Co musí být uvedeno v souhlasu se zpracováním osobních údajů?

Pro práci s osobními údaji občanů je ve většině případů nutné získat jejich souhlas se zpracováním osobních údajů (OÚ) a vypracovat samostatný dokument pro rozesílání OÚ. Od 1. září 2022 se v této části změnily požadavky zákona na osobní údaje. Řekneme vám, jak správně formalizovat souhlas občana s akcemi s jeho osobními údaji.

Co by mělo být v souhlasu se zpracováním osobních údajů

Při přípravě formuláře je třeba vzít v úvahu, že v zákoně ze dne 27.07.2006. července 152 č. XNUMX-FZ „O ochraně osobních údajů“ je veškeré zpracování osobních údajů občanů vázáno na cíle, které jsou dva typy:

• dodržování zákonných požadavků . Zaměstnavatel je například povinen zahrnout údaje o zaměstnancích do personálních výkazů;
• plnění závazků provozovatele vůči fyzické osobě v rámci své podnikatelské činnosti . Internetový obchod například shromažďuje osobní údaje od zákazníků za účelem dokončení nákupu a zajištění doručení zboží klientovi.

Provozovatel nemůže shromažďovat osobní údaje které nesouvisí s konkrétními cíli nebo nadbytečné ve vztahu k nim. Internetový obchod může například požadovat celé jméno. kupujícího, telefonní číslo, dodací adresu, cestovní pas a platební údaje pro doručení . Adresa stránky sociální sítě klienta a informace o složení jeho rodiny však budou nadbytečné.

Další pravidlo: jeden cíl – jedna dohoda . To vyplývá z ustanovení 4, části 4, čl. 9 zákona č. 152-FZ. To neznamená, že je nutné vydávat tolik formulářů souhlasu, kolik má provozovatel účelů zpracování. Mohou být obsaženy v jednom dokumentu, ale pro každý účel zvlášť sepište seznam PD, úkonů s nimi a nechte si na nich podpis subjektu PD, případně jiný projev jeho dobré vůle – třeba i zaškrtnutí nebo křížek. Z dokumentu musí být zřejmé, že subjekt s každým cílem souhlasil.

Cíle v jedné dohodě musí být vzájemně kompatibilní. Pokud provozovatel požaduje od klienta souhlas se zpracováním osobních údajů za účelem plnění závazků vůči němu ze smlouvy, nemůže to zahrnovat i souhlas se zasíláním reklamních materiálů k propagaci společnosti na trhu.

Co musí být souhlas se zpracováním osobních údajů:

1. Celé jméno, adresa subjektu osobních údajů, číslo hlavního dokladu prokazujícího jeho totožnost, údaj o datu vydání a vydávajícím orgánu.
2. Celé jméno, adresa zástupce subjektu osobních údajů, číslo hlavního dokladu prokazujícího jeho totožnost, údaje o datu vystavení a vydávajícím orgánu, údaje o plné moci nebo jiném dokladu potvrzujícím oprávnění zástupce ( po získání souhlasu zástupce).
3. Jméno nebo celé jméno a adresu provozovatele, který obdrží souhlas subjektu PD.
4. Účel zpracování osobních údajů.
5. Seznam údajů, k jejichž zpracování je udělen souhlas.
6. Jméno nebo celé jméno a adresa osoby zpracovávající osobní údaje jménem provozovatele, bude-li zpracováním taková osoba pověřena.
7. Seznam úkonů s osobními údaji, ke kterým je udělen souhlas, obecný popis způsobů zpracování osobních údajů, které provozovatel používá.
8. Doba, po kterou platí souhlas subjektu osobních údajů, jakož i způsob jeho odvolání, pokud federální zákon nestanoví jinak.
9. Podpis subjektu osobních údajů.

Neexistuje žádný schválený formulář souhlasu se zpracováním PD. Každý operátor vyvíjí a používá svůj vlastní formulář. Nedoporučujeme stahovat ukázky z internetu, protože nejsou přizpůsobeny činnosti konkrétní společnosti a nemusí zohledňovat všechny její cíle. Existuje také riziko, že nejsou relevantní.

