Согласие на обработку персональных данных в договоре

Часть 1 статьи 9 закона № 152-ФЗ задаёт требования к согласию: оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Там же прямо сказано: согласие оформляют отдельно от иных информации и документов, которые подтверждает или подписывает субъект персональных данных. Пункт в договоре этому требованию не отвечает — договор подписывают ради сделки, а не ради данных.

Второе правило — пункт 5 части 1 статьи 6: обработка допускается, если она нужна для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект, а также для заключения договора по его инициативе. Пока данные используют в пределах этих целей, отдельного согласия не требуется. Это подтверждают разъяснения службы Правового консалтинга ГАРАНТ для руководителя и представителя контрагента и для индивидуального предпринимателя.

Согласие нужно там, где данные выходят за рамки договора. Например, компания хочет разместить фото и фамилию исполнителя на сайте, передать данные партнёру для рассылки или использовать контакты клиента для рекламы. На такие цели пункт 5 части 1 статьи 6 не распространяется — нужно отдельное согласие с конкретной целью и перечнем данных.

Если данные планируют распространять, согласие оформляют по правилам статьи 10.1 закона № 152-ФЗ: отдельно от других документов, с перечнем данных и условий распространения. Смешивать его с договором нельзя.

Роскомнадзор может расценить вшитое в договор согласие как навязывание условий: у человека не было выбора подписать его отдельно. Второй риск — изменение целей: если позже данные понадобится передать третьему лицу или использовать для новых задач, придётся оформлять новый документ, а старый пункт в договоре уже не работает.

Есть и практическая сторона. Срок хранения договора и согласия различаются: согласие часто отзывают или уничтожают раньше, чем истекает срок архивного хранения договора. Инспектору проще проверить отдельный документ, чем искать нужный абзац в многостраничном договоре.

Согласие составляют в свободной форме, но содержание регламентировано. В нём указывают оператора: наименование организации или ФИО предпринимателя, ОГРН или ОГРНИП, ИНН, адрес. Указывают субъекта: фамилию, имя, отчество и контактные данные. Перечисляют конкретные данные, которые будут обрабатываться, и цели обработки — без общих формулировок вроде «в целях улучшения сервиса».

Дальше — перечень действий с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение. Указывают срок действия согласия или формулировку «до момента отзыва» и право отозвать согласие в любой момент. В конце — дата составления и подпись субъекта: без них документ не имеет юридической силы.