Правовое основание обработки персональных данных: что писать

Коротко

Правовое основание — это пункт закона, по которому вы вправе обрабатывать данные: например, согласие человека или исполнение договора с ним. Основания перечислены в части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ, и указывать нужно не название закона целиком, а конкретный пункт под конкретную цель.

Что именно писать в графе

Формулировка строится от цели: «обработка персональных данных необходима для исполнения договора, стороной которого является субъект персональных данных» — пункт 5 части 1 статьи 6. Для данных работника — пункт 2: обработка нужна для выполнения обязанностей, возложенных законом на оператора. Для рассылок и программ лояльности — пункт 1: согласие субъекта.

Одной строкой «152-ФЗ» не отделаться. В части 3.1 статьи 22 сказано: в уведомлении для каждой цели обработки оператор указывает категории данных, категории субъектов, правовое основание, перечень действий и способы обработки. То есть основание привязывается к цели, и целей в уведомлении может быть несколько — у каждой своя строка.

Бывает, что для одной цели оснований два: например, договор и следом согласие на то, чего договор не покрывает. Это нормально, если в тексте видно, какое основание за какую операцию отвечает.

Основания из части 1 статьи 6, которые нужны бизнесу чаще всего

Пункт 1 — согласие субъекта на обработку его данных.
Пункт 2 — обработка нужна для достижения целей, предусмотренных законом, для выполнения возложенных на оператора функций, полномочий и обязанностей.
Пункт 3.1 — исполнение судебного акта, акта другого органа или должностного лица, подлежащих исполнению по законодательству об исполнительном производстве.
Пункт 4 — исполнение полномочий органов власти и функций организаций, участвующих в оказании государственных и муниципальных услуг по закону № 210-ФЗ.
Пункт 5 — исполнение договора, стороной, выгодоприобретателем или поручителем по которому является субъект, а также заключение договора по его инициативе.
Пункт 6 — защита жизни, здоровья или иных жизненно важных интересов субъекта, когда согласие получить нельзя.
Пункт 7 — права и законные интересы оператора или третьих лиц либо достижение общественно значимых целей, если это не нарушает права и свободы субъекта.
Пункт 9 — обработка в статистических или иных исследовательских целях при обязательном обезличивании, кроме целей продвижения товаров и услуг на рынке.
Пункт 10 утратил силу. Для обработки опубликованных данных нужно действующее основание из статьи 6; распространение данных регулируется также статьёй 10.1.

Для Роскомнадзора: как заполнить уведомление

В уведомлении об обработке персональных данных графа о правовом основании заполняется по каждой цели отдельно, со ссылкой на пункт части 1 статьи 6. Если данных работников касается — пункт 2 и ссылка на трудовое законодательство; если клиентов по договору — пункт 5; если сбор данных для рекламы и рассылок — пункт 1.

Согласие как основание в уведомлении не отменяет обязанности иметь сам текст согласия: в нём перечисляют цель, перечень данных, действия и срок. Для распространения данных согласие оформляется отдельно от остальных, а требования к его содержанию утверждены приказом Роскомнадзора от 24.02.2021 № 18.

Если основание — договор, его не нужно прикладывать к уведомлению, но в политике обработки стоит назвать вид договора: оказание услуг, купля-продажа, трудовой. Проверяющий должен видеть, что основание не выдумано.

Собственный ЦОД в уведомлении: что писать

Если данные хранятся на своих серверах, в уведомлении это отражают в сведениях о месте нахождения базы данных: адрес помещения, где стоят серверы. Отдельного «правового основания для ЦОД» закон не вводит — основание всё равно берётся из статьи 6 и привязывается к цели обработки.

В заявлении и в политике описывают, что доступ к серверам ограничен, кто отвечает за помещение и как устроен резервный контур. Если серверы стоят в арендованном помещении, в сведениях указывают адрес арендодателя-площадки, а в договоре аренды фиксируют, что доступ к данным у арендодателя отсутствует.

Когда часть данных отдана внешнему подрядчику, в уведомлении появляется он как лицо, которому поручена обработка: по части 3 статьи 6 оператор вправе поручить обработку другому лицу на основании закона или договора, а в договоре перечисляют перечень действий, цели и обязанность соблюдать конфиденциальность.

Частые вопросы

Можно ли написать просто «согласие субъекта» без пункта статьи?

Лучше с пунктом. В части 3.1 статьи 22 говорится о правовом основании для каждой цели обработки в уведомлении, и ссылка «пункт 1 части 1 статьи 6» снимает вопросы о том, что имелось в виду.

Что писать, если основание — договор, а человек ещё не клиент?

Пункт 5 части 1 статьи 6 прямо охватывает и заключение договора по инициативе субъекта: заявка, анкета, запрос расчёта — это ещё не договор, но уже его заключение.

Нужно ли отдельное основание для каждой рассылки?

Да, если рассылка идёт по согласию: согласие даётся на конкретные цель и перечень данных, поэтому новая цель — новое согласие. Проверьте, что в тексте согласия эта цель названа.

Куда девать данные, когда цель достигнута?

Обработку прекращают: при достижении цели, при отзыве согласия, если закон не разрешает обрабатывать дальше, при выявлении неправомерной обработки. В политике обработки эти случаи обычно перечисляют отдельным пунктом.

Можно ли сослаться на законные интересы оператора для всего подряд?

Пункт 7 части 1 статьи 6 требует, чтобы обработка не нарушала права и свободы субъекта. Универсальной отговоркой он не работает: под каждую цель придётся объяснить, какой именно интерес защищается и почему без этих данных не обойтись.

Проверка актуальности

Проверьте ответ на сегодняшний день

Нормы меняются каждый год, а ответы в интернете за ними не успевают. Чтобы вы опирались на действующий закон, мы настроили ИИ для проверки актуальности: он сверит эту справку с действующей редакцией законов и подскажет, что изменилось.

Прежде чем писать основание, стоит понять, где вы теряете деньги

Посчитаю, что приносит прибыль, а что её съедает

Основание обработки данных — часть документа, а не ответ на вопрос, зарабатывает ли бизнес. Когда выручка растёт, а на счёте денег не прибавляется, причина обычно в цифрах по товарам, клиентам и каналам.

Я считаю, сколько бизнес зарабатывает на каждой позиции после себестоимости, рекламы, зарплат, доставки, возвратов и налогов, показываю точку безубыточности и финансовую модель роста. Это для собственников, которые хотят расти и боятся, что рост увеличит убыток.

Читать об услуге «Юнит-экономика и финансовая модель»