Согласно ч. 8 ст. 9 Федерального закона от 27 июля 2006 г. N 152-ФЗ «О персональных данных» (далее — Закон N 152-ФЗ) персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, в том числе указанных в пп. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ. Исходя из положений п. 5 ч. 1 ст. 6 Закона N 152-ФЗ, обработка персональных данных допускается в случае, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Абонент, в жилое помещение которого поставляется коммунальный ресурс, является стороной и выгодоприобретателем по публичному договору теплоснабжения, что свидетельствует о необходимости поставщика, выступающего в качестве стороны в обязательствах по поставке коммунального ресурса, обладать сведениями об абонентах с целью надлежащего исполнения своих обязательств. Таким образом, ресурсоснабжающая организация имеет право запрашивать и получать сведения, в том числе и у наймодателей, необходимые для осуществления своей уставной деятельности, в частности, исполнения условий публичного договора теплоснабжения, которые являются персональными данными абонентов — физических лиц, в целях и объеме, установленном действующим законодательством и договором. Такой вывод содержится, в частности, в постановлении Арбитражного суда Северо-Западного округа от 7 августа 2019 г. N Ф07-8528/19 по делу N А56-82921/2018. Однако на собственника жилых помещений законодатель не возлагает обязанность по предоставлению персональных данных нанимателей по запросам ресурсоснабжающих организаций в отсутствие согласия субъекта. Более того, Закон N 152-ФЗ императивно предписывает при обработке персональных данных соблюдать режим конфиденциальности, в силу которого операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия их обладателя, если иное не предусмотрено федеральным законом (ст. 7 Закона N 152-ФЗ). В частности, обязанность передавать персональные данные собственников и нанимателей третьим лицам наличествует у управляющих организаций. Так, ч. 11 ст. 161 ЖК РФ предусмотрено, что в случае заключения прямых договоров между собственниками и нанимателями жилых помещений в многоквартирном доме с ресурсоснабжающей организацией управляющая организация обязана предоставлять последним информацию, необходимую для начисления платы за коммунальные услуги. В п. 6 Правил предоставления коммунальных услуг собственникам и пользователям помещений в многоквартирных домах и жилых домов, утвержденных постановлением Правительства РФ от 06.05.2011 N 354 (далее — Правила N 354), указано, что управляющая организация предоставляет ресурсоснабжающим организациям, приступающим к предоставлению коммунальной услуги соответствующего вида собственникам и пользователям помещений в многоквартирном доме в случаях, предусмотренных подп. «е» и «ж» п. 17 Правил N 354, сведения, необходимые для начисления платы за коммунальные услуги, одновременно на бумажном носителе за подписью единоличного исполнительного органа управляющей организации и на электронном носителе, не позднее чем за пять рабочих дней до дня начала предоставления коммунальной услуги соответствующего вида. Такие сведения должны включать в себя, в частности: фамилию, имя, отчество (при наличии), дату и место рождения, реквизиты документа, удостоверяющего личность, контактный телефон и адрес электронной почты (при наличии) каждого собственника и пользователя жилых помещений в многоквартирном доме; адреса жилых помещений в многоквартирном доме, собственникам или пользователям которых предоставляются коммунальные услуги, с указанием общей площади жилого помещения, общей площади помещений, входящих в состав общего имущества в многоквартирном доме, а также количества лиц, постоянно проживающих в жилом помещении, и иных сведений, необходимых для расчета платы за коммунальные услуги; сведения о применении в отношении собственника или пользователя жилых помещений в многоквартирном доме мер социальной поддержки по оплате коммунальных услуг в соответствии с законодательством Российской Федерации; реквизиты документов, подтверждающих право собственности на каждое жилое помещение в многоквартирном доме и (или) их копии (при их наличии). При непредставлении указанных сведений и (или) представления недостоверных сведений убытки ресурсоснабжающей организации подлежат возмещению управляющей