Обработка персональных данных без согласия их субъекта в договорных правоотношениях в сфере услуг: научно-практический комментарий к п. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных"
Статья представляет собой развернутый научно-практический комментарий положений п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ, основанный на анализе доктрины и судебной практики применительно к обработке персональных данных без согласия их субъекта - стороны договора или оферента в сфере услуг. Раскрывая отдельные аспекты правового статуса субъекта персональных данных в договорных правоотношениях, через доктринально-эмпирический анализ таких институтов цивилистики, как договор и исполнение обязательств, обоснован тезис о том, что без подтверждения оператором факта оказания услуги конкретному субъекту персональных данных у исполнителя, выступающего оператором, нет оснований для обработки персональных данных конкретного субъекта без его на то согласия.
Ключевые слова: субъект персональных данных, согласие на обработку персональных данных, обработка персональных данных без согласия субъекта персональных данных, цель обработки персональных данных, договор как основание для обработки персональных данных, исполнение договора как условие обработки персональных данных.
The article is a detailed scientific and practical commentary on the provisions of clause 5, part 1, art. 6 Federal Law No. 152-FZ, based on an analysis of doctrine and judicial practice in relation to the processing of personal data without the consent of their subject - party to the contract or the offerer in the service sector. Revealing certain aspects of the legal status of the subject of personal data in contractual legal relations, through a doctrinal and empirical analysis of such civil law institutions as contract and fulfillment of obligations, the thesis is substantiated that without confirmation by the operator of the fact of providing a service to a specific subject of personal data, the contractor acting as the operator has no grounds for processing personal data of a specific subject without his consent.
Key words: subject of personal data, consent to the processing of personal data, processing of PD without the consent of the subject of PD, purpose of processing personal data, contract as a basis for processing personal data, execution of a contract as a condition for processing personal data.
Обработка персональных данных (далее - ПД) без согласия соответствующего субъекта ПД представляет собой исключение из общих правил ФЗ N 152, установившего условие обработки ПД исключительно при наличии согласия их субъекта (п. 1 ч. 1 ст. 6 ФЗ N 152-ФЗ) в соответствии с исчерпывающим перечнем таких случаев в профильном законе (ч. 1 ст. 6 ФЗ N 152-ФЗ), и подтверждает проявление патерналистской заботы государства о защите неприкосновенности частной жизни граждан, что, собственно, и призван обеспечивать ФЗ N 152-ФЗ, подтверждение чему мы находим в его ст. 2. Вместе с тем на уровне правоприменения, как это вытекает из практики обжалования определений об отказе в возбуждении дел об административном правонарушении по ч. 1 ст. 13.11 КоАП РФ, вынесенных должностными лицами Управления Роскомнадзора по Тульской области <2>, достаточно остро встает вопрос о применении таких частноправовых категорий, как "договор", "исполнение договора", в ситуации, когда оператор ПД ссылается на необходимость обработки ПД конкретного лица на основании положений п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ, о чем как раз и пойдет речь в настоящей статье, основанной не только на толковании доктрины, но и на эмпирическом исследовании, отраженном в том числе и в судебных актах Советского районного суда Тульской области по делам N 12-197/2023 и N 12-198/2023 <3>, выводы которого были подтверждены решениями Тульского областного суда от 05.12.2023 по делу 21-439/2023 и от 12.12.2023 по делу 21-436/2023 <4>.
--------------------------------
<2> Архив Советского районного суда г. Тулы. Материалы дела N 12-197/2023.
<3> Решение Советского районного суда г. Тулы от 03.10.2023 по делу N 12-198/2023.
Решение Советского районного суда г. Тулы от 03.10.2023 по делу N 12-197/2023.
<4> Решение Тульского областного суда от 05.12.2023 по делу 21-439/2023.
Принимая определения об отказе в возбуждении дел об административном правонарушении по ч. 1 ст. 13.11 КоАП РФ, которые впоследствии были признаны в судебном порядке незаконными, Управление Роскомнадзора по Тульской области в числе прочего исходило из объяснений и позиции компании ООО "К-Д", полагавшей, что договор между гр. О и компанией является действующим, что позволяет обществу вести обработку ПД гр. О на основании положений п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ без его на то согласия, что и является предметом нашего исследования <5>.
--------------------------------
<5> Из объяснений ООО "К-Д" в рамках дела N 12-197/2023 // Архив Советского районного суда г. Тулы. Материалы дела N 12-197/2023.
