Энциклопедия решений. Особые условия обработки специальных категорий персональных данных (ноябрь 2024)

Особые условия обработки специальных категорий персональных данных

Более жесткие требования законодатель предъявляет к обработке специальных категорий персональных данных, которые так же, как и обычные, могут обрабатываться лишь при наличии правового основания, но перечень этих оснований отличен.

Прежде всего согласие на обработку такой информации должно быть получено исключительно в письменной форме при условии соответствия его содержания требованиям ст. 9 Закона N 152-ФЗ (п. 1 ч. 2 ст. 10 Закона N 152-ФЗ). К письменной форме приравнивается согласие, подписанное электронной подписью. То есть никакая иная форма согласия не допускается.

В отсутствие письменного согласия специальные категории персональных данных могут обрабатываться лишь в случаях, перечисленных в п.п. 2 - 10 ч. 2 ст. 10 Закона N 152-ФЗ, круг которых значительно уже.

В частности, такая обработка возможна в связи с реализацией международных договоров Российской Федерации о реадмиссии (п. 2.1 ч. 2 ст. 10 Закона N 152-ФЗ), под которой понимается передача иностранным государством и принятие государством лиц (своих граждан, граждан третьих государств или лиц без гражданства, преимущественно проживающих ранее на территории государства), чей въезд, пребывание или проживание в иностранном государстве признаны незаконными в соответствии с его законодательством. Реадмиссия не является видом наказания, как, например, административное выдворение, и реализуется во внесудебном порядке. Соответствующие решения принимаются и исполняются МВД России. Российская Федерация участвует в подобного рода соглашениях, например, с такими странами, как Швейцария (Берн, 21 сентября 2009 г.), Узбекистан (Москва, 15 апреля 2013 г.) Киргизская Республика (Бишкек, 11 октября 2012 г.), Республика Казахстан (Астана, 7 июня 2012 г.), Республика Армения (Ереван, 20 августа 2010 г.) и др.

Без согласия граждан может осуществляться обработка персональных данных в соответствии с Федеральным законом от 25.01.2002 N 8-ФЗ "О Всероссийской переписи населения" (п. 2.2 ч. 2 ст. 10 Закона N 152-ФЗ), которая проводится в целях формирования официальной статистической информации о демографических, экономических и социальных процессах в стране. Исчерпывающий перечень сведений, которые могут собираться и обрабатываться, приведен в п. 1 ст. 6 данного Закона. Причем персональные данные предоставляются субъектом добровольно и никакого принуждения быть не может.

Если персональные данные обрабатываются в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством, то согласия гражданина также не требуется (п. 2.3 ч. 2 ст. 10 Закона N 152-ФЗ). В части, касающейся обработки специальных категорий персональных данных для целей, предусмотренных законодательством о государственной социальной помощи и пенсионным законодательством, освобождение оператора от получения согласия субъекта на обработку конфиденциальной информации о нем обусловлено тем, что назначение отдельных видов пенсий, социальной помощи связано с необходимостью получения и обработки сведений о состоянии здоровья претендента. Кроме того, данное основание обеспечивает возможность межведомственного обмена такой информацией (см., например, ст. 6.4 Федерального закона от 17.07.1999 N 178-ФЗ "О государственной социальной помощи").

В трудовых отношениях специальные категории персональных данных могут обрабатываться без согласия работника только, если это предусмотрено трудовым законодательством. Отметим при этом, что согласно ч. 1 ст. 5 ТК РФ трудовое законодательство состоит из ТК РФ, иных федеральных законов и законов субъектов РФ, содержащих нормы трудового права. Случаи обработки персональных данных, предусмотренные трудовым законодательством, поименованы в п. 1 ст. 86 ТК РФ, к ним относятся обработка персональных данных работника в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. Если же обработка персональных данных работника осуществляется в иных целях, то работодателю необходимо располагать согласием работника на обработку его персональных данных. В ст. 88 ТК РФ установлен прямой запрет на передачу персональных данных работника третьей стороне без его письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных Трудовым кодексом РФ или иными федеральными законами

Так, например, посредничество работодателя в получении работниками заработной платы с использованием банковских пластиковых карт не предусмотрено трудовым законодательством и носит гражданско-правовой характер, то есть выходит за рамки урегулированных трудовым законодательством отношений. Поэтому передача персональных данных работников кредитной организации в целях реализации зарплатного проекта не является обработкой персональных данных, при которой получение согласия субъекта персональных данных не требуется. Законом установлена только обязанность работодателя выплачивать в полном размере причитающуюся работнику заработную плату (часть вторая ст. 22 ТК РФ) в месте выполнения им работы либо перечислять ее на указанный работником счет в банке на условиях, определенных коллективным договором или трудовым договором (часть третья ст. 136 ТК РФ). В этой связи смотрите, к примеру, решения Сургутского горсуда Ханты-Мансийского автономного округа-Югры от 05.05.2016 по делу N 2-5731/2016, Пролетарского райсуда г. Твери Тверской области от 30.03.2018 по делу N 2-270/2018.

