Журнал учёта полученных согласий на обработку персональных данных
Форма учёта того, кто, когда и на что дал согласие: субъект, дата, цель обработки, способ получения, срок действия и отметка об отзыве.
Зачем нужен документ
Согласие собирают один раз, а нужным оно становится потом — обычно через годы, когда человек заявляет в жалобе, что ничего не подписывал и рассылку не заказывал. В этот момент выясняется главное свойство конструкции: по закону доказывать факт согласия обязан оператор, а не субъект — опровергать.
Отсюда следует неочевидное: согласие, которое нельзя найти и предъявить, юридически равно отсутствующему. Стопка подписанных бумаг в шкафу без реестра — не доказательство, а надежда, что нужный лист найдётся быстро.
Журнал решает три задачи разом: показывает, что согласие было, фиксирует, на что именно человек соглашался, и отмечает момент отзыва. Третье не менее важно, чем первое: обработка, продолжающаяся после отзыва, — самостоятельное нарушение, и обнаруживается оно ровно там, где отзыв никто не отметил.
Чем грозит отсутствие
Отсутствие журнала само по себе не наказывается. Наказывается то, что вскрывается при жалобе: обработка, для которой оператор не может показать законное основание.
Как ещё называют этот документ
Что должно быть в документе
Критерий полноты один: по строке журнала можно восстановить, на что именно человек согласился, и подтвердить это документом или записью системы.
Требования законодательства
Как связан с другими документами
Журнал стоит в основании всей обработки: он отвечает за законность, тогда как остальные документы — за безопасность.
Когда обновлять документ
Журнал ведётся непрерывно, а пересматривают его тогда, когда меняется то, на что люди соглашаются.
Что спросит проверяющий
Проверка почти всегда идёт от жалобы конкретного человека и сводится к одному требованию: покажите основание обработки именно его данных.
Разбор эксперта
Про согласия чаще всего думают как про формальность на входе: подписали — и забыли. Между тем это единственный документ комплекта, который приходится предъявлять поимённо и через годы после подписания. Когда человек жалуется, что ему приходит реклама, вопрос звучит не «есть ли у вас порядок сбора согласий», а «покажите согласие Ивановой Марии Петровны от такого-то года». И тут выясняется, что порядок был, а найти конкретный лист в коробке за позапрошлый год не выходит.
Отдельно про электронные согласия, потому что здесь ошибаются почти все. Галочка в форме — это действие, которое надо уметь восстановить: когда поставлена, с какого адреса, под каким текстом. Последнее забывают чаще всего. Формулировки на сайте правят регулярно, и если не хранить версию, к которой относится согласие, доказать объём согласия невозможно: человек соглашался на одно, а на странице сегодня написано другое. Мы советуем нумеровать редакции формы и ставить номер в журнал — это одна графа, а закрывает целый класс споров.
Третье — отзыв. В журнале нужны две даты: когда отзыв поступил и когда обработка фактически прекращена. Разрыв между ними и есть период нарушения, и выглядит он гораздо лучше, если составляет день, а не полгода. Заодно две даты дисциплинируют процесс: пока вторая графа пустая, задача считается незакрытой — ровно так же, как незакрытая графа смены пароля в журнале выдачи.
Ведите согласия и отзывы в одном журнале — связь между ними важнее удобства ведения. Обязательно фиксируйте версию текста согласия, особенно для сайта и приложения. Перечисляйте цели, а не пишите общую формулировку: согласие «на обработку персональных данных» без целей защищает хуже, чем кажется. Указывайте место хранения подтверждения, чтобы искать минуты, а не недели. И ставьте по отзыву две даты — поступления и фактического прекращения обработки.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Прямо он не назван. Но обязанность доказать наличие согласия лежит на операторе, а без реестра эта обязанность выполняется случайным образом.
Да, и хранить их отдельно от клиентских: у них разные цели, разные сроки и разная судьба при увольнении.
Записью с датой, временем, способом и версией текста плюс сохранением технического подтверждения действия пользователя.
Прекратить обработку, если нет иного законного основания, и отметить в журнале две даты: поступления отзыва и фактического прекращения.
Пока идёт обработка и далее в течение срока, когда возможен спор. Уничтожать согласие раньше данных нельзя: останется обработка без подтверждённого основания.
Можно и удобнее: поиск по субъекту занимает секунды. Важно, чтобы записи не правились задним числом и сохранялась версия текста согласия.
Для новых субъектов — да, они соглашаются с новой редакцией. Ранее данные согласия действуют в своей редакции, если цели не расширились.
Только если такая передача в нём названа. Общая формулировка про «третьих лиц» без указания, кому и зачем, обычно толкуется не в пользу оператора.