Ответ команды Правовед
Здравствуйте.
Обработка анамнеза клиента - это обработка специальной категории персональных данных (сведения о состоянии здоровья), а для неё закон устанавливает отдельный, более строгий режим - ст. 10 ФЗ-152: такие данные можно обрабатывать только с письменного согласия субъекта, и это согласие должно содержать все реквизиты, перечисленные в ст. 9 ч. 4 ФЗ-152 (ФИО и адрес субъекта, наименование и адрес оператора, цель, перечень действий, срок и способ отзыва). Ваш вариант с "продолжая общение, я подтверждаю..." по содержанию близок, но есть два слабых места.
Первое - смешение документов. С 1 сентября 2025 согласие на ОПД должно быть отдельным документом, его нельзя "зашивать" в информированное согласие или в любой другой договор/соглашение. У вас это два отдельных сообщения - формально верно, но надо проверить формулировки, чтобы согласие на ОПД не содержало условий о самой консультации, а информированное - не содержало формулировок про согласие на обработку данных.
Второе, более серьёзное - идентификация субъекта. Вы сами пишете, что не знаете, настоящее ли имя у клиента. А согласие юридически должно однозначно идентифицировать того, кто его дал. Если клиент под псевдонимом напишет "согласен", а потом заявит, что это не он давал согласие (или что согласие вообще недействительно, т.к. дано неустановленным лицом) - формально у вас нет доказательств, что согласие получено от конкретного субъекта данных. Это ключевой риск именно для анонимного текстового формата, и его нужно закрывать иначе, чем в обычной оффлайн-практике.
Отдельно: уведомление в Роскомнадзор в Вашем случае обязательно именно из-за спецкатегорий данных - исключение из ст. 22 ч. 2 (когда обработка идёт только для исполнения договора без передачи третьим лицам) на обработку данных о здоровье не распространяется в полном объёме, подавать нужно.
Готовый разбор
Получите конкретный план действий по ситуации: что сделать дальше, какие документы подготовить и на какие сроки ориентироваться.
Ваш вопрос требует гораздо более значительного времени на ответ, а значит не может быть бесплатным.
Вкратце же можно ответить так.
И, как я понимаю, в связи с этим мне необходимо подать уведомление в Роскомнадзор.
Самозанятый должен подать уведомление, если он автоматизированно обрабатывает персональные данные других людей (клиентов, заказчиков). В соответствии с Законом № 152-ФЗ «О персональных данных» все, кто собирает и использует такие данные, признаются операторами и обязаны уведомить Роскомнадзор.
1. Во первых, необходимо ли что-то еще кроме Согласия на обработку персональных данных? Пункт про конфиденциальность будет включен в Информированное согласие, которое я буду файлом отправлять в чате клиенту, а он, если ознакомился и согласен, должен будет ответным сообщением написать «принимаю условия Информированного согласия». Этого достаточно?
Что это за информированное согласие? Вы намерены проводить консультации, которые относятся к медицинским услугам? Если нет, то о каком информированном согласии может идти речь? Обязанности такой у Вас нет.
2. И по поводу Согласия на обработку персональных данных. Так как из информации, которую можно считать персональными данными, у меня скорее всего будет имя (и то я достоверно не знаю настоящее ли оно, телефон (для связи через мессенджер) и информация из анамнеза клиента, то типовые Согласия на обработку персональных данных не подходят, так как для них клиенту потребуется вносить избыточное количество данных о себе, которые не нужны нам для работы и делают контакт менее анонимным.
Я бы предложил не брать имя, а просто предлагать придумать какой-то ник. В этом случае даже в совокупности с телефоном это не будет персональными данными, а значит оператором Вы не будете со всеми вытекающими отсюда позитивными моментами.
Если Вам потребуется дополнительная консультация по этому вопросу и/или составление документов, либо возникнут иные правовые вопросы, Вы можете обратиться ко мне в чат за персональной консультацией.