Случаи, при которых допускается обработка, в том числе передача, персональных данных определены ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных).
Так, в соответствии с п. 5 ч. 1 ст. 6 Закона о персональных данных допускается обработка персональных данных, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных.
Договор, являющийся самостоятельным правовым основанием для обработки персональных данных, предполагает обязательное соблюдение требований, установленных главой 28 Гражданского кодекса Российской Федерации, и не допускает включение положений об обработке персональных данных, противоречащих положениям Закона о персональных данных.
При этом обработка персональных данных должна осуществляться с учетом принципов обработки персональных данных, предусмотренных ст. 5 Закона о персональных данных, в частности операторы обязаны не допускать обработку персональных данных в целях отличных от заявленных, а равно не обрабатывать персональные данные, состав которых является избыточным по отношению к заявленной цели обработки персональных данных.
Необходимо отметить, что положения договора относительно передачи персональных данных, должно содержать информацию о лицах, в адрес которых осуществляется указанная передача персональных данных, а также о целях осуществления такой передачи персональных данных.
С учетом изложенного, в случае передачи оператором персональных данных субъекта персональных данных в адрес третьих лиц, в договоре должны быть указанные конкретные третьи лица, в адрес которых будут переданы персональные данные, либо ссылка на официальный интернет-ресурс оператора, где размещен перечень указанных третьих лиц.
