Нужно ли брать согласие на обработку персональных данных при заключении договора ГПХ

Коротко

Согласие на обработку персональных данных — это отдельное разрешение человека на обработку его данных, которое он даёт свободно, своей волей и в своём интересе. При договоре ГПХ оно нужно не всегда: если данные исполнителя обрабатываются только для заключения и исполнения этого договора, закон допускает обработку без отдельного согласия. Но согласие не отменяет других обязанностей: определить цели и состав данных, ограничить доступ, хранить и уничтожать их по правилам.

Согласие и договор — разные вещи

Согласие — это не пункт в тексте договора, а отдельный документ или отдельное действие человека. Оно должно быть конкретным: какие данные, для каких целей, какие действия с ними и на какой срок разрешены. Формулировка «подписывая договор, исполнитель соглашается на обработку персональных данных» удобна, но сама по себе не заменяет согласия, если закон требует именно его.

Договор ГПХ при этом остаётся договором: в нём фиксируют предмет, срок, цену и порядок сдачи-приёмки. Вопросы персональных данных лучше вынести в отдельный документ или в отдельное приложение, чтобы было видно, что человек дал разрешение осознанно.

Когда согласие нужно

Если данные исполнителя нужны для целей, которые выходят за рамки заключения и исполнения договора: например, для рассылки рекламы, публикации отзыва с фото, передачи данных партнёрам для их собственных целей.
Если вы обрабатываете специальные категории данных — о здоровье, состоянии, интимной жизни — или биометрию. Здесь общее правило строже, и без отдельного согласия не обойтись.
Если вы собираете данные не самого исполнителя, а его клиентов, пациентов, покупателей: у них с вами нет договора, и основание для обработки придётся оформлять отдельно.
Если человек просит удалить данные, а закон не обязывает вас их хранить: согласие можно отозвать, и обработку придётся прекратить.

Когда можно обрабатывать без отдельного согласия

Данные нужны для заключения или исполнения договора, стороной которого является человек: без паспортных данных, реквизитов и подписи договор ГПХ не заключить и не исполнить.
Обработка нужна для выполнения обязанности, которую закон возложил на организацию: например, налоговый агент обязан вести учёт выплат и удерживать НДФЛ.
Данные нужны для защиты жизни или здоровья человека, когда согласие получить невозможно.
Обработка ведётся для законных целей при условии, что не нарушаются права человека: это основание шире, но применять его стоит осторожно и с оглядкой на конкретную ситуацию.

Что писать в договоре ГПХ

В договоре стоит назвать состав данных, которые вы получаете от исполнителя, и цель их обработки. Например: паспортные данные и ИНН — для заключения договора и расчётов, банковские реквизиты — для оплаты, адрес — для направления документов. Так видно, что данные ограничены нужным и не собираются «на всякий случай».

Отдельным пунктом закрепите, как вы храните и уничтожаете данные после окончания договора, кто имеет к ним доступ и как исполнитель может задать вопрос или потребовать уточнения. Это не согласие, а описание вашей работы с данными: оно пригодится и при проверке, и в споре.

Согласие не отменяет остальных обязанностей

Даже если согласие получено, организация остаётся оператором персональных данных. Нужно определить цели и правовые основания обработки, ограничить доступ сотрудников, вести учёт документов, хранить данные не дольше, чем нужно для цели, и уничтожать их по достижении цели или отзыву согласия.

Если данные передаются подрядчику или в сервис, проверьте, на каком основании он их обрабатывает: по поручению оператора или для своих целей. В первом случае в договоре с ним фиксируют перечень действий, цели и требования к защите; во втором — он сам отвечает за основание обработки.

Частые вопросы

Можно ли обойтись одной подписью под договором ГПХ?

Если данные нужны только для заключения и исполнения договора, отдельное согласие не требуется. Но подпись под договором не заменяет согласия там, где закон требует именно его: для рекламы, специальных категорий данных или передачи партнёрам для их целей.

Нужно ли согласие самозанятого или ИП?

У ИП и самозанятого тоже есть персональные данные, и правила те же. Если вы обрабатываете их данные только для договора и расчётов, отдельное согласие не нужно; для дополнительных целей — нужно.

Что будет, если взять согласие «на всё»?

Такое согласие легко признать неконкретным: непонятно, какие данные, для каких целей и на какой срок разрешены. Лучше перечислить цели и состав данных по отдельности, чем прятать всё в одну фразу.

Можно ли отозвать согласие?

Да, человек вправе отозвать согласие. Если закон не обязывает вас хранить данные дальше, обработку придётся прекратить, а данные уничтожить. Если обязанность есть, например налоговая, вы храните то, что требуется, и объясняете это человеку.

Нужно ли согласие на передачу данных в банк для оплаты?

Если банк обрабатывает данные по вашему поручению для проведения платежа, это оформляют договором поручения на обработку, а не согласием исполнителя. Согласие понадобится, если банк использует данные для своих целей, например для маркетинга.

Проверка актуальности

Проверьте ответ на сегодняшний день

Нормы меняются каждый год, а ответы в интернете за ними не успевают. Чтобы вы опирались на действующий закон, мы настроили ИИ для проверки актуальности: он сверит эту справку с действующей редакцией законов и подскажет, что изменилось.

Данные исполнителей не должны превращаться в риск

Соберу ИИ-агента, который наведёт порядок в документах

Когда договоров ГПХ десятки, легко потерять, у кого есть согласие, а у кого нет. Я собираю ИИ-агента под одну задачу: он разбирает входящие документы, сверяет комплект и подсказывает, чего не хватает.

Агент подключается к вашей CRM, 1С, почте и мессенджерам и проверяется на ваших настоящих случаях. Это для компаний, где одна и та же проверка повторяется сотни раз в месяц.

Читать об услуге «ИИ-агенты под задачу компании»