Юридическая компания lukash & Partners приняла участие в конференции EDPC с докладом "Законное распространение персональных данных или как не быть обвиненным в утечке". Ниже делимся основными тезисами, а также приводим 10 позиций Роскомнадзора по согласиям на распространение персональных данных.
Основание предварительной обработки
Поскольку согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения дается отдельно от иных согласий на обработку персональных данных (ч. 1 ст. 10.1 152-ФЗ), согласию на распространение предшествует проработка предварительных оснований обработки персональных данных до распространения (согласие, закон, договор с субъектом и т.п.).
Необходимо обратить внимание на наличие такого основания.
Вопросы интеллектуальной собственности и использования фото
Распространение персональных данных часто сопряжено с распространением фотографий.
В соответствии с пунктом 1 статьи 1229 ГК РФ правообладатель может по своему усмотрению разрешать или запрещать другим лицам использование результата интеллектуальной деятельности или средства индивидуализации.
В соответствии со ст. 151.1 ГК РФ обнародование и дальнейшее использование изображения гражданина допускаются только с согласия этого гражданина (за исключением ряда случаев указанных в данной статье).
Отсутствие запрета не является разрешением (согласием). При получении согласия на распространение персональных данных с использованием фотографий необходимо получить соответствующие подтверждения у субъекта. Нужно обратить внимание, что Роскомнадзор на данный момент не считает персональными данными фотографии без иных сведений (см. ниже позиции Роскомнадзора).
Договор как основание для распространения
Судебное дело СК Арсенал – Роскомнадзор (дело А40-139096/2022) явным образом обратило внимание, что в законодательстве о персональных данных нет строгой отсылки к согласию на распространение, как исключительному основанию обработки персональных данных в виде распространения.
Как указал суд, согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, необходимо только если основанием обработки ПД выбран п. 1 ч. 1 ст. 6 152-ФЗ (непосредственно согласие). Есть и другие основания обработки.
Принципиально данная ситуация не нова, ранее суды многократно указывали подобное отношение к согласиям на поручение обработки персональных данных (постановление Тринадцатого арбитражного апелляционного суда от 01.12.2014 по делу N А21-4273/2014, апелляционное определение Нижегородского областного суда от 23.06.2020 N 33-4961/2020, есть другие). Логика была аналогичной, согласие на поручение по ч. 3 чт. 6 152-ФЗ необходимо если согласие выбрано основанием обработки персональных данных, но может быть в качестве основания и договор, заключаемый с субъектом персональных данных.
Необходимо отметить, что Роскомнадзор по прежнему занимает консервативную позицию к договору с субъектом ПД, как основанию для распространения ПД. Если для вашей организации сбор согласий на распространение не критичен в рамках бизнес- процесса, лучше их собирать при наличии договора с субъектом персональных данных, подразумевающим распространение.
По нашему мнению распространение персональных данных возможно на основании договора, заключаемого с субъектом персональных данных (без дублирующего согласия), о чем мы говорили на вебинаре еще 21 мая 2021 года.
Незаконное распространение ПД работников
Вопрос незаконного распространения персональных данных работников связывается Роскомнадзором с "утечками" персональных данных. Факт неправомерного воздействия внешнего нарушителя значения не имеет.
Ниже скриншот из постановления по делу 05-0450/347/2023 (уникальный идентификатор дела 77MS0347-01-2023-001607-77). Есть и другие.
По мнению Роскомнадзора и судов, необходимо уведомлять Роскомнадзор о неправомерной или случайной передаче в виде распространения. Суды отмечали, что такое уведомление является смягчающим фактором при назначении наказания.
В связи с планируемым штрафом за не уведомление об "утечке" до 3 млн. рублей вопрос внутренних согласий на распространение и в целом продуманных позиций становится все более актуальным.
Позиции Роскомнадзора по согласиям на распространение
Для доклада мы проанализировали позиции Роскомнадзора по согласиям на распространение за последние полтора года и публикуем для всех интересующихся. Мы сократили позиции до смысловых выражений и оставили отсылку к оригинальной (полной) версии.
О распространении биометрических и иных категорий персональных данных
Для распространения биометрических персональных данных и специальных категорий персональных данных необходимо:
- сначала получить письменное согласие на обработку в соответствии с частью 4 статьи 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
- потом согласие на распространение.
семинар Роскомнадзора 28.01.2022 (2:00:45-2:03:15)
Для распространения «общих» персональных данных:
- сначала необходимо проверить правовое основание обработки (например, договор или согласие);
- затем получить согласие на распространение.
семинар Роскомнадзора 28.01.2022 (2:00:45-2:03:15)
О периодическом размещении персональных данных в рамках одной цели
Если размещение персональных данных осуществляется на периодической основе в рамках одной цели, то достаточно одного согласия и брать согласие перед каждой публикацией не нужно.
Если публикация предполагается в рамках ранее не предусмотренной цели, необходимо получить новое согласие.
семинар Роскомнадзора от 01.03.2023 (2:36:25-2:37:13)
О сборе согласий на распространение через форму на сайте
При сборе персональных данных на сайте согласие на распространение может быть получено через форму в личном кабинете, через скачивание формы на сайте, ее заполнение и прикрепление затем к заявке или электронному письму в адрес организации.
семинар Роскомнадзора от 28.01.2022 (2:52:28-2:53:23)
О публикации фотографий и персональных данных образовательными организациями и учреждениями здравоохранения
Если образовательные организации и учреждения здравоохранения публикуют на своих сайтах и в своих социальных сетях фотографии и персональные данные для обеспечения информирования учащихся и пациентов таких организаций, то получать согласие на распространение не требуется.
семинар Роскомнадзора от 01.03.2023 (2:37:17-2:38:12);
О публикации коллективной фотографии
Согласие на распространение коллективной фотографии детей, если изображение соответствует требованиям пункта 1 статьи 152.1 ГК РФ, не требуется.
семинар Роскомнадзора от 01.03.2023 (2:38.13-2:38:56)
О размещении сведений о фамилии, имени и должности на двери кабинета
Получать согласие на распространение не требуется, т.к. это не является распространением.
семинар Роскомнадзора от 28.01.2022 (2:04:36-2:05:38)
О размещении персональных данных на сайте госзакупок
Получать согласие на распространение не требуется.
семинар Роскомнадзора от 28.01.2022 (2:57:58-2:58:24)
О публикациях средствами массовой информации
Для аккредитованных средств массовой информации не требуется получение согласия на распространение персональных данных в рамках репортажей или сюжетов о судебном заседании, если оно является гласным и открытым.
семинар Роскомнадзора 01.03.2023 (3:20:22-3:21:13)
О праве несовершеннолетних давать согласие на распространение
Несовершеннолетний, достигший возраста 14 лет, может самостоятельно давать согласие на распространение персональных данных.
семинар Роскомнадзора от 28.01.2022 (2:53:28-2:54:13)
О распространении персональных данных, полученных с именного сайта субъекта
Распространение персональных данных, полученных с именного сайта субъекта, возможно без согласия субъекта персональных данных, если на сайте не установлены запреты и ограничения на распространение.
семинар Роскомнадзора от 28.01.2022 (3:00:26-3:01:01)
Ссылка на презентацию с онлайн-конференции.
