоровье. Оператор обязан прекратить обработку. Но результаты обязательного медосмотра он обязан хранить и предъявлять по совсем другим правилам, и прекратить их обработку не может. Организация оказывается между двумя обязанностями, и загнало её туда не законодательство, а собственная перестраховка. Разводится это просто: обработка по требованию закона живёт отдельно от обработки по согласию, и в согласие попадает только то, что действительно держится на воле человека — добровольное страхование, корпоративная медицина, программы поддержки.
И о том, как эта форма выглядит. Мы всегда советуем называть предмет человеческими словами. «Сведения о состоянии здоровья, а именно результаты обязательного медицинского осмотра» — это согласие. «Иные персональные данные, необходимые для целей уставной деятельности» — это не согласие, а его имитация, и именно по составу сведений мы чаще всего и видим претензии в актах. Проверьте свои бланки по одному признаку: может ли человек, прочитав бумагу, назвать вслух, какие сведения о себе он разрешил обрабатывать и зачем. Если не может — документ не выполнит своей единственной задачи, ради которой существует: снять запрет.
Сначала честно ответьте, обрабатываете ли вы спецкатегории: у подавляющего большинства работодателей ответ утвердительный, потому что больничные и медосмотры есть у всех. Затем для каждого процесса найдите основание — согласие или прямое исключение из части 2 статьи 10 — и не берите согласие там, где работает закон. Спецкатегории выносите в отдельную форму, а не строкой в общее согласие. Предмет называйте прямо, срок привязывайте к цели, порядок отзыва пишите с конкретным адресом. И держите согласия так, чтобы их можно было предъявить: доказывает наличие согласия оператор, а не проверяющий.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни. Перечень закрытый.
Почти всегда. Больничные листы, направления и результаты обязательных медосмотров, справки об инвалидности — это сведения о состоянии здоровья.
Нет. Согласие — одно из исключений из запрета. Если обработка подпадает под другое исключение части 2 статьи 10, согласие не требуется, и брать его без нужды не стоит.
Технически можно, практически вредно: отзыв такого согласия бьёт сразу по всем процессам, включая те, что обязательны по закону. Разумнее отдельная форма.
Для проверки это равно отсутствию согласия: часть 2 статьи 13.11 КоАП наказывает и за порок состава сведений — до 700 тысяч рублей для организации.
Согласием этот вопрос не решается. Такие сведения обрабатываются только в случаях, прямо установленных законом, — например, когда закон требует справку для конкретной должности.
Прекратить обработку, которая держалась только на согласии. Процессы, у которых есть другое основание, продолжаются — но это нужно уметь показать документами.
Ранее полученные согласия переоформлять не требуется, новое правило об отдельном документе применяется к тем, что оформляются после его вступления в силу. Но если форма менялась по существу, проще выдать новую.