Нужно ли согласие на обработку персональных данных при сборе номеров телефонов на ярмарке для последующего обзвона

Нужно ли согласие на сбор номера телефона как персональных данных

Номер мобильного телефона, оставленный посетителем ярмарки, является персональными данными, а фиксирование его вами — обработкой этих данных. Ваша организация в этот момент становится оператором персональных данных.

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 1 1 ) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом; (Дополнение пунктом - Федеральный закон от 30.12.2020 № 519-ФЗ) 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
— ст. 3 п. 1 ФЗ № 152-ФЗ «О персональных данных»

Для ваших фактов это означает: раз вы собираете номера в систематизированном виде (анкета, список, база) для последующего использования, вы осуществляете обработку и подпадаете под ФЗ № 152-ФЗ. Обработка персональных данных по общему правилу допускается только с согласия субъекта.

По закону согласие на обработку персональных данных может быть дано в любой форме, позволяющей подтвердить факт его получения (ст. 9 ч. 1 ФЗ-152), то есть письменная форма не является безусловно обязательной для обычных персональных данных. Однако именно на операторе лежит обязанность доказать получение согласия:

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
— ст. 9 п. 1 ФЗ № 152-ФЗ «О персональных данных»

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ст. 9 п. 3 ФЗ № 152-ФЗ «О персональных данных»

Существенное значение имеет то, что бремя доказывания получения согласия лежит на вас (операторе, п. 3 ст. 9). Если посетитель просто «сам оставил номер», у вас нет фиксируемого документа. При обращении в Роскомнадзор вы не сможете подтвердить, что согласие было дано конкретно, предметно и информированно. Поэтому письменное согласие (либо заполненная анкета с отметкой гражданина и его подписью) — необходимое для безопасной работы решение; «просто оставленный номер» юридически недостаточно защищён.

Вывод: согласие нужно обязательно. Формально закон допускает согласие «в любой форме, позволяющей подтвердить факт получения», но бремя доказывания — на вашей организации, поэтому без письменной фиксации (подпись в анкете/согласии) вы не сможете подтвердить качество согласия. «Просто оставленный номер» как доказательство недостаточен и рискован.

Отдельное предварительное согласие на телефонные звонки рекламного характера

Даже если вы получили согласие на обработку персональных данных, для самих звонков с предложением услуг действует отдельное требование закона о рекламе: требуется предварительное согласие абонента именно на получение рекламы по телефону. Формальное «согласие на обработку данных» само по себе не равнозначно согласию на получение рекламных звонков.

Распространение рекламы по сетям электросвязи, в том числе посредством использования телефонной, факсимильной, подвижной радиотелефонной связи, допускается только при условии предварительного согласия абонента или адресата на получение рекламы. При этом реклама признается распространенной без предварительного согласия абонента или адресата, если рекламораспространитель не докажет, что такое согласие было получено.
— ст. 18 ч. 1 ФЗ № 38-ФЗ «О рекламе»

Для ваших фактов это ключевой момент: если ваши звонки направлены на привлечение внимания к услугам (реклама), они допускаются только при условии предварительного согласия абонента на получение рекламы. При этом закон прямо говорит: реклама считается распространённой без согласия, если вы не докажете, что согласие было получено. То есть доказывать наличие согласия на рекламу придётся вам.

Именно поэтому целесообразно в согласии на обработку персональных данных отдельной строкой предусмотреть согласие на получение рекламы по телефону (например: «Я согласен(на) на получение на указанный номер телефона рекламной информации об услугах ООО «…» путём телефонных звонков»). Простое «оставление номера» не создаёт предусмотренного ст. 18 ФЗ-38 предварительного согласия на рекламные звонки — это два разных согласия с разной правовой природой.

Вывод: для звонков рекламного характера требуется отдельное предварительное согласие абонента на получение рекламы, и именно вам придётся его доказывать. Одного факта оставления номера (даже с согласием на обработку данных) недостаточно — в согласии должна быть отдельная формулировка о согласии на рекламные звонки.

