По некоторым вопросам применения Закона о персональных данных

Мнение консультантов.

1.    При отнесении информации к персональным данным субъекта персональных данных Банку следует руководствоваться основным критерием, установленным статьей 3 Закона № 152-ФЗ: информация должна позволять однозначно определить субъекта, к которому она относится. В каждом конкретном случае Банку следует производить тест на соответствие информации указанному выше критерию. При этом, при работе с персональными данными Банку следует использовать процедуры, обеспечивающие соблюдение требований законодательства о защите персональных данных, предусмотренные внутренними документами.

2.    Закон № 152-ФЗ регулирует отношения, возникающие между оператором (в том числе, российским юридическим лицом) при обработке в ходе ведения им хозяйственной деятельности на территории Российской Федерации персональных данных субъекта – физического лица, которым может быть как российский, так и иностранный гражданин.

С 01.09.2022г. действие Закона № 152-ФЗ распространяется на отношения, возникающие при обработке персональных данных граждан Российской Федерации, осуществляемой иностранными юридическими лицами на основании договора, заключенного с указанными гражданами, либо на основании полученного от этих граждан согласия на обработку их персональных данных (принцип экстерриториального действия Закона № 152-ФЗ).

Введенный Законом № 226-ФЗ принцип экстерриториального действия Закона № 152-ФЗ не касается отношений, возникающих при обработке Оператором - Банком, являющимся юридическим лицом Российской Федерации,  персональных данных субъектов персональных данных.

Порядок действий Оператора – Банка при осуществлении трансграничной передачи персональных данных устанавливается статьей 12 Закона № 152-ФЗ. При этом с 01.02.2023г. применяется порядок, определенный статьей 12 Закона № 152-ФЗ в редакции Закона № 226-ФЗ.

Обоснование мнения консультантов.

В соответствии с пунктом 1 статьи 1 Законом № 152-ФЗ регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, иными муниципальными органами (далее - муниципальные органы), юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным.

Пункт 2 статьи 1 Закона № 152-ФЗ содержит закрытый перечень отношений, регулирование которых не подпадает под действие Закона № 152-ФЗ.  К такому исключению не относятся отношения, возникающие между российскими юридическими лицами и иностранными гражданами при обработке персональных данных последних. 

Согласно статье 3 Закона № 152-ФЗ:

-  персональные данные (далее по тексту – ПД) - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (пункт 1);

- оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (пункт 2);

- обработка ПД - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПД, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПД (пункт 3);

- распространение ПД - действия, направленные на раскрытие ПД неопределенному кругу лиц (пункт 5);

- предоставление ПД - действия, направленные на раскрытие ПД определенному лицу или определенному кругу лиц (пункт 6);

- обезличивание ПД - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПД конкретному субъекту ПД (пункт 9);

- трансграничная передача ПД - передача ПД на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу (пункт 11).

Пункт 1 статьи 6 Закона № 152-ФЗ содержит перечень условий, определяющих возможность проведения обработки ПД: подпункт 1 устанавливает, что обработка ПД осуществляется с согласия субъекта ПД на обработку его ПД; вместе с тем, подпунктами 2 - 11 предусмотрены случаи, когда допускается обработка ПД без согласия субъекта ПД на их обработку.

Порядок трансграничной передачи ПД установлен статьей 12 Закона № 152-ФЗ, согласно которой:

- трансграничная передача ПД на территории иностранных государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (далее по тексту – Конвенция), а также иных иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется в соответствии с настоящим Федеральным законом и может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства (пункт 1);

- уполномоченный орган по защите прав субъектов ПД утверждает перечень иностранных государств, не являющихся сторонами Конвенции и обеспечивающих адекватную защиту прав субъектов ПД (далее по тексту – Перечень). Государство, не являющееся стороной Конвенции, может быть включено в Перечень при условии соответствия положениям указанной Конвенции действующих в соответствующем государстве норм права и применяемых мер безопасности ПД (пункт 2);

- трансграничная передача ПД может быть осуществлена Оператором  на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, только в случаях, предусмотренных пунктом 4.

В соответствии со статьей 7 Закона № 152-ФЗ операторы и иные лица, получившие доступ к ПД, обязаны не раскрывать третьим лицам и не распространять ПД без согласия субъекта ПД, если иное не предусмотрено федеральным законом.

