Журнал "Директор по безопасности" Август 2020

ПРАВО Порядок получения согласия на обработку персональных данных АЛЕКСАНДР БЫЧКОВ, начальник юридического отдела ЗАО «ТГК «Салют» Правила ст. 9 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) устанавливают, что любой субъект персональных данных самостоятельно принимает решение о предоставлении согласия на обработку персональных данных, действуя своей волей и в своем интересе. Например, регистрируя на сайте известного рекрутингового агентства личный кабинет и размещая персональные данные, соискатель помимо принятия условий пользовательского (лицензионного) соглашения о порядке использования сервисов также дает согласие на обработку своих персональных данных, нажимая соответствующую электронную кнопку в интерфейсе сайта («принять», «согласен» и т. п.). Такой порядок выражения согласия на обработку персональных данных широко распространен на практике (ст. 6 ГК РФ) и не противоречит п. 2 ст. 160, ст. ст. 161, 432, 434 и 438 ГК РФ при условии, что акцепт помимо собственно нажатия электронной кнопки подтверждается волевыми действиями пользователя. К числу таких действий относятся введение одноразового пароля, отправленного пользователю в сообщении, перечисление символического платежа на расчетный счет и т. п. Письменное согласие требуется только в особых случаях, предусмотренных ст. 10 Закона № 152-ФЗ, в частности, при обработке специальных категорий персональных данных. В нашей практике недавно был случай, когда медицинская клиника в связи с распространением коронавируса в Москве перешла на дистанционный формат работы со своими клиентами. При такой модели работы исключался риск возникновения жизни и здоровью людей, но не была решена проблема получения письменного согласия от клиента на обработку его специальных персональных данных. Выходом стало обновление текста оферты, в которой был описан алгоритм действий клиента по заполнению формы анкеты с указанием своих персональных данных, нажатие электронной кнопки об отправке и перечисление на счет клиники символического платежа. В оферте содержалось указание на то, что выполнение данных действий свидетельствовало о ее акцепте клиентом, в том числе выражение согласия на обработку специальных персональных данных. При этом, присоединяясь к оферте, клиент принимал на себя обязательство направить текст согласия по почте в адрес клиники в связи с исключением такой возможности при заключении и исполнении договора. В такой ситуации клиника могла быть привлечена к ответственности за нарушение порядка получения согласия на обработку специальных персональных данных, однако очевидно, что с учетом неблагоприятной санитарно-эпидемиологической обстановки в стране она предприняла все разумные и зависящие от нее меры по выполнению установленных требований, что исключало наличие ее вины. Между тем иные лица, использующие персональные данные рекрутингового агентства обязаны получить на это согласие пользователей, поскольку оно не предполагается, и изначально было предоставлено для иных целей другому лицу. К таким выводам пришел суд в одном деле, признав незаконным поручение компанией – работодателем обработки персональных данных соискателей третьему лицу (Постановление Арбитражного суда Московского округа от 15.01.2018 г. № Ф05-18981/2017). Аналогичным образом и в другом деле суд посчитал правомерным действия организатора аукциона, отклонившего заявку компании, которая в составе заявки не представила согласие участника в нарушение требований закупочной документации. Представляемая участниками аукциона информация подлежит обработке с целью обеспечения к ней доступа со стороны неопределенного круга лиц, заинтересованных в получении сведений о проводимой закупке, поэтому организатор вправе требовать представления согласия на обработку персональных данных от лиц, сведения о которых представлены в направляемых документах. При этом такое согласие должно охватывать не только разрешение самой компании обрабатывать персональные данные субъектов, но и передавать их третьим лицам (Постановление Четвертого арбитражного апелляционного суда от 20.02.2020 г. № 04АП-7042/2019). Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным, его можно сделать лично или через представителя в любой позволяющей подтвердить факт его получения форме и в любое время отозвать. В одном деле клиент не только отозвал согласие на обработку персональных данных, но и в текст своего заявления включил оферту, согласно которой поступление в его адрес любых рекламных и иных сообщений от банка он рассматривает как принятие банком на себя обязательства выплачивать в пользу истца определенной денежной суммы. Поскольку банк как ни в чем не бывало продолжал рассылать клиенту письма на телефон и электронную почту, клиент посчитал, что тем самым тот акцептовал его оферту и задолжал денег. Однако, суд вполне ожидаемо с такой трактовкой не согласился, отметив, что между сторонами не возникли договорные правоотношения в контексте их понимания клиентом. Адрес банка, с которого проводилась рассылка электронных писем, не использовался им для акцепта оферт, а сами по себе рассылаемые им письма носили исключительно информационный характер и не были направлены на акцепт оферты. При таких обстоятельствах суд пришел к выводу о том, что простое отправление банком письма не может свидетельствовать об акцепте предложенной клиентом оферты (Апелляционное определение Московского городского суда от 22.01.2020 г. по делу № 33- 2909/2020). Дополнительно здесь можно добавить то, что любой гражданско-правовой договор предполагается возмездным, если из закона, иных правовых актов, содержания или существа договора не вытекает иное (п. 3 ст. 423 ГК РФ). Настаивая на выплате денежного вознаграждения за каждое отправленное банком письмо, клиент при этом в нарушение ст. 56 ГПК РФ не обосновал, какое с его стороны было встречное предоставление взамен получения оплаты. Вполне очевидно, что конкретные договоренности не могут возникнуть на основе одной лишь общей (абстрактной) переписки. Включая текст согласия на обработку персональных данных в анкету или иную типовую форму, подписываемую потребителем, предприниматель должен позаботиться о том, чтобы такое согласие должно быть не формальным, а сознательным, конкретным и информированным, что предполагает, как минимум, разъяснение понятия «обработка персональных данных». Если текст согласия включен в типовую форму, то такое положение не охватывается самостоятельной волей потребителя, который присоединяется к предложенным ему условиям обслуживания. Включение такого условия о заранее данном согласии на обработку персональных данных в типовой договор может послужить основанием для привлечения предпринимателя к административной ответственности на основании ч. 2 ст. 14.8 КоАП РФ (Постановление Тринадцатого арбитражного апелляционного суда от 25.02.2020 г. № 13АП-35983/2019). Если же информация о составе обрабатываемых персональных данных доведена до сведения субъекта, он выразил согласие на их обработку, то его права считаются соблюденными. Так, в одном деле банк текст согласия на обработку персональных данных включил в состав заявления на открытие банковского счета, в котором содержалась вся необходимая информация. Клиент дал согласие на обработку своих персональных данных самим банком и третьими лицами (коллекторскими агентствами), которым банк вправе их передавать. Актуальный перечень третьих лиц, которым банк был вправе передавать персональные данные клиента, был размещен на сайте банка, что суд признал не противоречащим закону (Определение Санкт-Петербургского городского суда от 29.10.2019 г. № 7-1848/19). В судебной практике включение согласия на обработку персональных данных в текст анкеты, заявления или иного типового документа не считается нарушением. Это связано с тем, что у субъекта, предоставляющего согласие, всегда есть право его отозвать (Постановление Арбитражного суда Восточно-Сибирского округа от 10.07.2019 г. № Ф02-2920/2019), главное, чтобы такое согласие было сознательным, конкретным и информированным. Важно учитывать, что предоставление согласия на обработку персональных данных со стороны их субъекта носит добровольный характер, и он имеет право отказаться от дачи такого согласия. Так, в одном деле гражданин обратился в Департамент городского имущества Москвы с заявлением о выдаче ему расширенной справки обо всех зарегистрированных правах на объект жилищного фонда, однако в приеме документов ему было отказано по мотиву того, что он не предоставил согласия на обработку персональных данных. Между тем заявитель принципиально возражал против предоставления данного согласия и опасался раскрытия своих персональных данных третьим лицам. Оценивая позицию заявителя, суд принял во внимание положения п. 1 ч. 1 ст. 7 Федерального закона от 27.07.2010 г. № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», которые устанавливали, что предоставление согласия на обработку персональных данных носит добровольный характер. Поскольку