«На всякий случай возьмём согласие». Теперь риск, а не подстраховка 

Долгое время согласие считалось универсальной подстраховкой.

Не уверены в основании? Передаём данные подрядчику? Запускаем новый HR-процесс? Берем согласие!😏

Откуда взялась «культура согласий»
Из формального прочтения ст. 88 ТК и ч. 3 ст. 6 152-ФЗ. Там написано, что при передаче персональных данных работника и при поручении обработки нужно письменное согласие. Но у этих норм есть продолжение – «за исключением случаев…». И читать их нужно системно, в связке с ч. 1 ст. 6 152-ФЗ, где перечислены альтернативные основания: исполнение договора, исполнение обязанности, возложенной законом, законный интерес.

Теперь об этом намекает и Роскомнадзор. 

С 5 сентября 2025 года ужесточены критерии отнесения операторов к категориям риска в сфере персональных данных – а от категории зависит, как часто у оператора будут плановые проверки.

Оператор попадает в категорию тяжести «А» (самую высокую!) в том числе за то, что обрабатывает персональные данные на основании согласия субъекта, если получение такого согласия не предусмотрено федеральным законом.

Категория «А» – это плановая проверка Роскомнадзора раз в 2 года или ежегодный обязательный профилактический визит.

Это не значит, что проверка придёт завтра. Но это сигнал, что регулятор больше не воспринимает принцип «соберём согласия на всё» как признак добросовестного комплаенса. Напротив, он может свидетельствовать о неверном выборе правовых оснований обработки. 

Дальше поговорим, как эти основания правильно использовать.
#privacy