Компания А поручает компании Б обработку персональных данных клиентов. Для этого компания А передает персональные данные компании Б. Нужно ли получать согласие на поручение персональных данных?
Коротко
Согласие на поручение обработки персональных данных, предусмотренное ч. 3 ст. 6 152-ФЗ, может быть заменено договором, заключенным с субъектом персональных данных, если поручение обработки необходимо для его исполнения. Но учтите, что включение в договор необоснованной передачи/поручения будет являться нарушением по линии Роспотребнадзора.
Подробнее
Если толковать №152-ФЗ буквально, согласие нужно. Персональные данные носят конфиденциальный характер (ст. 7 №152-ФЗ). Компания А вправе поручить обработку персональных данных компании Б с согласия субъекта персональных данных (ч. 3 ст. 6 №152-ФЗ).
Но еще есть судебная практика. Суды указывают на то, что если передача персональных данных необходима исключительно для исполнения договора между компанией А и клиентом, то согласие клиента не нужно. В данном случае основанием передачи будет является п. 5 ч. 1 ст. 6 №152-ФЗ, т.е. договор с субъектом персональных данных (дела №А21-4273/2014, № 33-4961/2020, №2-3564/2019).
В то же время непродуманное включение согласия в текст договора между компанией А и клиентом может быть признано судом нарушением прав потребителя путем включения в договор условий, ущемляющих установленные законом права потребителя (ч.2 ст. 14.8 КоАП РФ, дело №А40-65677/22). В последнем случае согласие стало договорным условием из которого не представлялось возможным установить кому будут переданы персональные данные потребителя в дальнейшем.
Для полноты можно отметить, что согласие на поручение не нужно будет в случаях, предусмотренных федеральными законами. Есть и другие правовые особенности, относимые к передаче персональных данных.