Согласно пункту 1 статьи 22 Закона № 152-ФЗ  оператор до начала обработки ПД обязан уведомить уполномоченный орган по защите прав субъектов ПД о своем намерении осуществлять обработку ПД, за исключением случаев, предусмотренных частью 2 настоящей статьи.

Статьей 24 Закона № 152-ФЗ предусмотрена ответственность  за нарушение требований настоящего закона.

По вопросу 1.

На основании анализа норм Закона № 152-ФЗ приходим к следующим выводам.

Закон № 152-ФЗ регулирует отношения, возникающие между оператором (в том числе, российским юридическим лицом) при обработке в ходе ведения им хозяйственной деятельности на территории Российской Федерации ПД субъекта – физического лица, которым может быть как российский, так и иностранный гражданин.

Основным определяющим критерием для отнесения сведений к категории ПД  является возможность на основании содержащейся в сведениях информации (без получения какой-либо иной дополнительной информации) сделать однозначный вывод, какому субъекту ПД (физическому лицу) она принадлежит. В случае если сведения содержат информацию, на основании которой невозможно сделать однозначный вывод о субъекте ПД, которому она принадлежит, такие сведения не могут быть отнесены к категории ПД, а информация признается обезличенной.

Закон № 152-ФЗ не содержит четкий перечень сведений,  которые относятся к ПД субъекта. В пункте 1 статьи 8 Закона № 152-ФЗ лишь указано, что  в общедоступные источники ПД с письменного согласия субъекта ПД могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные ПД, сообщаемые субъектом ПД. Как следствие, определять, относятся ли какие-то сведения к ПД конкретного лица, Оператору ПД необходимо на основании внутренних документов, разработанных с учетом разъяснений уполномоченных органов и правоприменительной практики судов.

Рассмотрим конкретные примеры сведений, которые могут быть отнесены к ПД субъекта ПД.

1)      Фамилия, имя, отчество субъекта ПД

На основании пункта 1 статьи 8 Закона № 152-ФЗ, пункта 2.5 Методических рекомендаций по уведомлению уполномоченного органа о начале обработки персональных данных и о внесении изменений в ранее представленные сведения (далее по тексту – Методические рекомендации) фамилия, имя, отчество относятся к ПД субъекта ПД.

В Письме Роскомнадзора от 20.01.2017г. № 08АП-6054 указывается, что «принцип идентификации физического лица по фамилии, имени, отчеству из всего массива информации не является единственно возможным критерием отнесения обработанных сведений к ПД».

2)        Адрес проживания субъекта ПД, включающий город, улицу, номера дома и квартиры

На основании пункта 1 статьи 8 Закона № 152-ФЗ, пункта 2.5 Методических рекомендаций адрес проживания относится к ПД субъекта ПД.

В Определении Судебной коллегии по гражданским делам ВС РФ от 01.08.2017г. № 78-КГ17-45 отмечено, что персональными данными являются адрес проживания и номер телефона.

В Постановлении Нижегородского областного суда от 12.05.2015г. № 4а-288/2015 к ПД физического лица отнесены ФИО, адреса проживания и размеры долга.

Таким образом, сам по себе адрес проживания не может однозначно определить физическое лицо (в квартире могут проживать несколько лиц). Для отнесения к ПД помимо адреса, должна иметься какая-либо иная информация о физическом лице.

3)      Номер телефона

На основании пункта 1 статьи 8 Закона № 152-ФЗ абонентский номер телефона относится к ПД субъекта ПД;

В Кассационном определении Восьмого кассационного суда общей юрисдикции от 27.02.2020г. № 88А-4529/2020 содержится вывод об отнесении номера телефона к категории ПД.

Вместе с тем, полагаем, что телефонный номер без привязки его к определенному абоненту[1] на основании договора об оказании услуг связи[2] не позволяет установить  личность абонента, и, как следствие, не может быть квалифицирован в качестве ПД.

Представители Минкомсвязи России в Письме от 07.07.2017г. № П11-15054-ОГ разъяснили, что «абонентский номер или адрес электронной почты могут быть признаны персональными данными в случае, когда такая информация относится к прямо или косвенно определенному или определяемому физическому лицу. Например, абонентский номер, принадлежащий юридическому лицу, не может рассматриваться в качестве персональных данных».

4)      Адрес электронной почты

В Апелляционном определении Новосибирского областного суда от 27.09.2016г. № 33-9626/2016 содержится вывод о том, что «поскольку адрес электронной почты <данные изъяты> привязан к принадлежащему истцу телефонному номеру <данные изъяты> он относится к категории персональных данных, и, следовательно, использование адреса электронной почты является обработкой персональных данных применительно к п. п. 2, 3 ст. 3 Закона "О персональных данных"».

