Шесть правовых оснований равны: почему согласие нужно не для всего

Миф, который каждый день стоит денег

Самое распространённое заблуждение на молдавском рынке звучит так: если вы трогаете персональные данные, нужна галочка и согласие. Это неверно, и официальное руководство CNPDCP говорит об этом прямо. Ст. 6 ч. (1) перечисляет шесть правовых оснований, и согласие — только первое из них, пункт a).

Цена этого мифа вполне материальна. Формы, которые не отправляются из-за галочки, поставленной там без нужды. Заказы, застрявшие на оформлении. Клиентские базы, которые нельзя использовать для выставления счетов, потому что кто-то «отозвал согласие» на бухгалтерскую обязанность. Неправильно выбранное основание — это сломанная функция в вашем продукте, а не юридическая тонкость.

Формулировка руководства CNPDCP:

«Шесть перечисленных выше оснований находятся в равном положении».

И сразу следом — часть, которую почти никто не цитирует:

«Согласие важно, но у него есть недостатки: право отозвать согласие, невозможность получить согласие всех людей, отказ дать согласие. Поэтому оператор должен проверить, может ли он обрабатывать данные на другом основании. Если есть обязанность по закону или договор с человеком, согласие не требуется».

Источник: руководство CNPDCP по Закону 195/2024. Надзорный орган не пишет «можно использовать другое основание». Он пишет, что оператор должен проверить, может ли.

Шесть оснований на примерах молдавского бизнеса

У пункта f) есть ограничение, записанное прямо в тексте: он применяется «за исключением случаев, когда превалируют интересы либо основные права и свободы субъекта данных, … в особенности когда субъект данных является ребёнком». Это не универсальное запасное основание.

Передача данных для доставки курьеру покрывается исполнением договора или законным интересом — в зависимости от того, как выстроена цепочка. Но дополнительно она требует договора с курьерской службой как с уполномоченным лицом (в терминологии GDPR — processor) по ст. 28 ч. (3), заключённого в письменной форме, в том числе в электронном виде (ст. 28 ч. 8). Основание отвечает на вопрос «почему мне вообще можно обрабатывать». Договор по ст. 28 отвечает на другой: «какие у меня гарантии, что тот, кому я передал данные, обращается с ними правильно».

Что ломается, когда согласие просят там, где оно не нужно

Договор, обусловленный ненужной галочкой. Ст. 7 ч. (4) говорит, что при оценке добровольности согласия учитывается, обусловлено ли исполнение договора согласием, которое для этого договора не является необходимым. Если кнопка «Заказать» не работает, пока клиент не отметит согласие на обработку адреса доставки — данных, без которых заказ всё равно невозможно исполнить, — вы получили не более прочное согласие, а более хрупкое.

Отзыв должен быть таким же простым, как согласие. Ст. 7 ч. (3): человек вправе отозвать согласие в любой момент, отзыв не влияет на законность предшествующей обработки, человека информируют об этом праве до того, как он даст согласие, и отзыв осуществляется так же просто, как и предоставление. Если согласие даётся одним кликом, отзыв не может требовать письма на почту и трёх дней ожидания. Каждое лишнее согласие добавляет вам инфраструктуру, которую потом нужно поддерживать.

Вы блокируете сами себя. Допустим, вы взяли согласие на выставление счетов, а клиент его отозвал. При этом вы обязаны вести бухгалтерский учёт. Теперь в одном досье два противоречащих утверждения: человеку сказали, что обработка зависит от его согласия, но обработка продолжается, потому что обязанность по закону никуда не делась. Либо вы пообещали то, что не можете выполнить, либо заявленное основание было ошибочным с самого начала.

Руководство CNPDCP так же однозначно описывает, как выглядит действительное согласие там, где оно действительно уместно:

«Предварительно отмеченные галочки, молчание или бездействие не приравниваются к даче согласия. Человек должен дать согласие реальным действием: отметить галочку, поставить подпись или зафиксированное категоричное „ДА"».

Ст. 7 ч. (2) добавляет требование к форме: если запрос согласия является частью более широкого письменного заявления, он должен быть представлен отдельно, понятно, в легкодоступной форме, ясным и простым языком. Согласие, закопанное в общие условия, этому не отвечает.

Законный интерес: не лазейка, а основание с домашним заданием

«Законный интерес используется с осторожностью. Он применяется, как правило, в ситуациях, когда согласия нет, его невозможно или нежелательно получить и нет другого основания (видеонаблюдение, GPS-мониторинг местоположения, подбор персонала, организация мероприятий и т. д.). Чтобы использовать законный интерес, оператору необходимо документально зафиксировать в письменной форме, что его интерес превалирует над правами и интересами субъектов данных».

