Идет исполнение договора - нужны ли согласия ответственных представителей контрагента на обработку их персональных данных?
Законодательство о персональных данных (далее также - ПД) последовательно ужесточается, причем не только на уровне нормотворчества и штрафов, но и в плане активности проверяющих. Если в первые годы после принятия Закона N 152-ФЗ его наличие практически не влияло на большинство хозяйственных процессов в жизни коммерческой организации и слабо ощущалось, то сейчас это уже далеко не так - требования данного закона серьезно сказываются в целом ряде повседневных аспектов, таких как оформление сайта, работа кадровой службы, взаимодействие с клиентами и т.п. Проблема осложняется тем, что положения закона не всегда просты в интерпретации, а понятные официальные разъяснения, а также устоявшаяся судебная практика на этот счет отсутствуют в связи с длительным мораторием на проверки Роскомнадзора, который постепенно снимается. Из-за этого складывается порой парадоксальная ситуация: есть требования закона и довольно высокие штрафы по КоАП РФ, но как именно их применять - не вполне понятно.
Одним из наиболее трудных в понимании и практическом применении является требование Закона N 152-ФЗ получить и иметь согласие на обработку ПД физического лица, чьи данные обрабатываются. Трудность заключается в том, что, с одной стороны, ряд данных, которые могут быть ассоциированы с физическим лицом, не являются ПД в смысле Закона N 152-ФЗ, но их нелегко отделить от ПД и потом доказать, что не требовалось получать согласие на их обработку, с другой - на обработку ряда персональных данных не требуется брать согласие в силу специальных предусмотренных законом исключений, но эти исключения не всегда ясно соотносятся с конкретными ПД, и потом также трудно доказать, что не требовалось получать согласие на обработку таких особых ПД. Причем для предпринимателя очень важно, когда и в каком объеме обязательно получать согласия на обработку персональных данных, а когда можно законно упроститься и не получать, чтобы ничего не нарушить, - от этого зависит настройка соответствующих бизнес-процессов и объем трудозатрат на нее. Ведь в обычной договорной работе с поставщиками и клиентами происходят перманентный обмен контактными и иными данными официальных представителей сторон сделки, пересылка множества информации и иного рода процессы, потенциально подпадающие под действие Закона N 152-ФЗ в части сбора согласий на обработку ПД. В связи с этим необходимо уяснить пределы своих обязанностей и, напротив, четко знать и понимать те сегменты, в которых можно законно упроститься и не обременять себя и контрагентов лишними формальностями, прописанными в Законе N 152-ФЗ.
Давайте попытаемся оценить, когда и обязательно ли получать согласия на обработку персональных данных при взаимодействии с наиболее типичными категориями официальных представителей контрагента по договору - руководителем, главным бухгалтером, иным представителем (по доверенности или без нее), если в процессе такого взаимодействия передаются их Ф.И.О., телефон, e-mail. Для этого попробуем наметить возможный пошаговый алгоритм действий компании.
Шаг 1 - выделяем из общего объема информации, связанной с физическим лицом (представителем контрагента), те данные, которые являются его ПД.
Есть различные основания не считать ту или иную информацию, связанную с человеком, его ПД:
- фамилия и/или имя и/или отчество представителя контрагента.
В соответствии с Законом N 152-ФЗ (п. 1 ч. 1 ст. 3) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Исключительно по Ф.И.О. без иной дополнительной информации о человеке нельзя идентифицировать физическое лицо, возможно - за редчайшими исключениями.