организацией. Предоставление данных сведений не требует согласия потребителя на передачу его персональных данных в силу пп. 2, 5 ч. 1 ст. 6 Закона N 152-ФЗ). Таким образом, требовать персонифицированную информацию о нанимателях ресурсоснабжающая организация может у управляющей организации. В свою очередь, администрация как собственник жилых помещений должна сообщать информацию о нанимателях, вселяемых в эти помещения, управляющей организации, с которой ее связывают договорные отношения по содержанию общего имущества многоквартирного дома. Как правило, соответствующие условия включаются в содержание договора. Одним из стандартов управления многоквартирным домом является ведение реестра собственников помещений в многоквартирном доме в соответствии с ч. 3.1 ст. 45 ЖК РФ, сбор, обновление и хранение информации о нанимателях помещений в многоквартирном доме, а также о лицах, использующих общее имущество собственников помещений в многоквартирном доме на основании договоров (по решению общего собрания собственников помещений в многоквартирном доме), включая ведение актуальных списков в электронном виде с учетом требований законодательства РФ о защите персональных данных (п. 4 Правил осуществления деятельности по управлению многоквартирными домами, утвержденных постановлением Правительства РФ от 15 мая 2013 года N 416). Поскольку обработка персональных данных нанимателей необходима управляющей организации для осуществления ею своих прав и законных интересов, установленных законом, а также для исполнения договора управления общим имуществом многоквартирного дома, то она вправе получить персональные данные без согласия субъекта персональных данных на основании пп. 5, 7 ч. 1 ст. 6 Закона N 152-ФЗ (апелляционное определение СК по административным делам Сахалинского областного суда от 11 июня 2020 г. по делу N 33а-1195/2020).
К сведению: Полагаем, что заключение соглашения между администрацией и ресурсоснабжающей организацией по обмену персональными данными абонентов не исключает обязанности соблюдения требований Закона N 152-ФЗ, в том числе режима конфиденциальности. Правовым основанием обработки персональных данных, включая их передачу третьим лицам, является либо наличие согласия физического лица (п. 1 ч. 1 ст. 6 Закона N 152-ФЗ), либо обработка в случаях, исчерпывающим образом перечисленных в пп. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ. То обстоятельство, что собственник помещения и ресурсоснабжающая организация являются операторами персональных данных, само по себе не позволяет им обмениваться конфиденциальной информацией. Такая возможность может иметь место, например, в рамках оказания государственных или муниципальных услуг (п. 4 ч. 1 ст. 6 Закона N 152-ФЗ).
Ответ подготовил: Эксперт службы Правового консалтинга ГАРАНТ Амирова Лариса
Ответ прошел контроль качества
16 июня 2022 г.
Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.
24 июля 2020
Консультант Центра информационной безопасности компании «Инфосистемы Джет»
специально для ГАРАНТ. РУ
Разобраться в нюансах обработки персональных данных бывает не просто даже опытным специалистам. Это связано с тем, что положения Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) содержат общие формулировки, которые могут трактоваться по-разному. Позиции Роскомнадзора и суда по одному и тому же вопросу могут различаться, более того, встречаются судебные дела с противоположными решениями. При построении процессов обработки персональных данных руководители компаний часто не понимают, на что им ориентироваться, чтобы не допустить нарушений Закона № 152-ФЗ.
При этом вопрос защиты персональных данных год от года становится более острым. За последние два года в КоАП РФ внесены поправки об увеличении штрафов за невыполнение требований Закона № 152-ФЗ. Кроме того, сейчас готовится проект закона об увеличении штрафов за утечку персональных данных. Ежегодно Роскомнадздор фиксирует более 50 тыс. жалоб физических лиц и выписывает организациям административные штрафы, общая сумма которых превышает 1 млн руб. Возможные последствия для компаний не ограничиваются одними штрафами: регулятор может заблокировать сайт организации, что является неотъемлемой частью бизнеса для тех, кто предоставляет онлайн-сервисы или развивает продажи в интернете.
