Иконка поиска
Логотип Все адвокаты
Вопрос
Защита персональных данных

Можно ли объединить согласие на обработку персональных данных и согласие на передачу третьим лицам в одном документе для кадрового агентства с 1 сентября

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Оформите единое письменное согласие на обработку персональных данных, а не два документа.descriptionСогласие на обработку персональных данных (бланк)
  2. 2
    Включите в согласие все девять обязательных элементов по ч. 4 ст. 9 152-ФЗ.
  3. 3
    В перечне действий укажите передачу (предоставление) данных заказчикам и подрядчикам.
  4. 4
    Укажите конкретные наименования получателей данных либо идентифицируемые категории получателей.
  5. 5
    Ограничьте перечень данных составом резюме и укажите конкретную цель обработки.
  6. 6
    Если планируется публикация резюме в открытом доступе: Оформите отдельное согласие по ст. 10.1, если планируете публиковать резюме в открытом доступе.descriptionСогласие на обработку и распространение персональных данных

Документы и доказательства

  • Единое письменное согласие на обработку персональных данных с включённой передачей заказчикам и подрядчикам.
  • В согласии — все девять элементов по ч. 4 ст. 9 152-ФЗ: цель, перечень данных, действия, получатели, срок, отзыв, подпись.
  • Наименования конкретных заказчиков и подрядчиков-получателей (п. 6 ч. 4 ст. 9) либо идентифицируемый перечень категорий.
  • Доказательства получения согласия: подписанные экземпляры, журнал учёта, электронные подтверждения (ч. 3 ст. 9).
  • Договоры с заказчиками и подрядчиками с условием о поручении обработки и конфиденциальности.

  • Срочно: первые шаги

    • До 01.09 подготовьте единый документ — согласие на обработку персональных данных.
    • Укажите конкретные наименования получателей данных, а не общие «третьи лица».
    • Обеспечьте подписание согласия каждым кандидатом и храните доказательства получения.

  • Сроки и риски

    • С 01.09 оформите единое письменное согласие со всеми девятью элементами по ч. 4 ст. 9 152-ФЗ.
    • Назовите конкретных получателей или категории лиц — размытые «третьи лица» недопустимы.
    • Храните доказательства получения согласия — бремя доказывания на вас (ч. 3 ст. 9).
    • Риск: штраф юрлицу 300 000–700 000 руб. по ч. 2 ст. 13.11 КоАП РФ.

  • Чего не делать

    • Не оформляйте отдельный документ «согласие на передачу третьим лицам» — законом он не предусмотрен.
    • Не ограничивайтесь формулировкой «третьи лица» — указывайте конкретных заказчиков и подрядчиков.
    • Не включайте в согласие данные сверх состава резюме — это нарушает принцип ограничения целями.
    • Не объединяйте в этом документе согласие на распространение данных — оно оформляется отдельно.
    • Не публикуйте резюме в открытом доступе без отдельного согласия по ст. 10.1.
    • Не пренебрегайте письменной формой и подписью субъекта — иначе согласие не докажете.

  • Когда нужен адвокат

    • Если заказчики и подрядчики постоянно меняются: Обратитесь к адвокату, если заказчики и подрядчики постоянно меняются — нужна корректная формулировка круга получателей.
    • Если проверка Роскомнадзора или спор с кандидатом об отзыве согласия: Привлеките адвоката при проверке Роскомнадзора или споре с кандидатом об отзыве согласия.
    • Если получено предписание или протокол по ст. 13.11 КоАП РФ: Нужен адвокат, если уже получили предписание или протокол по ст. 13.11 КоАП РФ — штраф для юрлиц до 700 000 руб.
    • Если произошла утечка данных: Обратитесь к адвокату при утечке данных — с 30.11.2024 штрафы достигают 10–15 млн руб. и более.
    • Если обрабатываются специальные категории данных: Привлеките адвоката, если обрабатываете специальные категории данных — риск штрафа до 15 млн руб. по ч. 16 ст. 13.11 КоАП РФ.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Развёрнутый ответ Нейроадвоката

Клиент — кадровое агентство, которое выступает оператором персональных данных кандидатов: собирает резюме, обрабатывает содержащиеся в них сведения и передаёт их заказчикам и подрядчикам. С 01.09 вступают в силу изменения в регулировании обработки персональных данных, в связи с чем агентству необходимо привести документацию в соответствие. Основной практический вопрос — допустимо ли оформить одно согласие, охватывающее и обработку, и передачу данных третьим лицам, либо требуется два отдельных документа.

