Как правильно оформить согласие на обработку персональных данных при сборе данных покупателей

Здравствуйте.

Так понимаю речь идет о сборе персональных данных на сайте организации, если нет поправьте.

Оператор обязан уведомить Роскомнадзор о своем намерении осуществлять обработку персональных данных (за исключением отдельных случаев) (ч. 1 ст. 22 Закона о персональных данных).

Уведомление о намерении осуществлять обработку персональных данных нужно подать в Роскомнадзор до начала их обработки.

Поскольку в силу ст. 3 ФЗ от 27.07.2006 N 152-ФЗ  «О персональных данных»

обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Как нам правильно оформить сбор личной информации?

 Должно быть размещено на сайте согласие на обработку ПД или представлено покупателю на бумаге.

Нужно получить согласие на обработку персональных данных физлица (п. 1 ч. 1 ст. 6, ст. ст. 9, 10.1 Закона о персональных данных).

Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий такого субъекта на обработку его персональных данных (ч. 1 ст. 10.1 Закона о персональных данных).

Кроме того:

Вы обязаны опубликовать или иным образом обеспечить неограниченный доступ к вашей политике обработки персональных данных, к сведениям о реализуемых требованиях к защите таких данных.

Документ можно разместить на вашем официальном сайте или на информационном стенде в офисе, если сайта у вас нет. Если же вы осуществляете сбор персональных данных с использованием информационно-телекоммуникационных сетей, то обязаны (ч. 2 ст. 18.1 Закона о персональных данных, Письмо Роскомнадзора от 19.10.2021 N 08-71063):

-опубликовать политику обработки персональных данных и сведения о реализуемых требованиях к защите персональных данных в соответствующей сети, в том числе на страницах принадлежащего вам сайта, с помощью которых собираются данные;

-обеспечить возможность доступа к этому документу с использованием средств такой сети.

По запросу Роскомнадзора вы должны представить документы, определяющие политику обработки персональных данных, и подтвердить, что приняли необходимые меры, в том числе в рамках политики обработки персональных данных (ч. 4 ст. 18.1 Закона о персональных данных).

Если мы добавим кнопку СОГЛАСЕН НА ОБРАБОТКУ МОИХ ДАННЫХ, и покупатель будет ставить там галочку, то этого достаточно? Или нужно делать что-то дополнительно?

Здравствуйте.

Во-первых, документы — Положение (или Политика) о конфиденциальности. Поскольку речь не идет только о том, чтобы получить некое согласие на некую обработку. Ведь Вы не только обрабатываете, но и храните, уничтожаете, используете.

Соответственно и согласие должно быть явно выраженным не только на обработку. Оно должно соответствовать критериям, установленным в ст. 9 Федерального закона №152-ФЗ от 27.07.2006 г. В согласии должна быть указана определенная информация, включая данные субъекта, оператора, цель обработки, перечень персональных данных, действия с ними и срок действия разрешения.

Таким образом, простым проставлением галочки не обойтись. И до проставления галочки необходимо дать возможность пользователю ознакомиться как с Положением (политикой) конфиденциальности, так и с собственно тем, на что именно он дает свое согласие.

Ну и разумеется, требуется направление в РКН уведомления согласно ч. 1 ст. 22 вышеупомянутого Закона о том, что Вы намерены осуществлять деятельность, которая регулируется этим законом, как оператор персональных данных.

Примерный перечень внутренних документов Вы можете посмотреть вот тут.

Если Вам потребуется дополнительная консультация по этому вопросу и/или составление документов, либо возникнут иные правовые вопросы, Вы можете обратиться ко мне в чат за персональной консультацией.

Здравствуйте!

регистрации роскомнадзора

Оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о намерении осуществлять обработку персональных данных: ч. 1 ст. 22  ФЗ РФ № 152-ФЗ «О персональных данных» от 26.01.2007 года.Ознакомиться здесь:

https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/

В данной статье так же указаны случаи, когда оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных.Ознакомиться здесь:

https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/

Уведомление, предусмотренное частью 1 настоящей статьи, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом.

Если регистрация отсутствует, необходимо направить Уведомление об обработке персональных данных через сайт Роскомнадзора, заполнив все блоки заявления. Уведомление можно подать в бумажном виде, в электронном виде с усиленной ЭЦП или через ЕСИА.

Помощь в заполнении и оформлении уведомления здесь:

https://efsol.ru/manuals/fill-notice-roskomnadzor/

Далее уполномоченный орган по защите прав субъектов персональных данных в течение тридцати дней с даты поступления уведомления об обработке персональных данных вносит сведения  в реестр операторов.

 В вопросах просим указать: фио, город, возраст, семейной положение и др. Как нам правильно оформить сбор личной информации?

Для начала вам надо разработать и утвердить локальный акт о работе с персональными данными.Пропишите  правила обработки, хранения и использования персональных данных физлиц; перечень документов, которые содержат ПД, а потому подлежат охране; порядок передачи персданных внутри организации и третьим лицам;
перечень лиц, которые имеют доступ к личной информации сотрудников; ответственность за нарушение норм, регулирующих работу с ПД.определить круг ответственных лиц.Обеспечить безопасное хранение информации.

Согласие можно разместить на сайте или на бумажном носителе.

Если мы добавим кнопку СОГЛАСЕН НА ОБРАБОТКУ МОИХ ДАННЫХ, и покупатель будет ставить там галочку, то этого достаточно?

«Ставить галочку» к данной ситуации не приемлемо.

Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.В соответствии со ст.9 вышеуказанного закона: 

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.

Здравствуйте, Виктория. В дополнение к ответам коллег: 

Саму форму уведомления заполняете тут: https://pd.rkn.gov.ru/operators-registry/notification/form/

Не соглашусь с коллегами относительно того, что «галочку» нельзя использовать.

Ее использовать можно, при условии ее привязки к непосредственному согласию на обработку перс.данных.

То есть, если подобным проставлением галочки пользователь будет понимать, что он соглашается на конкретную передачу конкретных персональных данных — подобное допустимо.

Вместе с тем, как верно подметили коллеги, Вам, помимо обязательного составления самого согласия об обработке перс.данных, возможности доступного, наглядного выражения согласия, необходима также разработка политики об обработке персональных данных:

1. Она не должна быть короткая, в ней следует указать, в соответствии с Федеральным законом «О персональных данных» от 27.07.2006 N 152-ФЗ, понятия того, что Вы обрабатываете, кто является субъектом, кто оператором и пр.

2. Порядок обработки куков. Не описано то, что именно обрабатывается, какие средства аналитики используются и т.д.

4. Порядок отзыва разрешения на обработку персональных данных.

5. Порядок предоставления самого согласия, порядок получения этого согласия.

6. Условия о сроках, порядке хранения и удаления перс.данных.

7. Должны быть указаны конкретные цели обработки.

8. По информационной рассылке, если такая будет, обратите внимание — стоит либо говорить об этом в целях, либо брать отдельное согласие.

9. Если будете использовать сервисы аналитики, которые направляют персональные данные за пределы РФ — следует направить в РКН уведомление о трансграничной передаче данных.

Таким образом, я бы порекомендовал полную разработку политики с нюансами, которые Вам требуются, разработку согласия и способа выражения такого согласия так, как я написал выше, а уже после — проходить регистрацию в РКН.

У меня есть наработки политики, прошедшей согласование в Роскомнадзоре и Вы можете обратиться ко мне в чат за такой разработкой на возмездной основе, нажав кнопку «Общаться в чате».