Тем не менее в настоящее время преобладает общая точка зрения о том, что ФИО гражданина являются персональными данными (см., например, Письмо Роскомнадзора от 20.01.2017 N 08АП-6054). В литературе отмечается <1>, что такая точка зрения является проявлением т.н. широкого подхода к пониманию персональных данных, по которому даже если сама по себе совокупность данных "фамилия + имя + отчество" не позволяет идентифицировать конкретное физическое лицо, они все равно могут пониматься как ПД, поскольку в совокупности с иными сведениями могут способствовать такой идентификации и/или расширению информации о профиле человека. Суды также в последнее время подходят к понятию ПД как к широкой категории, цитата: "...они являются сведениями, направленными на идентификацию личности в широком смысле данного понятия (не только об идентификационных характеристиках личности как физического лица, т.е. фамилии, имени, отчестве, дате рождения и т.п., но и ее биографии, навыках, профессиональных характеристиках)" (см. Определение Восьмого кассационного суда общей юрисдикции от 25.02.2020 N 88-4063/2020).
--------------------------------
<1> Савельев А.И. Научно-практический постатейный комментарий к Федеральному закону "О персональных данных". 2-е изд., перераб. и доп. Статут, 2021 (см. комментарий к статье 3, п. 3).
Вместе с тем нельзя не отметить, что продолжает существовать, в т.ч. в официальных государственных источниках, взгляд на то, что только Ф.И.О. представителя контрагента (а равно и некоторая другая деловая информация о нем) без других данных не являются ПД (см., например, Постановление Мосгорсуда от 30 ноября 2017 г. N 4а-6980/2017, цитата: "...сведения о лице, которое в силу закона или учредительных документов юридического лица выступает от его имени, либо сведения об уполномоченном представителе юридического лица, полномочия которого основаны на доверенности, не подпадают под понятие персональных данных", а также решение Чертановского районного суда города Москвы от 28.08.2019 по делу N 12-1928/2019). Либо как минимум - что обработка такой информации может осуществляться свободно. В качестве примера приведем ответ Управления РКН по Тверской области на вопрос N 3, опубликованный на официальном сайте РКН <2>, согласно которому размещение на страницах сайтов в Интернете фамилии, имени и отчества без дополнительной информации, позволяющей идентифицировать физическое лицо, не является обработкой его персональных данных. Другой пример - Воронежский областной суд в Апелляционном определении от 14.03.2024 N 33-1578/2024 отклонил имущественные и неимущественные претензии бывшего главного бухгалтера организации к контрагенту этой организации в связи с якобы незаконными сбором и использованием ее персональных данных (на ее личный адрес отправлялась почтовая корреспонденция с указанием ее Ф.И.О.) - суд посчитал данные претензии несостоятельными и пояснил, что "имело место использование тех сведений, которые были представлены контрагентом".
--------------------------------
<2>
Таким образом, вопрос относимости или неотносимости к ПД только Ф.И.О. без других данных физического лица, с одной стороны, имеет правовую неопределенность, а с другой - имеет потенциал для упрощения работы предпринимателя, но с риском спора с Роскомнадзором (далее также - РКН), если этот контролирующий орган будет отстаивать иную точку зрения, отличную от предпринимательской. Причем если Ф.И.О. принадлежат представителю контрагента (руководителю, представителю по доверенности или без нее, в т.ч. главному бухгалтеру) и обрабатываются в связи с этим обстоятельством, то их использование зачастую не признается судами обработкой ПД;
- номер телефона, по которому осуществляется связь с контрагентом.
- Прежде всего отметим, что нет никаких оснований городской и/или корпоративный номер телефона контрагента (юридического лица) считать ПД его представителя (физического лица), даже если связь с этим представителем периодически поддерживается по данному номеру.
Абонентский номер может быть признан ПД в случае, когда такая информация относится прямо или косвенно к определенному или определяемому физическому лицу. Например, абонентский номер, принадлежащий юридическому лицу, не может рассматриваться в качестве персональных данных - разъясняет Минкомсвязи России в письме от 07.07.2017 N П11-15054-ОГ.
- Что касается личных абонентских номеров, то их относимость к ПД является спорной и сомнительной как минимум в силу двух соображений.