Правовой статус субъекта ПД в договорных правоотношениях
Толкование нормы п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ с позиций логической дизъюнкции и применения грамматического анализа показывает, что законодатель при определении статуса субъекта, ПД которого могут обрабатываться без его на то согласия, использует разделительные союзы "или" и "либо", указывая тем самым на альтернативность правового статуса отдельно взятого лица применительно к конкретному договору, исчерпывающе перечисляя таких субъектов, называя при этом:
а) сторону договора;
б) выгодоприобретателя по договору;
в) поручителя по договору;
г) оферента;
д) оферента-выгодоприобретателя;
е) оферента-поручителя.
Комментируя положения п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ, А.И. Савельев указывал на то, что обработка ПД конкретного субъекта ПД на основании вышеуказанной нормы распространяется только на те случаи, когда субъект ПД является участником договора в одной из тех форм, которые указаны в Законе: стороной, выгодоприобретателем или поручителем <6>. Этих же позиций придерживаются и иные комментаторы ФЗ N 152-ФЗ <7>, а также Верховный Суд РФ <8>.
--------------------------------
<6> Савельев А.И. Научно-практический постатейный комментарий к Федеральному закону "О персональных данных". 2-е изд., перераб. и доп. Москва: Статут, 2021. 468 с.
<7> Федеральный закон "О персональных данных": Научно-практический комментарий (постатейный) / А.Х. Гафурова, Е.В. Доротенко, Ю.Е. Контемиров и др.; Под ред. А.А. Приезжевой. М.: Редакция "Российской газеты", 2015. Вып. 11. 176 с.; Защита данных: научно-практический комментарий к судебной практике / Э.В. Алимов, Д.Р. Алимова, Х.И. Гаджиев и др.; Отв. ред. В.В. Лазарев, Х.И. Гаджиев. М.: ИЗиСП; КОНТРАКТ, 2020. 176 с.
<8> Определение Судебной коллегии по гражданским делам Верховного Суда Российской Федерации от 1 августа 2017 г. N 78-КГ17-45.
Таким образом, применительно к положениям п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ из буквального толкования вышеуказанной нормы вытекает, что обработка ПД без согласия субъекта может иметь место только в том случае, если:
1) оператору необходимо исполнять договор, стороной, выгодоприобретателем или поручителем по которому выступает конкретный субъект ПД;
2) оператору необходимо вести обработку ПД по предстоящему договору, заключение которого инициирует сам субъект ПД, или предполагается заключение договора, где конкретный субъект ПД будет выступать выгодоприобретателем, под которым, как вытекает из п. 21 Постановления Пленума Верховного Суда РФ от 26 июня 2018 г. N 27 <9>, понимается лицо, не являющееся стороной сделки, но извлекает имущественную выгоду из заключенной сделки, в том числе и заключенной в соответствии со ст. 430 ГК РФ с применением договорной конструкции заключения договора в пользу третьего лица или поручителем.
--------------------------------
<9> Постановление Пленума Верховного Суда РФ от 26 июня 2018 г. N 27 "Об оспаривании крупных сделок и сделок, в совершении которых имеется заинтересованность".
Соответственно, для правоприменения важно установить один из двух фактов: между сторонами уже имеется заключенный и действующий договор или субъект ПД инициирует заключение такого договора с оператором ПД, что доказывается наличием одного из двух документов:
1) договором в форме документа (п. 2 ст. 434 ГК РФ), стороной которого является субъект ПД, где указывается конкретное обязательство оператора, исполнение которого предполагает ведение обработки ПД в интересах его субъекта в целях исполнения перечисленных в договоре обязанностей оператора, с которыми корреспондируют права субъекта ПД;
2) доказательствами, подтверждающими факт направления субъектом ПД в адрес оператора оферты (ст. 435 ГК РФ), из содержания которой вытекает безусловная обязанность оператора ПД вести обработку ПД оферента - конкретного субъекта ПД в целях заключения будущего договора.
Договор как основание для обработки ПД
Учитывая, что правильность применения п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ зависит от наличия договора, прямое отношение к которому, как мы установили ранее, имеет конкретный субъект ПД, то нам просто необходимо остановиться на вопросе понимания сущности договора как одного из основных правовых институтов цивилистики.