Ответственность за нарушение: штрафы за обработку без согласия и за рекламу без согласия

Несоблюдение перечисленных требований влечёт административную ответственность по двум разным статьям КоАП РФ — за нарушение законодательства о персональных данных и за нарушение законодательства о рекламе.

За обработку персональных данных без согласия (когда оно требуется) — ст. 13.11 ч. 2 КоАП РФ:

Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей.
— ст. 13.11 ч. 2 КоАП РФ

Для вашей организации как юридического лица это значит: если вы собираете и храните номера без надлежащего согласия, штраф составит от 300 тыс. до 700 тыс. рублей, а при повторном нарушении — от 1 млн до 1,5 млн рублей.

За нарушение требований к рекламе, распространяемой по сетям электросвязи (звонки), — ст. 14.3 ч. 4.1 КоАП РФ:

Нарушение установленных законодательством о рекламе требований к рекламе, распространяемой по сетям электросвязи, - влечет наложение административного штрафа на граждан в размере от десяти тысяч до двадцати тысяч рублей; на должностных лиц - от двадцати тысяч до ста тысяч рублей; на юридических лиц - от трехсот тысяч до одного миллиона рублей.
— ст. 14.3 ч. 4.1 КоАП РФ

Это прямое последствие ст. 18 ФЗ-38: если вы звоните с рекламой без предварительного согласия, штраф для юридического лица — от 300 тыс. до 1 млн рублей. Обе статьи применяются независимо друг от друга: при выявлении нарушений за каждое из них (и обработка данных, и рекламные звонки) возможны отдельные производства.

Дополнительно: если звонок носит не рекламный, а чисто информационный характер (например, уточнение, интересен ли посетителю расчёт стоимости) — требование ст. 18 ФЗ-38 к рекламе может не применяться, но остаётся требование согласия на обработку персональных данных по ФЗ-152. Риск переквалификации: любое упоминание услуг/коммерческое предложение в звонке с высокой вероятностью будет признано рекламой, поэтому безопасно получить и согласие на обработку, и согласие на получение рекламы.

Вывод: при сборе номеров без согласия и/или звонках с рекламой без предварительного согласия вам грозят штрафы по ст. 13.11 ч. 2 (300–700 тыс. руб., повторно 1–1,5 млн руб.) и ст. 14.3 ч. 4.1 (300 тыс.–1 млн руб.) КоАП РФ. Минимизировать риски можно только оформив письменное согласие, сочетающее и согласие на обработку персональных данных, и отдельное предварительное согласие на получение рекламы по телефону.

Обязанности оператора: уведомление Роскомнадзора и гражданско-правовые последствия

Помимо согласия, организация как оператор персональных данных несёт процедурные обязанности — в частности, обязанность уведомить Роскомнадзор о начале обработки персональных данных.

Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 2) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
— ст. 22 ч. 1, 2 п. 8 ФЗ № 152-ФЗ «О персональных данных»

Для вас важно из ч. 2 ст. 22 ФЗ-152: есть исключение, когда уведомление Роскомнадзора не требуется — если обработка ведётся исключительно без использования средств автоматизации (например, номера записываются в бумажный список). В этом случае (при неавтоматизированной обработке в рамках одной организации — п. 8 ч. 2 ст. 22) уведомление не обязательно. Но как только вы заносите номера в электронную базу/CRM с автоматизацией, обязанность уведомить Роскомнадзор до начала обработки возникает. Также у оператора есть обязанность разместить политику в отношении обработки персональных данных (ст. 18.1 ФЗ-152, за неопубликование — штраф по ст. 13.11 ч. 3 КоАП).

Помимо административной, существует и гражданско-правовая ответственность перед самим посетителем:

Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
— ст. 24 ч. 2 ФЗ № 152-ФЗ «О персональных данных»

Для ваших фактов это означает: если посетитель докажет, что его права как субъекта персональных данных нарушены (например, несанкционированные звонки без согласия), он вправе взыскать с организации компенсацию морального вреда в суде, независимо от возмещения имущественного вреда и убытков и вне связи с административными штрафами. Это дополнительный гражданско-правовой риск помимо санкций Роскомнадзора и ФАС.

