Согласие на обработку данных

Согласие на обработку данных - правовой институт, представляющий собой добровольное, конкретное, информированное и однозначное волеизъявление физического лица (субъекта данных), посредством которого он разрешает обработку своих персональных данных для определённых целей.

В интернет-маркетинге согласие является основным законным основанием для сбора и использования информации о пользователях: от подписки на рассылки до установки файлов Cookies и настройки таргетинга. От того, насколько грамотно организован сбор и хранение согласий, зависит законность всей маркетинговой деятельности компании.

Правовая природа согласия

Согласие на обработку данных является ключевым понятием в законодательстве о защите персональных данных.

Согласие как основание обработки

Обработка персональных данных допускается только при наличии хотя бы 1 законного основания. Согласие - наиболее распространённое основание, но не единственное. Другие основания включают исполнение договора, соблюдение закона, защиту жизни и здоровья, выполнение публично значимых функций и законные интересы оператора.

Место согласия в системе права

Требования к согласию устанавливаются:

Федеральным законом № 152-ФЗ «О персональных данных» (для России).
GDPR (для Европейского союза).
Иными отраслевыми и международными нормативными актами.

Несоблюдение этих требований влечёт административную, гражданско-правовую и иные виды ответственности.

Требования к согласию

Для того чтобы согласие считалось действительным, оно должно соответствовать ряду критериев.

Конкретность

Согласие должно относиться к чётко определённым целям обработки. Недопустимо получать "общее" согласие на все случаи жизни. Для разных целей (например, для регистрации, для рассылки, для передачи партнёрам) должны быть отдельные отметки.

Информированность

Субъект должен понимать, какие именно данные собираются, кем, как долго будут храниться, кому могут передаваться и какие последствия может иметь отказ от предоставления данных. Эта информация должна быть изложена доступным языком.

Добровольность

Согласие дается свободно, без принуждения. Не допускается обусловливать предоставление услуги получением согласия на обработку данных, не необходимых для оказания этой услуги.

Однозначность

Согласие должно быть выражено недвусмысленно. Молчание, бездействие или предустановленные галочки (по умолчанию) не могут считаться согласием. Субъект должен совершить активное действие.

Формы получения согласия

В зависимости от характера взаимодействия с субъектом используются разные формы получения согласия.

Письменная форма

Требуется в случаях, установленных законом (например, для обработки специальных категорий персональных данных, для трансграничной передачи). Письменное согласие должно содержать все обязательные реквизиты и подписываться собственноручно.

Электронная форма

Наиболее распространённая форма в интернет-маркетинге. Реализуется через:

Отметку в чек-боксе (галочку) при регистрации.
Нажатие кнопки "Подписаться" или "Отправить".
Заполнение и отправку электронной формы.
Проставление отметки в настройках аккаунта.

Конклюдентные действия

В некоторых случаях согласие может выражаться через действия, однозначно свидетельствующие о воле субъекта (например, загрузка файла на сайт для печати фотографий). Однако для маркетинговых целей этот способ применяется редко из-за риска неоднозначного толкования.

Согласие на обработку cookies

Для получения согласия на установку файлов Cookies используются специальные баннеры (cookie-баннеры), которые должны:

Информировать о типах используемых cookies.
Предоставлять возможность принять все cookies, отклонить необязательные или настроить параметры.
Не считать продолжение навигации (скроллинг, переход на другую страницу) согласием.

Содержание согласия

Документ (или электронная запись), фиксирующий согласие, должен содержать определённые сведения.

Обязательные реквизиты

Фамилия, имя, отчество субъекта (или иной идентификатор, например, адрес электронной почты, если личность можно установить иным способом).
Адрес электронной почты или номер телефона, по которому можно связаться с субъектом.
Наименование или фамилия, имя, отчество оператора, получающего согласие.
Цели обработки персональных данных.
Перечень персональных данных, на обработку которых даётся согласие.
Наименование или фамилия, имя, отчество лица, которое будет обрабатывать данные по поручению оператора (если такое поручение предполагается).
Перечень действий с данными, на совершение которых даётся согласие.
Срок, в течение которого действует согласие, и способ его отзыва.
Подпись субъекта (для письменной формы).

Специфика для интернет-среды

При сборе согласий через интернет многие из этих реквизитов фиксируются автоматически:

IP-адрес и время дачи согласия.
URL страницы, на которой было дано согласие.
Технические данные о браузере и устройстве.
Текст согласия (версия политики конфиденциальности), действовавший на момент согласия.