Во-первых, общее соображение - несмотря на наличие некоторых официальных разъяснений в пользу того, что личный номер телефона является ПД, само государство совсем недавно официально и по широким медийным каналам настойчиво транслировало обратную позицию - личные номера мобильных телефонов НЕ относятся к персональным данным. Было это во время пандемии COVID-19, когда власти некоторых субъектов Федерации обязывали работодателей присылать им мобильные номера телефонов своих работников. Так, в пресс-службе Департамента информационных технологий Москвы тогда официально заявили: "Обращаем внимание на то, что номера телефонов, транспортных карт и государственных регистрационных знаков автомобилей без указания Ф.И.О. или иных сведений, позволяющих установить личность конкретного гражданина, не являются персональными данными" <3>.
--------------------------------
<3>
Такой же подход о недопустимости признания ПД номеров мобильных телефонов без иных идентифицирующих сведений присутствует и в иной официальной информации. Так, в письме Управления Роскомнадзора по Центральному федеральному округу от 29.09.2021 N 88584-02-11/77 сказано: "...номер телефона будет являться персональными данными субъекта персональных данных исключительно в совокупности с дополнительной информацией, позволяющей отнести его к конкретному физическому лицу". Точно также в одном из прецедентов по теме суд фактически не усмотрел обработки ПД представителя контрагента в звонке ему на номер мобильного телефона по рабочему вопросу (определение Третьего кассационного суда общей юрисдикции от 05.04.2023 N 88-7034/2023 по делу N 2-1265/2022).
Во-вторых, частное соображение. При запросе у представителя контрагента контактов для связи и получении в ответ номера мобильного телефона компания обычно принимает на веру (или вообще не знает), является ли данный номер личным или корпоративным. Например, представитель говорит: "Если надо будет оформить счет, звоните мне на такой-то номер" (который может быть в зависимости от договора с оператором связи либо корпоративным, т.е. оформленным на работодателя, либо личным - оформленным на работника, либо даже каким-то иным). Полагаем, что в данном случае с помощью номера мобильного в любом случае не происходит идентификация физического лица как такового - напротив, компания связывается с другой компанией (контрагентом), и телефонный номер в такой ситуации служит идентификатором именно юридического, а не физического лица как целевого субъекта для взаимодействия.
Резюмируем: контактный номер телефона представителя компании-контрагента далеко не всегда является ПД (как минимум в ситуации, если он не сопровождается иной идентифицирующей физическое лицо информацией). Однако в некоторых особых ситуациях, когда очевидна личная принадлежность номера конкретному физическому лицу, есть основания считать иначе и далее работать с данной информацией как с персональными данными;
- адрес электронной почты, по которому осуществляется связь с контрагентом
В целом позиция аналогична номерам телефонов.
Представляется, что корпоративный, рабочий адрес электронной почты контрагента (один или несколько), в доменном имени которого очевидно использовано торговое наименование контрагента, не может считаться персональными данными его представителя (физического лица), даже если связь с этим представителем периодически поддерживается по данному адресу.
Так, Минцифры в письме от 17 марта 2022 г. N П25-5623 опровергает возможность отнесения корпоративного e-mail к ПД, если такая информация не относится к прямо или косвенно определенному или определяемому физическому лицу.
Касательно личных электронных почтовых адресов ситуация так же, как и с мобильными номерами, не вполне определенная. В значительной степени неопределенность обуславливается тем, что не существует критериев отнесения e-mail к "личным" как антиподу "общих" или "корпоративных". В отличие от процедуры получения номеров мобильных телефонов, при регистрации e-mail на популярных почтовых ресурсах идентификация если и присутствует, то является условной, не позволяющей всегда достоверно определить одного конкретного "собственника" e-mail - а тем более данные о принадлежности электронного почтового ящика недоступны тем, с кем ведется переписка с него, тут возможны только гипотезы. При этом многие организации и предприниматели активно используют популярные почтовые ресурсы для регистрации бесплатных почтовых ящиков, которые впоследствии используют именно в предпринимательской деятельности.
