Срок действия согласия на обработку персональных данных не обязательно должен быть определен конкретной датой
Арбитражные суды трех инстанций признали незаконным предписание Роскомнадзора указать срок действия письменного согласия на обработку персональных данных.
Разработанную экспертами компании «Гарант» форму согласия субъекта на обработку персональных данных можно найти в интернет-версии системы ГАРАНТ. Получите полный доступ на 3 дня бесплатно!
Напомним, что согласно ч. 4 ст. 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Такое согласие должно включать в себя в том числе срок, в течение которого оно действует, а также способ его отзыва, если иное не установлено федеральным законом.
В рассматриваемом случае в согласии было указано, что оно вступает в силу со дня его подписания и действует в течение неопределенного срока и может быть отозвано на основании письменного заявления в произвольной форме. Суды сочли это надлежащим исполнением вышеприведенного требования закона, поскольку данная норма не предусматривает указания в согласии конкретного срока, в течение которого оно действует. Предельный срок действия такого согласия также не установлен законодателем. В рассматриваемом случае срок действия согласия определен началом его действия (со дня подписания) и заканчивается моментом востребования — письменным отзывом в произвольной форме. Таким образом, срок действия согласий субъектов персональных данных на их обработку в любом случае ограничен действием самого субъекта персональных данных по представлению письменного отзыва ранее данного им согласия, в связи с чем указанный срок можно квалифицировать сроком, определяющим момент востребования.
Верховный Суд Российской Федерации оснований для пересмотра соответствующих судебных актов арбитражных судов не усмотрел (определение ВС РФ от 5 марта 2018 г. № 307-КГ18-101).
Срок действия согласия на обработку персональных данных
Подборка наиболее важных документов по запросу Срок действия согласия на обработку персональных данных (нормативно–правовые акты, формы, статьи, консультации экспертов и многое другое).
- Персональные данные:
- Cookie
- Адвокатский запрос персональные данные
- Адрес электронной почты
- Акт об уничтожении персональных данных
- Аттестация информационной системы
- Показать все
- Персональные данные:
- Cookie
- Адвокатский запрос персональные данные
- Адрес электронной почты
- Акт об уничтожении персональных данных
- Аттестация информационной системы
- Показать все
Статьи, комментарии, ответы на вопросы
Типовая ситуация: Персональные данные работников: понятие, обработка, защита и передача
(Издательство «Главная книга», 2023) Срок действия согласия закон не ограничивает, поэтому можно указать любой срок. Например, до дня его отзыва (ст. 9 Закона N 152-ФЗ).
Нормативные акты
Федеральный закон от 27.07.2006 N 152-ФЗ
(ред. от 06.02.2023)
«О персональных данных» 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
Правовые ресурсы
- «Горячие» документы
- Кодексы и наиболее востребованные законы
- Обзоры законодательства
- Федеральное законодательство
- Региональное законодательство
- Проекты правовых актов и законодательная деятельность
- Другие обзоры
- Календари
- Формы документов
- Полезные советы
Сколько действует согласие на обработку персональных данных
(введена Федеральным законом от 30.12.2020 N 519-ФЗ)
1. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
2. В случае раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия, предусмотренного настоящей статьей, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.
3. В случае, если персональные данные оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.
4. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения.
5. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных не установил запреты и условия на обработку персональных данных, предусмотренные частью 9 настоящей статьи, или если в предоставленном субъектом персональных данных таком согласии не указаны категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты в соответствии с частью 9 настоящей статьи, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без передачи (распространения, предоставления, доступа) и возможности осуществления иных действий с персональными данными неограниченному кругу лиц.
6. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено оператору:
2) с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.
7. Правила использования информационной системы уполномоченного органа по защите прав субъектов персональных данных, в том числе порядок взаимодействия субъекта персональных данных с оператором, определяются уполномоченным органом по защите прав субъектов персональных данных.
8. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
9. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ оператора в установлении субъектом персональных данных запретов и условий, предусмотренных настоящей статьей, не допускается.
10. Оператор обязан в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.
11. Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.
12. Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только оператором, которому оно направлено.
13. Действие согласия субъекта персональных данных на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается с момента поступления оператору требования, указанного в части 12 настоящей статьи.
14. Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения положений настоящей статьи или обратиться с таким требованием в суд. Данное лицо обязано прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу.
15. Требования настоящей статьи не применяются в случае обработки персональных данных в целях выполнения возложенных законодательством Российской Федерации на государственные органы, муниципальные органы, а также на подведомственные таким органам организации функций, полномочий и обязанностей.
(часть 15 в ред. Федерального закона от 14.07.2022 N 266-ФЗ)
(см. текст в предыдущей редакции)
Суды о сроке действия согласия на обработку персональных данных
Защита информации
Несмотря на то, что Федеральный закон «О персональных данных» (Закон № 152-ФЗ) существует уже давно, многие организации до сих пор не разобрались с особенностями его применения и регулярно получают предписания от Роскомнадзора по устранению недостатков в своей работе.
Как известно, в соответствии со статьей 6 Закона № 152-ФЗ в большинстве случаев обработка персональных данных возможна только при условии получения от субъекта его согласия. В особых случаях, установленных законом, такое согласие должно быть письменным, и включать в себя, в частности, условие о сроке его действия (п. 8 ч. 4 ст. 9 Закон № 152-ФЗ).
Следует отметить, что в приведенной норме законодатель не требует указывать в согласии конкретный срок его действия или устанавливать его предельный срок. Вместе с тем, сотрудники Роскомнадзора признали отсутствие в письменном согласии конкретного срока его действия нарушением п. 8 ч. 4 ст. 9 Закона № 152-ФЗ и выдали оператору предписание о его устранении. В свою очередь, оператор посчитал действия ведомства незаконными и обратился в суд.
Суды трех инстанций встали на сторону оператора и признали предписание Роскомнадзора незаконным. В решении суда отмечено, что срок действия согласия определен началом его действия (со дня подписания) и заканчивается моментом письменного отзыва в произвольной форме. Тринадцатый арбитражный апелляционный суд к этому добавил, что указание точного срока действия согласия субъекта персональных данных на их обработку в привязке к конкретному временному периоду или календарной дате не всегда возможно. Верховный Суд Российской Федерации оснований для пересмотра приведенных судебных актов не нашел ( Определение Верховного Суда РФ от 05.03.2018 № 307-КГ18-101 ).
Таким образом, суды открыли операторам персональных данных возможность определять срок действия согласия субъекта персональных данных на обработку таких данных неопределенным периодом, ограниченным лишь моментом отзыва такого согласия.