Арбитражная практика: Как правильно получать согласие на обработку персональных данных

Получение согласия на обработку персональных данных, с моей точки зрения, является одним из тех вопросов, которые не отрегулированы как следует ни законодательством, ни сложившейся практикой, в том числе практикой правоприменения. До сих пор нет четких представлений о том, когда нужно, а когда не нужно получать согласие, и каким образом согласие следует оформлять.

Предметом рассмотрения в Арбитражном суде Ставропольского края в марте 2011 года стал вопрос о том, как должно быть оформлено согласие на обработку персональных данных при заключении договора об оказании услуг связи (дело № А63- 11458/2010).

Хотя дело достаточно «старое» (окончательное решение по нему было принято в 2011 году), многие затронутые в нем вопросы по-прежнему остаются актуальными.

Суть спора

Управление Федеральной службы по надзору в сфере связи, информационных технологий и коммуникаций по Ставропольскому краю (Роскомнадзор) в августе-сентябре 2010 года провело внеплановую выездную проверку с целью проверки поступивших от П. сведений о фактах нарушения сотрудниками ОАО «Мегафон» требований к обработке персональных данных.

В ходе проверки было установлено, что обществом допущено нарушение установленного законом порядка использования типовых форм документов (договор с П. об оказании услуг связи № 732569 от 05.02.2010 г.), характер информации в которых предполагает включение в них персональных данных. Типовая форма договора, по мнению Росокомнадзора, не соответствовала требованиям п. 7 постановления Правительства от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

Типовая форма должна содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, имя (наименование) и адрес оператора, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных.

В типовой форме договора об оказании услуг связи с П. не был указан способ обработки персональных данных. Кроме того, П. имеет право, а не обязанность, дать согласие на обработку и передачу своих персональных данных.

Не согласившись с вынесенным по итогам проверки предписанием, общество обратилось в арбитражный суд.

Позиция Арбитражного суда Ставропольского края

Суд внимательно изучил содержание договора и отметил, что в условия оказания услуг связи общества внесен п. 14.16.2, согласно которому абонент (в данном случае П.) выражает свое согласие в течение всего срока действия договора на использование сведений об абоненте в системе информационно-справочного обслуживания оператором (обществом) или третьими лицами (представителями оператора) при заключении, исполнении, прекращении договора. Указанное использование включает сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), распространение (в том числе передачу) информации об абоненте, использование информации при выставлении абонентам счета, детализации счета по всем видам оказанных услуг, а также использование сведений об абоненте в связи с предоставлением иной справочной информации.

Цели обработки персональных данных: для заключения, исполнения и прекращения договора. Сроки обработки персональных данных - период действия договора.

Согласие абонента на обработку персональных данных предусмотрено п. 14.6.2. договора, кроме того абонент вправе отказаться от обработки, сделав соответствующую запись в типовой форме договора (инфокарте).

На этом основании суд пришел к выводу о том, что условия оказания услуг связи обществом соответствуют действующему законодательству о персональных данных, в частности части 1 статьи 6 Федерального закона «О персональных данных», которая определяет условия обработки персональных данных без согласия субъекта - обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных.

Суд удовлетворил требования общества и признал недействительным предписание, выданное Управлением Роскомнадзора по Ставропольскому краю.

Позиция Шестнадцатого арбитражного апелляционного суда

В июне 2011 года Шестнадцатый арбитражный апелляционный суд с этим решением не согласился, признав правоту Управления, которое считало, со ссылкой на п.7 Положения № 687, что типовая форма договора должна предусматривать поле, в котором субъект персональных данных, при необходимости получения письменного согласия, может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации. В типовой форме договора (инфокарте) общества отдельное поле для получения такого согласия отсутствует.

Общество пыталось защищаться тем, что в апреле 2010 года была утверждена новая форма договоров об оказании услуг связи, используемая при подключении абонентов общества, которая содержит внутри отдельного поля, ограниченного замкнутой графической линией прямоугольной формы, дополнительные поля, в которых абонент имеет право выразить свое согласие/несогласие с обработкой его персональных данных. На момент проверки типовая форма договора отвечала требованиям действующего законодательства. К отзыву была приложена копия соответствующего приказа и типовая форма договора об оказании услуг связи.

Суд это, однако, не удовлетворило, поскольку в конкретном договоре с П. отсутствовало отдельное поле для получения согласия абонента на обработку персональных данных, а также не был указан способ обработки персональных данных. Позиция общества, согласно которой абонент выражает свое согласие на обработку персональных данных путем подписания договора, то есть по умолчанию, противоречит подпункту «а» пункта 7 Положения №687.

Довод общества о том, что согласие субъекта персональных данных не требуется в случае, если обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого он является, также не был принят апелляционным судом.

В итоге Шестнадцатый арбитражный апелляционный суд отменил решение Арбитражного суда Ставропольского края.

Позиция Федерального арбитражного суда Северо-Кавказского округа

В октябре 2011 года  при рассмотрении кассационной жалобы Федеральным арбитражным судом Северо-Кавказского округа, общество пыталось «перевести стрелку» с конкретного договора на типовую форму, используемую обществом при оказании услуг связи, которая на момент проверки содержала поля для выражения согласия/несогласия на обработку персональных данных.

Это ему не удалось, и Федеральный арбитражный суд Северо-Кавказского округа принял решение о том, что кассационная жалоба не подлежит удовлетворению.

Источник: сайт Высшего Арбитражного Суда Российской Федерации
http://www.arbitr.ru/