в самом заявлении на получение государственной услуги были указаны персональные данные заявителя в объеме, достаточном для его рассмотрения, к нему были приложены все предусмотренные законодательством документы, то отдельного согласия на обработку персональных данных не требовалось. Суд даже не стал учитывать тот факт, что необходимость получения указанного согласия была прямо предусмотрена Постановлением Правительства Москвы от 10.09.2014 г. № 521-ПП «Об утверждении административных регламентов предоставления государственных услуг города Москвы Департамента городского имущества города Москвы в сфере жилищных отношений». Такой подход в полной мере соответствовал ч. 2 ст. 15 КАС РФ, согласно которой суд вправе при разрешении административного дела применить положения нормативного правового акта, имеющего большую юридическую силу (Кассационное определение Верховного суда РФ от 22.01.2020 г. № 5-КА19-56). Осуществляя обработку персональных данных клиента, предприниматель должен учитывать допустимые параметры такого использования, приведенные в согласии с учетом срока, на который оно было предоставлено. По истечении срока у предпринимателя отсутствует право использовать персональные данные клиента, равно как и рассылать ему рекламные и иные сообщения для поддержания интереса к своим продуктам. Так, в одном деле суд установил, что банк направил клиенту sms-сообщения об изменении в своей линейке депозитных и кредитных продуктов, несмотря на истечение сроков действия заключенных с ним договоров банковского счета, все обязательства по которым были исполнены. Учитывая, что клиент не давал банку согласия на получение адресных рекламных предложений, рассылку таких сообщений суд признал ненадлежащей рекламой на основании п. 1 ст. 18 Федерального закона от 13.03.2006 г. № 38-ФЗ «О рекламе» (Постановление Девятого арбитражного апелляционного суда от 12.02.2020 г. № 09АП-79893/2019). Обязанность подтвердить наличие согласия субъекта на обработку его персональных данных возлагается на оператора. При отзыве согласия на обработку персональных данных оператор вправе ее продолжить только в случаях, прямо предусмотренных законом, например, при проведении Всероссийской переписи населения, для выполнения международных договоров, для обязательного раскрытия информации, в научных, публицистических и иных целях, а также в других случаях, предусмотренных ст. 6 Закона № 152-ФЗ. Субъект персональных данных вправе требовать от оператора прекращения незаконных действий по их обработке, если он не предоставлял свое согласие. В частности, субъект вправе требовать уничтожения персональных данных и компенсации морального вреда, если он не давал согласия на их обработку, либо отозвал его (Определение Восьмого кассационного суда общей юрисдикции от 05.12.2019 г. № 88-571/2019). Согласие на обработку персональных данных должно включать в себя следующую информацию: ФИО, паспортные данные, аналогичные сведения о представителе, данные об операторе и ином лице, которому оператором будет поручена обработка, перечень предоставляемых персональных данных и цель их обработки, перечень конкретных действий и способы такой обработки, а также срок, на который предоставляется согласие. За недееспособного субъекта персональных данных согласие на их обработку дают законные представители, а за ушедшего из жизни человека – его наследники, у которых также есть право знакомиться с указанными данными. В качестве примера ситуации, когда такое согласие может понадобиться, можно привести обсуждавшуюся ранее возможность создания цифрового образа легендарной советской актрисы Людмилы Гурченко для того, чтобы от ее имени в качестве одной из ведущих велась телепередача 1 . Право наследников знакомиться с документами, относящмимися к их родственникам, особенно актуально для наших граждан, чьи близкие были репрессированы во времена сталинских репрессий. К таким выводам пришел суд в одном деле, указав на то, что внук осужденного в первые годы Советской власти по общеуголовной статье вправе знакомиться с материалами уголовного дела в отношении него, если не был применен гриф «секретно». В судебной практике включение согласия на обработку персональных данных в текст анкеты, заявления или иного типового документа не считается нарушением. Это связано с тем, что у субъекта, предоставляющего согласие, всегда есть право его отозвать, главное, чтобы такое согласие было сознательным, конкретным и информированным

Журнал "Директор по безопасности" Август 2020 | Page 20