Подчеркнем, что нормы ТК РФ не наделяют работодателя правом получать и обрабатывать сведения о работнике, относящиеся в соответствии с законодательством РФ в области персональных данных к специальным категориям персональных данных, за исключением случаев, предусмотренных ТК РФ и другими федеральными законами (п. 4 ст. 86 ТК РФ). Так, например, информация о состоянии здоровья работника по общему правилу может быть запрошена только в той части, в которой она относится к вопросу о возможности выполнения работником трудовой функции (ст. 88 ТК РФ). Работодатель не вправе требовать от работников предоставления сведений об их национальности и о принадлежности к политическим партиям. Пункт 5 ст. 86 ТК РФ прямо запрещает работодателю получать и обрабатывать персональные данные работника о его членстве в общественных объединениях, за исключением случаев, предусмотренных ТК РФ или иными федеральными законами.

Обработка специальных категорий персональных данных может осуществляться без согласия субъекта, когда это необходимо для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно (п. 3 ч. 2 ст. 10 Закона N 152-ФЗ). Схожее основание содержится в п. 6 ч. 1 ст. 6 Закона N 152-ФЗ. Однако в рассматриваемом случае обрабатываться могут при аналогичных ситуациях персональные данные не только правообладателя, но и иных лиц.

Согласно п. 4 ч. 2 ст. 10 Закона N 152-ФЗ не требуется согласие субъекта на обработку его персональных данных в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством РФ сохранять врачебную тайну. Конституционный Суд РФ в определении от 16.07.2013 N 1176-О разъяснил, что приведенное законоположение позволяет обрабатывать информацию о состоянии здоровья граждан исключительно в целях реализации их права на охрану здоровья и медицинскую помощь, при этом конфиденциальность персональных данных обеспечивается врачебной тайной, а потому оно не может рассматриваться как нарушающее конституционные права граждан. Иными словами, такая обработка персональных данных будет законна без согласия самого пациента при ее осуществлении исключительно медицинским персоналом. Согласие гражданина необходимо в том случае, если в обработке сведений, касающихся состояния его здоровья, участвуют другие лица либо обработка персональных данных обратившегося лица осуществляется в иных (не медико-профилактических и т.п.) целях.

Особое право на обработку специальных категорий персональных данных законодатель предоставляет общественным объединениям или религиозным организациям. Им разрешается обрабатывать персональные данные своих членов (участников), относящиеся к специальной категории персональных данных, если это необходимо для достижения законных целей организаций, предусмотренных их учредительными документами (п. 5 ч. 2 ст. 10 Закона N 152-ФЗ). Однако указанные организации обязаны не допускать распространения таких персональных данных без согласия в письменной форме их носителей.

Если обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия, то согласие носителя также не требуется. Приведенное условие сформулировано несколько неудачно, поскольку понятие "осуществление права" в теории трактуется достаточно широко. Если же обратиться к Директиве Европейского Парламента и Совета Европейского Союза 95/46/ЕС от 24.10.1995 о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, которая является прародительницей отечественного законодательства о персональных данных, то подобное условие было изложено следующим образом: "обработка необходима для установления, осуществления или защиты правовых требований" (п. (е) параграф 2 ст. 8), из чего сразу понятно, что данное положение касается ситуаций предъявления исков и иных юридических требований гражданами, оправдывая тем самым обработку их персональных данных процессуальными целями. Регламент (ЕС) Европейского Парламента и Совета Европейского Союза 2016/679 от 27.04.2016 аналогичным образом допускает возможность обработки данных, если это необходимо для предъявления, исполнения или защиты судебных исков или в случаях, когда суды действуют в пределах своей судейской дееспособности (п. (f) параграфа 2 ст. 9). По всей видимости, отечественный законодатель, формулируя данное основание, также исходил из процессуальной потребности обработки персональных данных, в связи с осуществлением правосудия. Так, например, суд, анализируя законность обработки специальных категорий персональных данных, пришел к выводу о её правомерности, т.к. сведения об истице были предоставлены в рамках гражданского дела в связи с осуществлением правосудия. Следовательно, такая передача не была направлена на незаконное вмешательство в личную жизнь истицы, а являлась средством получения доказательств по гражданскому делу с целью соблюдения требований гражданского процессуального законодательства (решение Советского райсуда г. Томска Томской области от 26.08.2016 по делу N 2-3009/2016, определение Нижегородского облсуда от 04.04.2017 по делу N 33-3912/2017).

