Когда можно обрабатывать персональные данные без согласия

Общее правило

По умолчанию сбор и обработка персональных данных осуществляются с согласия субъекта. Исключения должны быть прямо предусмотрены законами Республики Казахстан — то есть не вашим удобством и не договором, а именно законом.

Отсюда практический вывод: если вы не можете назвать норму, разрешающую обработку без согласия, значит согласие нужно.

Где согласие обычно не требуется

Обратите внимание на формулировку «в объёме, предписанном законом». Всё, что собирается сверх этого объёма, под исключение не подпадает.

• кадровый учёт в объёме, прямо предписанном Трудовым кодексом и налоговым законодательством;
• исчисление и перечисление обязательных платежей, пенсионных и социальных отчислений;
• воинский учёт, если компания его ведёт;
• исполнение обязанностей, прямо возложенных на работодателя другими законами;
• предоставление сведений по законному запросу уполномоченного органа.

Где согласие нужно почти всегда

• данные клиентов, собираемые через сайт, форму или заявку;
• база рассылки и любая маркетинговая коммуникация;
• биометрия: распознавание лица в системе доступа, вход по отпечатку;
• размещение фотографии и должности работника на сайте или в соцсетях;
• передача данных третьим лицам, кроме случаев, предусмотренных законом;
• автоматизированная обработка, по результатам которой у человека возникают, изменяются или прекращаются права.

Частая ошибка: договор вместо согласия

Строка «подписывая договор, клиент соглашается на обработку своих данных в любых целях» не заменяет согласия. Состав сведений, который должен быть в согласии, установлен пунктом 4 статьи 8: перечень данных, цели, срок, передача третьим лицам, трансграничная передача, распространение и порядок отзыва. Если этих сведений нет, согласия нет.

Доказывать наличие согласия обязана компания

Подпункт 5) пункта 2 статьи 25 обязывает представлять доказательство получения согласия. Не человек доказывает, что не давал — вы доказываете, что получили.

Для электронных форм это означает, что нужно сохранять дату, время и версию текста, который человек видел. Галочка без этой записи ничего не подтверждает.

Что делать, если согласий нет

1. 1Разделить данные по основаниямЧто обрабатывается по требованию закона, а что — только по согласию.
2. 2Оценить объёмЧасто выясняется, что половина собираемого не нужна ни для чего. Это самый дешёвый способ сократить риск.
3. 3Собрать согласия там, где они нужныПо работникам — при ближайшем плановом обновлении документов, по клиентам — через форму на сайте.
4. 4Наладить хранение доказательствБумажные — в деле, электронные — с отметкой даты и версии текста.
5. 5Уничтожить то, для чего нет основанияС составлением акта.

Частые вопросы