Co by mělo být uvedeno v souhlasu se zpracováním osobních údajů?
1. září 2021 vstoupil v platnost příkaz č. 18 Federální služby pro dohled nad komunikacemi, informačními technologiemi a hromadnými komunikacemi.
Touto objednávkou byly stanoveny požadavky na obsah souhlasu se zpracováním osobních údajů oprávněného subjektem osobních údajů k distribuci.
Porušení pravidel pro zpracování osobních údajů může vést ke správní odpovědnosti. Maximální správní pokuta za porušení právních předpisů o ochraně osobních údajů ve vztahu k právnickým osobám může být 16 milionů rublů.
Při sepisování souhlasu se zpracováním osobních údajů je důležité rozlišovat mezi poskytnutím a distribucí osobních údajů.
Na rozdíl od distribuce osobních údajů neurčitému počtu osob je poskytováním zpřístupnění osobních údajů konkrétní osobě nebo skupině osob.
Základem šíření je zveřejňování osobních údajů v médiích, reklamách, recenzích, sociálních sítích a dalších internetových platformách. Pokud jste však převedli například celé jméno a kontakty třetí strany na konkrétní organizaci bez jejího souhlasu, bude to považováno za poskytnutí osobních údajů (část 5, část 6 článku 3 spolkového zákona „o Osobní údaje“).
Zákon umožňuje lékařské organizaci předat osobní údaje pacienta bez jeho souhlasu za účelem plnění smlouvy, jejíž smluvní stranou je subjekt osobních údajů (ustanovení 5, část 1, článek 6 federálního zákona „o osobních údajích “).
Je však důležité pochopit, že formulace „za účelem splnění smlouvy“ při aplikaci na skutečné okolnosti případu může způsobit spor, dokonce vést k soudnímu sporu.
Aby se takovým případům předešlo, je lepší souhlas se zpracováním osobních údajů formalizovat, a to i v případě, že jsou údaje využívány přímo v rámci plnění smlouvy o poskytování hrazených zdravotních služeb.
Pokud spolupracujete s laboratořemi nebo klinikami, je vydán souhlas s uvedením všech lékařských organizací, kterým jsou data pacienta zasílána spolu se vzorky biomateriálu.
O tom, jak je zajištěna ochrana osobních údajů pacientů ve zdravotnické organizaci, se dozvíte z našeho materiálu.
Souhlas tedy musí obsahovat následující informace:
1. Celé jméno subjektu osobních údajů;
2. kontaktní údaje (telefonní číslo, emailová adresa nebo poštovní adresa subjektu osobních údajů);
3. informace o provozovateli – organizaci – název, adresa uvedená v Jednotném státním rejstříku právnických osob, daňové identifikační číslo, hlavní státní registrační číslo (pokud je subjektu osobních údajů známo);
informace o provozovateli – fyzické osobě – příjmení, jméno, patronymie (pokud existuje), místo bydliště nebo místo pobytu;
informace o provozovateli občana, který je samostatným podnikatelem – příjmení, jméno, patronymie (pokud je k dispozici), daňové identifikační číslo, hlavní státní registrační číslo (pokud je subjektu osobních údajů známo);
4. informace o informačních zdrojích provozovatele (adresa sestávající z názvu protokolu (http nebo https), serveru (www), domény, názvu adresáře na serveru a názvu souboru webové stránky), přes které bude poskytován přístup neomezenému počtu osob a další úkony s osobními údaji subjektu osobních údajů;
5. účel (účely) zpracování osobních údajů;
6. kategorie a seznam osobních údajů, k jejichž zpracování je dán souhlas subjektu osobních údajů:
osobní údaje (příjmení, jméno, příjmení (pokud existuje), rok, měsíc, datum narození, místo narození, adresa, rodinný stav, vzdělání, povolání, sociální postavení, příjem, další informace související s předmětem osobních údajů );
zvláštní kategorie osobních údajů (rasa, národnost, politické názory, náboženské nebo filozofické přesvědčení, zdravotní stav, intimní život, trestní rejstřík);
biometrické osobní údaje;
7. kategorie a seznam osobních údajů, pro jejichž zpracování si subjekt osobních údajů stanoví podmínky a zákazy, a dále seznam stanovených podmínek a zákazů (vyplňuje se na žádost subjektu osobních údajů);
8. podmínky, za kterých může dojít k předání přijatých osobních údajů provozovatelem zpracovávajícím osobní údaje pouze prostřednictvím své vnitřní sítě, která poskytuje přístup k informacím pouze přesně vymezeným zaměstnancům, a to buď s využitím informačních a telekomunikačních sítí, nebo bez předávání přijatých osobních údajů (být vyplněné na žádost subjektu osobních údajů);
9. doba platnosti souhlasu.
Kromě toho, Roskomnadzor spustil službu přípravy formulářů souhlasu se zpracováním osobních údajů!
