Вопрос:

У организации есть образовательный портал (сайт), куда могут заходить как работники, так обучающиеся и контрагенты. Нужно ли брать отдельное согласие на обработку персональных данных при входе на портал, не будет ли это излишним?

*Предложение действительно для юридических лиц, зарегистрированных в регионах: Москва и Московская область, Саратовская область, Омская область, Новосибирская область, Республика Алтай и Алтайский край, Красноярский край

Ответ:

Если вы обрабатываете персональные данные посетителей сайта, то вы становитесь оператором персональных данных (п. 2 ст. 3 Закона о персональных данных) и обязаны выполнять требования, которые Закон о персональных данных устанавливает к операторам. В частности, вам необходимо:

• разработать и разместить в том числе на страницах своего сайта, с использованием которого собираются персональные данные, документ, определяющий вашу политику в отношении их обработки, и сведения о реализуемых требованиях к защите персональных данных. Также вы должны обеспечить неограниченный доступ к этой информации (п. 2 ч. 1, ч. 2 ст. 18.1 Закона о персональных данных);

• получать согласие на обработку персональных данных, когда нет иных оснований для их обработки. Чтобы выполнить это требование, предоставьте пользователям сайта возможность выразить на вашем сайте согласие на обработку таких данных отдельно от иных информации и документов, которые они подтверждают (подписывают). Если не нужно согласие в письменной форме, вы можете, например, разместить на сайте условия обработки и чекбокс, в котором пользователь поставит галочку для подтверждения согласия. Обеспечьте хранение данных (лог-файлов или иной информации), которые подтверждают получение согласия (ч. 1, 4 ст. 9 Закона о персональных данных).

Из указанного следует, если имеются иные основания для обработки персональных данных (например, трудовой договор, договор на обучение и т.п.), повторно требования согласия не нужно.

Отдельное согласие нужно получать при условии, что персональные данные на портале будут распространяться.

В то же время ответственность в области персональных данных в основном установлена за:

• нарушение правил обработки персональных данных;

• неисполнение обязанностей при взаимодействии с гражданином — субъектом персональных данных;

• невыполнение требований по защите персональных данных;

• неисполнение обязанностей при взаимодействии с Роскомнадзором;

• нарушение требований к размещению и обработке биометрических персональных данных в ЕБС (других информсистемах, обеспечивающих аутентификацию на основе таких данных).

Чаще всего нарушения обнаруживаются в случае, если согласие не истребовано.

Информации об излишнем или избыточном согласии на обработку немного, отдельной ответственности не найдено, в открытых источниках указывается, что повторное взятие согласия может стать поводом к дополнительной проверке, например, при поступлении жалобы, однако к ответственности привлекают чаще в случаях, когда согласие не получено совсем, а не получено дважды.

Также можно отметить, что ответственность может быть установлена за последствия, которые могут наступить при установлении требования о повторной даче согласия — например, за ограничение конкуренции (см. Решение Арбитражного суда Сахалинской области от 22.04.2022 по делу N А59-733/2022, Решение Арбитражного суда города Санкт-Петербурга и Ленинградской области от 13.03.2022 по делу N А56-56955/2021, Решение Оренбургского областного суда от 24.10.2023 по делу N 21-592/2023 (УИД 56RS0018-01-2023-003934-23)).

Таким образом, если имеются иные основания для обработки ПД, и согласие на них получено, охватывается целями и задачами его получения, в получении повторного согласия нет необходимости. Запрос повторного согласия формально может быть рассмотрено в качестве нарушения, однако ответственность за обработку ПД без согласия реальнее. Отдельная ответственность за излишнее получение согласия не установлена, однако это также может являться потенциальным риском.

• Готового решения: Что такое официальный сайт юридического лица и какие требования к нему предъявляются (КонсультантПлюс, 2026) {КонсультантПлюс}

•  Готового решения: В каком порядке должна осуществляться обработка персональных данных физлиц (КонсультантПлюс, 2026) {КонсультантПлюс}

• Готового решения: Какие существуют требования к обработке персональных данных работников организации (КонсультантПлюс, 2026) {КонсультантПлюс}

• Готового решения: Кто и какую ответственность несет за нарушение законодательства о персональных данных (КонсультантПлюс, 2026) {КонсультантПлюс}

• {Решение Арбитражного суда Сахалинской области от 22.04.2022 по делу N А59-733/2022 {КонсультантПлюс}}

• Решение Арбитражного суда города Санкт-Петербурга и Ленинградской области от 13.03.2022 по делу N А56-56955/2021 {КонсультантПлюс}

• {Решение Оренбургского областного суда от 24.10.2023 по делу N 21-592/2023 (УИД 56RS0018-01-2023-003934-23) {КонсультантПлюс}}

Нет КонсультантПлюс? Наши специалисты подберут индивидуальный комплект для решения ваших профессиональных задач.