- Обработка ПД без законного основания запрещена — нельзя собирать данные просто потому, что они нужны
- Основные основания: согласие, исполнение договора, требование закона, защита жизни, функции оператора
- Для одной цели подходит одно основание — важно не подменять договор согласием и наоборот
- Каждое основание нужно задокументировать в перечне обработки
- Сбор данных «на всякий случай» без конкретной цели и основания — нарушение
«Нам эти данные нужны» — не основание для их обработки. ФЗ-152 устроен так, что любая обработка персональных данных должна опираться на одно из законных оснований. Нет основания — нет права обрабатывать. Разберёмся, какие основания существуют, как выбрать подходящее и почему это важнее, чем кажется.
Закон исходит из того, что обработка персональных данных по умолчанию запрещена, и разрешает её только при наличии конкретного основания. Это переворачивает привычную логику: не «можно всё, что не запрещено», а «нельзя ничего, для чего нет основания».
Пять основных оснований
ФЗ-152 предусматривает несколько законных оснований обработки. На практике бизнес чаще всего сталкивается с пятью.
Согласие субъекта
Самое известное и распространённое основание. Субъект добровольно соглашается на обработку своих данных. Согласие должно быть конкретным, информированным, сознательным и оформленным — обычно чекбоксом в форме или подписью на бумаге.
Исполнение договора
Если обработка необходима для выполнения договора, стороной которого является субъект, отдельное согласие не нужно. Интернет-магазину не требуется согласие на использование адреса для доставки — без адреса договор просто не исполнить.
Требование закона
Иногда закон прямо обязывает обрабатывать данные. Работодатель ведёт кадровый учёт, банк проводит идентификацию клиента, бухгалтерия хранит документы. Здесь согласие не требуется — обработка предписана.
Защита жизни и здоровья
Когда обработка нужна для защиты жизненно важных интересов человека, а получить согласие невозможно. Классический пример — медицинская помощь человеку без сознания.
Осуществление функций оператора
Для государственных и иных органов, выполняющих публичные функции, основанием служит сама необходимость выполнять эти функции.
Какое основание для какой цели
Главное умение — правильно сопоставить цель обработки с основанием. Вот ориентир.
| Цель обработки | Подходящее основание | Нужно согласие? |
|---|---|---|
| Доставка заказа | Исполнение договора | Нет |
| Рекламная рассылка | Согласие | Да |
| Кадровый учёт | Требование закона | Нет |
| Расчёт зарплаты | Требование закона + договор | Нет |
| Аналитика поведения на сайте | Согласие | Да |
| Идентификация клиента в банке | Требование закона | Нет |
| Программа лояльности | Согласие | Да |
Частая ошибка — подводить рекламную рассылку под «исполнение договора». Рассылка предложений не нужна для исполнения договора купли-продажи, значит, договорное основание тут не работает — нужно согласие. И наоборот: требовать согласие на обработку, которая и так предписана законом, избыточно и запутывает субъекта.
Принцип минимизации
С основаниями тесно связан принцип минимизации: собирать можно только те данные, которые действительно нужны для заявленной цели, и хранить их только столько, сколько необходимо.
Это значит, что форма заказа не должна требовать дату рождения, если она не нужна для доставки. А если данные собраны для конкретной цели и цель достигнута, хранить их бесконечно «на всякий случай» нельзя.
От цели зависит и основание, и набор собираемых данных, и срок хранения. Поэтому работа с основаниями всегда начинается с вопроса: зачем мне эти данные? Если внятного ответа нет, значит, и собирать их не нужно.
Документирование оснований
Мало выбрать правильное основание — его нужно задокументировать. Оператор должен вести перечень обработки, где для каждой категории данных указано, на каком основании и для какой цели они обрабатываются.
| Категория данных | Цель | Основание | Срок хранения |
|---|---|---|---|
| Email клиентов | Рассылка | Согласие | До отзыва согласия |
| Адрес доставки | Выполнение заказа | Договор | 60 дней после доставки |
| Данные сотрудников | Кадровый учёт | Закон (ТК РФ) | По срокам архива |
| Cookies | Аналитика | Согласие | 1 год |
Этот документ — первое, что проверит инспектор. Он показывает, что компания осознанно подходит к обработке, а не собирает данные хаотично.
Типичные нарушения, связанные с основаниями
Чтобы закрепить понимание, посмотрим, как чаще всего ошибаются.
Компания собирает данные «про запас», не имея конкретной цели, — нарушение принципа минимизации. Рекламную рассылку маскируют под исполнение договора — подмена основания. У данных, собранных по согласию, давно истёк смысл хранения, а их не удаляют — нарушение срока. Согласие сформулировано размыто, «на всё подряд», — оно не считается конкретным и информированным.
Частые вопросы об основаниях обработки
Чек-лист по основаниям обработки
- Для каждой цели обработки определено законное основаниеобязательно
- Основания задокументированы в перечне обработкиобязательно
- Согласие используется только там, где оно действительно нужнообязательно
- Рассылка и аналитика оформлены отдельными согласиямиобязательно
- Соблюдён принцип минимизации — лишние данные не собираются
- Определены сроки хранения для каждой категории
- Данные с истёкшей целью удаляются, а не хранятся «про запас»
Правильно выстроенные основания обработки — это фундамент всего соответствия ФЗ-152. Когда для каждой цели есть законное основание, а лишние данные не собираются, большинство проблем с законом отпадает само собой. Это не бюрократия ради бюрократии, а способ навести порядок в том, что и зачем компания делает с чужими данными.