Согласие на обработку персональных данных

Что это значит

Согласие на обработку персональных данных - свободное, конкретное, информированное и однозначное волеизъявление, которым человек разрешает обрабатывать свои данные для определённой цели. По GDPR это одно из шести правовых оснований обработки, не единственное и часто не самое подходящее.

Свободное значит, что отказ не должен иметь для человека неблагоприятных последствий, а согласие не может быть условием услуги, которой оно не нужно. Конкретное значит, что оно касается чётко определённой цели, например рассылки. При нескольких целях согласие нужно получать на каждую отдельно.

Согласие можно отозвать в любой момент, и отзыв должен быть таким же простым, как предоставление. В отличие от законного интереса или исполнения договора согласие подходит прежде всего там, где у человека есть реальный выбор, например при e-mail-маркетинге или аналитических и маркетинговых cookies.

Как это работает на практике

При ревизии защиты данных у клиентов мы часто видим, что фирма собирает согласие там, где оно не нужно, например на обработку данных сотрудников для зарплат. Там правильное основание - исполнение договора и обязанность по закону. Лишнее согласие путает: если человек его отзовёт, фирма всё равно обязана обрабатывать данные.

Для рассылок мы советуем double opt-in, то есть подтверждение подписки кликом в письме. Так фирма может доказать, что согласие дал действительно владелец адреса, и у неё есть запись о времени и способе. Такое доказательство при проверке решающее.

Согласие должно быть отделено от прочих условий. Заранее отмеченные галочки, согласие, спрятанное в общих условиях, или формулировка «продолжая, вы соглашаетесь» - не действительное согласие. Для детей определённого возраста нужно согласие родителя.

На что обратить внимание

После отзыва согласия фирма должна прекратить обработку для этой цели и, если нет другого основания, удалить данные. Если она продолжает их использовать, например отправлять рассылку, она нарушает закон. Отзыв часто сопровождается и запросом на удаление.

Риск и в согласии, полученном «на всё». Общее согласие на «маркетинговые цели и сотрудничество с партнёрами» недостаточно конкретно. При проверке ведомство может его не признать, и обработка останется без действительного правового основания.