Стоит помнить про позицию АС Московского округа из Постановления от 30.03.2023 по делу N А40-139096/2022, который посчитал, что адрес электронной почты не обладает свойством "абсолютной неизменности", далее цитата: "...потому как в случае расторжения пользовательского соглашения с электронным почтовым сервисом, удаления электронного почтового ящика с сервера (по любым причинам), в том же домене может быть зарегистрирован точно такой же адрес электронной почты за новым пользователем, также, как в случае расторжения договора с оператором телефонной связи телефонный номер может быть передан новому абоненту".
Другими словами, при работе с конкретным e-mail затруднительно определить, требуется ли оценивать его как "относящегося к прямо или косвенно определенному или определяемому физическому лицу". Полагаем, что такая неопределенность должна разрешаться с учетом презумпции добросовестности участников гражданского оборота (п. 5 ст. 10 ГК РФ), поэтому сомнения в каждой конкретной ситуации должны толковаться в пользу лица, которое имело разумные основания не считать тот или иной e-mail относящимся к конкретному (определенному или точно определяемому с помощью e-mail) физическому лицу. Правда, на данный момент эта точка зрения не является единственной, и некоторые суды все-таки квалифицируют e-mail как персональные данные (см., например, Постановление Двадцатого арбитражного апелляционного суда от 04.05.2023 по делу N А62-7498/2022). Также добавим, что адрес электронной почты (в т.ч. личный) может быть опубликован в ЕГРЮЛ (см. п. "в.1" ч. 1 ст. 5 Федерального закона от 08.08.2001 N 129-ФЗ) - при таких обстоятельствах, как это будет показано ниже (Шаг 2), обработка сведений о таком адресе в любом случае будет свободной.
Следовательно, оценка каждой ситуации обработки данных о e-mail с т.з. Закона N 152-ФЗ должна быть индивидуальной. Так, если контрагент попросил высылать заявки на отгрузку товара на адрес ivanov@yandex.ru с пометкой "для Иванова", то обработка персональных данных не наступает. Напротив, если, скажем, получена комбинация "главный кладовщик компании ХХХ Мещерякова Зинаида Владленовна mesheryakova.zinaida.v@xxx.ru", то нужно иметь в виду, есть вероятность риска со стороны РКН оценки этой комбинации как ПД.
Итог - значительная часть контактной информации о представителях контрагентов, предоставляемой ими в процессе обычного исполнения сделки, не должна квалифицироваться как ПД. Однако если компания получает от бизнес-партнера именно информацию, которая квалифицируется как ПД, то далее требуется оценить, обязывает ли Закон 152-ФЗ брать согласие на обработку соответствующих ПД, или можно обойтись без этого?
Шаг 2 - проверяем, нужно ли брать согласие или действует исключение.
Оценим исключения из общей обязанности по Закону N 152-ФЗ брать согласие на обработку ПД у их субъекта - согласие не нужно, если:
- ...осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом (подп. 11 п. 1 ст. 6 Закона N 152-ФЗ).
Вся информация из ЕГРЮЛ, включая ФИО единоличного(-ых) исполнительного(-ых) органа(-ов) и e-mail компании в случае его указания, может использоваться любыми лицами по своему усмотрению. Это следует из письма ФНС от 9 сентября 2019 г. N ПА-4-6/18073@.
То есть если вы располагаете Ф.И.О. директора и e-mail контрагента, которые размещены в ЕГРЮЛ, то вы имеете полное право без предварительного получения от директора согласия на обработку этих данных использовать их, например, для отправки деловой корреспонденции.
Есть и другие случаи обязательного опубликования различных видов информации - например, Ф.И.О. адвокатов и нотариусов, данные об арбитражных управляющих и т.д.;
- ...обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (подп. 5 п. 1 ст. 6 Закона N 152-ФЗ).
Данное основание обычно не подходит для того, чтобы не получать согласие на обработку ПД представителя контрагента-организации, поскольку он не является стороной сделки.