Эти данные должны храниться оператором для подтверждения факта получения согласия в случае проверок или споров.

Специальные виды согласий

Для отдельных видов обработки требуются особые формы согласия.

Согласие на трансграничную передачу

Если данные планируется передавать в страны, не обеспечивающие адекватный уровень защиты, требуется отдельное, явно выраженное согласие субъекта на такую передачу.

Согласие на обработку специальных категорий

Обработка данных о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни допускается только при наличии отдельного письменного согласия (или в иных, строго ограниченных законом случаях).

Согласие на биометрию

Обработка биометрических персональных данных (изображение лица, отпечатки пальцев, голос) также требует отдельного согласия, если иное не установлено законом.

Согласие несовершеннолетних

Обработка данных лиц, не достигших определённого возраста (в России - 14 лет), требует согласия законных представителей. После 14 лет несовершеннолетний может давать согласие самостоятельно.

Отзыв согласия

Субъект имеет право в любой момент отозвать своё согласие на обработку данных.

Порядок отзыва

Оператор обязан обеспечить возможность отзыва согласия тем же способом, каким оно было получено (или иным, не менее удобным). Например, в каждом письме рассылки должна быть ссылка для отписки.

Последствия отзыва

Оператор обязан прекратить обработку данных и уничтожить их в установленный срок (обычно 30 дней).
Если данные обрабатываются на других законных основаниях (например, для исполнения договора), обработка может продолжиться без согласия.
Отзыв согласия не имеет обратной силы - обработка, осуществлённая до отзыва, остаётся законной.

Техническая реализация отзыва

В интернет-маркетинге механизмы отзыва должны быть автоматизированы:

Ссылка "Отписаться от рассылки" в каждом email.
Личный кабинет с возможностью управления настройками.
Форма обратной связи для запросов на удаление данных.
API-интеграции для синхронизации отказов между системами.

Согласие и маркетинговые инструменты

В работе маркетолога согласие является основой для использования многих инструментов.

Email-маркетинг

Для отправки электронных писем рекламного характера требуется предварительное согласие. При этом рекомендуется использовать механизм double opt-in (подтверждение через ссылку в письме) для дополнительной защиты от претензий.

Cookies и пиксели

Установка аналитических и рекламных файлов cookies, а также пикселей отслеживания требует согласия. Технические cookies (необходимые для работы сайта) могут устанавливаться без согласия.

Таргетинг и ретаргетинг

Использование данных для показа персонализированной рекламы на сторонних площадках (Яндекс Директ, VK Реклама) также требует согласия, которое должно быть получено до передачи данных рекламной платформе.

Передача данных партнёрам

Если данные будут передаваться третьим лицам (например, в CRM или сервис аналитики), это должно быть явно указано в согласии.

Документирование согласий

Оператор обязан хранить записи о полученных согласиях и предоставлять их по требованию контролирующих органов или самих субъектов.

Что должно храниться

Текст согласия (версия, действовавшая на момент получения).
Дата и время получения согласия.
Способ получения (URL страницы, название формы).
IP-адрес субъекта.
Информация о том, какие именно пункты были приняты (для многоуровневых согласий).
Подтверждение факта ознакомления с политикой конфиденциальности.

Сроки хранения

Данные о согласиях хранятся в течение всего срока обработки данных и после его окончания - в течение срока исковой давности (обычно 3 года) для защиты интересов оператора в случае споров.

Типичные ошибки при сборе согласий

Маркетологи часто допускают ошибки, которые могут привести к признанию согласия недействительным и к штрафам.

Предустановленные галочки

Отметка о согласии не должна стоять "по умолчанию". Пользователь должен активировать её сам.

Отсутствие выбора

Нельзя объединять разные цели в одном согласии. Пользователь должен иметь возможность согласиться на рассылку, но отказаться от передачи данных партнёрам.

Непонятный язык

Политика конфиденциальности и текст согласия должны быть написаны понятным языком, без сложных юридических конструкций.

Отсутствие возможности отзыва

Если пользователь не может легко отозвать согласие (например, нет ссылки для отписки), это нарушение.

Сбор избыточных данных

Нельзя запрашивать данные, не нужные для заявленной цели (например, номер паспорта для подписки на новости).

Нефиксирование факта согласия

Если компания не может доказать, что согласие было получено, считается, что его не было.

Связанные термины

Аноним

Поиск