Журнал согласий на обработку ПДн как доказательство в суде

Коротко: Закон не требует вести журнал согласий, но обязывает оператора доказать, что согласие было (ч. 3 ст. 9 152-ФЗ). Журнал с датой, способом, версией текста согласия и отметкой об отзыве – удобный способ это сделать: он собирает доказательства в одном месте.

Когда дело доходит до спора о персональных данных, оператору нужно доказать, что согласие было получено. Журнал согласий – удобный способ собрать такие доказательства. Разбираемся, как журнал согласий работает как доказательство, какие ошибки делают его малополезным и как вести учёт.

Зачем нужен журнал согласий

Обязанность доказать получение согласия (или наличие иного основания обработки) закон возлагает на оператора (ч. 3 ст. 9 152-ФЗ). Согласие может быть дано в любой форме, позволяющей подтвердить факт его получения (ч. 1 ст. 9), поэтому доказать его можно разными способами: подписанный документ, лог отправки формы с версией текста, запись разговора, переписка. Журнал учёта согласий собирает эти доказательства в одном месте. Закон вести журнал не требует: состав мер оператор определяет сам (ч. 1 ст. 18.1). Если основание обработки – договор или закон, журнал согласий для этих данных не нужен.

Что доказывает журнал в суде

• Факт получения согласия. Вы можете показать, что в конкретную дату субъект (клиент, сотрудник, посетитель сайта) дал вам разрешение на обработку его данных.
• Объём разрешённых действий. В журнале фиксируется, на какие именно операции с данными согласился человек – только на приём звонков, на передачу партнёрам или на публикацию фото.
• Своевременность. Если субъект отозвал согласие, запись в журнале покажет, когда вы получили отзыв и когда данные были уничтожены (в течение 30 дней, как требует ст. 21 152-ФЗ).
• Рамки разрешений. Если Роскомнадзор или суд обвиняет вас в незаконной обработке, журнал помогает показать, что вы действовали в рамках полученных разрешений.

Суд оценивает все доказательства в совокупности; журнал – одно из них, а не обязательное условие.

Как журнал согласий помогает при претензиях

Журнал нужен не только для разбирательств: если претензия только поступила, вы можете оперативно показать, на каком основании обрабатываете данные.

Типичные ситуации, где журнал спасает

• Жалоба субъекта в Роскомнадзор. Человек утверждает, что вы обрабатываете его данные без разрешения. Вы открываете журнал, находите запись с его подписью (или отметкой о получении согласия через сайт) и предъявляете её как доказательство.
• Иск о компенсации морального вреда. Субъект требует деньги за «незаконное использование» его номера телефона. Журнал показывает, что он сам дал согласие на звонки, – это ваше доказательство, которое суд оценит вместе с остальными.
• Запрос РКН. Роскомнадзор может запросить документы, подтверждающие основание обработки; журнал помогает быстро их собрать. Он не исключает претензий по другим вопросам (политика, уведомление, локализация данных).
• Спор с контрагентом. Вы передали данные партнёру (например, курьерской службе), а клиент утверждает, что не разрешал этого. Журнал фиксирует, что в согласии был пункт о передаче третьим лицам.

Во всех этих случаях журнал согласий помогает, если он оформлен аккуратно и записи подкреплены первичными документами.

Какие поля рекомендуем вести в журнале

Закон не устанавливает обязательных реквизитов журнала. Чем полнее запись, тем проще доказать получение согласия; неполную запись легче оспорить.

Рекомендуемые поля для каждой записи

1. Дата и время получения согласия. Конкретная дата (и желательно время) – чтобы можно было соотнести с моментом, когда субъект взаимодействовал с вами.
2. ФИО субъекта (или иной идентификатор). Тот, что вы и так получаете в форме (телефон или email); паспортные данные вносите только если согласие письменное и закон требует их указать (ч. 4 ст. 9), – лишние данные противоречат принципу минимизации (ч. 5 ст. 5).
3. Способ получения согласия. Бумажная подпись, отметка в чекбоксе на сайте, запись телефонного разговора, электронная подпись.
4. Содержание согласия. Кратко: на какие именно действия с данными дано разрешение (обработка, передача, распространение, публикация).
5. Срок действия согласия. Если согласие дано на определённый период (например, на время оказания услуги), это должно быть зафиксировано.
6. Отметка об отзыве (если был). Дата, когда субъект отозвал согласие, и дата уничтожения данных (в течение 30 дней по ст. 21 152-ФЗ).
7. Подпись ответственного лица. Кто внёс запись – сотрудник, назначенный ответственным за обработку ПДн.