Что касается такого основания, как "выгодоприобретатель", то подобные ситуации как раз-таки вполне возможны. В частности, если сотрудник (представитель) контрагента одновременно является одним из его учредителей, то очевидно имеет заинтересованность в успешном исполнении соответствующей сделки, и, в конечном счете, является выгодоприобретателем. В ряде других кейсов, смотря по существу сделки с контрагентом, его работники также могут иметь личный интерес и личную выгоду от ее исполнения - например, по договору страховая компания реализует фирме-клиенту страховой пакет ДМС для всех ее работников, либо фирме-клиенту поставляется питьевая вода для работников в офис, либо некая офисная программа, которой работники имеют возможность пользоваться как в служебных, так и в личных целях, и т.д. Представляется, во всех таких ситуациях обработка ПД представителей контрагента для целей исполнения сделки не требует получения от них согласия на обработку их ПД, поскольку они являются выгодоприобретателями этой сделки;
- ...обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных (подп. 7 п. 1 ст. 6 Закона N 152-ФЗ)
Коммуникация с контрагентами компании является необходимой частью ведения обычной хозяйственной деятельности, поэтому здесь a priori усматривается наличие обоснованного законного интереса у данной компании.
Наиболее проблемным при оценке рассматриваемой нормы Закона N 152-ФЗ является обоснование оператором факта "ненарушения" такой обработкой прав и свобод субъекта. На данный момент нет официальных разъяснений и релевантной судебной практики по данной теме, позволяющих конкретизировать критерии такого "ненарушения". Наше мнение - указанная норма запрещает лишь нарушение прав и свобод субъекта ПД вследствие злоупотреблений, таких как вторжение в личную жизнь, создание провокационных для физического лица ситуаций с использованием его ПД под прикрытием наличия "законного интереса" в обработке ПД и т.п., при этом, напротив, их обработка в обычных и разумных целях не запрещается.
Далее подробнее - поясним свою позицию.
В качестве возможных аргументов "ненарушения" прав физического лица при обработке его ПД на практике встречаются оправдательные ссылки на то, что такие данные не передаются третьим лицам и используются исключительно для внутренних нужд; либо оправдательные ссылки на принимаемые организационно-технические меры их защиты и т.п. В качестве дополнительного аргумента вполне может использоваться и оправдательная ссылка на то, что такой работник действует при исполнении соответствующего договора с клиентом в рамках своих должностных инструкций, в связи с чем обработка его данных должна соответствовать его разумным ожиданиям. Стоит учитывать характер исполняемого договора оператора с контрагентом и степень вовлеченности конкретного сотрудника в его исполнение (чем больше сотрудник вовлечен в исполнение договора в рамках установленных для него трудовых обязанностей, тем более потенциально убедительным для Роскомнадзора и суда может быть утверждение о ненарушении прав такого лица при обработке его данных без его согласия, поскольку это должно соответствовать его разумным ожиданиям).
Анализ существующей судебной практики показывает, что общее понимание о том, как оператор должен продемонстрировать отсутствие комментируемых нарушений, у судов отсутствует. Как правило, суды при применении подп. 7 п. 1 ст. 6 Закона 152-ФЗ никак не раскрывают смысл оговорки о ненарушении прав; не исследуют, какие именно меры принимаются оператором для того, чтобы обеспечить ненарушение прав и интересов субъекта персональных данных. Некоторые суды для решения вопроса о том, были ли нарушены права субъекта, требуют от субъекта предоставить доказательства таких нарушений, а в их отсутствие склонны констатировать отсутствие нарушений и соблюдение оператором оговорки (Постановление АС Дальневосточного округа от 12.12.2016 N Ф03-5265/2016 по делу N А73-1619/2016, Решение АС города Санкт-Петербурга и Ленинградской области от 26.08.2014 по делу N А56-36684/2014; Решение Александровского городского суда Владимирской области от 24.11.2022 по делу N 2-1257/2022; Решение Тверского районного суда города Москвы от 04.09.2024 по делу N 2-3232/2024). В других случаях суды возлагают бремя доказывания соблюдения данного требования на самого оператора (Постановление АС Северо-Западного округа от 23.03.2021 N Ф07-1255/2021; Решение АС Воронежской области от 15.06.2023 по делу N А14-2054/2023). Последний подход может встретить определенные возражения, с точки зрения существующей правовой позиции Верховного суда РФ о недопустимости возложения на лицо бремени доказывания отрицательного факта (п. 32 Обзора судебной практики ВС РФ N 3, утв. Президиумом ВС РФ 12.07.2017). Представляется, что само по себе ненарушение прав и свобод субъекта ПД является отрицательным фактом. Поскольку отрицательный юридический факт для одной стороны соотносится с положительным для другой, именно на субъекта ПД или Роскомнадзор должна возлагаться обязанность доказывания того, что права и свободы субъекта ПД были нарушены в результате обработки ПД на основании подп. 7 п. 1 ст. 6 Закона 152-ФЗ.
