Вопрос: Если компания на своем сайте и в социальных сетях собирает персональные данные потребителей (Ф.И.О., телефон, адрес электронной почты, аккаунт в социальных сетях, IP-адрес) и в дальнейшем планирует их использовать для рассылок рекламы, то является ли компания оператором связи и должна ли она уведомлять об этом какие-либо органы? Нужно ли в таком случае получать согласие от потребителей? (ответ службы Правового консалтинга ГАРАНТ, январь 2017 г.)

Если компания на своем сайте и в социальных сетях собирает персональные данные потребителей (Ф.И.О., телефон, адрес электронной почты, аккаунт в социальных сетях, IP-адрес) и в дальнейшем планирует их использовать для рассылок рекламы, то является ли компания оператором связи и должна ли она уведомлять об этом какие-либо органы? Нужно ли в таком случае получать согласие от потребителей?

1. В соответствии со ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) персональными данными является любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных). То есть персональные данные - это различная информация, которая позволяет идентифицировать конкретного человека. Следовательно, сведения о клиентах компании являются персональными данными этих граждан и на них распространяется режим конфиденциальности, установленный Законом N 152-ФЗ.

Любые действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных, признаются обработкой персональных данных (п. 3 ч. 1 ст. 3 Закона N 152-ФЗ).

Оператором персональных данных, как следует из п. 2 ч. 1 ст. 3 Закона N 152-ФЗ, являются государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. При этом лицо признается оператором персональных данных вне зависимости от какой-либо регистрации, наличия или отсутствия специальных разрешений и т.п., а в силу самого факта осуществления им деятельности по обработке персональных данных.

Таким образом, любая организация, обрабатывающая персональные данные граждан, в силу закона является оператором персональных данных и должна соблюдать требования законодательства о персональных данных.

По общему правилу, сформулированному в ст. 6 Закона N 152-ФЗ, обработка персональных данных возможна только с согласия субъектов персональных данных, за исключением случаев, перечисленных в п.п. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ. Отметим, что данный перечень сформулирован исчерпывающим образом и расширительному толкованию не подлежит. Так, например, обработка персональных данных может осуществляться без согласия гражданина, если это необходимо для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, в том числе в случае реализации оператором своего права на уступку прав (требований) по такому договору (п. 5 ч. 1 ст. 6 Закона N 152-ФЗ).

Однако использование персональных данных клиентов компании в рекламных целях никак не связано с исполнением договорных обязательств, а потому оператору персональных данных необходимо получить согласие каждого обратившегося к нему гражданина на совершение подобных действий. Более того, в ч. 1 ст. 15 Закона N 152-ФЗ прямо указано, что обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи*(1) допускается только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено. Аналогичная норма содержится в ч. 1 ст. 18 Федерального закона от 13.03.2006 N 38-ФЗ "О рекламе", в силу которой распространение рекламы по сетям электросвязи допускается только при условии предварительного согласия абонента или адресата на получение рекламы. При этом реклама признается распространенной без предварительного согласия абонента или адресата, если рекламораспространитель не докажет, что такое согласие было получено.

Следовательно, необходимым условием распространения информации рекламного характера клиентам организации является получение их согласия. Причем согласие на обработку персональных данных должно быть конкретным, информированным и сознательным (ч. 1 ст. 9 Закона N 152-ФЗ). При этом обязанность предоставить доказательства получения согласия субъекта персональных данных на обработку его персональных данных или доказательства наличия оснований, указанных в п.п. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ, возлагается на оператора (ч. 3 ст. 9 Закона N 152-ФЗ).

Полагаем, что данное правило не распространяется на персональные данные, относящиеся к категории общедоступных. Частью 1 ст. 7 Федерального закона от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации" к общедоступной информации отнесены общеизвестные сведения и иная информация, доступ к которой не ограничен. Соответственно, такая информация может использоваться любыми лицами по их усмотрению при соблюдении установленных федеральными законами ограничений в отношении распространения такой информации (ч. 2 ст. 7 Закона N 149-ФЗ). Это касается, в частности, персональных данных граждан, размещенных в социальных сетях, доступных для неопределенного круга лиц. Поэтому в адрес таких субъектов информация рекламного характера может направляться без их согласия (смотрите, к примеру, апелляционное определение СК по гражданским делам Московского городского суда от 30.03.2012 N 33-2145/12).

2. Обязанности оператора закреплены в главе 4 Закона N 152-ФЗ, одной из которых является направление уведомления в уполномоченный орган по защите прав субъектов персональных данных - Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) до начала обработки персональных данных (ч. 1 ст. 22 Закона N 152-ФЗ). При этом в ч. 2 ст. 22 Закона N 152-ФЗ приведен исчерпывающий перечень случаев, когда направлять уведомление не нужно. В частности, уведомлять уполномоченный орган не требуется, если персональные данные получены оператором в связи с заключением договора, стороной которого является субъект персональных данных, при том, что эти сведения не распространяются, не предоставляются третьим лицам без согласия субъекта и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных (п. 2 ч. 2 ст. 22 Закона N 152-ФЗ). Также не требуется уведомления Роскомнадзора в случае обработки персональных данных, сделанных субъектом персональных данных общедоступными (п. 4 ч. 2 ст. 22 Закона N 152-ФЗ).

Однако, как мы уже отмечали, направление рекламной информации клиентам организации, с которыми она состоит в договорных отношениях, не может считаться исполнением договора и никак не связано с заключением договора, поэтому уведомить Роскомнадзор в подобной ситуации необходимо.

Заметим, что уведомление об обработке персональных данных направляется один раз за время деятельности организации, не влечёт за собой каких-либо затрат и дополнительных обязательств. На основании данного уведомления хозяйствующие субъекты включаются в реестр операторов, осуществляющих обработку персональных данных.

3. Частью 2 ст. 17 Закона N 152-ФЗ предусмотрено, что субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

В силу ч. 2 ст. 24 Закона N 152-ФЗ моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков (смотрите решение Заельцовского районного суда г. Новосибирска Новосибирской области от 14.09.2016 по делу N 2-3674/2016, апелляционное определение СК по гражданским делам Новосибирского областного суда от 17.12.2015 по делу N 33-10904/2015, апелляционное определение СК по гражданским делам Ставропольского краевого суда от 31.08.2016 по делу N 33-7098/2016).

Ответ подготовил:

Эксперт службы Правового консалтинга ГАРАНТ

Амирова Лариса

Ответ прошел контроль качества

25 января 2017 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг. Для получения подробной информации об услуге обратитесь к обслуживающему Вас менеджеру.

-------------------------------------------------------------------------

*(1) Согласно Федеральному закону от 07.07.2003 N 126-ФЗ "О связи" под средствами связи понимаются технические и программные средства, используемые для формирования, приема, обработки, хранения, передачи, доставки сообщений электросвязи или почтовых отправлений, а также иные технические и программные средства, используемые при оказании услуг связи или обеспечении функционирования сетей связи, включая технические системы и устройства с измерительными функциями.