Юридически значимым является то, что передача (предоставление) персональных данных заказчикам и подрядчикам — это не самостоятельное правовое основание, а одна из операций обработки, которая должна охватываться единым согласием. Закон не предусматривает конструкции «согласие на передачу третьим лицам» как отдельного документа: ч. 1 ст. 9 152-ФЗ требует лишь, чтобы согласие на обработку было оформлено отдельно от иных документов и информации, которые подписывает субъект. Следовательно, один документ допустим и достаточен, если в нём корректно отражены все обязательные элементы, включая перечень действий и получателей данных.

Можно ли объединить согласие на обработку и согласие на передачу третьим лицам в одном документе

Закон не требует оформлять отдельный документ именно «на передачу третьим лицам», а устанавливает общее правило: согласие на обработку персональных данных должно быть оформлено отдельно от иных документов и информации, которые подписывает субъект.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
— ч. 1 ст. 9 ФЗ «О персональных данных»

Для вашей ситуации это означает: передача (предоставление, распространение) персональных данных третьим лицам — это одна из операций обработки (п. 3 ст. 3 152-ФЗ), поэтому она должна быть охвачена тем же согласием, а не оформляться отдельно. > распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

— п. 5 ст. 3 ФЗ «О персональных данных», > предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
— п. 6 ст. 3 ФЗ «О персональных данных» — то есть раскрытие данных заказчикам и подрядчикам — это не отдельное правовое основание, а действия, которые надо перечислить в составе согласия.

В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных); 3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; 4) цель обработки персональных данных; 5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; 6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; 9) подпись субъекта персональных данных.
— ч. 4 ст. 9 ФЗ «О персональных данных»

Ключевой вывод: с точки зрения 152-ФЗ одного документа достаточно — «согласие на обработку» и «согласие на передачу третьим лицам» юридически не существуют как два разных согласия. Передача третьим лицам — это элемент содержания единого согласия: в перечне действий (п. 7 ч. 4 ст. 9) прямо нужно указать «передачу (предоставление) персональных данных третьим лицам — заказчикам и подрядчикам», а в п. 6 ч. 4 ст. 9 — указать наименования этих лиц (если обработка поручается им по поручению оператора). Поэтому два документа делать не требуется — более того, искусственное дробление согласия на «обработку» и «передачу» не предусмотрено законом.

Вывод: один документ (одно письменное согласие на обработку персональных данных) допустим и достаточен; в нём необходимо отдельным пунктом перечислить передачу/предоставление данных третьим лицам и наименования получателей, а не заводить второе согласие «на передачу».

Обязательные требования к содержанию единого согласия

Чтобы единый документ был действительным и снижал риск административной ответственности, он должен отвечать требованиям ч. 1 и ч. 4 ст. 9 152-ФЗ: быть конкретным, предметным, информированным, сознательным и однозначным.

В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных); 3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; 4) цель обработки персональных данных; 5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; 6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; 9) подпись субъекта персональных данных.
— ч. 4 ст. 9 ФЗ «О персональных данных»

Применительно к кадровому агентству особое значение имеют пункты 4, 5, 6 и 7: цель обработки нужно сформулировать конкретно (подбор персонала, передача резюме заказчикам в целях трудоустройства), перечень данных ограничить составом резюме (не включать избыточные сведения — ч. 5 ст. 5 152-ФЗ), а наименования лиц, которым данные передаются, указывать явно.

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
— ч. 2 ст. 5 ФЗ «О персональных данных»

Это значит: если вы передаёте резюме «заказчикам» и «подрядчикам» без конкретизации, такое согласие не будет конкретным и предметным, что является самостоятельным нарушением. Закон требует указывать конкретное наименование получателя и адрес — прежде всего для лица, осуществляющего обработку по поручению оператора (п. 6 ч. 4 ст. 9). Если круг заказчиков меняется (их много), в согласии можно предусмотреть перечень категорий получателей либо механизм уточнения, но согласие должно позволять идентифицировать, кому именно передаются данные.

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ч. 3 ст. 9 ФЗ «О персональных данных»

Бремя доказывания получения надлежащего согласия лежит на операторе — то есть на вашем агентстве. Поэтому документ должен храниться и фиксировать факт его получения.

Вывод: единое согласие должно содержать все девять обязательных элементов, перечисленных в ч. 4 ст. 9, с особой тщательностью к цели, перечню данных, перечню действий и наименованиям лиц-получателей; размытые формулировки («заказчики», «третьи лица») делают согласие несоответствующим принципам конкретности и предметности.