Четкой позиции от Минцифры и РКН также нет - в ответах на запросы по данному вопросу их позиция весьма лаконична и сводится к тому, что "каждый случай необходимо рассматривать отдельно с учетом его индивидуальных обстоятельств" (Информационное письмо Минцифры N П25-18994-ОГ от 09.08.2024; Письмо Роскомнадзора от 31.07.2024 N 08-310584).
В такой ситуации представляется, что действия оператора должны оцениваться по общим принципам гражданского законодательства и Закона от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации" согласно которым, во-первых, не запрещено любое добросовестное поведение, не запрещенное законом, а во-вторых, гарантируется свобода работы с информацией также в случае отсутствия законодательных ограничений на это. Тут требуется иллюстрация. Совершенно очевидно, что при исполнении практически любой сделки у ее сторон могут возникнуть друг к другу вопросы по теме финансовых и учетных документов (выставление, исправление, отправка "первички" и счетов-фактур, сверка расчетов, розыск платежей и т.д. и т.п.) - обращение по таким вопросам к адекватному ответственному представителю контрагента (главному бухгалтеру) с использованием его ФИО и ранее полученных контактов полностью соответствует критериям подп. 7 п. 1 ст. 6 Закона N 152-ФЗ, поскольку, во-первых, отвечает законному и разумному интересу организации, а во-вторых, не может свидетельствовать о нарушении прав главного бухгалтера, состоящего с контрагентом в соответствующих договорных отношениях. Иное, т.е. зависимость законности такого обращения от наличия или отсутствия согласия главного бухгалтера на обработку его персональных данных, напротив, не основано на нормах Закона N 152-ФЗ.
- ...обработка персональных данных необходима для достижения целей, предусмотренных законом (подп. 2 п. 1 ст. 6 Закона N 152-ФЗ).
Данное основание мы рассматриваем последним по счету, т.к., на наш взгляд, оно является специальным.
Хотя по нему также нет ценных разъяснений органов исполнительной и/или судебной власти, а сформулировано оно достаточно размыто, в качестве довольно очевидного примера охватываемых им ситуаций можно привести действия по поддержанию общественной безопасности и предотвращению правонарушений. В частности, к их числу с большой долей вероятности можно отнести:
- проявление должной осмотрительности в порядке ст. 54.1 НК РФ, т.е. действия по проверке добросовестности контрагента и сохранению результатов этой проверки;
- технические средства защиты авторских прав ради предотвращения контрафакта согласно ст. 1299 ГК РФ, если ими предусматривается обязательное указание личной информации (Ф.И.О., контакты) сотрудников компании-клиента перед началом работы с лицензионным программным обеспечением.
Итог по второму шагу. В ряде случаев ПД представителей контрагента компании могут обрабатываться без получения согласий соответствующих физических лиц. В первую очередь это касается руководителя организации-контрагента как лица, в силу своего статуса обязанного быть готовым к доступности для неограниченного круга лиц ряда его личных данных. А также и иных представителей, смотря по их статусу внутри организации-контрагента, а также характеру исполняемой сделки и возникшего к контрагенту вопроса (например, финансовые и учетные вопросы по сделке могут свободно адресоваться главному бухгалтеру контрагента). Но допустим, сложилась ситуация, когда информация о представителе может быть признана ПД и при этом не подпадает под исключения, дающие право не получать согласие на их обработку. Понятно, что согласие именно в письменной форме нужно далеко не всегда (ч. 1, ч. 4 ст. 9 Закона N 152-ФЗ). Поэтому если в описанной ситуации компания желает упростить бизнес-процессы сбора согласий, то какие способы его получить и сохранить она может рассмотреть?
