Ответ команды Правовед
Здравствуйте.
Уведомление в Роскомнадзор подавать нужно - это прямо следует из ст. 22 152-ФЗ, поскольку вы обрабатываете данные клиентов (имя, телефон, анамнез) через мессенджер - это автоматизированная обработка, а не "бумажный" учёт, для которого сделано исключение.
По вашим двум вопросам сразу скажу главное: смешивать Информированное согласие (про условия работы, конфиденциальность как часть профессиональной этики) и Согласие на ОПД (юридический документ по 152-ФЗ) в один пункт "принимаю условия" - можно, но с оговоркой: это два разных по правовой природе документа, и в тексте, который отправляете клиенту, они должны быть разделены содержательно, даже если подписываются одним ответным сообщением.
По второму вопросу - ваш вариант согласия на ОПД урезан слишком сильно. Согласно ст. 9 152-ФЗ, в согласии должны быть определённые обязательные реквизиты, часть которых у вас отсутствует. Плюс отдельный и более серьёзный момент: информация из анамнеза - это данные о состоянии здоровья, специальная категория персональных данных по ст. 10 152-ФЗ. Для неё требуется письменное согласие с усиленными требованиями к форме - обычное сообщение в мессенджере "продолжая общение, подтверждаю" при проверке РКН может быть квалифицировано как недостаточное, потому что не позволяет однозначно идентифицировать, кто именно и когда его дал.
С 30.05.2025 штрафы за отсутствие уведомления или ненадлежащее согласие выросли ощутимо - это ещё один повод не оставлять формулировки "на глазок".
Готовый разбор
Получите конкретный план действий по ситуации: что сделать дальше, какие документы подготовить и на какие сроки ориентироваться.
Добрый день !
Отвечаю по существу Ваших вопросов.
Краткий вывод: одного согласия на обработку персональных данных недостаточно, а предложенный Вами вариант согласия в виде ответного сообщения в чате в нынешней редакции работать не будет. Ниже поясняю по пунктам.
По вопросу 1. Помимо согласия Вам необходимы ещё три вещи.
Во-первых, уведомление в Роскомнадзор. Как самозанятый оператор Вы обязаны подать его до начала обработки данных (часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ, форма утверждена приказом Роскомнадзора от 28.10.2022 № 180). За неподачу с 30.05.2025 года штраф для самозанятых составляет от 5 000 до 10 000 рублей, но при первом нарушении по общему правилу заменяется предупреждением.
Во-вторых, Политика обработки персональных данных (часть 2 статьи 18.1 Закона № 152-ФЗ). Это отдельный документ, к которому у клиента должен быть доступ (файлом или ссылкой). Его отсутствие образует самостоятельное нарушение.
В-третьих, важное разграничение. Информированное согласие на психологическую помощь (с пунктом о конфиденциальности) и согласие на обработку персональных данных с 01.09.2025 года должны быть двумя разными документами. По новой редакции статьи 9 Закона № 152-ФЗ (Федеральный закон от 24.06.2025 № 156-ФЗ) согласие на обработку данных запрещено включать в договор, оферту или информированное согласие. Поэтому схема с одним файлом и одним ответом «принимаю условия» для целей защиты данных не подходит: положение о конфиденциальности оставляете в информированном согласии, а согласие на обработку данных оформляете отдельно.
По вопросу 2. Предложенная формулировка недостаточна по двум причинам.
Первое. Фраза «Продолжая общение, я подтверждаю…» привязывает согласие к самому факту переписки. Закон требует, чтобы согласие было конкретным, осознанным и однозначным, а молчание и бездействие согласием не признаются (статья 9 Закона № 152-ФЗ). Нужно отдельное утвердительное действие именно про согласие, а не про продолжение диалога. К тому же обычное сообщение в мессенджере не является электронной подписью, поэтому письменным согласием оно не считается.
Второе, и это главное. Сведения из анамнеза с высокой вероятностью относятся к специальным категориям персональных данных, то есть к данным о состоянии здоровья (статья 10 Закона № 152-ФЗ). То, что Вы не медицинский работник, значения не имеет: информацию о психоэмоциональном состоянии надзорный орган склонен трактовать как данные о здоровье. Для таких данных режим строже, и «облегчённое» согласие только с Вашими реквизитами ему не отвечает.
Как выстроить работу практично.
Имя и телефон, которые нужны для связи и оказания услуги, целесообразно обрабатывать не на основании согласия, а как данные, необходимые для исполнения договора с клиентом (пункт 5 части 1 статьи 6 Закона № 152-ФЗ). Тогда отдельное согласие на эти данные вообще не требуется, а принцип минимизации соблюдается сам собой.
По анамнезу есть два пути. Либо оформлять полноценное отдельное согласие, но оно предполагает идентификацию клиента и снижает анонимность. Либо вести записи так, чтобы сведения о состоянии клиента не были привязаны к его личности, то есть под условным идентификатором, без сопоставления с именем и телефоном. Второй путь лучше отвечает Вашему запросу на анонимность и снижает регуляторную нагрузку.
Порядок отзыва через сообщение «Отзываю согласие» сам по себе корректен (часть 2 статьи 9 Закона № 152-ФЗ). Только замените в тексте «срок хранения, установленный законодательством» на конкретный срок, который Вы сами определите в Политике: отдельного законодательного срока хранения психологического анамнеза не установлено.
Что предлагаю сделать. Подать уведомление в Роскомнадзор до начала приёма клиентов; подготовить три раздельных документа — Политику обработки персональных данных, Информированное согласие и (при выборе этого пути) отдельное Согласие на обработку персональных данных; определиться со способом работы с анамнезом. Проекты этих документов готов подготовить.