Законодательство определяет чёткие критерии, при которых допускается обработка персональных данных. Основные основания закреплены в Федеральном законе №152-ФЗ «О персональных данных» и соответствуют требованиям международных стандартов. Закон предусматривает, что обработка возможна только при наличии законного интереса или согласия субъекта данных.
Согласие субъекта персональных данных – наиболее распространённое основание. Оно должно быть информированным, конкретным и добровольным, оформленным в письменной или электронной форме. Отсутствие согласия без иных оснований исключает легальность обработки.
Исполнение договора также является правомерной причиной. Если персональные данные необходимы для заключения или исполнения договора, их обработка допускается без отдельного согласия при условии, что цели и объём обработки строго соответствуют договорным обязательствам.
Обработка по требованию закона или государственных органов проводится в рамках контроля и надзора, обеспечения безопасности и предотвращения правонарушений. В таких случаях согласие субъекта данных не требуется.
В зависимости от цели и характера деятельности организации необходимо внимательно выбирать основание обработки и документально фиксировать это. Несоблюдение требований законодательства влечёт ответственность вплоть до штрафных санкций и запрета обработки.
Юридические нормы, регулирующие основания обработки персональных данных
Для организаций, обрабатывающих персональные данные, обязательным является соблюдение принципов законности и справедливости, а также ограничение обработки целями, четко определёнными законом или договором. Дополнительно, в рамках нормативных актов Европейского Союза, например Регламента (ЕС) 2016/679 (GDPR), установлен более широкий спектр оснований, включая законный интерес контролёра данных, что необходимо учитывать при трансграничной обработке.
Также важным документом является Постановление Правительства РФ № 687 от 15.09.2008, регламентирующее требования к защите персональных данных при их обработке. Этот норматив определяет обязательные меры по обеспечению безопасности данных в соответствии с конкретными основаниями обработки.
Рекомендацией для операторов персональных данных является чёткая фиксация правовых оснований в документации (политика конфиденциальности, внутренние регламенты), что минимизирует риск административных штрафов и судебных споров. Особое внимание следует уделять получению и оформлению информированного согласия, если оно является основанием, а также контролю актуальности и полноты правовых оснований в случае изменения законодательства.
Согласие субъекта данных как основание для обработки
Для действительности согласия требуется соблюдение нескольких условий: субъект должен получить ясную информацию о целях обработки, перечне обрабатываемых данных, способах и сроках обработки, а также о правах, включая право отозвать согласие в любой момент без негативных последствий.
Согласие не должно быть получено посредством молчания, предустановленных чекбоксов или пассивного поведения. Оно должно выражаться активным действием субъекта – подписанием, нажатием кнопки или иной формой подтверждения.
Рекомендуется документировать факт получения согласия с указанием даты, времени и содержания предоставленной информации. В случаях обработки чувствительных данных (например, сведения о здоровье, биометрические данные) законодательство требует отдельного, четко выраженного согласия.
Если обработка данных выходит за рамки первоначально заявленных целей, необходимо заново получить согласие с указанием новых условий. Отзыв согласия влечет обязательство прекратить обработку, если отсутствуют иные законные основания.
При взаимодействии с несовершеннолетними лицами требуется учитывать возраст согласия, установленный законодательством, и при необходимости получать разрешение от законных представителей.
Нарушение правил получения и ведения согласия может привести к административным штрафам и запрету на дальнейшую обработку персональных данных, что подчеркивает важность точного соблюдения нормативных требований.
Обработка персональных данных для исполнения договора
В рамках этого основания обработка может включать сбор, хранение, передачу и иные действия, направленные на реализацию договорных обязательств. Примеры: указание адреса доставки в интернет-магазине, проверка платежных данных при оформлении заказа, регистрация участника мероприятия, проводимого по договору-оферте.
Обязательным условием является то, что обрабатываются только те данные, которые необходимы для выполнения конкретного договора. Например, при аренде транспортного средства правомерной будет обработка паспортных данных и информации о водительском удостоверении арендатора.
Дополнительное согласие на обработку не требуется, если действия строго соответствуют целям договора. Однако в случае передачи данных третьим лицам (например, курьерской службе) необходимо либо соответствующее условие в договоре, либо согласие субъекта.
Организация, выступающая оператором, обязана соблюдать требования к безопасности персональных данных, включая ограничение доступа, ведение учета операций обработки и контроль за сохранностью данных в течение всего срока действия договора и установленного срока хранения после его завершения.
Обработка в целях соблюдения юридических обязательств
Персональные данные могут обрабатываться без отдельного согласия субъекта, если такая обработка необходима для выполнения обязательств, установленных законодательством. Это основание закреплено в статье 6 Федерального закона № 152-ФЗ «О персональных данных».