Отличие передачи третьим лицам от распространения — когда нужен отдельный документ

Единственный случай, когда закон прямо требует оформить согласие отдельно, — это согласие на обработку персональных данных, разрешённых субъектом для распространения (доступ неограниченному кругу лиц).

Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
— ч. 1 ст. 10.1 ФЗ «О персональных данных»

Разграничение важно именно для агентства: > предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

— п. 6 ст. 3 ФЗ «О персональных данных» — передача заказчику/подрядчику (определённому лицу или кругу лиц) — и > распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
— п. 5 ст. 3 ФЗ «О персональных данных» — распространение (неопределённому кругу). Если вы передаёте резюме конкретным заказчикам по договору — это «предоставление», оно охватывается обычным письменным согласием по ст. 9 и отдельного документа не требует. Если же резюме предполагается публиковать (на сайте, в открытой базе, рассылать неопределённому кругу компаний) — это уже «распространение», и тогда требуется отдельное согласие по ст. 10.1, которое обязательно оформляется отдельно от иных согласий.

Вывод: два отдельных согласия нужны только в одном случае — когда данные передаются неопределённому кругу лиц (распространение, публикация). Для передачи резюме конкретным заказчикам и подрядчикам отдельного документа не требуется — достаточно единого согласия по ст. 9 с перечислением получателей. Если планируется публикация резюме в открытом доступе — оформляйте дополнительно согласие по ст. 10.1 отдельным документом.

Риски и ответственность при неправильном оформлении согласия

Если агентство передаёт резюме заказчикам без письменного согласия или с согласием, не соответствующим требованиям к составу сведений, — это прямое нарушение, за которое предусмотрен значительный штраф.

Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей.
— ч. 2 ст. 13.11 КоАП РФ

Штраф для юридического лица по этой части — от 300 тыс. до 700 тыс. рублей, а при выявлении передачи данных без согласия в принципе может применяться и общая норма ч. 1 ст. 13.11.

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
— ч. 1 ст. 13.11 КоАП РФ

С 30.11.2024 (ФЗ № 420-ФЗ) усилена ответственность именно за утечки — неправомерную передачу (предоставление, распространение, доступ) данных: штрафы по ч. 12–14 ст. 13.11 достигают 10–15 млн рублей и более в зависимости от числа субъектов, а за передачу специальных категорий — до 15 млн рублей (ч. 16). Поэтому наличие корректного согласия, чётко фиксирующего, кому и в каких целях передаются данные, — это одновременно и защита от квалификации передачи как «неправомерной утечки».

Отдельный риск — работа с данными, переданными заказчикам/подрядчикам после отзыва согласия.

В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение
— ч. 5 ст. 21 ФЗ «О персональных данных»

При отзыве согласия агентство обязано прекратить обработку и обеспечить прекращение передачи; если данные уже переданы заказчику, агентство должно инициировать прекращение их обработки получателем.

Вывод: единый документ, составленный строго по ч. 4 ст. 9, минимизирует риски по ст. 13.11 КоАП (штрафы от 150 тыс. до 700 тыс. руб. и выше за утечки); его отсутствие или размытые формулировки напрямую грозят привлечением к ответственности, поскольку бремя доказывания согласия лежит на операторе.

Один документ — единое письменное согласие на обработку персональных данных — допустим и достаточен. Передача данных заказчикам и подрядчикам — это не отдельное правовое основание, а одна из операций обработки, которую нужно перечислить внутри этого же согласия (п. 7 ч. 4 ст. 9 ФЗ «О персональных данных»). По общему правилу отдельное согласие требуется для распространения персональных данных — раскрытия неопределённому кругу лиц (ст. 10.1 ФЗ «О персональных данных»); иные случаи обязательного отдельного согласия могут быть установлены федеральным законом.

По вашему вопросу:

  1. Можно ли объединить согласие на обработку и согласие на передачу третьим лицам в одном документе? Да, можно и нужно. Закон не предусматривает отдельного документа «на передачу третьим лицам». Передача (предоставление) персональных данных заказчикам и подрядчикам — это операция обработки (п. 6 ст. 3 ФЗ «О персональных данных»), которая охватывается единым согласием по ст. 9 ФЗ «О персональных данных». В этом согласии в перечне действий (п. 7 ч. 4 ст. 9) прямо указывается «передача (предоставление) персональных данных третьим лицам — заказчикам и подрядчикам», а в п. 6 ч. 4 ст. 9 — наименования этих лиц, если обработка поручается им по поручению оператора. Искусственное дробление на два документа законом не предусмотрено.