Если адрес электронной почты содержит возраст, имя, дату рождения, место рождения и прочие сведения о владельце (например, ivanivanov1986@moskva.ru), то в этом случае, он может быть отнесен к ПД при условии, что он  позволяет однозначно установить личность владельца.

Полагаем, что приведенный в тексте вопроса адрес электронной почты ivan.ivanov@bank.com не содержит всей необходимой и достаточной информации для однозначной идентификации владельца и может быть отнесен к ПД лишь совместно с иной идентифицирующей ее владельца информацией. Вместе с тем, не исключаем, что мнение контролирующего органа (Роскомнадзор) или решение суда будет иным.

5)      ID пользователя

В Постановлении Тринадцатого арбитражного апелляционного суда от 01.07.2016г. № 13АП-10775/2016 по делу № А56-6698/2016 информация об Хэш-ID Пользователя - уникальном идентификаторе Активного Пользователя; времени просмотра web-страницы;  URL - стандартизированном способе записи адреса web-страницы в сети Интернет; HTTP referer, содержащего URL источника запроса; User Agent;  HTTP Cookie отнесена к ПД.

Вместе с тем, полагаем, что для отнесения указанной информации к ПД необходимо наличие какой-либо иной дополнительной информации о физическом лице.

6)      Иные идентификационные данные физического лица, относящиеся к ПД

Новосибирский областной суд в  Апелляционном определении от 27.09.2016г. № 33-9626/2016 указал, что «к числу идентификаторов (данных, позволяющих однозначно идентифицировать физическое лицо), которые сами по себе однозначно определяют физическое лицо, в том числе могут быть отнесены: номер и серия паспорта; страховой номер индивидуального лицевого счета; идентификационный номер налогоплательщика; биометрические данные; банковский счет, номер банковской карты и.т.д».

Вместе с тем, обращаем внимание на позицию представителей финансового ведомства, изложенную в Письмах от 12.02.2020г. № 03-01-11/9505, от 28.01.2020г. № 03-01-11/4925, согласно которой «ИНН не является информацией, входящей в перечень персональных данных, применяется исключительно в целях упорядочения учета налогоплательщиков внутри системы налоговых органов, а также служит только для ускорения обработки огромного потока информации в интересах соблюдения прав налогоплательщиков».

На основании изложенного приходим к выводу, что при отнесении информации к ПД субъекта ПД следует руководствоваться основным критерием, установленным статьей 3 Закона № 153-ФЗ: информация должна позволять однозначно определить субъекта, к которому она относится. В каждом конкретном случае Банку следует производить тест на соответствие информации указанному выше критерию. В связи с отсутствием четких законодательных норм и сложившейся единой правовой позиции судов по указанному вопросу рекомендуем Банку придерживаться консервативного подхода и при наличии сомнений по отнесению информации к ПД субъекта запрашивать согласие этого субъекта на обработку его ПД.

Дополнительно отмечаем, что согласно мнению, изложенному в Письме Банка России от 29.09.2014г. № 41-2-2-8/1757, «в целях снижения правового, репутационного и регуляторного риска при работе с персональными данными банкам следует иметь внутренние процедуры, обеспечивающие соблюдение требований законодательства о защите персональных данных. Недостатки в деятельности банков, связанные с исполнением норм Федерального закона "О персональных данных", выявленные при осуществлении банковского надзора, рассматриваются как негативный фактор при оценке качества управления банком, в том числе оценке организации системы внутреннего контроля в соответствии с Положением Банка России от 16.12.2003 N 242-П "Об организации внутреннего контроля в кредитных организациях и банковских группах"».

По вопросу 2.

Законом № 266-ФЗ внесены изменения в Закон № 152-ФЗ, действия которых вступает в силу с 01.09.2022г., за исключением положений, для которых статьей 6 Закона № 266-ФЗ установлен иной срок вступления их в силу.

Как следует из пояснительной записки к законопроекту[3], в Закон № 152-ФЗ «вносится ряд изменений, направленных на совершенствование правовой защищенности субъектов персональных данных, а также усиление госконтроля в указанной сфере.

