Согласие субъекта данных¶

Согласие субъекта данных — это конкретное, информированное, сознательное и однозначно выраженное волеизъявление физического лица (субъекта персональных данных), посредством которого он даёт разрешение на обработку своих персональных данных. Согласие является одним из основных правовых оснований для обработки персональных данных (наряду с исполнением договора, законных интересов оператора и другими), закреплённым в законодательстве о защите данных, в частности в Федеральном законе РФ «О персональных данных» (№ 152-ФЗ) и в Общем регламенте ЕС по защите данных (GDPR).

¶Правовая природа и принципы

Согласие субъекта данных относится к числу добровольных и осознанных действий. Ключевыми принципами его получения и оформления являются:

• Конкретность: согласие должно быть дано для конкретной, заранее определённой цели обработки. Не допускается получение согласия «на всё» (например, на обработку данных «в маркетинговых целях» без их уточнения).
• Информированность: субъект должен быть уведомлён о том, кто (оператор), какие данные, с какой целью, каким способом и на какой срок будет их обрабатывать. Оператор обязан предоставить эту информацию в понятной и доступной форме до получения согласия.
• Однозначность: согласие должно быть выражено недвусмысленно. Молчание или бездействие (например, заранее проставленная «галочка») не считаются согласием. Требуется активное действие субъекта (подпись, отметка, отправка формы).
• Свобода волеизъявления: согласие не может быть условием предоставления услуги, если обработка данных не является необходимой для её оказания. Субъект должен иметь реальную возможность отказаться от согласия без негативных последствий (например, без отказа в доступе к основному функционалу сайта).

¶Формы получения согласия

Законодательство РФ (ст. 9 152-ФЗ) допускает несколько форм выражения согласия, каждая из которых имеет свои особенности:

• Письменная форма: является обязательной в случаях, установленных законом (например, при обработке специальных категорий данных — о состоянии здоровья, расовой или национальной принадлежности, политических взглядах, религиозных убеждениях, а также биометрических данных). Письменное согласие должно содержать подпись субъекта и все обязательные реквизиты: фамилию, имя, отчество, адрес, данные паспорта, информацию об операторе, цель обработки, перечень данных, срок действия согласия и порядок его отзыва.
• Электронная форма: допускается при обработке данных в информационно-телекоммуникационных сетях (например, через интернет-сайты, мобильные приложения). Согласие может быть дано путём проставления отметки (чекбокса) в электронной форме, подписания простой электронной подписью или иным способом, позволяющим однозначно идентифицировать субъекта. При этом оператор обязан обеспечить фиксацию факта получения согласия (например, сохранять логи действий пользователя).
• Устная форма: применяется в случаях, не требующих обязательной письменной формы, и когда обработка данных осуществляется в рамках обычной хозяйственной деятельности (например, при записи на приём, заказе товара по телефону). Однако для доказательства факта получения согласия в случае спора рекомендуется фиксировать его иным способом (аудиозапись, отметка в CRM-системе).
• Конклюдентные действия: действия субъекта, однозначно свидетельствующие о его согласии (например, отправка заполненной анкеты, скачивание файла с сайта после отметки о согласии). Данная форма также должна быть подтверждена оператором.

¶Содержание согласия

Согласно ст. 9 Федерального закона «О персональных данных», в согласии субъекта данных должны быть указаны:

1. Фамилия, имя, отчество (при наличии) субъекта, его адрес, данные документа, удостоверяющего личность (серия, номер, дата выдачи, орган, выдавший документ).
2. Наименование или фамилия, имя, отчество (при наличии) и адрес оператора, получающего согласие.
3. Цель обработки персональных данных.
4. Перечень персональных данных, на обработку которых даётся согласие.
5. Наименование или фамилия, имя, отчество (при наличии) и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу.
6. Перечень действий с персональными данными, на совершение которых даётся согласие, общее описание используемых оператором способов обработки.
7. Срок, в течение которого действует согласие, а также способ его отзыва.
8. Подпись субъекта персональных данных.

¶Срок действия и отзыв

Согласие субъекта данных может быть дано на определённый срок или без указания срока (бессрочно). В последнем случае оно действует до момента его отзыва субъектом.