Dárek pro naše čtenáře – praktický průvodce přípravou zpráv pro Penzijní fond Ruska, Fond sociálního pojištění a Federální daňovou službu v roce 2022 od odborníků na online účetnictví „My Business“. 62 stran podrobného návodu s příklady vyplňování formulářů.

Podávání zpráv Federální daňové službě, Penzijnímu fondu a Fondu sociálního pojištění v roce 2022

praktická příručka pro zaměstnavatele

Získejte 62 stránek odborného obsahu zdarma!

Zanechte požadavek ve formuláři níže a my vám zašleme záznam

Jak získat souhlas se zpracováním osobních údajů

Povolení ke zpracování osobních údajů může být přijat jakýmkoli způsobem , která potvrdí její převzetí. Pokud si to občan například nahrál na diktafon, je to legální, pokud nahrávka dokáže osobu přesně identifikovat.

V řadě případů však zákon č. 152-FZ vyžaduje, aby souhlas byl formálně písemný. Například pro zpracování biometrických osobních údajů. Výjimky, kdy není vyžadován souhlas se zpracováním, jsou uvedeny v samotném zákoně o PD: odst. 2-11 hodin 1 polévková lžíce. 6, část 2 čl. 10, část 2. umění. jedenáct.

Například je legální natáčet návštěvníky nákupního centra na video jako přeplněné místo bez jejich souhlasu. Děje se tak pro účely protiteroristické ochrany a vymáhání práva. Je však nezákonné instalovat videokamery do pracovních kanceláří bez povolení zaměstnanců.

Písemný souhlas se zpracováním PD lze poskytnout v papírové nebo elektronické podobě. Digitální dokument je považován za rovnocenný dokumentu s osobním podpisem občana, pokud je podepsán elektronickým podpisem, který splňuje požadavky zákona.

Zákon neříká, jaký typ elektronického podpisu je potřeba, občan jej tedy může podepsat prostým elektronickým podpisem. Provozovatel však musí prokázat, že souhlas získal konkrétně od subjektu osobních údajů. Proto je vhodné stanovit místním zákonem, jakým podpisem se mají podepisovat elektronické souhlasy se zpracováním osobních údajů a jak ověřit jejich pravost.

Kdy není vyžadován souhlas se zpracováním osobních údajů

Zákon o ochraně osobních údajů má tři články, které vyjmenovávají případy zpracování osobních údajů provozovatelem bez souhlasu občana:

1. str. 2-11 hodin 1 polévková lžíce. 6. Souhlas například není vyžadován, pokud jsou osobní údaje použity v soudním sporu, kde je jednotlivec zapojen jako jedna ze stran;
2. Část 2 Čl. 10 — ve vztahu ke zvláštní PD. Například ke zpracování informací o jeho národnosti v rámci celoruského sčítání lidu není nutný písemný souhlas občana;
3. Část 2. Čl. 11 – ve vztahu k biometrické PD. Například bez písemného souhlasu občana se provádí povinná státní registrace otisků prstů.

Provozovatel má právo pověřit zpracováním osobních údajů jinou osobu se souhlasem subjektu OÚ. Může to být jednotlivec nebo společnost. Třetí strana pak nemusí ke zpracování jeho osobních údajů získávat souhlas subjektu OÚ.

Provozovatel odpovídá subjektu, pokud je zpracování svěřeno ruské fyzické osobě nebo společnosti. Pokud se jedná o zahraniční osobu, pak odpovídá občanovi společně s provozovatelem za dodržování jeho práv při jednání s osobními údaji.

Jak vypracovat souhlas se šířením osobních údajů

Distribuce osobních údajů je jejich předávání neomezenému počtu osob. Společnost například na svých webových stránkách uvádí celé jméno, pozici, e-mail a mobilní telefonní čísla některých zaměstnanců. Nebo zveřejní recenzi klienta s jeho fotografií, celým jménem a odkazem na jeho profil na sociálních sítích.