В данной колонке я рассмотрю три важных вопроса, которые мне регулярно задают предприниматели, сравнив положения Закона № 152-ФЗ и позицию Роскомнадзора. А также поделюсь личным опытом участия в проверках службы.
Использование фотографий в системах контроля управления доступом (СКУД) – распространенная практика в компаниях. Поэтому многих волнует вопрос: относится ли фотография в СКУД к биометрическим персональным данным? Ведь в этом случае организация должна будет получить согласие субъекта персональных данных в письменной форме, указанной в ст. 9 Закона № 152-ФЗ.
Что говорит законодательство?
Закон № 152-ФЗ дает слишком общее определение биометрических персональных данных, которое не дает четкого ответа на вопрос, относится ли к ним фотография. Так, в ст. 11 Закона № 152-ФЗ говорится, что под биометрическими персональными данными понимаются сведения, характеризующие физиологические и биологические особенности человека, которые используются оператором для установления личности субъекта данных.
Что говорит Роскомнадзор?
На сайте службы опубликованы разъяснения1 о том, что фотография в СКУД используется для установления личности субъекта персональных данных и, следовательно, является биометрическими персональными данными.
На дне открытых дверей в январе текущего года представители регулятора пояснили, при каких условиях фотография относится к биометрическим персональным данным. Так, если она:
При данном пояснении регулятора можно сделать вывод, что обработка фотографии в системе СКУД к биометрическим персональным данным не относится. Кроме того, на последних проверках Роскомнадзора с нашим участием компании не получали замечаний о том, что фотография в СКУД относится к биометрическим персональным данным. Однако нам встречались и примеры с противоположным решением регулятора.
Что говорит судебная практика?
Владелец фитнес-клуба в Казани пытался оспорить в суде постановление Роскомнадзора и штраф в размере 10 тыс. руб. (решение Cоветского районного суда города Казани от 26 сентября 2019 г. по делу № 12-1526/2019). В спортивном клубе использовали систему СКУД для идентификации посетителей по фотографии при проходе через турникет без их письменного согласия. Суд сослался на разъяснения службы о том, что фотография, используемая для идентификации личности, является биометрическими персональными данными, и оставил жалобу без удовлетворения.
Роскомнадзор не опровергает разъяснения на сайте, но на публичных мероприятиях его представители приводят критерии, по которым фотография в СКУД не относится к биометрическим персональным данным. Аналогичный подход все чаще встречается и в результате проверок регулятора. При этом, как видно из приведенного выше судебного решения, совсем недавно суд придерживался другой позиции, ссылаясь на разъяснения Роскомнадзора. Таким образом, сегодня есть риски получения предписаний и штрафов в случае отсутствия согласия в письменной форме на обработку биометрических персональных данных при использовании фотографии в СКУД. Поэтому рекомендуется получать согласие субъекта персональных данных. Согласие должно быть оформлено в соответствии с требованиями ст. 9 Закона № 152-ФЗ. Еще один вариант минимизировать риск — указать во внутренних нормативных документах (например, в регламенте о пропускном и внутриобъектовом режимах), что фотографии в СКУД обрабатываются не с целью идентификации личности, а для организации пропускного режима. Однако при таком способе есть риски получить предписание в случае проверки Роскомнадзора.
Компании часто спрашивают, считаются ли номера телефонов без привязки к ФИО и другой информации пользователя персональными данными, и нужно ли в этом случае получать согласие владельца номера на обработку персональных данных.
Напомним, согласно ст. 3 Закона № 152-ФЗ, персональные данные – это любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
На дне открытых дверей представители службы также объяснили, что к персональным данным относится информация, которая характеризует человека. Телефонный номер – это не характеристика человека, а атрибут аппаратного средства связи, и значит, персональными данными не является.
По моей практике участия в проверках Роскомнадзора, представители службы не требуют получения согласия на обработку номера телефона без привязки к другим данным.