Субъект имеет право в любой момент отозвать своё согласие на обработку персональных данных. Отзыв осуществляется в той же форме, в которой было дано согласие (письменно, электронно, устно). Оператор обязан прекратить обработку данных и уничтожить их в срок, не превышающий 30 дней с момента получения уведомления об отзыве. Исключение составляют случаи, когда обработка продолжается на ином законном основании (например, для исполнения договора, для соблюдения требований закона).

¶Особенности согласия в цифровой среде

В контексте интернет-сервисов, мобильных приложений и социальных сетей согласие субъекта данных часто оформляется через механизмы «cookie-баннеров» и чекбоксов. При этом операторы обязаны соблюдать принцип «информированного согласия»: пользователь должен понимать, какие именно данные собираются и для каких целей. В ЕС и Великобритании действует требование «активного согласия» (opt-in), когда пользователь должен явно дать разрешение (например, нажать кнопку «Принять»). В РФ аналогичные требования закреплены в ст. 15.5 Федерального закона «Об информации, информационных технологиях и о защите информации» (для обработки файлов cookie).

¶Согласие на обработку специальных категорий данных

Обработка специальных категорий персональных данных (состояние здоровья, расовая, национальная принадлежность, политические взгляды, религиозные убеждения, интимная жизнь) допускается только при наличии письменного согласия субъекта. Исключения составляют случаи, прямо предусмотренные законом (например, для защиты жизни и здоровья, для осуществления правосудия, для медицинской деятельности в соответствии с законодательством).

¶Согласие на обработку биометрических данных

Биометрические персональные данные (физиологические и биологические характеристики человека — отпечатки пальцев, изображение лица, голос, радужная оболочка глаза) обрабатываются также только с письменного согласия субъекта. Исключение составляют случаи, установленные федеральными законами (например, для идентификации в государственных информационных системах, для обеспечения безопасности в аэропортах).

¶Согласие на обработку данных несовершеннолетних

Согласие на обработку персональных данных несовершеннолетних (до 14 лет) даётся их законными представителями (родителями, опекунами). Для лиц в возрасте от 14 до 18 лет согласие даётся самим несовершеннолетним, но при этом также требуется согласие законного представителя, если обработка не связана с осуществлением прав и обязанностей несовершеннолетнего (например, при получении образования, при трудоустройстве с 16 лет).

¶Ответственность за нарушение порядка получения согласия

Нарушение порядка получения согласия субъекта данных (отсутствие согласия, его неполнота, несоответствие требованиям закона) влечёт административную ответственность по ст. 13.11 КоАП РФ. Штрафы для должностных лиц составляют от 10 000 до 20 000 рублей, для юридических лиц — от 60 000 до 100 000 рублей. В случае повторного нарушения или обработки специальных категорий данных без согласия штрафы могут достигать 300 000 рублей для должностных лиц и 1 500 000 рублей для юридических лиц. Кроме того, субъект вправе требовать возмещения морального вреда и убытков, причинённых незаконной обработкой его данных.

¶Критика и ограничения

Институт согласия субъекта данных подвергается критике по нескольким причинам:

• Информационная перегрузка: пользователи часто не читают длинные тексты политик обработки данных и согласий, что ставит под сомнение реальную информированность.
• Асимметрия власти: в отношениях с крупными платформами пользователь часто не имеет реальной возможности отказать в согласии, так как это может лишить его доступа к сервису (например, в социальных сетях, мессенджерах).
• Сложность отзыва: процедура отзыва согласия может быть неочевидной или требовать неоправданных усилий (например, отправка письменного заявления по почте).
• Неоднозначность «свободы»: согласие, данное в условиях, когда отказ влечёт за собой негативные последствия (например, отказ в предоставлении услуги), не может считаться полностью свободным.

В ответ на эти проблемы в ряде юрисдикций (например, в ЕС) вводится требование «активного согласия» (opt-in) и запрет на «согласие как условие предоставления услуги», если обработка данных не является строго необходимой для её оказания.

¶Источники

1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 9, 10, 11, 15.5).
2. Кодекс Российской Федерации об административных правонарушениях (ст. 13.11).
3. Регламент Европейского парламента и Совета Европейского Союза 2016/679 от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных (GDPR) (ст. 4, 7, 8, 9).
4. Разъяснения Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) по вопросам получения согласия на обработку персональных данных.
5. Судебная практика Верховного Суда РФ по делам о защите персональных данных.