Что делать, если согласие получено онлайн

Для интернет-сайтов журнал может вестись в электронном виде. В этом случае каждая запись должна быть подкреплена:

• Логом действий пользователя (IP-адрес, дата, время, отметка в чекбоксе).
• Скриншотом или сохранённой версией страницы с формой согласия.
• Данными о том, что пользователь подтвердил своё согласие (например, нажал кнопку «Я согласен»).

Электронный журнал убедительнее, если он не поддаётся редактированию (например, ведётся в CRM с защитой от изменений) или если можно восстановить историю изменений.

Рекомендуемые элементы каждой записи в журнале согласий.

Ошибки, которые делают журнал малополезным

Даже если журнал есть, его доказательная сила может быть невысокой. Вот самые частые причины.

Отсутствие даты и контекста

Запись «Иванов И.И. дал согласие» без даты – это не доказательство. Вы не сможете подтвердить, что согласие было получено до начала обработки, а не после того, как субъект уже подал жалобу. Такую запись легко заподозрить в том, что она сделана «задним числом».

Непонятный объём согласия

Если в журнале написано «согласен на обработку данных», а вы использовали данные для рекламной рассылки, хотя клиент думал, что разрешил только приём звонков – позиция оператора слабая. Согласие должно быть конкретным, предметным и информированным (ст. 9 152-ФЗ). Журнал должен отражать именно то, на что человек согласился, а не общую фразу.

Нет подтверждения личности

Для бумажных согласий – нужна подпись. Для онлайн – нужна идентификация (например, через личный кабинет или подтверждение по SMS). Если вы не можете доказать, что согласие дал именно этот человек, а не кто-то другой, журнал не поможет.

Записи не соответствуют реальности

Если в журнале указано, что данные уничтожены, а на сервере они всё ещё лежат – это грубое нарушение. Журнал, который ведётся формально, не будет убедительным доказательством.

Нет отметки об отзыве

Субъект отозвал согласие, вы продолжаете обрабатывать данные, а в журнале об отзыве ни слова. Если у вас нет иного основания обработки, это нарушение ст. 21 152-ФЗ, и журнал фиксирует его.

Как вести журнал

Чтобы журнал согласий работал как доказательство, рекомендуем соблюдать несколько простых правил.

Правило 1: Фиксируйте сразу

Запись вносится в момент получения согласия, а не «потом, когда будет время». Задержка снижает доверие к записи.

Правило 2: Храните оригиналы

Бумажные согласия хранятся отдельно, в папке. Электронные – в защищённой базе с резервным копированием. Срок хранения – не менее 3 лет с момента истечения или отзыва согласия (приказ Росархива № 236). Для документов по личному составу – 50 или 75 лет (ст. 22.1 125-ФЗ).

Правило 3: Назначьте ответственного

Один сотрудник отвечает за ведение журнала. Он же проверяет, что все записи корректны, и подписывает каждую новую строку. Это исключает ситуацию, когда «никто не знает, кто внёс запись».

Правило 4: Сверяйте с реальностью

Раз в квартал (или чаще) проводите аудит: проверяйте, что данные, которые вы обрабатываете, соответствуют тому, что написано в журнале. Если обнаружили лишние данные – уничтожьте их и сделайте отметку.

Правило 5: Фиксируйте отзывы

Как только субъект отозвал согласие – внесите запись в журнал в тот же день. Запустите процедуру уничтожения данных (30 дней по ст. 21 152-ФЗ) и зафиксируйте дату завершения.

Что делать, если журнала нет, а суд уже на пороге

Если вы осознали проблему, когда претензия уже поступила, – не пытайтесь «дописать» журнал задним числом: представление подделанных записей в суд – фальсификация доказательств (ст. 303 УК РФ), а для РКН – недостоверные сведения. Вместо этого:

1. Соберите все доступные доказательства. Логи сайта, записи телефонных разговоров, переписку с субъектом, где он давал согласие.
2. Признайте ошибку. Если согласие действительно не было получено, лучше добровольно прекратить обработку данных и уничтожить их. Это смягчит ответственность.
3. Начните вести журнал с текущего момента. Суд увидит, что вы исправились, и это может повлиять на решение (особенно если речь о первом нарушении).

Но лучший вариант – не доводить до суда. Ведите журнал с первого дня работы.

Что запомнить

Закон не требует вести журнал согласий, но обязывает оператора доказать получение согласия (ч. 3 ст. 9 152-ФЗ). Журнал с датами, конкретным содержанием согласия и отметками об отзыве – удобный способ собрать доказательства. Он полезен только тогда, когда точен, полон и ведётся в реальном времени.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ч. 1 и ч. 3 ст. 9 (форма согласия, обязанность оператора доказать получение согласия), ч. 1 ст. 18.1, ч. 5 ст. 5
• приказ Росархива № 236 (срок хранения согласий)

Что сделать дальше

1. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
2. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.