Практические требования безопасности: фиксируя номера, разумно ограничить цель обработки (только для связи по запросу), хранить номера не дольше необходимости, обеспечить посетителю возможность отозвать согласие и потребовать удаления номера (ст. 9 ч. 2 ФЗ-152; неисполнение требования об уничтожении — штраф по ст. 13.11 ч. 5 КоАП).

Вывод: организация как оператор обязана (по ч. 1 ст. 22 ФЗ-152) уведомить Роскомнадзор о начале обработки, если обработка автоматизированная; при исключительно бумажном сборе без средств автоматизации уведомление не требуется. Дополнительно при нарушении прав посетители вправе взыскать моральный вред (ст. 24 ч. 2 ФЗ-152) независимо от административных штрафов. Всеобъемлющее гражданско-правовое и административное последствие делает обязательным оформление письменного согласия с обеими составляющими (обработка данных + согласие на рекламные звонки).

Срок действия согласия, право отзыва и обязанность прекратить звонки

Согласие на обработку персональных данных не является бессрочным: его содержание прямо требует указания срока действия и способа отзыва.

срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; 9) подпись субъекта персональных данных.
— ст. 9 ч. 4 п. 8 ФЗ № 152-ФЗ «О персональных данных»

Соответственно, в письменном согласии, которое вы оформляете на ярмарке, необходимо указать срок, в течение которого действует согласие (например, конкретный период или до отзыва), и способ отзыва (например, направление заявления на e-mail). Без указания срока согласие будет дефектным по составу сведений, что само по себе образует состав правонарушения по ст. 13.11 ч. 2 КоАП РФ.

Право посетителя отозвать согласие в любой момент закреплено законом:

Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ст. 9 ч. 2 ФЗ № 152-ФЗ «О персональных данных»

Для вас это означает: получив отзыв согласия, вы обязаны прекратить обработку номера, если нет иных законных оснований (п. 2–11 ч. 1 ст. 6 ФЗ-152). При этом согласие на обработку данных и согласие на получение рекламы — самостоятельные: отзыв одного не обязательно отзывает другое, поэтому механизм отзыва желательно предусмотреть для каждого согласия отдельно.

Отдельно для рекламных звонков действует обязанность немедленного прекращения:

Рекламораспространитель обязан немедленно прекратить распространение рекламы в адрес лица, обратившегося к нему с таким требованием.
— ст. 18 ч. 1 ФЗ № 38-ФЗ «О рекламе» (обязанность прекратить рассылку)

Для ваших фактов это практический результат: даже при наличии согласия посетитель вправе в любой момент потребовать прекратить звонки, и вы обязаны сделать это немедленно. Неисполнение этого требования влечёт ответственность как нарушение ст. 18 ФЗ-38.

О разграничении рекламных и нерекламных звонков. Ст. 18 ФЗ-38 регулирует распространение именно рекламы. Если звонок носит сугубо информационный характер (ответ на оставленный запрос, уточнение интереса без предложения конкретных услуг и цен), требование о предварительном согласии на «получение рекламы» формально может не применяться — однако любое коммерческое предложение в диалоге с высокой вероятностью будет квалифицировано как реклама. Поэтому надёжная практика — в любом случае получать оба согласия: и на обработку персональных данных, и отдельное предварительное согласие на рекламные звонки.

Вывод: в согласии нужно явно указать срок его действия и способ отзыва (п. 8 ч. 4 ст. 9 ФЗ-152); посетитель вправе в любой момент отозвать согласие (ч. 2 ст. 9 ФЗ-152), а вы обязаны немедленно прекратить звонки по его требованию (ст. 18 ч. 1 ФЗ-38). Для звонков рекламного характера согласие на получение рекламы — обязательное и отдельное от согласия на обработку данных.