Шаг 3 - оцениваем, в какой форме оптимально получать согласие на обработку ПД.
Представьте - после деловых переговоров происходит обмен визитками представителей двух компаний. Неужели им нужно брать друг у друга согласие на обработку персональных данных? Общераспространенной является точка зрения, что нет, т.к. это согласие дано конклюдентными действиями, но при условии, что персональные данные будут использоваться только для обычных в таких ситуациях целей. И также согласно ч. 3 ст. 9 Закона N 152-ФЗ у оператора возникает некоторый риск недобросовестного поведения субъекта ПД, если он начнет отрицать факт передачи визитки.
Данный пример иллюстрирует, что законодательство о персональных данных все-таки должно толковаться со здравым смыслом, в контексте общих принципов российской правовой системы. Правоприменительная практика допускает, что согласие на обработку ПД может быть получено в конклюдентной форме, то есть при совершении определенных действий, из которых логическим образом вытекает соответствующее согласие (Апелляционное определение Московского городского суда от 26 августа 2020 г. по делу N 33-30803/2020; Апелляционное определение Московского городского суда от 12 февраля 2019 г. по делу N 33-5265/2019).
К наиболее типичным и расхожим способам получения согласия в конклюдентной форме относятся факты регистрация на сайте, отправки специальных ответных электронных писем, сообщений в мессенджере, продолжение коммуникации в определенной ситуации (например, после "добавления в друзья") и т.д. - все эти обстоятельства, будучи зафиксированными, помогут обосновать и подтвердить, что конкретное физическое лицо дало свое согласие на обработку ПД.
Надо сказать, что практика получения согласий в конклюдентной форме постоянно расширяется, и Роскомнадзор одобряет это. Так, например, применительно к случаям измерения температуры тела в рамках борьбы с распространением коронавирусной инфекции Роскомнадзор сообщал <4> - "посетители, не имеющие с организацией трудовых отношений, будут выражать свое согласие на сбор сведений о температуре тела (без идентификации) посредством конклюдентных действий, выражающихся в намерении посетить организацию".
--------------------------------
<4> См. <Разъяснения> Роскомнадзора <Особенности использования тепловизоров работодателями - операторами персональных данных - с целью предотвращения распространения коронавируса>.
Следовательно, подобный же подход может быть применен и в ряде простейших ситуаций взаимодействия с представителями контрагентов:
- если Вам предоставили фирменный бланк с указанием в шапке номера контактного телефона - можно без получения согласия на обработку ПД звонить по нему по рабочим вопросам соответствующей сделки (сохранив сам бланк как доказательство);
- если Вам дали визитку - можно без получения согласия на обработку ПД звонить и писать на указанный там e-mail по теме бизнеса соответствующего предприятия и профилю его контактного лица (также сохранив визитку);
- если представитель контрагента предъявил Вам доверенность, удостоверяющую его полномочия, Вы можете сохранить ее копию и далее без получения согласия на обработку ПД учитывать данные из доверенности для взаимодействия с этим представителем по соответствующим вопросам;
- если на сайте компании-контрагента в разделе "Наша команда" опубликованы Ф.И.О. и контакты главного бухгалтера, то Вы можете без получения от главного бухгалтера согласия на обработку ПД связываться с ним, если у Вас возникли бухгалтерские вопросы по теме действующего договора (в этом случае разумно как минимум сохранить print screen страницы сайта), и т.д.