Od 1. července bylo pro provozovatele osobních údajů umožněno připravit šablonu souhlasu ve formátu konstruktoru. Poté šablonu zkontroluje specialista Roskomnadzor a v případě potřeby vydá doporučení pro úpravu.
Šablona zohledňuje povinné náležitosti od 1. září 2021.
Pokud vás zajímají podrobné informace o osobních údajích pacienta zdravotnické organizace, o pravidlech jejich zpracování, pak jste zde.
Podle článku 9 spolkového zákona „O osobních údajích“ se subjekt osobních údajů rozhodne poskytnout své osobní údaje a souhlasí s jejich zpracováním svobodně, ze své svobodné vůle a ve vlastním zájmu. Souhlas se zpracováním osobních údajů musí být konkrétní, informovaný a vědomý. Souhlas se zpracováním osobních údajů může udělit subjekt osobních údajů nebo jeho zástupce v jakékoli formě, která umožňuje potvrzení skutečnosti jeho přijetí, pokud federální zákon nestanoví jinak. V případě obdržení souhlasu se zpracováním osobních údajů od zástupce subjektu osobních údajů, ověřuje oprávnění tohoto zástupce udělit souhlas jménem subjektu osobních údajů provozovatel.
Souhlas se zpracováním osobních údajů může subjekt osobních údajů odvolat. Pokud subjekt osobních údajů odvolá souhlas se zpracováním osobních údajů, má provozovatel právo nadále zpracovávat osobní údaje bez souhlasu subjektu osobních údajů, pokud jsou pro to důvody uvedené v odst. 2 – 11 části 1 čl. 6. , část 2 článku 10 a část 2 článku 11 tohoto spolkového zákona.
Povinnost doložit získání souhlasu subjektu osobních údajů se zpracováním jeho osobních údajů nebo prokázání existence důvodů uvedených v čl. 2 odst. 11 – 1 části 6, čl. 2 části 10 a části 2 článku 11 tohoto spolkového zákona spočívá na provozovateli.
V případech stanovených federálním zákonem se zpracování osobních údajů provádí pouze s písemným souhlasem subjektu osobních údajů. Souhlas ve formě elektronického dokumentu podepsaného v souladu s federálním zákonem elektronickým podpisem je považován za rovnocenný souhlasu obsahujícímu vlastnoruční podpis subjektu osobních údajů v písemné podobě na papíře. Písemný souhlas subjektu osobních údajů se zpracováním jeho osobních údajů musí obsahovat zejména:
1) příjmení, jméno, příjmení, adresa subjektu osobních údajů, číslo hlavního dokladu prokazujícího jeho totožnost, informace o datu vydání uvedeného dokladu a vydávajícím orgánu;
2) příjmení, jméno, příjmení, adresa zástupce subjektu osobních údajů, číslo hlavního dokladu prokazujícího jeho totožnost, údaj o datu vystavení uvedeného dokladu a vydávajícím orgánu, údaje o zmocnění zmocněnec nebo jiný dokument potvrzující pravomoci tohoto zástupce (po získání souhlasu zástupce osobních údajů subjektu);
3) jméno nebo příjmení, jméno, příjmení a adresa provozovatele, který obdrží souhlas subjektu osobních údajů;
4) účel zpracování osobních údajů;
5) seznam osobních údajů, k jejichž zpracování je dán souhlas subjektu osobních údajů;
6) jméno nebo příjmení, jméno, příjmení a adresa osoby zpracovávající osobní údaje jménem provozovatele, bude-li zpracováním taková osoba pověřena;
7) výčet úkonů s osobními údaji, ke kterým je udělen souhlas, obecný popis způsobů, které provozovatel při zpracování osobních údajů používá;
8) doba, po kterou platí souhlas subjektu osobních údajů, jakož i způsob jeho odvolání, pokud federální zákon nestanoví jinak;
9) podpis subjektu osobních údajů.
Postup pro získání souhlasu subjektu osobních údajů ve formě elektronického dokumentu se zpracováním jeho osobních údajů za účelem poskytování státních a komunálních služeb, jakož i služeb, které jsou nezbytné a povinné pro poskytování státních a komunálních služeb, je zřízena vládou Ruské federace. V případě nezpůsobilosti subjektu osobních údajů uděluje souhlas se zpracováním jeho osobních údajů zákonný zástupce subjektu osobních údajů.
V případě úmrtí subjektu osobních údajů dávají souhlas se zpracováním jeho osobních údajů dědicové subjektu osobních údajů, pokud takový souhlas subjekt osobních údajů za jeho života neudělil.
Osobní údaje může provozovatel získat od osoby, která není subjektem osobních údajů, pokud bude provozovateli poskytnuto potvrzení o existenci důvodů uvedených v odst. 2 – 11 části 1 čl. 6 odst. 2 Článek 10 a část 2 článku 11 tohoto spolkového zákona.
Souhlas se zpracováním osobních údajů lze tedy udělit ústně i písemně.
S pozdravem právník Anatoly Antonov, vedoucí partner advokátní kanceláře Antonov and Partners.