  2. Что обязательно должно быть в едином согласии? Все девять элементов, перечисленные в ч. 4 ст. 9 ФЗ «О персональных данных»: данные субъекта (ФИО, адрес, паспортные данные); данные представителя (если применимо); наименование и адрес оператора (вашего агентства); цель обработки (конкретно — подбор персонала, передача резюме заказчикам в целях трудоустройства); перечень персональных данных (ограниченный составом резюме — ч. 2 ст. 5 ФЗ «О персональных данных»); наименование и адрес лица, осуществляющего обработку по поручению оператора (если применимо); перечень действий с данными (включая передачу третьим лицам); срок действия согласия и способ его отзыва; подпись субъекта. Размытые формулировки («заказчики», «третьи лица») делают согласие не соответствующим принципам конкретности и предметности (ч. 1 ст. 9 ФЗ «О персональных данных»).

  3. Когда нужен отдельный документ? По общему правилу — если данные раскрываются неопределённому кругу лиц, то есть при распространении (п. 5 ст. 3 ФЗ «О персональных данных»); согласие на обработку данных, разрешённых субъектом для распространения, оформляется отдельно от иных согласий (ч. 1 ст. 10.1 ФЗ «О персональных данных»). Иные случаи обязательного отдельного согласия могут быть установлены федеральным законом. Если вы передаёте резюме конкретным заказчикам по договору — это предоставление (п. 6 ст. 3 ФЗ «О персональных данных»), отдельного документа не требуется. Если планируется публикация резюме в открытом доступе (на сайте, в открытой базе) — оформляйте дополнительно согласие по ст. 10.1 отдельным документом.

  4. Риски при неправильном оформлении. Обработка без письменного согласия либо с нарушением требований к составу сведений влечёт штраф для юридических лиц от 300 000 до 700 000 рублей (ч. 2 ст. 13.11 КоАП РФ). Обработка в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора — от 150 000 до 300 000 рублей (ч. 1 ст. 13.11 КоАП РФ). С 30.11.2024 усилена ответственность за утечки — штрафы достигают 10–15 млн рублей и более (ч. 12–14 ст. 13.11 КоАП РФ), за передачу специальных категорий данных — до 15 млн рублей (ч. 16 ст. 13.11 КоАП РФ). Бремя доказывания получения надлежащего согласия лежит на операторе (ч. 3 ст. 9 ФЗ «О персональных данных»).

Пошаговые действия

  1. Разработайте единый письменный документ — согласие на обработку персональных данных, включив в него все девять обязательных элементов по ч. 4 ст. 9 ФЗ «О персональных данных». В перечне действий (п. 7) прямо укажите «передачу (предоставление) персональных данных третьим лицам — заказчикам и подрядчикам», а в п. 6 — наименования конкретных лиц-получателей (или их категории с возможностью идентификации).

  2. Конкретизируйте цель обработки — сформулируйте её как «подбор персонала и передача резюме заказчикам в целях трудоустройства», не допуская размытых формулировок (ч. 2 ст. 5 ФЗ «О персональных данных»).

  3. Ограничьте перечень данных составом резюме — не включайте избыточные сведения, несовместимые с целью обработки (ч. 2 ст. 5 ФЗ «О персональных данных»).

  4. Укажите срок действия согласия и способ его отзыва (п. 8 ч. 4 ст. 9 ФЗ «О персональных данных»). Конкретный срок законом не установлен — определите его в документе самостоятельно.

  5. Обеспечьте хранение подписанных согласий — бремя доказывания получения надлежащего согласия лежит на вашем агентстве (ч. 3 ст. 9 ФЗ «О персональных данных»).

  6. Если планируется публикация резюме в открытом доступе (на сайте, в открытой базе, рассылка неопределённому кругу компаний) — оформите отдельное согласие на обработку персональных данных, разрешённых субъектом для распространения, по ст. 10.1 ФЗ «О персональных данных». Оно обязательно оформляется отдельно от основного согласия.

  7. При отзыве согласия субъектом — прекратите обработку и обеспечьте прекращение обработки лицами, которым данные были переданы (ч. 5 ст. 21 ФЗ «О персональных данных»). Если данные уже переданы заказчику, инициируйте прекращение их обработки получателем.

  8. При выявлении нарушений или претензиях Роскомнадзора — уполномоченного органа по защите прав субъектов персональных данных — приведите документы в соответствие с требованиями ст. 9 ФЗ «О персональных данных» до привлечения к ответственности по ст. 13.11 КоАП РФ. При обжаловании постановлений по ст. 13.11 КоАП РФ обращайтесь в суд.