Для распространения персональных данных нужно особое согласие

В апрельском номере журнала (№ 169) сообщалось, что 01.03.2021 г. вступил в силу Федеральный закон от 30.12.2020 г. № 519-ФЗ «О внесении изменений в Федеральный закон «О персональных данных» (далее Закон). 

Законом введено понятие «персональные данные, разрешенные субъектом персональных данных для распространения» — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в предусмотренном Законом порядке. 
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. 
Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
Также Закон закрепил право Роскомнадзора устанавливать требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения. 

Требования к согласию

Такие требования были утверждены приказом Роскомнадзора от 24.02.2021 г. № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения». Приказ вступает в силу с 01.09.2021 г. и действует до 01.09.2027 г. 
Таким образом, с 01.09.2021 г. согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, должно содержать следующую информацию:
1) фамилия, имя, отчество (при наличии) субъекта персональных данных;
2) контактная информация (номер телефона, адрес электронной почты или почтовый адрес субъекта персональных данных);
3) сведения об операторе: 
- операторе — организации — наименование, адрес, указанный в Едином государственном реестре юридических лиц, идентификационный номер налогоплательщика, основной государственный регистрационный номер (если он известен субъекту персональных данных);
- операторе — физическом лице — фамилия, имя, отчество (при наличии), место жительства или место пребывания;
- операторе-гражданине, являющимся индивидуальным предпринимателем, — фамилия, имя, отчество (при наличии), идентификационный номер налогоплательщика, основной государственный регистрационный номер (если он известен субъекту персональных данных);
4) сведения об информационных ресурсах оператора (адрес, состоящий из наименования протокола (http или https), сервера (www), домена, имени каталога на сервере и имя файла веб-страницы), посредством которых будет осуществляться предоставление доступа неограниченному кругу лиц и иные действия с персональными данными субъекта персональных данных;
5) цель (цели) обработки персональных данных;
6) категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных:
- персональные данные (фамилия, имя, отчество (при наличии), год, месяц, дата рождения, место рождения, адрес, семейное положение, образование, профессия, социальное положение, доходы, другая информация, относящаяся к субъекту персональных данных);
- специальные категории персональных данных (расовая, национальная принадлежности, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимной жизни, сведения о судимости);
- биометрические персональные данные;
7) категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов (заполняется по желанию субъекта персональных данных);
8) условия, при которых полученные персональные данные могут передаваться оператором, осуществляющим обработку персональных данных, только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных (заполняется по желанию субъекта персональных данных);
9) срок действия согласия.
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено оператору непосредственно или с использованием информационной системы Роскомнадзора.

Прекращение действия согласия

Прекращение передачи (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, регламентировано Законом. 
Согласно  п. 12 ст. 10.1.  Закона в любое время по требованию субъекта персональных данных передача должна быть прекращена. Такое требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только оператором, которому оно направлено. С момента  поступления оператору требования действие согласия субъекта персональных данных на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается.
Кроме того, в случае несоблюдения положений Закона субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения, к любому лицу, обрабатывающему его персональные данные, или обратиться с таким требованием в суд. Данное лицо обязано прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу.

Ответственность

Согласно  ч.  2 ст. 13.11 КоАП РФ обработка персональных данных без письменного согласия субъекта, когда это необходимо, либо обработка данных с нарушением требований к составу сведений, включаемых в такое согласие, предусматривает наказание в виде административного штрафа:     
- на граждан — от 6 тыс. до 10 тыс. руб.;
- на должностных лиц — от 20 тыс. до 40 тыс. руб.;
- на юридических лиц — от 30 тыс. до 150 тыс. руб.
За причинение гражданину морального вреда (нравственных страданий) вследствие нарушения правил обработки персональных данных согласно ст. 24 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», ст. 151 ГК РФ предусмотрена компенсация морального вреда (независимо 
от возмещения имущественного вреда и понесенных субъектом убытков).