Три вещи из этого абзаца. Письменное обоснование — не опция: незадокументированный законный интерес это основание, которое вы не сможете подтвердить, а ст. 5 ч. (2) возлагает бремя на вас — оператор должен быть способен продемонстрировать соблюдение принципов, это и есть подотчётность. Примеры берутся из руководства, а не из того, что вам удобно: видеонаблюдение, GPS-мониторинг, подбор персонала, организация мероприятий. И ст. 6 ч. (4) прямо исключает пункт f) для государственных органов при выполнении их полномочий: госучреждение не может закрыть камеру на входе «законным интересом» — ему нужен пункт c) или e), а те требуют основания в законодательстве Республики Молдова (ст. 6 ч. 3).

Записка о законном интересе умещается на одной странице и отвечает на три вопроса: в чём конкретно интерес (не «безопасность», а «снижение краж в прикассовой зоне после трёх случаев за прошлый год»), почему ни одно другое основание не подходит, и почему ваш интерес превалирует — с мерами балансировки: какая зона охвачена, сколько хранится запись, у кого есть доступ, как обозначено на входе.

Что не меняется: где согласие остаётся обязательным

Эта статья не говорит, что от согласия можно отказаться. Она говорит, что его используют там, где оно и есть подходящее основание. Три зоны остаются нетронутыми.

Необязательные cookie. Для маркетинговых и аналитических трекеров работающим основанием остаётся согласие — со всеми условиями ст. 7 и с правилом руководства о предварительно отмеченных галочках. Скрипт ремаркетинга нельзя перевести на «законный интерес» и считать вопрос закрытым. Практика внедрения — в руководстве по cookie и согласию.

Специальные категории данных (ст. 9). Данные о здоровье, убеждениях, членстве в профсоюзе имеют более строгий режим, чем обычные. Клиника или кадровая служба не обращается с ними так же, как с именем и телефоном.

Трансграничная передача по исключению. Ст. 49 ч. (1) п. a) разрешает передачу при отсутствии решения об адекватности и надлежащих гарантий на основании явно выраженного согласия человека, после того как он был проинформирован о возможных рисках, связанных с отсутствием решения об адекватности и гарантий. Общее согласие здесь не работает. Контекст — в статье о передаче данных за пределы Молдовы.

Таблица «цель → правовое основание», готовая к заполнению

Одна строка на каждую цель обработки. Заполняется один раз, пересматривается периодически и попадает сразу в два места: в реестр операций по обработке (RoPA) по ст. 30 — который требует, в ч. (1) п. b), цели обработки, а в п. c) — категории субъектов данных и категории данных, — и в информационное уведомление (обязанность информирования по ст. 12–14), опубликованное на сайте.

Строки ниже — типовые цели молдавского бизнеса. Уберите то, чего у вас нет, добавьте то, что есть.

Как заполнять правильно:

1. Начинайте с цели, а не с данных. Вопрос не «какие у меня данные», а «зачем они у меня». Одна цель — одна строка.
2. Выбирайте основание в порядке из руководства. Есть договор? п. b). Есть обязанность, предусмотренная законодательством Республики Молдова? п. c). И только если ни то ни другое не подходит — п. f) или п. a).
3. Пишите обоснование одной фразой. Если на него уходит абзац, основание, скорее всего, выбрано неверно.
4. Ссылайтесь на существующий документ — файл, раздел информационного уведомления, подписанный договор. «У меня в голове» не принимается.
5. Ставьте дату и пересматривайте. На каждую новую цель строка добавляется до начала обработки, а не после.

Заполненная таблица бесплатно даёт три вещи: колонку оснований для реестра по ст. 30, структуру раздела об основаниях в информационном уведомлении и список целей, которым нужен работающий механизм отзыва. Подробности реестра — в статье о реестре операций по обработке, общий контекст обязанностей — в руководстве по Закону 195/2024.

Источники

• Руководство CNPDCP по Закону 195/2024, PDF — источник цитат о равенстве оснований, недостатках согласия и письменном обосновании законного интереса.
• CNPDCP — datepersonale.md, надзорный орган, который проверяет выбранное основание при проверке или по жалобе.
• Полный текст Закона 195/2024 на legis.md — точные формулировки ст. 6, ст. 7 и ст. 49.
• CNIL — «Les bases légales», французский надзорный орган, о практике выбора между основаниями. Руководства европейских органов не имеют обязательной силы в Республике Молдова; мы используем их как ориентир практики.
• EDPB — руководство 05/2020 о согласии, о критериях добровольного согласия и о договоре, обусловленном ненужным согласием. Это руководство также не имеет обязательной силы в Республике Молдова.
• Регламент ЕС 2016/679 на EUR-Lex — европейский регламент, с которым согласован Закон 195/2024.