Пункт 7 ч. 2 ст. 10 Закона N 152-ФЗ включает ряд оснований публично-правового характера, узаконивающих обработку специальных категорий персональных данных без согласия субъекта. Все они отсылают к положениям специального законодательства: об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, об исполнительном производстве, уголовно-исполнительным законодательством РФ. Поэтому при наличии специальных норм суды в большинстве случаях признают правомерными действия оператора с персональными данными граждан, как правило, не исследуя при этом вопрос о соответствии данных предписаний принципам и положениям Закона N 152-ФЗ. Так, в одном из дел суд, отказывая гражданину в восстановлении его права путем удаления сведений о совершенном правонарушении в связи с отсутствием события административного правонарушения, счел, что наличие таких сведений в базе данных о лицах, привлеченных к административной ответственности за нарушение правил дорожного движения, даже при том, что событие данного правонарушения отсутствовало, не затрагивает его права, честь и достоинство, свободы и обязанности человека и гражданина (см. определение Верховного Суда Республики Башкортостан от 02.07.2015 по делу N 33-10943/2015).

Если обработка полученных в установленных законодательством случаях персональных данных осуществляется органами прокуратуры в связи с осуществлением ими прокурорского надзора, то согласие субъекта также не требуется (п. 7.1 ч. 2 ст. 10 Закона N 152-ФЗ). Данное основание появилось в связи с решением Европейского Суда по правам человека (ЕСПЧ), изложенным в постановлении от 06.06.2013 по делу "Авилкина и другие (Avilkina and Others) против Российской Федерации" (жалоба N 1585/09), в котором ЕСПЧ пришел к выводу о чрезмерном и произвольном расширении прокуратурой значения положений законодательства, действовавших в период, относящийся к обстоятельствам дела, указав при этом, что сбор прокуратурой информации, составляющей врачебную тайну, относительно заявительниц не сопровождался достаточными гарантиями, препятствующими раскрытию, не совместимому с соблюдением права заявительниц на уважение личной жизни, предусмотренного ст. 8 Конвенции о защите прав человека и основных свобод ETS N 005. Данная проблема была решена путем внесения Федеральным законом от 23.07.2013 N 205-ФЗ соответствующего самостоятельного основания в Закон N 152-ФЗ, дозволяющего прокурорам осуществлять обработку персональных данных в рамках осуществления прокурорского надзора. В п. 1.3 Инструкции о порядке обработки в органах прокуратуры РФ персональных данных, полученных в связи с осуществлением прокурорского надзора, утвержденной приказом Генерального прокурора РФ от 22.11.2013 N 506, приведен перечень информации о субъекте персональных данных, которую прокуроры вправе получать при осуществлении своих полномочий. Причем перечень этот сформулирован не исчерпывающим образом, что предполагает возможность обработки и иных категорий персональных данных.

Не требуется согласия гражданина при обработке его специальных категорий персональных данных, если таковая осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством (п. 8 ч. 2 ст. 10 Закона N 152-ФЗ).

Страхование осуществляется в добровольной или обязательной форме (п. 2 ст. 3 Закона РФ от 27.11.1992 N 4015-1 "Об организации страхового дела в Российской Федерации", далее - Закон о страховом деле). Обязательное страхование устанавливается федеральным законом и может выражаться в возложении на указанных в соответствующем законе лиц обязанности страховать: жизнь, здоровье или имущество других определенных в законе лиц; риск своей гражданской ответственности, которая может наступить вследствие причинения вреда жизни, здоровью или имуществу других лиц или нарушения договоров с другими лицами (п. 2 ст. 927, п. 1 ст. 935 ГК РФ, п. 4 ст. 3 Закона о страховом деле).

