Совет Федерации одобрил в третьем чтении законопроект, который вносит изменения в правила оформления согласия на обработку персональных данных. Поправки вступят в силу 1 сентября 2025 г.
Часть 1 статьи 9 Закона о персональных данных дополняется предложением:
«Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных».
На первый взгляд это изменение выглядит как нормативное закрепление уже сложившихся подходов:
⚫️Требование об отдельном оформлении согласия логично вытекает из базовых требований к нему: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным.
⚫️Роскомнадзор, Роспотребнадзор, ФАС и ЦБ уже давно и последовательно выступают против «навязанных» согласий, включенных в договоры.
⚫️Суды чаще всего признают такие согласия ничтожными, поскольку у субъекта нет реальной свободы выбора.
Но есть нюансы.
«Отдельно от иных информации и (или) документов»
Раньше многие операторы включали согласие в договоры отдельным блоком, который предполагал проставление отдельной галочки или подписи. Такой подход в целом не осуждался. С новой формулировкой не до конца понятно, останется ли такая практика допустимой или же придется готовить отдельный «листочек».
Поскольку формулировка допускает альтернативу (отдельно от информации или документов), то осторожный оптимизм сохраняется. Но будем следить за развитием практики и разъяснений регулятора.
❗️Что стоит перепроверить уже сейчас:
1) Договоры с субъектами
Если в рамках договорных отношений с субъектами вы получаете согласие для какой-то вспомогательной обработки (рассылки, аналитика и др.), то оформите согласие отдельным документом или хотя бы отдельным блоком с возможностью поставить отдельную галочку или подпись.
2) Интерфейсы сайтов и мобильных приложений
– Исключите объединение согласия с другими документами (пользовательским соглашением, политикой обработки и др.) под одной галочкой. Самый безопасный подход – предусмотреть не только отдельную галочку для согласия, но и оформить текст самого согласия как отдельный документ или, по крайней мере, как отдельный раздел, доступный к прочтению до выражения согласия (который не придется искать внутри политики или пользовательского соглашения).
– Откажитесь от получения согласий конклюдентными действиями (например, «продолжая использовать сайт....»). Согласие на обработку должно быть выражено активным действием.
3) Cookie-баннеры и условия обработки cookie
Как мы помним, Роскомнадзор признает данные, собираемые с использованием cookies, персональными. Соответственно, согласие на такой сбор также следует «отделять». Прятать согласие на использование cookies в пользовательское соглашение или иные подобные документы точно не следует. Соединять в одном cookie-баннере согласие с cookie и принятие пользовательского соглашения – теперь тоже не самое безопасное решение. В качестве примера для вдохновения приводим cookie-баннер от ФСТЭК.
🎁 Некоторое время назад мы подробно разбирали этот вопрос в статье для базы знаний PrivacyLine (там, кстати, еще много чего интересного 😏).
Пользуемся поводом и делимся с вами этим материалом! В статье вы найдете судебную практику и разъяснения регуляторов, а также рекомендации по допустимым вариантам совмещения согласий с договорами.