Согласие больше не спасает: теперь Роскомнадзор смотрит на цели и основания обработки персональных данных

Долгое время согласие на обработку персональных данных воспринималось бизнесом как один из самых понятных способов подтвердить правомерность обработки: субъект сам разрешил использовать свои данные — значит, риск для оператора минимален. Сейчас эта логика меняется.

Роскомнадзор всё больше оценивает не сам факт наличия согласия, а зачем оператор обрабатывает персональные данные и на каком правовом основании он это делает. Поэтому возникает непривычная с правовой точки зрения ситуация: человек действительно дал согласие, документ оформлен, но этого всё равно может оказаться недостаточно. Если сама цель обработки определена неправильно или компания фактически не установила надлежащее правовое основание, согласие не делает такую обработку правомерной. Более того, если по множеству целей в качестве основания указано только согласие, это может стать маркером риска для оператора. 

То есть подход становится ещё больше ориентирован на защиту персональных данных субъекта: проверяется уже не только то, разрешил ли человек обработку, но и то, имела ли компания право обрабатывать эти данные именно для такой цели.

В этой статье рассказываем, как перевернулась логика Роскомнадзора в части оценки правомерности обработки персональных данных и почему компаниям стоит заново проверить свои цели, основания и согласия.

Сначала цель и правовое основание — и только потом согласие

Само по себе согласие не является универсальным основанием, которое автоматически делает обработку персональных данных правомерной. Сначала у оператора должна быть законная цель обработки, а затем необходимо определить правовое основание, на котором данные могут обрабатываться для этой цели.

При этом правовое основание не обязательно должно сводиться к согласию субъекта. Оно может вытекать из договорных отношений, уставной деятельности и других обстоятельств. В отдельных случаях согласие действительно необходимо, но оно не заменяет определение самой цели и основания обработки. 

Именно поэтому сейчас стоит особенно внимательно посмотреть на сведения, которые компания уже указала в реестре операторов. Если по множеству целей единственным основанием обработки выступает согласие, это может стать для Роскомнадзора маркером того, что деятельность оператора стоит проверить. 

Риск возникает и в тех случаях, когда цели сформулированы слишком широко. Недостаточно отдельно перечислить условные 20 целей, 20 категорий субъектов и 20 оснований обработки. Для каждой конкретной цели необходимо определить, чьи данные обрабатываются и на каком основании компания имеет право это делать. 

Избыточные согласия могут создать проблему самому оператору

На практике компании нередко действуют по принципу: если есть сомнения, безопаснее взять согласие. В результате согласия начинают собирать даже в тех процессах, где обработку можно было бы выстроить на другом правовом основании.

Но таким образом оператор может сам поставить себя в зависимость от субъекта персональных данных.

Если компания определила согласие как основание конкретной обработки, субъект вправе его отозвать. И тогда возникает следующий вопрос: на каком основании продолжать обработку, если другое правовое основание для этого процесса заранее не было определено?

BLS рекомендует сначала разбирать сам бизнес-процесс: для чего компания получает данные, имеет ли она право их обрабатывать и где это право закреплено. По некоторым целям правовое основание очевидно, но в реальном бизнесе процессов много, они различаются, и правильно определить основания обработки по каждому из них значительно сложнее. 

Есть и ещё одна проблема. Письменное согласие нельзя просто оформить одним универсальным документом «на всё»: для разных целей обработки требуются отдельные согласия. Поэтому чем больше процессов компания без необходимости переводит на согласия, тем сложнее становится их администрирование. 

Когда согласие начинает тормозить обычный бизнес-процесс

Особенно хорошо проблема видна на взаимодействии с контрагентами.

Практически любая компания в ходе работы передаёт контрагентам персональные данные своих представителей или сотрудников. Например, данные менеджера могут потребоваться для участия в закупке или для выполнения других процедур со стороны клиента.

Возникает вопрос: нужно ли каждый раз получать согласие такого работника на передачу его персональных данных контрагенту?

Ответ зависит в том числе от того, как внутри компании оформлены трудовые обязанности и сам процесс взаимодействия с контрагентами. Если необходимость такой передачи никак не закреплена в трудовом договоре, должностной инструкции или других документах, компания может оказаться в ситуации, когда бизнес-процесс фактически зависит только от согласия сотрудника. 

Тогда возникает замкнутый круг: передача данных необходима работнику для выполнения обязанностей, но правовое основание для неё заранее не выстроено. Если сотрудник откажется дать согласие или впоследствии его отзовёт, обычный рабочий процесс может оказаться под вопросом.

Правильно определённые правовые основания и соответствующее оформление внутренних документов позволяют избежать такой зависимости и выстроить обработку персональных данных так, чтобы она не мешала бизнесу работать. 

Что стоит проверить в согласиях и целях обработки

BLS рекомендует начать с инвентаризации действующих целей обработки и посмотреть, какие основания компания использует по каждой из них. Это позволяет выявить наиболее очевидные риски ещё до того, как они станут предметом внимания Роскомнадзора. 

В первую очередь стоит проверить:

• насколько конкретно сформулирована каждая цель обработки персональных данных и является ли она законной;
• определены ли отдельно для каждой цели категории субъектов и правовые основания обработки;
• где компания использует согласие как единственное основание и действительно ли оно необходимо;
• не поставлены ли бизнес-процессы в зависимость от согласия, которое субъект вправе впоследствии отозвать;
• соответствуют ли заявленные цели и основания реальным процессам компании и сведениям, которые оператор уже указал в реестре.

Особенно важно не рассматривать согласия изолированно. Иногда для устранения риска недостаточно переписать сам документ: необходимо проверить договорные отношения, трудовые обязанности сотрудников, локальные нормативные акты и другие документы, из которых может вытекать правовое основание обработки.

Почему аудит согласий нужно провести сейчас

Подход Роскомнадзора к оценке операторов становится более детальным. Наличие большого количества согласий больше не выглядит само по себе признаком безопасной системы: 

• основание «согласие» по множеству целей может стать маркером риска
• слишком общие цели вызывают дополнительные вопросы
• сведения оператора могут сопоставляться с его реальными процессами и публичной информацией. 

Кроме того, контроль может начаться и после обращения самого субъекта персональных данных — для реакции Роскомнадзора достаточно одной жалобы.  

Провести такую проверку только формально, перечитав тексты согласий, недостаточно. Правовое основание нужно определять применительно к конкретной цели и реальному бизнес-процессу, а в ряде случаев для этого приходится анализировать договоры, трудовые документы и внутренние процессы компании. Именно поэтому для аудита необходим юрист, который специализируется на персональных данных и может оценить систему целиком.

Хотите, чтобы юрист BLS проверил ваши согласия на обработку персональных данных, цели и правовые основания? Оставляйте заявку по ссылке — мы проведём аудит и покажем, где действующая система создаёт риск для компании.