Основание предварительной обработки
Поскольку согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения дается отдельно от иных согласий на обработку персональных данных (ч. 1 ст. 10.1 152-ФЗ), согласию на распространение предшествует проработка предварительных оснований обработки персональных данных до распространения (согласие, закон, договор с субъектом и т.п.).
Необходимо обратить внимание на наличие такого основания.
Вопросы интеллектуальной собственности и использования фото
Распространение персональных данных часто сопряжено с распространением фотографий.
В соответствии с пунктом 1 статьи 1229 ГК РФ правообладатель может по своему усмотрению разрешать или запрещать другим лицам использование результата интеллектуальной деятельности или средства индивидуализации.
В соответствии со ст. 151.1 ГК РФ обнародование и дальнейшее использование изображения гражданина допускаются только с согласия этого гражданина (за исключением ряда случаев указанных в данной статье).
Отсутствие запрета не является разрешением (согласием). При получении согласия на распространение персональных данных с использованием фотографий необходимо получить соответствующие подтверждения у субъекта. Нужно обратить внимание, что Роскомнадзор на данный момент не считает персональными данными фотографии без иных сведений (см. ниже позиции Роскомнадзора).
Договор как основание для распространения
Судебное дело СК Арсенал – Роскомнадзор (дело А40-139096/2022) явным образом обратило внимание, что в законодательстве о персональных данных нет строгой отсылки к согласию на распространение, как исключительному основанию обработки персональных данных в виде распространения.
Как указал суд, согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, необходимо только если основанием обработки ПД выбран п. 1 ч. 1 ст. 6 152-ФЗ (непосредственно согласие). Есть и другие основания обработки.
Принципиально данная ситуация не нова, ранее суды многократно указывали подобное отношение к согласиям на поручение обработки персональных данных (постановление Тринадцатого арбитражного апелляционного суда от 01.12.2014 по делу N А21-4273/2014, апелляционное определение Нижегородского областного суда от 23.06.2020 N 33-4961/2020, есть другие). Логика была аналогичной, согласие на поручение по ч. 3 чт. 6 152-ФЗ необходимо если согласие выбрано основанием обработки персональных данных, но может быть в качестве основания и договор, заключаемый с субъектом персональных данных.
Необходимо отметить, что Роскомнадзор по прежнему занимает консервативную позицию к договору с субъектом ПД, как основанию для распространения ПД. Если для вашей организации сбор согласий на распространение не критичен в рамках бизнес- процесса, лучше их собирать при наличии договора с субъектом персональных данных, подразумевающим распространение.
По нашему мнению распространение персональных данных возможно на основании договора, заключаемого с субъектом персональных данных (без дублирующего согласия), о чем мы говорили на вебинаре еще 21 мая 2021 года.
Незаконное распространение ПД работников
Вопрос незаконного распространения персональных данных работников связывается Роскомнадзором с "утечками" персональных данных. Факт неправомерного воздействия внешнего нарушителя значения не имеет.
Ниже скриншот из постановления по делу 05-0450/347/2023 (уникальный идентификатор дела 77MS0347-01-2023-001607-77). Есть и другие.
По мнению Роскомнадзора и судов, необходимо уведомлять Роскомнадзор о неправомерной или случайной передаче в виде распространения. Суды отмечали, что такое уведомление является смягчающим фактором при назначении наказания.
В связи с планируемым штрафом за не уведомление об "утечке" до 3 млн. рублей вопрос внутренних согласий на распространение и в целом продуманных позиций становится все более актуальным.
Позиции Роскомнадзора по согласиям на распространение
Для доклада мы проанализировали позиции Роскомнадзора по согласиям на распространение за последние полтора года и публикуем для всех интересующихся. Мы сократили позиции до смысловых выражений и оставили отсылку к оригинальной (полной) версии.
О распространении биометрических и иных категорий персональных данных
Для распространения биометрических персональных данных и специальных категорий персональных данных необходимо:
сначала получить письменное согласие на обработку в соответствии с частью 4 статьи 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
потом согласие на распространение.
семинар Роскомнадзора 28.01.2022 (2:00:45-2:03:15)
Для распространения «общих» персональных данных:
сначала необходимо проверить правовое основание обработки (например, договор или согласие);
затем получить согласие на распространение.
семинар Роскомнадзора 28.01.2022 (2:00:45-2:03:15)
О периодическом размещении персональных данных в рамках одной цели
Если размещение персональных данных осуществляется на периодической основе в рамках одной цели, то достаточно одного согласия и брать согласие перед каждой публикацией не нужно.
Если публикация предполагается в рамках ранее не предусмотренной цели, необходимо получить новое согласие.
семинар Роскомнадзора от 01.03.2023 (2:36:25-2:37:13)
О сборе согласий на распространение через форму на сайте
При сборе персональных данных на сайте согласие на распространение может быть получено через форму в личном кабинете, через скачивание формы на сайте, ее заполнение и прикрепление затем к заявке или электронному письму в адрес организации.
семинар Роскомнадзора от 28.01.2022 (2:52:28-2:53:23)
О публикации фотографий и персональных данных образовательными организациями и учреждениями здравоохранения
Если образовательные организации и учреждения здравоохранения публикуют на своих сайтах и в своих социальных сетях фотографии и персональные данные для обеспечения информирования учащихся и пациентов таких организаций, то получать согласие на распространение не требуется.
семинар Роскомнадзора от 01.03.2023 (2:37:17-2:38:12);
О публикации коллективной фотографии
Согласие на распространение коллективной фотографии детей, если изображение соответствует требованиям пункта 1 статьи 152.1 ГК РФ, не требуется.
семинар Роскомнадзора от 01.03.2023 (2:38.13-2:38:56)
О размещении сведений о фамилии, имени и должности на двери кабинета
Получать согласие на распространение не требуется, т.к. это не является распространением.
семинар Роскомнадзора от 28.01.2022 (2:04:36-2:05:38)
О размещении персональных данных на сайте госзакупок
Получать согласие на распространение не требуется.
семинар Роскомнадзора от 28.01.2022 (2:57:58-2:58:24)
О публикациях средствами массовой информации
Для аккредитованных средств массовой информации не требуется получение согласия на распространение персональных данных в рамках репортажей или сюжетов о судебном заседании, если оно является гласным и открытым.
семинар Роскомнадзора 01.03.2023 (3:20:22-3:21:13)
О праве несовершеннолетних давать согласие на распространение
Несовершеннолетний, достигший возраста 14 лет, может самостоятельно давать согласие на распространение персональных данных.
семинар Роскомнадзора от 28.01.2022 (2:53:28-2:54:13)
О распространении персональных данных, полученных с именного сайта субъекта
Распространение персональных данных, полученных с именного сайта субъекта, возможно без согласия субъекта персональных данных, если на сайте не установлены запреты и ограничения на распространение.
семинар Роскомнадзора от 28.01.2022 (3:00:26-3:01:01)
Ссылка на презентацию с онлайн-конференции.
