Согласие на сбор и обработку персональных данных

Коротко

Сбор и обработка персональных данных осуществляются с согласия субъекта или его законного представителя. Исключения составляют случаи ст. 9 и использование ранее опубликованных данных по ст. 7 п. 5 (ст. 7 п. 1). Цифровой кодекс повторяет это правило (ст. 37 п. 3). Согласие даётся письменно, через государственный или негосударственный сервис либо иным способом, позволяющим подтвердить его получение (ст. 8 п. 1). Отозвать его можно в любой момент. Оператор обязан прекратить обработку в течение 15 рабочих дней, если закон не требует её продолжать (ст. 8 п. 7).

Форма согласия

• По общему правилу согласие даётся письменно, через государственный сервис, негосударственный сервис или иным способом, позволяющим подтвердить получение согласия (ст. 8 п. 1; Правила сбора, п. 6).
• Для данных из государственных цифровых объектов согласие даётся только через государственный сервис (ст. 8 п. 1). Оператор, который взаимодействует с такими объектами, обязан интегрировать свои системы с государственным сервисом, кроме отдельных случаев ст. 9 (ст. 8-1 п. 1). Сервис обеспечивает получение и отзыв согласия, уведомление субъекта о действиях с его данными и показ списка тех, у кого есть его согласие (ст. 8-1 п. 2). Запрос приходит субъекту, а ответ он даёт через SMS-шлюз «1414» или «цифровое правительство» (Правила госсервиса, п. 3).
• Негосударственный сервис оператор использует по своему желанию, если не работает с государственными объектами. Через него дают согласие, получают уведомления о действиях с данными и о доступе третьих лиц (ст. 8-2).

Цифровой кодекс добавляет общий стандарт: отношения в цифровой среде строятся на «свободном, осознанном и выраженном волеизъявлении человека» (ст. 5 п. 2).

Что должно быть в согласии

Закон перечисляет обязательные сведения (ст. 8 п. 4):

1. наименование и БИН (ИИН) собственника и (или) оператора;
2. ФИО субъекта;
3. срок или период действия согласия;
4. может ли собственник или оператор передавать данные третьим лицам;
5. есть ли трансграничная передача;
6. возможно ли распространение в общедоступных источниках;
7. перечень собираемых данных;
8. иные сведения по усмотрению собственника или оператора.

Срок действия согласия не может превышать срок, необходимый для достижения целей, если закон или договор не устанавливают иное (ст. 8 п. 5). Если срок не указан, согласие действует до достижения целей обработки (ст. 8 п. 6).

Когда нужно отдельное согласие

Отдельно или с явным указанием в согласии закон требует согласия:

• на распространение в общедоступных источниках (ст. 7 п. 3);
• на передачу третьим лицам, трансграничную передачу (кроме случаев ст. 16) и распространение в общедоступных источниках (ст. 7 п. 6; Правила сбора, п. 4-5);
• на распространение за рамками заявленных целей (ст. 15 п. 2);
• на биометрическую идентификацию в общественных местах, кроме целей защиты конституционного строя, порядка, прав, здоровья и нравственности (ст. 7 п. 12).

Отзыв согласия

Субъект вправе отозвать согласие на сбор, обработку, распространение в общедоступных источниках, передачу третьим лицам и трансграничную передачу (ст. 24 п. 1 пп. 5). Для этого достаточно уведомить собственника, оператора или третье лицо. В течение 15 рабочих дней они обязаны прекратить обработку, если хранение или обработка не требуются по закону, либо дать мотивированный отказ (ст. 8 п. 7; Правила сбора, п. 6-3).

Отозвать согласие нельзя, если это противоречит законам или есть неисполненное обязательство (ст. 8 п. 2).

Интерпретация. Исключение «при наличии неисполненного обязательства» широкое: под него подпадает, например, непогашенный кредит или незавершённая поставка. Оно позволяет продолжать обработку, нужную для исполнения обязательства. Но, видимо, не даёт права использовать данные в других целях, например для маркетинга.

Доказательство согласия

Собственник и оператор обязаны представлять доказательство получения согласия (ст. 25 п. 2 пп. 5). При этом Перечень типовых документов устанавливает для заявлений работников о согласии на обработку персональных данных срок хранения 1 год (п. 467).

Интерпретация. Если хранить заявление о согласии работника только год, к концу трудовых отношений, а они могут длиться десятилетиями, доказать согласие будет нечем. Разумнее хранить согласие весь срок обработки и ещё срок исковой давности, а годичный срок из Перечня считать минимальным.

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Роль согласия	Основное основание; без согласия только по ст. 9	Одно из шести оснований (Art. 6(1))
Форма	Письменно, через сервис или иным подтверждаемым способом	Любая явная форма, но контролёр должен уметь доказать согласие (Art. 7(1))
Содержание	Закрытый перечень из 8 пунктов (ст. 8 п. 4)	Конкретное, информированное, недвусмысленное (Art. 4(11))
Отзыв	Прекратить обработку в течение 15 рабочих дней; есть исключения	В любой момент, так же легко, как дано (Art. 7(3))
Свобода согласия	Прямого запрета навязывать согласие нет	Согласие не должно быть условием договора, если не нужно для него (Art. 7(4))
Дети	Через законного представителя; возраст не установлен	Для онлайн-сервисов с 16 лет, страны ЕС могут снизить до 13 (Art. 8)

Интерпретация. Поскольку в Казахстане почти нет других оснований, согласие собирают практически на всё, в том числе на исполнение договора. В GDPR такой подход считался бы ошибкой. В Казахстане он часто единственно возможный.

Открытые вопросы

Открытый вопрос: свобода согласия работника. В трудовых отношениях работник зависим от работодателя. Свободно ли такое согласие, и что делать, если работник откажется? Трудовой кодекс отдельного основания для обработки данных работников не даёт.

Открытый вопрос: возраст. С какого возраста ребёнок может сам дать согласие, например в онлайн-сервисе? Закон говорит только о законном представителе.

Открытый вопрос: «иным способом, позволяющим подтвердить получение согласия». Достаточно ли галочки на сайте или кнопки в приложении? Закон не конкретизирует, а бремя доказывания лежит на операторе.

Что ещё изучить

• Правила функционирования негосударственного сервиса и требования к нему.
• Разъяснения регулятора о форме электронного согласия.
• Практику проверок по п. 1 проверочного листа (сбор и обработка с согласия субъекта).