Роскомнадзор на дне открытых дверей: когда согласие на обработку ПД — лишняя бумажка

Коллеги, делюсь выжимками с недавнего дня открытых дверей от РКН. Регулятор жестко раскритиковал нашу главную профдеформацию — лепить «галочку согласия» везде, где только можно.
Главный тезис ведомства: согласие требуется в исключительных случаях. В большинстве ситуаций (кредиты, страховки, медицина, образование) обработка данных покрывается договором или законом. Перекос в сторону сборища макулатуры объясняется некомпетентными рекомендациями и желанием юристов подстраховаться.
Разбираем главные инсайты для практики:
1️⃣ Договор важнее галочки Согласие не нужно для заключения и исполнения гражданско-правового договора, а также для реализации законных полномочий оператора (ст. 6 ФЗ-152). Ссылки на якобы существующие требования территориальных органов собирать согласие как обязательный элемент документально не подтверждаются. Пример: если клиент покупает у вас товар по договору купли-продажи, брать отдельное согласие на передачу его адреса курьеру незаконно — это часть исполнения вашего обязательства перед ним.
2️⃣ Каким должно быть настоящее согласие Если закон требует именно согласия, оно перестает быть формальностью. Позиция регулятора: радикальная трансформация института сбора данных. Согласие уместно там, где гарантированы добровольность, информированность и осознанность.
• Форма: Гиперссылка допустима, вешать простыню текста рядом с формой регистрации не обязательно. Главное — содержание (цели, объем данных, сроки, порядок отзыва).
• Мультисогласие: Правило «одна цель — одно согласие». Если целей несколько (например, доставка + маркетинг), рекомендуется блоковая структура с отдельной отметкой под каждым блоком, чтобы пользователь мог отказаться от рассылок, но принять условия доставки.
• Партнеры: Для письменной формы список лиц, кому поручена обработка, обязателен. Для электронной достаточно ссылки на страницу сайта с актуальным перечнем партнеров.
3️⃣ Где согласие НЕ НУЖНО (от слова совсем) РКН привел конкретные кейсы из разных отраслей, которые ломают привычные шаблоны:
• Медицина. Добровольное информированное согласие на вмешательство (по 323-ФЗ) — да. Отдельное согласие на обработку ПД в рамках договора об оказании услуг — нет. Передача анализов в стороннюю лабораторию — это единый цикл помощи, допсогласий не требует.
• Гостиничный бизнес. Передача анкет гостей в МВД осуществляется во исполнение закона. Согласие гостя здесь юридически ничтожно.
• Трудовое право. ТК РФ упоминает согласие работника лишь единожды — при передаче данных третьим лицам (и то с оговорками). На отправку отчетов в налоговую, ПФР/Социальный фонд, военкомат или трудовую инспекцию согласие запрашивать нельзя — это обязанность работодателя.
• Зарплатные проекты. Работодатель обязан выплатить зарплату. Передача ФИО и реквизитов сотрудника банку регулируется трудовым законодательством и информационным обменом между юрлицами. От работника нужно только заявление на зачисление, а не согласие на обработку ПД.
• Страхование. Обработка сведений о здоровье допускается п. 8 ч. 2 ст. 10 № 152-ФЗ и полностью покрывается самим договором страхования (включая передачу данных эксперту или в сервис по КАСКО/ОСАГО).
• Фармаконадзор. Обработка данных врачей и пациентов во исполнение законов о безопасности лекарств дополнительного согласия не требует.
• ПО и ИТ-сфера. Поставщик учетной программы (1С, CRM) не является оператором персональных данных клиента вашей компании. Оператором выступаете вы, давать согласие самому себе абсурдно.
4️⃣ Чек-лист для самопроверки документов Прежде чем ставить подпись под новым регламентом обработки ПД, проверьте его по методичке от РКН:
1 Есть ли прямая норма закона или пункт договора, который позволяет обработать эти данные без согласия?
2 Если согласия не избежать — разбита ли форма на логические блоки? Может ли юзер согласиться на доставку, но запретить рекламные SMS?
3 Актуален ли реестр привлеченных обработчиков на сайте прямо сейчас?
4 Прописаны ли в согласии конкретный срок действия и четкий механизм отзыва (не просто фраза «в порядке, установленном законом»)?
Вывод: Пересмотрите свои типовые анкеты и оферты. Уберите оттуда дублирующие друг друга документы. Чем меньше бессмысленных бумаг подписывает клиент, тем ниже риск схлопотать штраф за некорректную форму волеизъявления. Закон защищает субъект данных, а не архивариуса.