Подобная обработка применяется, когда организация обязана:
- вести кадровый учёт в соответствии с Трудовым кодексом РФ;
- подавать сведения в налоговые органы, Пенсионный фонд, ФСС и ФОМС;
- соблюдать требования валютного, таможенного, миграционного законодательства;
- хранить и передавать данные в рамках исполнения судебных решений или запросов следственных органов;
- формировать и сдавать обязательную отчётность, содержащую персональные данные;
- выполнять требования по противодействию легализации доходов (115-ФЗ).
Обработка допустима только в объёме, необходимом для выполнения конкретного обязательства. Например, при подаче отчётности в ФНС не требуется сбор биометрических данных сотрудников. Избыточная обработка приравнивается к нарушению закона.
Рекомендации для оператора:
- Провести инвентаризацию всех юридических обязанностей, связанных с персональными данными.
- Для каждой категории обязательств – зафиксировать перечень обрабатываемых данных и правовое основание.
- Ограничить доступ к информации только тем сотрудникам, для которых она необходима.
- Хранить документы и сведения в установленные законом сроки, после чего уничтожать или анонимизировать.
- Обеспечить техническую и организационную защиту данных в соответствии с Постановлением Правительства РФ № 1119.
Нельзя использовать данное основание для расширения обработки вне рамок закона. Например, нельзя передавать данные третьим лицам, если это не предусмотрено конкретным нормативным актом.
Обработка данных в интересах жизненно важных задач субъекта
Обработка персональных данных допускается без согласия субъекта, если она необходима для защиты его жизненно важных интересов. Это основание применяется в ситуациях, когда отсутствие такой обработки может привести к угрозе жизни или серьёзному вреду здоровью.
На практике речь идёт о случаях, связанных с оказанием экстренной медицинской помощи, эвакуацией при чрезвычайных ситуациях, установлением личности в условиях недееспособности или бессознательного состояния. Например, при госпитализации пациента, потерявшего сознание, медорганизация может обрабатывать его данные для идентификации и информирования родственников.
Закон прямо не требует документального подтверждения согласия в подобных случаях. Однако организация-оператор обязана доказать, что обстоятельства действительно представляли угрозу и обработка была необходима. Рекомендуется фиксировать в медицинских или иных актах основания для обработки, включая дату, время, описание обстоятельств и лица, принявшие решение.
После устранения угрозы данные должны использоваться строго в пределах цели, не подлежат распространению и подлежат уничтожению или обезличиванию, если дальнейшая обработка не обоснована другими законными основаниями. Субъект по восстановлении дееспособности должен быть проинформирован об осуществлённой обработке.
Юридическим лицам, работающим в экстренных службах, следует включать соответствующие положения в локальные акты и обучать персонал алгоритмам действий при реализации данного основания. Также важно обеспечить техническую защиту информации в момент её экстренного сбора и передачи.
Обработка персональных данных на основании публичных интересов
Обработка персональных данных в целях защиты публичных интересов допускается в строго определённых законом случаях. Основание применяется, когда деятельность осуществляется государственными или уполномоченными органами в рамках их полномочий, а также иными субъектами, если это прямо предусмотрено нормативными правовыми актами.
Примеры допустимой обработки включают проведение статистических исследований, обеспечение национальной безопасности, предотвращение чрезвычайных ситуаций, контроль за эпидемиологической обстановкой и реализацию правосудия. Например, обработка данных граждан может быть необходима для выявления распространения инфекционных заболеваний или организации экстренной эвакуации населения.
Пункт 4 части 1 статьи 6 Федерального закона № 152-ФЗ устанавливает, что согласие субъекта данных не требуется, если обработка необходима для осуществления задач, решаемых в общественных интересах. Однако при этом оператор обязан обеспечить законность источника получения данных и строго соблюдать требования к объёму и срокам хранения информации.
Рекомендуется заранее документировать основания обработки, указывать цель и нормативное обоснование в локальных актах организации, а также обеспечивать прозрачность процессов для субъектов данных. Необходимо предусматривать механизмы реагирования на запросы о прекращении обработки, если такое право допускается законодательством.
Нарушение принципа соразмерности – превышение объёма обрабатываемых данных по отношению к заявленным целям – является распространённым риском. Для его минимизации следует проводить регулярный аудит соответствия операций требованиям законодательства и привлекать специалистов по защите данных на этапе планирования инициатив в сфере публичных интересов.
Особенности обработки специальных категорий персональных данных
К специальным категориям относятся персональные данные, касающиеся расовой или национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни, а также данные о судимости. Их обработка запрещена, за исключением случаев, прямо предусмотренных законом.
Правовое основание для обработки этих данных устанавливается частью 2 статьи 10 Федерального закона № 152-ФЗ. Обработка допускается, если субъект дал явное согласие в письменной форме, либо если это необходимо для защиты жизни, здоровья или других жизненно важных интересов субъекта при отсутствии его согласия.
Загрузка...
