Что касается необходимости получения согласия на обработку персональных данных при самостоятельном предоставлении их клиентом (звонок, сообщение в мессенджер), решающее значение имеет цель обработки. Статья 6 Федерального закона № 152-ФЗ среди оснований для обработки без согласия субъекта называет случай, когда обработка необходима для заключения договора по инициативе субъекта или для исполнения договора. Если клиент, позвонив или написав, инициирует обсуждение ваших услуг, а вы используете его данные исключительно для связи с ним с целью заключения или исполнения договора (назвать цену, обсудить условия, выполнить заказ), то согласие не требуется — достаточно факта обращения. Однако важно, чтобы вы не использовали эти данные для других целей (например, рассылка рекламы). Если вы планируете отправлять клиентам информацию о новых услугах, такое согласие необходимо получать отдельно. Таким образом, при обработке только для связи по заказу согласие не нужно, если обращение поступило от самого субъекта. Но при этом вы обязаны соблюдать принципы обработки, установленные статьёй 5.
"1. Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; ... 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем."
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
Теперь о достаточности политики конфиденциальности, составленной по шаблону без конкретных целей. Общие требования к политике установлены статьёй 18.1, но в предоставленном контексте приведена только часть статьи, касающаяся мер, принимаемых оператором. В частности, пункт 2 части 1 этой статьи упоминает издание оператором, являющимся юридическим лицом, документов, определяющих политику. Однако вы — самозанятый, а не юридическое лицо, поэтому формально эта норма не предписывает вам именно издавать политику. Тем не менее, из статьи 5 (принципы обработки) следует, что обработка должна быть законной, справедливой, ограничиваться конкретными целями, а содержание и объём данных должны соответствовать заявленным целям. Политика конфиденциальности — это основной документ, который реализует эти принципы, информируя субъектов о целях, правовых основаниях, сроках обработки и т.д. Если вы уже разместили политику, она должна быть содержательной: из шаблона необходимо убрать общие фразы и чётко указать, что вы обрабатываете персональные данные исключительно для связи с клиентами по поводу ваших услуг (создание сайтов), а также что вы не передаёте данные третьим лицам без согласия. Отсутствие конкретики в политике — это нарушение требований к информированию, так как субъект не понимает, зачем и как именно вы используете его данные. При этом само по себе размещение политики не заменяет согласия в тех случаях, когда согласие необходимо (например, для рекламных рассылок). Для обработки в рамках договора достаточно политики и факта обращения клиента, но политика должна быть конкретной. Если вы будете использовать шаблон без указания целей, вас могут привлечь к ответственности за непредоставление информации субъекту (статья 18 Федерального закона № 152-ФЗ). В контексте этой статьи указано, что при сборе персональных данных оператор обязан предоставить по просьбе субъекта информацию, предусмотренную частью 7 статьи 14. Поскольку лица обращаются к вам по своей инициативе, вы не обязаны каждый раз устно разъяснять все детали, но политика должна содержать эти сведения, чтобы субъект мог с ними ознакомиться.
"Статья 5. Принципы обработки персональных данных
- Обработка персональных данных должна осуществляться на законной и справедливой основе.
- Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
...
- Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки."
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 5
При добавлении на сайт формы обратной связи, собирающей имя, номер телефона и email, ситуация меняется. Вы становитесь оператором, который целенаправленно собирает персональные данные, то есть инициируете сбор. В этом случае уже не действует «пассивное» получение данных от клиента. Если обработка осуществляется только для связи по заказу, то основание по пункту 5 части 1 статьи 6 (исполнение договора / заключение договора по инициативе субъекта) остаётся применимым, поскольку человек, заполняя форму, сам инициирует контакт. Однако позиция Роскомнадзора и судебная практика часто требуют отдельного согласия при активном сборе через форму, даже если цель — заключение договора. Чтобы минимизировать риски, рекомендуется получать согласие (например, через чекбокс «Даю согласие на обработку персональных данных»), хотя формально пункт 5 статьи 6 может служить основанием без согласия, если вы чётко ограничиваетесь обработкой для заключения и исполнения договора. Что касается уведомления Роскомнадзора, то с появлением формы обработка однозначно будет осуществляться с использованием средств автоматизации (база данных сайта, почтовый сервер), поэтому уведомление становится обязательным, если исключения не применяются. Исключение по пункту 8 части 2 статьи 22 (без средств автоматизации) уже не сработает, так как форма — это автоматизированный сбор. Других исключений, подходящих для вас (например, для операторов, имеющих лицензию или обрабатывающих данные без передачи третьим лицам, или для целей пропаганды), в предоставленном контексте нет. Таким образом, до запуска формы вам нужно подать уведомление в Роскомнадзор.
Касательно требований к содержанию политики конфиденциальности: в контексте дана только часть статьи 18.1, которая не раскрывает полного содержания. Тем не менее, из общих принципов и обязанностей оператора (статьи 5, 6, 18) следует, что политика должна содержать:
- сведения об операторе (ФИО, статус самозанятого);
- цели обработки (для связи по заказу, консультации, исполнение договора);
- перечень обрабатываемых данных (имя, телефон, email);
- правовое основание (пункт 5 части 1 статьи 6);
- сроки обработки и хранения;
- порядок отзыва согласия (если вы его получаете);
- информацию о трансграничной передаче (если нет);
- меры по защите данных.
Так как вы — самозанятый, вы не обязаны публиковать политику в каком-то строго определённом формате, но она должна быть доступна субъектам (что вы уже сделали). Шаблон без конкретных целей — это нарушение принципов статьи 5, так как цели не определены заранее, и объём данных может оказаться избыточным. Рекомендуется доработать политику, указав конкретные цели (например: «обработка персональных данных осуществляется в целях предоставления консультаций, заключения и исполнения договоров на создание сайтов»). Кроме того, если вы получаете данные по телефону или в мессенджере, вы должны при первом контакте устно либо в тексте сообщения информировать о том, что данные будут обрабатываться в соответствии с политикой, — это требование статьи 18 (обязанность предоставить информацию), хотя в контексте эта статья дана неполностью, но её суть сохраняется.
"Статья 18.1. Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.
- Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам, в частности, относятся: ... 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику о"
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 18.1
Резюмируя:
- Уведомление Роскомнадзора — при текущей ситуации (без формы) обязательно, если вы храните контакты клиентов в электронном виде; если исключительно на бумаге — не требуется. При добавлении формы уведомление становится обязательным в любом случае, так как средства автоматизации используются.
- Согласие на обработку — при получении данных от клиента по его инициативе (звонок, письмо) для цели заключения договора согласие не требуется (основание — п.5 ч.1 ст.6). При добавлении формы рекомендуется получать согласие через чекбокс, хотя закон допускает обработку без него при наличии договорных отношений. Для любых иных целей (реклама, статистика) согласие обязательно.
- Политика конфиденциальности — размещение политики необходимо, но шаблон должен быть адаптирован под ваши реальные цели. Отсутствие конкретики — нарушение. Отдельное согласие не нужно для договорной обработки, но политика должна разъяснять субъекту его права и ваши действия.