Житель города Белгорода обратился в суд (решение Октябрьского районного суда г. Белгорода от 12 сентября 2019 г. по делу № 12-393/2019) с жалобой на размещение его телефонного номера в Интернете компанией ООО «Яндекс Справочник». Роскомнадзор не увидел в этом нарушений, так как номер телефона был опубликован без указания его владельца. Суд согласился с регулятором в том, что номер телефона не относится к персональным данным, так как по нему нельзя идентифицировать человека.
Между тем, суд в Москве, рассматривая подобный вопрос, вынес другое решение (решение Черемушкинского районного суда г. Москвы от 18 июня 2019 г. по делу №12-973_2019). Гражданину поступали звонки от коллекторской компании без его согласия. При этом других данных, кроме номера телефона, у взыскателей о человеке не было. Суд посчитал, что такая обработка персональных данных коллекторской компанией, а именно номера телефона, является нарушением Закона № 152-ФЗ.
Роскомнадзор придерживается позиции, что номер телефона без привязки к другим данным не относится к персональным данным, а значит, не нужно получать согласие его владельца на обработку данных. Однако правоприменительная практика говорит о том, что стоит заручиться согласием субъекта на обработку таких данных. Оно может быть оформлено в любой форме, позволяющей подтвердить факт его получения (например, галочка на сайте).
Часто компании задаются вопросом, нужно ли отдельно получать согласие, если персональные данные обрабатываются с целью выполнения обязательств по договору, или договор сам по себе является правовым основанием для обработки.
В ст. 6 Закона № 152-ФЗ говорится, что обработка персональных данных допускается:
На официальном сайте Роскомнадзора2 размещена информация о том, что согласие не требуется, если обработка персональных данных необходима для исполнения договора.
По моему опыту участия в проверках регулятора отсутствие согласия может быть нарушением в следующих случаях:
Рассмотрим два примера с противоположными решениями суда.
В пятом арбитражном апелляционном суде Владивостока рассматривался случай обработки персональных данных собственников помещения ресурсоснабжающей организацией. Судебная коллегия определила, что при наличии договора согласие субъекта на обработку данных не требуется, поскольку она необходима для исполнения договора (постановление Пятого арбитражного апелляционного суда от 3 апреля 2019 г. № 05АП-367/19 по делу № А51-19080/2018).
В другом деле апелляционный суд Воронежа установил, что подписание договора не может считаться согласием собственника помещения многоквартирного дома на обработку персональных данных (постановление Девятнадцатого арбитражного апелляционного суда от 27 декабря 2018 г. № 19АП-8727/18). Согласие должно быть выражено с соблюдением требований ст. 9 Закона № 152-ФЗ с обязательным указанием сроков обработки персональных данных.
В судебной практике есть пример, где наличие договора не является согласием. Роскомнадзор тоже не требует согласия, если персональные данные обрабатываются с целью исполнения договора, но проверяет выполнение условий, приведенных выше.
Тема обработки персональных данных всегда вызывает много вопросов из-за неоднозначности формулировок Закона № 152-ФЗ, и у каждого специалиста по персональным данным своя интерпретация правильного выполнения требований. Встречаются ситуации, когда в судебном порядке оспариваются постановления службы. Более того, по одному вопросу можно найти противоположные решения суда. Подход Роскомнадзора меняется со временем, появляются новые разъяснения на сайте службы и открытых мероприятиях, а также решения судебных дел. Я рекомендую при построении процессов обработки персональных данных оценивать совокупность факторов и выбирать решение, которое минимизирует риски получения предписаний и штрафов, на периодической основе проверять процессы обработки персональных данных на соответствие новым подходам Роскомнадзора. Кроме того, стоит обратить внимание на разработку организационно-распорядительных документов, которые должны соответствовать выбранной позиции по спорным вопросам, а также отражать актуальные изменения процессов обработки персональных данных в компании.
1 С разъяснениями можно ознакомиться на официальном сайте: pd.rkn.gov.ru/press-service/subject1/news2729/.
2 С информацией можно ознакомиться на официальном сайте: rkn.gov.ru/treatments/p459/p468/.