При этом нужно иметь в виду, что согласие конклюдентными действиями не дает оператору автоматический карт-бланш на любые действия по обработке ПД - обработка возможна только с учетом контекста ситуации и разумных ожиданий субъекта ПД действий относительно пределов такой обработки с учетом данного контекста. Например, если на электронную почту главного бухгалтера компании, опубликованную на ее сайте в разделе "Наша команда", отправляется спам, то это, вероятнее всего, выходит за пределы ожиданий данного физического лица.
Здесь представляется уместной отсылка к абз. 2 п. 1 ст. 182 ГК РФ, согласно которому полномочие представителя может явствовать из обстановки, в которой он действует (продавец в розничной торговле, кассир и т.п.). Данная норма помогает выкристаллизовать критерий, которым определяется (не) законность действий организации по обработке ПД (Ф.И.О., контактов и иной подобной информации) представителя ее контрагента - если представитель фактически находился с организацией в контакте, если есть признаки того, что он осознавал относимость этого контакта к сделке между двумя соответствующими организациями, то в любом случае его согласие на обработку ПД должно презюмироваться. Так, допустим, если главный и единственный бухгалтер организации несколько раз связывалась с сервисным инженером, обслуживающим бухгалтерскую программу в данной организации, то вне зависимости от наличия или отсутствия у главного бухгалтера доверенности от имени организации можно считать, что работодатель сервисного инженера получил от главного бухгалтера согласие на обработку ее ПД конклюдентными действиями. Иное означало бы явное злоупотребление правом.
Заключение
Вопросы применения положений Закона N 152-ФЗ сложны, что проявляется даже в такой обыденной ситуации, как взаимодействие с контрагентом в лице его представителей при покупке/реализации товаров, работ, услуг, (не) исключительных прав. В этой ситуации не всегда понятно, требуется ли брать согласия на обработку их личных данных.
Хотя данный закон дает множество оснований не доводить ситуацию до абсурда и не оформлять бумажные или электронные согласия на обработку контактных Ф.И.О., телефона и e-mail представителей ваших контрагентов, все же в некоторых случаях есть почва для претензий со стороны как самих представителей (физических лиц), особенно при их недобросовестном поведении (шантаж, троллинг), так и со стороны РКН. Поэтому организации, принявшей решение упроститься в каких-то ситуациях и не получать согласие на обработку ПД, лучше заранее подстраховаться и позаботиться о наличии доказательств 1) того, что обрабатываемые данные не относятся к ПД (являются "корпоративными", а не личными контактами, в т.ч. по своему составу не позволяют идентифицировать конкретное физическое лицо), 2) если относятся к ПД - то их обработка в силу норм Закона N 152-ФЗ не требует получения согласия на это (т.к. ПД опубликованы или подлежат опубликованию в силу закона, либо работник может считаться выгодоприобретателем сделки, либо сбор ПД был произведен с предусмотренной законом целью - например, ради предотвращения контрафакта ПО и т.д.), 3) наконец, если согласие все-таки требовалось получать - то быть готовой обосновать его наличие в результате того или иного конклюдентного действия представителя контрагента.
Если проецировать написанное на конкретные категории представителей, то картина получается такая:
руководитель контрагента - его Ф.И.О. могут обрабатываться свободно, равно как и контакты соответствующей организации, по которым с ним можно связаться;
главный бухгалтер контрагента - полагаем, с ним без получения специального согласия на обработку ПД можно связываться по профильным вопросам исполнения соответствующей сделки (финансы, учет, выставление и отправка документов подобного профиля и т.п.);
представитель организации по доверенности - представляется, что указанные в доверенности его личные данные также могут обрабатываться без получения отдельного согласия;
иной представитель контрагента - в зависимости от ситуации.
Неаккуратное, формальное применение некоторых положений Закона N 152-ФЗ без учета принципов гражданского законодательства и Закона от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации" относительно свободы (по умолчанию) обработки информации может существенно и даже критически затруднить хозяйственный оборот. Остается надеяться, что от РКН будут появляться официальные разъяснения, повышающие для предпринимателей правовую определенность и предотвращающие данные риски.