Pro všechny případy šíření osobních údajů musí být poskytnut samostatný souhlas. Mlčení nebo nečinnost občana za žádných okolností se nepovažuje za povolení zpracovávat osobní údaje za účelem distribuce. Pokud zaměstnanec například nepožaduje odstranění svého mobilního telefonního čísla z webu, neznamená to, že souhlasil s jeho poskytnutím všem návštěvníkům webu.

Požadavky na obsah informací v souhlasu se šířením jsou uvedeny v příloze objednávky Roskomnadzor č. 24.02.2021 ze dne 18. února XNUMX:

1. CELÉ JMÉNO. subjekt osobních údajů.
2. Kontaktní informace ( telefonní číslo, emailová adresa nebo poštovní adresa subjektu osobních údajů ).
3. Informace o provozovateli-organizaci – jméno, adresa v Jednotném státním rejstříku právnických osob, INN, hlavní státní registrační číslo ( pokud je subjektu osobních údajů známa ). Údaje o provozovateli-fyzické osobě – ​​celé jméno, místo bydliště nebo místo pobytu. Údaje o provozovateli občana, který je samostatným podnikatelem – celé jméno, daňové identifikační číslo, hlavní státní registrační číslo ( pokud je subjektu osobních údajů známa ).
4. Informace o informačních zdrojích provozovatele ( adresu skládající se z názvu protokolu (http nebo https), serveru (www), domény, názvu adresáře na serveru a názvu souboru webové stránky ), jehož prostřednictvím bude umožněn přístup neomezenému počtu osob a budou prováděny další úkony s osobními údaji subjektu osobních údajů.
5. Cílová ( цели ) Zpracování PD.
6. Kategorie a seznam osobních údajů, k jejichž zpracování je dán souhlas subjektu osobních údajů: Osobní informace (celé jméno), rok, měsíc, datum narození, místo narození, adresa, rodinný stav, vzdělání, povolání, sociální postavení, příjem, další informace související se subjektem osobních údajů); zvláštní kategorie PD ( rasa, národnostní původ, politické názory, náboženské nebo filozofické přesvědčení, zdravotní stav, intimní život, trestní rejstřík ); biometrické osobní údaje .
7. Kategorie a seznam osobních údajů, pro jejichž zpracování si subjekt osobních údajů stanoví podmínky a zákazy, jakož i seznam stanovených podmínek a zákazů ( vyplněné na žádost subjektu PD ).
8. Podmínky, za kterých lze přijaté osobní údaje předat pouze zaměstnancům provozovatele, nebo je předat volně pomocí informačních a telekomunikačních sítí, nebo je nepředávat vůbec ( vyplněné na žádost subjektu osobních údajů ).
9. Doba trvání souhlasu.

Provozovatel může vypracovat formulář povolení k šíření osobních údajů samostatně nebo využít speciální službu Roskomnadzor. K jeho používání potřebujete ověřený účet na portálu Státní služby. Provozovatel vytvoří na portálu šablonu souhlasu a může ji odeslat Roskomnadzor k ověření. Tím se ochrání před případným porušením.

Typické chyby, kterých se provozovatelé při práci s osobními údaji dopouštějí

Situace, které Roskomnadzor považuje za porušení při získávání souhlasu se zpracováním osobních údajů:

• nezískáte souhlas subjektu osobních údajů, ačkoli to vyžaduje zákon;
• neuvádějí všechny informace podle čl. 9 zákona č. 152-FZ nebo nařízení č. 18;
• souhlas se zpracováním zahrnuje souhlas s distribucí bez splnění požadavků objednávky č. 18;
• v jednom dokumentu berou povolení pro neslučitelné účely. Například k poskytování služeb testování krve a za účelem zasílání informací o nových službách kliniky;
• získat souhlas od neoprávněného zástupce subjektu PD. Například souhlas za dítě vyplňuje jeho babička, nikoli jeho rodič.

Za taková porušení může být provozovateli uložena pokuta podle odst. 2 čl. 13.11 Kodex správních deliktů Ruské federace: od 30 000 do 150 000 rublů pro právnické osoby.

Moje obchodní kancelář

Právní referenční systém pro účetní, právníky, personalisty a odborné poradenství