Напомним, что доктрина выделяет три основных аспекта в понимании договора: договор как сделка, т.е. юридический факт, когда стоит вопрос только об оценке возникновения договорного правоотношения; договор - правоотношение, когда анализу подвергается само обязательственное правоотношение, в основе которого лежат права и обязанности его сторон и, наконец, договор - документ, когда исследуется вопрос о соблюдении формы договора <10>.
--------------------------------
<10> Витрянский В.В. Договор в Гражданском кодексе России и в практике его применения // Вестник гражданского права. 2007. N 2.
Соответственно, при применении конструкции "договор - документ" основным вопросом является выяснение обстоятельства о том, имеется ли письменный документ между оператором ПД и самим физическим лицом, ПД которого обрабатывает оператор без согласия на это конкретного лица, т.е. проверяется соблюдение формы договора. На стадии проверки договора с позиции "договор - сделка" предметом анализа выступает вопрос о возникновении конкретных правоотношений между сторонами, об отсутствии оснований для признания конкретной сделки ничтожной, а самого договора расторгнутым или обязательств прекращенными. И уже на стадии анализа категории "договор - правоотношение" исследованию подвергаются корреспондирующие права и обязанности сторон конкретного обязательства, исполнение которых и позволяет оператору вести обработку ПД конкретного физического лица без его на то согласия.
Цель обработки ПД как основной принцип ФЗ N 152-ФЗ
Как вытекает из буквального толкования п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ, обработка ПД конкретного физического лица допустима не просто в силу факта существования договорных правоотношений с конкретным оператором ПД, а направлена исключительно на цели исполнения такого договора, что обусловлено требованиями законодателя о том, что обработка ПД должна ограничиваться достижением конкретных, заранее определенных и законных целей (ч. 2 ст. 5 ФЗ N 152-ФЗ). Следует отметить, что законодатель акцентирует внимание именно на законности цели как основного принципа обработки ПД, т.е. оператор при обработке ПД в любом случае обязан обосновать ссылками на конкретную норму нормативно-правового акта свое действие по обработке ПД конкретного лица, подтверждение чего мы находим в ч. 2 ст. 5 ФЗ N 152-ФЗ, указывающем на конкретность и определенность, что заранее предполагает наличие у конкретного оператора правовых оснований на уровне действующего законодательства, устанавливающих определенную обязанность оператора ПД, для исполнения которой он и обязан вести обработку ПД конкретного лица, в том числе и без его на то согласия, как это установлено п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ.
Например, ни у кого не возникает сомнений в незаконности обязательства по обналичиванию денежных средств или по оказанию охранных услуг компанией, которая не имеет на это соответствующей лицензии, что, безусловно, исключает законность цели обработки ПД.
Оказание услуги как объект гражданского права
Поскольку применение нормы п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ, как иллюстрирует нам исследуемая в настоящей статье правоприменительная практика Управления Роскомнадзора по Тульской области, вызывает споры в договорной сфере услуг, мы не можем не остановиться на анализе понятия услуги как правовой категории.
Сразу отметим, что и доктрина, и гражданское законодательство понимают под услугой определенное действие или деятельность одного лица (исполнителя услуги) по заданию и в пользу другого лица (заказчика услуги). Разъясняя понятие услуги применительно к потребителям, к которым, как правило, и относятся субъекты ПД, Верховный Суд РФ истолковал, что под услугой следует понимать действие (комплекс действий), совершаемое исполнителем в интересах и по заказу потребителя в целях, для которых услуга такого рода обычно используется, либо отвечающее целям, о которых исполнитель был поставлен в известность потребителем при заключении возмездного договора <11>.
--------------------------------
<11> Подпункт "г" п. 3 Постановления Пленума Верховного Суда РФ от 28 июня 2012 г. N 17 "О рассмотрении судами гражданских дел по спорам о защите прав потребителей" // Бюллетень Верховного Суда РФ. Сентябрь. 2012. N 9.
При этом практика исходит из того, что договор, предметом которого является оказание услуг, считается незаключенным, если невозможно определить, какие именно услуги и в каком именно объеме должны быть оказаны, какие действия должен совершить исполнитель для достижения цели договора с заказчиком <12>.
--------------------------------
<12> Постановление ФАС Волго-Вятского округа от 02.08.2011 по делу N А82-12292/2010; Постановление ФАС Северо-Кавказского округа от 26.11.2003 N Ф08-4216/2003 по делу N А53-17566/02-С4-10.