Часто задаваемые вопросы

Мне правда не нужна галочка согласия в форме заказа? Не нужна, если вы запрашиваете те данные, без которых заказ невозможно исполнить. Основание — ст. 6 ч. (1) п. b). Более того, ст. 7 ч. (4) учитывает, обусловлено ли исполнение договора согласием, которое для него не является необходимым, так что обязательная галочка скорее мешает. Информировать человека всё равно обязательно, но информирование — это не согласие.

Можно ли поменять основание, если обработка уже идёт? Исправить неверный выбор можно, но не задним числом и не молча. Ст. 7 ч. (3) предусматривает, что отзыв согласия не влияет на законность предшествующей обработки. Если вы меняете не только основание, но и цель, ст. 6 ч. (5) требует теста на совместимость: связь между целями, контекст сбора, характер данных, возможные последствия и имеющиеся гарантии.

У меня база контактов с 2019 года и никаких записей. Что с ней делать? Прогнать через ту же таблицу, цель за целью. По клиентам с договором у вас уже есть п. b), по налоговым документам — п. c). Проблема возникает с контактами, собранными только для маркетинга, без следов согласия: там документировать нечего, а ст. 7 ч. (1) требует, чтобы вы могли доказать, что человек дал согласие.

Законный интерес — это лазейка, чтобы ничего не спрашивать? Нет. Руководство CNPDCP говорит, что он применяется с осторожностью, как правило там, где согласия нет, его невозможно или нежелательно получить и нет другого основания, и требует письменного обоснования. К тому же п. f) не применяется, когда превалируют интересы либо основные права и свободы субъекта данных, особенно если речь о ребёнке.

Как именно оформить законный интерес? Что должно лежать в папке? Одна страница и три вопроса. В чём конкретно интерес, с описанием ситуации, которая его породила. Почему никакое другое основание не подходит. Почему ваш интерес превалирует над правами субъектов данных, с мерами балансировки: какая зона охвачена, сколько хранится, у кого доступ, как вы информируете людей. Подпись, дата, пересмотр при изменении обстоятельств.

Согласия, собранные по старому закону, ещё действуют после 23 августа 2026 года? Да, если способ их получения соответствует условиям нового закона. Ст. 90 ч. (8) говорит именно это: согласие, данное по Закону № 133/2011, не нужно обновлять, если то, как оно было получено, отвечает актуальным требованиям. Практически вы проверяете, было ли это реальное действие человека, был ли он проинформирован и можете ли вы это доказать.

Для рассылки нужен double opt-in? Закон не предписывает конкретную форму. Ст. 7 ч. (1) требует, чтобы вы могли доказать факт согласия, а руководство CNPDCP требует реального действия, а не предварительно отмеченной галочки, молчания или бездействия. Подтверждение по e-mail — самый простой способ получить такое доказательство с датой, но при проверке значение имеет доказательство, а не название механизма.

Человек отозвал согласие, а у меня обязанность хранить документы. Что делать? Останавливаете ту обработку, которая опиралась на согласие, и продолжаете только то, что стоит на другом основании. Если налоговый документ хранится в силу обязанности по закону, это основание с самого начала было п. c), а не п. a), и отзыв его не затрагивает. Именно поэтому цели разносят по отдельным строкам: отзыв бьёт по одной строке, а не по всей базе.

А cookie сюда относятся? Относятся, но в обратную сторону. Для маркетинговых и аналитических трекеров работающим основанием остаётся согласие, с условиями ст. 7 и с правилом руководства о реальном действии. То, что у вас есть договорное основание для заказов, не покрывает скрипты, которые запускаются до того, как посетитель что-либо выбрал.

Кто вообще проверяет, какое основание я выбрал? CNPDCP — при проверке или после жалобы. Ст. 5 ч. (2) возлагает подотчётность на оператора: он должен быть способен продемонстрировать соблюдение принципов, а принцип законности из ст. 5 п. a) включает наличие действительного основания. Проверяют не по устным объяснениям, а по документам с датами.

Сканирование сайта покажет, правильное ли у меня основание? Нет. Сканирование наблюдает публичную поверхность: какие cookie запускаются до согласия, останавливает ли баннер трекеры после отказа, есть ли у форм отдельное поле и ссылка на политику конфиденциальности, упоминается ли в политике правовое основание. Внутреннее решение об основании, записка о законном интересе и реестр по ст. 30 снаружи не видны.

Проверьте, что видно снаружи

Детерминированное сканирование показывает, упоминает ли опубликованная политика правовое основание, есть ли у форм поле согласия и ссылка на политику и останавливаются ли трекеры после отказа. Оно не определяет, верно ли выбрано ваше основание, и не заменяет юридический анализ — это остаётся в ваших внутренних документах.

Проверить сайт бесплатно →