Примерами таких законов являются, в частности:

- Федеральный закон от 14.06.2012 N 67-ФЗ "Об обязательном страховании гражданской ответственности перевозчика за причинение вреда жизни, здоровью, имуществу пассажиров и о порядке возмещения такого вреда, причиненного при перевозках пассажиров метрополитеном";

- Федеральный закон от 27.07.2010 N 225-ФЗ "Об обязательном страховании гражданской ответственности владельца опасного объекта за причинение вреда в результате аварии на опасном объекте";

- Федеральный закон от 29.11.2010 N 326-ФЗ "Об обязательном медицинском страховании в Российской Федерации";

- Федеральный закон от 29.12.2006 N 255-ФЗ "Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством";

- Федеральный закон от 23.12.2003 N 177-ФЗ "О страховании вкладов физических лиц в банках Российской Федерации";

- Федеральный закон от 25.04.2002 N 40-ФЗ "Об обязательном страховании гражданской ответственности владельцев транспортных средств";

- Федеральный закон от 15.12.2001 N 167-ФЗ "Об обязательном пенсионном страховании в Российской Федерации";

- Федеральный закон от 24.07.1998 N 125-ФЗ "Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний" и другие.

Особым институтом является обязательное государственное страхование, под которым понимается осуществляемое в предусмотренных законом случаях за счет средств бюджета страхование жизни, здоровья и имущества государственных служащих определенных категорий (п. 3 ст. 927, ст. 969 ГК РФ).

Примерами обязательного государственного страхования являются страхование жизни и здоровья военнослужащих, граждан, призванных на военные сборы, лиц рядового и начальствующего состава органов внутренних дел, Государственной противопожарной службы, органов по контролю за оборотом наркотических средств и психотропных веществ, сотрудников учреждений и органов уголовно-исполнительной системы, осуществляемое в соответствии с Федеральным законом от 28.03.1998 N 52-ФЗ "Об обязательном государственном страховании жизни и здоровья военнослужащих, граждан, призванных на военные сборы, лиц рядового и начальствующего состава органов внутренних дел Российской Федерации, Государственной противопожарной службы, сотрудников учреждений и органов уголовно-исполнительной системы, сотрудников войск национальной гвардии Российской Федерации", страхование жизни и здоровья судей, должностных лиц правоохранительных и контролирующих органов, правовые основы которого закреплены в Федеральном законе от 20.04.1995 N 45-ФЗ "О государственной защите судей, должностных лиц правоохранительных и контролирующих органов".

Формулировка данного основания не препятствует обрабатывать специальные категории персональных данных носителя и при добровольном страховании, поскольку Закон о страховании прямо указывает, что страхование может осуществляться и в добровольной форме в том числе и за счет средств уплаченных страхователями страховых премий. Однако обработка неспециальных данных должна иметь соответствующее правовое обоснование (ч. 1 ст. 6, cт. 11 Закона N 152-ФЗ).

Закон освобождает от необходимости получения согласия субъекта (его представителя) при обработке специальных категорий персональных данных в целях устройства детей, оставшихся без попечения родителей, на воспитание в семьи граждан в случаях, предусмотренных законодательством РФ (п. 9 ч. 2 ст. 10 Закона N 152-ФЗ).

Выявление, учет и устройство детей, оставшихся без попечения родителей, отнесены к исключительной компетенции органов опеки и попечительства (ст. 121 СК РФ). Такие дети подлежат передаче в семью на воспитание (усыновление (удочерение), под опеку или попечительство, в приемную семью либо в случаях, предусмотренных законами субъектов РФ, в патронатную семью), а при отсутствии такой возможности временно, на период до их устройства на воспитание в семью, передаются в организации для детей-сирот и детей, оставшихся без попечения родителей, всех типов (ст. 123 СК РФ). При этом органы опеки и попечительства при определении ребенка на воспитание в семью обязаны проверить факт соответствия потенциальных усыновителей, опекунов, попечителей установленным требованиям, что предполагает проверку состояния здоровья таких лиц, наличия у них судимости, состояния в однополых союзах (браках) и др. (ст.ст. 127, 146 СК РФ), то есть информацию, безусловно,относящуюся к специальным категориям персональных данных.

Последнее основание касается обработки специальных категорий персональных данных в соответствии с законодательством РФ о гражданстве РФ (п. 10 ч. 2 ст. 10 Закона N 152-ФЗ). Поскольку при приеме в гражданство РФ могут возникать вопросы о религиозных убеждениях, философских, политических взглядах и т.п. претендента на предмет наличия или отсутствия экстремистских настроений (ст. 16 Федерального закона от 31.05.2002 N 62-ФЗ "О гражданстве Российской Федерации"), то обработка подобных персональных данных субъекта может осуществляться без его согласия.

Тема

Условия обработки персональных данных

См. также

Понятие и виды персональных данных