Так, законопроектом вводится обязанность Операторов незамедлительно информировать об инцидентах с принадлежащими им базами персональных данных уполномоченные органы власти, а также обязанность обеспечивать непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации. …

Совершенствуется порядок трансграничной передачи персональных данных. Уточняется, что при трансграничной передаче данных определяющим является не организационно-правовая форма получателя, а его нахождение на территории иностранного государства. Устанавливается обязанность Операторов информировать уполномоченные органы власти о намерении трансграничной передачи персональных данных. В исключительных случаях, при наличии угроз для обороны, безопасности и основ конституционного строя, такая передача может быть ограничена по решению уполномоченного органа власти.

Вводится экстерриториальность применения российского законодательства о персональных данных. Устанавливается возможность вмешательства уполномоченных органов власти в вопросы обработки персональных данных российских граждан на территории других государств».

В соответствии со статьей 1 Закона № 266-ФЗ в Закон № 152-ФЗ, внесены, в частности, следующие изменения:

- статья 1 Закона № 152-ФЗ с 01.09.2022г. дополняется частью 1.1 следующего содержания (пункт 1):

«Положения настоящего Федерального закона применяются к обработке персональных данных граждан Российской Федерации, осуществляемой иностранными юридическими лицами или иностранными физическими лицами, на основании договора, стороной которого являются граждане Российской Федерации, иных соглашений между иностранными юридическими лицами, иностранными физическими лицами и гражданами Российской Федерации либо на основании согласия гражданина Российской Федерации на обработку его персональных данных». Таким образом, с 01.09.2022г. в Закон № 152-ФЗ вводится принцип экстерриториальности его действия: нормы Закона № 152-ФЗ распространяются на действия с ПД граждан Российской Федерации, совершаемые иностранными органами власти, юридическими или физическими лицами.

- статья 12 Закона № 152-ФЗ с 01.03.2023г. излагается в новой редакции (пункт 7). Так, на основании пункта 3 статьи 12 Закона № 152-ФЗ в новой редакции оператор до начала осуществления деятельности по трансграничной передаче ПД обязан уведомить уполномоченный орган по защите прав субъектов ПД о своем намерении осуществлять трансграничную передачу ПД. После направления уведомления, указанного в пункте 3 настоящей статьи, оператор вправе осуществлять трансграничную передачу ПД на территории указанных в таком уведомлении иностранных государств, являющихся сторонами Конвенции или включенных в предусмотренный пунктом  2 настоящей статьи Перечень, до принятия решения, указанного в пункте  8 или 12 настоящей статьи (пункт 10). После направления уведомления, предусмотренного пунктом 3 настоящей статьи, оператор до истечения сроков, указанных в пункте 9 настоящей статьи, не вправе осуществлять трансграничную передачу ПД на территории указанных в уведомлении иностранных государств, не являющихся сторонами Конвенции и не включенных в предусмотренный пунктом 2 настоящей статьи Перечень, за исключением случая, если такая трансграничная передача ПД необходима для защиты жизни, здоровья, иных жизненно важных интересов субъекта ПД или других лиц (пункт 11).

Таким образом, с 01.09.2022г. действие Закона № 152-ФЗ распространяется на отношения, возникающие при обработке ПД граждан Российской Федерации, осуществляемой иностранными юридическими лицами на основании договора, заключенного с указанными гражданами, либо на основании полученного от этих граждан согласия на обработку их ПД (принцип экстерриториального действия Закона № 152-ФЗ).

Введенный Законом № 226-ФЗ принцип экстерриториального действия Закона № 152-ФЗ не касается отношений, возникающих при обработке Оператором - Банком, являющимся юридическим лицом Российской Федерации,  ПД субъектов ПД.

Порядок действий Оператора – Банка при осуществлении трансграничной передачи ПД устанавливается статьей 12 Закона № 152-ФЗ. При этом с 01.02.2023г. применяется порядок, определенный статьей 12 Закона № 152-ФЗ в редакции Закона № 226-ФЗ.

Документы и литература.

1.             Закон № 152-ФЗ  - Федеральный закон Российской Федерации от 27.07.2006г. №  152-ФЗ «О персональных данных»;

2.             Закон № 226-ФЗ  - Федеральный закон от 14.07.2022г. № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных», отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона «О банках и банковской деятельности»;

3.             Методические рекомендации   - Методические рекомендаций «По уведомлению уполномоченного органа о начале обработки персональных данных и о внесении изменений в ранее представленные сведения», утвержденные Приказом Роскомнадзора от 30.05.2017г. № 94.

Ответы на самые интересные вопросы на нашем телеграм-канале knk_banki