Оказание услуги, как вытекает из судебной практики <13>, направлено на создание потребительской ценности для заказчика, что и обуславливает обработку ПД без согласия их субъекта. Соответственно, для обоснования применения п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ к договору оказания услуг оператор должен доказать факт приобретения заказчиком определенного потребительского блага в результате действий оператора по выполнению конкретной обязанности в рамках заключенного между сторонами договора, исполнение которой и обусловлено необходимостью вести обработку ПД конкретного субъекта без его на то согласия.
--------------------------------
<13> Определения Верховного Суда РФ от 10.12.2020 N 307-ЭС20-19279 по делу N А56-16465/2019, от 12.12.2023 N 305-ЭС23-25519 по делу N А40-32067/2021, от 12.12.2023 N 305-ЭС23-25656 по делу N А40-194611/2022, Постановление Арбитражного суда Восточно-Сибирского округа от 02.04.2019 N Ф02-834/2019 по делу N А19-16223/2017.
Исполнение договора как условие обработки ПД
Поскольку обработка ПД стороны договора без ее на то согласия может осуществляться исключительно в случае исполнения обязательств перед субъектом ПД, то следует отдельно остановиться на понятии исполнения с позиций доктрины и практики.
С точки зрения семантического исследования термина, под исполнением следует понимать осуществление, реализацию чего-либо, на что обращается внимание С.В. Сарбаш, который также акцентируется на легальном определении понятия в п. 1 ст. 307 ГК РФ и указывает на исполнение обязательства через механизм совершения волевых действий сторон, когда должник передает исполнение, а кредитор его принимает, рассматривая это в качестве ремиссионной сделки <14>.
--------------------------------
<14> Сарбаш С.В. Исполнение договорного обязательства. М.: Статут, 2005. 636 с.
При этом, как справедливо указывал О.С. Иоффе, юридическое содержание обязательства составляют правомочия одной стороны и обязанности другой, а материальной составляющей отдельно взятого обязательства являются имущество и блага <15>.
--------------------------------
<15> Иоффе О.С. Обязательственное право. М.: Юрид. лит., 1975. С. 14.
Исходя из правовых позиций высших судебных инстанций <16> и арбитражных судов <17> о том, что на основании ст. ст. 779, 781 ГК РФ оплачены могут быть только фактически оказанные услуги, оператор ПД должен помнить о необходимости представить убедительные доказательства самого факта оказания таких услуг субъекту ПД как необходимого условия для доказывания указанного в п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ условия в виде действия по исполнению обязательства. Как без факта оказанной услуги нет оснований для оплаты, подтверждение чему мы находим в разъяснении ВС РФ <18>, так и без подтверждения факта оказания услуги конкретному субъекту ПД у оператора нет оснований для обработки ПД такого субъекта.
--------------------------------
<16> Определение Конституционного Суда РФ от 28.06.2018 N 1526-О, Определения Высшего Арбитражного Суда РФ от 17.11.2009 N ВАС-15142/09 по делу N А40-81136/08-65-729, от 23.04.2014 N ВАС-5095/14 по делу N А32-6650/2013, от 12.09.2011 N ВАС-11039/11 по делу N А19-15133/10-53, от 02.12.2011 N ВАС-15055/11 по делу N А82-7/2010-72, от 14.07.2011 N ВАС-8294/11 по делу N А33-6645/2010, от 19.03.2007 N 2495/07 по делу N А21-543/2003, Определения Верховного Суда РФ от 22.04.2022 N 304-ЭС22-5157 по делу N А46-277/2021, от 10.12.2020 N 307-ЭС20-19279 по делу N А56-16465/2019, от 11.09.2020 N 305-ЭС20-11717 по делу N А40-109873/2018, от 11.09.2020 N 305-ЭС20-11718 по делу N А40-102648/2018, 08.11.2023 N 302-ЭС23-21518.
