Согласие на распространение персональных данных и согласие на обработку

Компания публикует отзывы, кейсы и фото сотрудников с именами. Обычного согласия на обработку персональных данных для этого мало, нужен отдельный документ, согласие на распространение. Разбираем разницу, что должно быть в документе и что делать, если его нет.

Компания публикует на сайте отзывы клиентов с именем и фото. Клиент когда-то подписал согласие на обработку персональных данных при оформлении заказа. Этого мало. Чтобы законно разместить отзыв в открытом доступе, нужен отдельный документ, согласие на распространение персональных данных. Эти два согласия часто путают, и именно на такую путаницу обращает внимание Роскомнадзор при проверке сайтов.

Чем отличаются два вида согласия

Согласие на обработку персональных данных разрешает оператору собирать, хранить и использовать данные клиента внутри своих процессов. Оно нужно почти всегда, когда компания работает с именем, телефоном или почтой человека.

Согласие на распространение разрешает другое. Оно позволяет сделать данные доступными неограниченному кругу лиц. Публикация отзыва на сайте, кейса с именем клиента, фото сотрудника в статье компании, списка партнёров с указанием ответственных лиц — всё это распространение персональных данных.

Обработка остаётся внутри компании. Распространение выпускает данные наружу, к любому человеку в интернете. Закон выделил такое распространение в отдельную статью 10.1 Федерального закона № 152-ФЗ. Она действует с 1 марта 2021 года, поправки внёс Федеральный закон № 519-ФЗ от 30 декабря 2020 года.

Когда нужно отдельное согласие

Отдельное согласие нужно каждый раз, когда компания собирается сделать персональные данные доступными неопределённому кругу лиц. Частые случаи из практики небольших компаний.

• Отзыв клиента с именем и фамилией на сайте или в соцсетях
• Кейс или портфолио с именем заказчика
• Фото и должность сотрудника на странице «О компании»
• Список победителей конкурса или акции
• Благодарственное письмо от клиента, опубликованное для рекламы

Обычное согласие на обработку персональных данных, которое клиент подписывает при заказе или на кассе, эти случаи не покрывает. Оно даёт право работать с данными внутри компании и не даёт права выставлять их напоказ.

Что должно быть в согласии на распространение

Роскомнадзор утвердил требования к содержанию такого согласия приказом от 24 февраля 2021 года № 18. Согласие оформляют отдельным документом, не вставляют пунктом в общий текст пользовательского соглашения или договора. В документе указывают перечень персональных данных, которые человек разрешает распространять, цель распространения, категории получателей или прямое указание, что данные станут доступны неограниченному кругу лиц.

Человек вправе установить запреты и условия. Например, разрешить публикацию имени и должности, но запретить публикацию фото. Или разрешить распространение только на сайте компании и запретить передачу данных другим организациям для маркетинга. Оператор обязан такие условия соблюдать и хранить документ, которым они зафиксированы.

Что будет, если отдельного согласия нет

Если человек обнаружил свои данные в открытом доступе без согласия на распространение, он вправе потребовать у оператора прекратить распространение и удалить данные из источников, куда оператор может дотянуться. Отказ или бездействие оператора создаёт риск жалобы в Роскомнадзор и проверки. Ответственность за нарушение установлена статьёй 13.11 КоАП РФ.

На практике чаще всего страдают компании, которые размещают отзывы и кейсы автоматически, без отдельного шага для согласия на распространение. Клиент оставил отзыв в форме на сайте, форма собрала согласие на обработку, отзыв опубликовали. Отдельного шага для согласия на распространение в этой цепочке нет.

Что делать

Проверьте, публикует ли сайт компании персональные данные клиентов, партнёров или сотрудников: отзывы, кейсы, фото, списки. Для каждого такого места заведите отдельную форму или отдельный пункт согласия на распространение, оформленный по требованиям приказа № 18. Не объединяйте его с согласием на обработку и не прячьте в тексте оферты.

Проведите ревизию уже опубликованных материалов. Если под старыми отзывами и кейсами нет отдельного согласия на распространение, соберите его заново или уберите публикацию до момента, пока согласие не оформлено.

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Держите под рукой актуальный текст закона и шаблоны документов.

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Частые вопросы

Нужно ли согласие на распространение, если клиент сам написал отзыв в соцсетях

Если клиент сам опубликовал отзыв в своём аккаунте, это его личное решение, закон о персональных данных здесь не применяется. Другое дело, если компания взяла этот отзыв и разместила у себя на сайте с именем клиента. Здесь уже нужно согласие на распространение от самой компании как оператора.

Можно ли включить согласие на распространение в общий текст пользовательского соглашения сайта

Нет. Требования Роскомнадзора прямо запрещают такое объединение. Согласие на распространение оформляют отдельным документом или отдельной формой, которую человек подписывает или отмечает осознанно, а не «заодно» с другими условиями.

Что делать, если клиент отозвал согласие на распространение

Оператор обязан прекратить распространение и удалить данные из источников, которые находятся под его контролем, например с собственного сайта. Если данные успели скопировать другие ресурсы, оператор обязан предпринять разумные действия, чтобы прекратить их дальнейшее распространение, но не отвечает за действия третьих лиц, на которые повлиять не может.

Распространяется ли требование на данные сотрудников на странице «О компании»

Да. Публикация фото, имени и должности сотрудника на сайте компании тоже распространение персональных данных. Работодателю нужно отдельное согласие сотрудника, а не только согласие на обработку, которое обычно подписывают при трудоустройстве.