<17> Постановление Арбитражного суда Восточно-Сибирского округа от 10.11.2022 N Ф02-5352/2022 по делу N А58-11498/2019, Постановление Арбитражного суда Восточно-Сибирского округа от 31.08.2023 N Ф02-4322/2023 по делу N А33-322/2022, Постановление Арбитражного суда Восточно-Сибирского округа от 12.07.2023 N Ф02-2583/2023 по делу N А19-14228/2021, Постановление Арбитражного суда Восточно-Сибирского округа от 07.12.2022 N Ф02-5375/2022 по делу N А58-8718/2021, Постановление Арбитражного суда Дальневосточного округа от 16.02.2023 N Ф03-42/2023 по делу N А24-1487/2022, Постановление Арбитражного суда Западно-Сибирского округа от 05.10.2023 N Ф04-4770/2023 по делу N А46-17286/2022, Постановление Арбитражного суда Московского округа от 01.08.2022 N Ф05-11751/2022 по делу N А40-217789/2021, Постановление Арбитражного суда Поволжского округа от 18.09.2023 N Ф06-7124/2023 по делу N А65-31399/2021, Постановление Арбитражного суда Северо-Западного округа от 10.04.2023 N Ф07-1345/2023 по делу N А56-55736/2022, Постановление Арбитражного суда Северо-Западного округа от 12.08.2021 N Ф07-10588/2021 по делу N А26-10565/2019, Постановление Арбитражного суда Северо-Кавказского округа от 15.10.2015 N Ф08-7132/2015 по делу N А32-44522/2014, Постановление Арбитражного суда Уральского округа от 09.03.2023 N Ф09-750/23 по делу N А71-3778/2022, Постановление Арбитражного суда Центрального округа от 24.11.2023 N Ф10-5060/2023 по делу N А83-10670/2022.
<18> Определение Судебной коллегии по гражданским делам Верховного Суда Российской Федерации от 16.03.2021 N 69-КГ20-24-К7.
Таким образом, для правильного применения положений п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ к договору, предметом которого выступает конкретная услуга или комплекс услуг, которые являются составной частью действующего или будущего обязательства в рамках действующего или подлежавшего заключению договора, необходимо найти ответы на следующие вопросы:
1. Инициировал ли конкретный субъект ПД процедуру заключения договора, стороной или выгодоприобретателем по которому он должен являться и предполагаемым предметом которого, применительно к договору услуг, является конкретная услуга или набор услуг, оказывать которые намерен конкретный оператор, наделенный соответствующей правоспособностью для оказания таких услуг (например, имеющий соответствующую лицензию на ведение определенной деятельности, предметом которой выступает конкретная услуга)?
2. Если речь идет об уже сформировавшихся между оператором ПД и конкретным гражданином правоотношениях, то для применения п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ должно быть выяснено обстоятельство о том, имеется ли между сторонами договор, предусматривающий оказание конкретных услуг, являющихся предметом заключенного между сторонами договора.
3. Является ли договор, стороной или выгодоприобретателем по которому выступает конкретный субъект ПД, действующим? Не отказывалась ли одна из сторон от договора в одностороннем порядке, реализуя свое право, установленное законом (например, в соответствии со ст. 782 ГК РФ)?
4. Какие обязанности, предусмотренные договором, требуют обработки ПД физического лица, выступающего его стороной, для целей исполнения договора, предметом которого выступают услуги?
5. Оказывает ли конкретный оператор услуги, являющиеся предметом договора, конкретному субъекту ПД в рамках заключенного с таким физическим лицом договора об оказании услуг?
Только при положительном ответе на вышеуказанные вопросы имеются основания считать, что конкретный оператор вправе вести обработку ПД конкретного лица без его на то согласия.
Учитывая 100%-ную ошибочность обжалованных в судебном порядке определений об отказе в возбуждении дел об административных правонарушениях, основанных на применении п. 5 ч. 1 ст. 6 ФЗ N 152-ФЗ и вынесенных Управлением Роскомнадзора по Тульской области <19>, исходя из повышенного внимания государства к вопросу о защите прав граждан при обработке ПД (подп. 8 п. 57 Стратегии <20>) вопрос о реализации Роскомнадзором своих полномочий, установленных ч. 1 ст. 23 ФЗ N 152-ФЗ, п. 1 и подп. 6.4 п. 6 Положения о Роскомнадзоре <21>, в целях защиты прав субъектов ПД как никогда является актуальным, что диктует необходимость более активно проводить просветительскую работу, направленную на предупреждение нарушения прав и законных интересов субъектов ПД, особенно в ситуации, когда ПД обрабатываются без согласия граждан со ссылками оператора на существующие договорные правоотношения с конкретным физическим лицом.
--------------------------------
<19> Архив Советского районного суда г. Тулы. Материалы дела N 12-194/2023, 12-195/2023, 12196/2023, 12-197/2023, 12-198/2023.
<20> Указ Президента РФ от 02.07.2021 N 400 "О Стратегии национальной безопасности Российской Федерации".
<21> Постановление Правительства РФ от 16.03.2009 N 228 "О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций" (вместе с "Положением о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций").
