Договор как самостоятельное основание для обработки ПДн

Согласно п. 5 ч. 1 ст. 6 152-ФЗ, договор является одним из возможных оснований для обработки ПДн субъектов. Обработка признается законной, если она необходима для:
▫ исполнения договора, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн;
▫ заключения договора по инициативе субъекта ПДн (например, при заполнении формы на сайте для получения банковской услуги) или договора, по которому он будет выгодоприобретателем или поручителем.

На практике использование договора как правового основания имеет несколько важных аспектов, которые необходимо учитывать во избежание нарушений.

▫ Будущий vs. заключенный договор. Основание распространяется как на уже заключенный, так и на будущий договор. Однако, если вы обрабатывали данные для заключения договора, но он так и не был заключен, то цель обработки достигнута. В этом случае вы обязаны прекратить обработку и удалить ПДн субъекта, так как дальнейшее хранение становится неправомерным, если нет иного правового основания для продолжения обработки.
▫ Субъект ПДн – всегда сторона договора. Данное правовое основание применимо только в том случае, когда субъект ПДн (физическое лицо) сам является стороной договора, его выгодоприобретателем или поручителем. Согласно гражданскому законодательству, выгодоприобретатель — это физическое или юридическое лицо, в пользу которого заключен договор. Поручитель как сторона договора поручительства обязывается перед кредитором другого лица отвечать за исполнение последним его обязательства полностью или в части.
▫ Неприменимость к отношениям между юридическими лицами. Договор не может служить основанием для обработки ПДн работников контрагента – юридического лица. В отношениях между двумя организациями для обработки данных, например подписанта договора, правовым основанием будет исполнение требований законодательства о представительстве (ст. 182 ГК РФ).
▫ Только минимально необходимые данные. Используя договор как правовое основание компания может обрабатывать исключительно те ПДн, которые минимально необходимы для достижения цели заключения или исполнения договора. Запрашивать или собирать избыточную информацию, не связанную с договором, нельзя. Для дополнительных целей, например для маркетинговых рассылок, потребуется отдельное согласие. Такое согласие должно быть оформлено отдельно от иных документов, которое подписывает субъект ПДн.
▫ Ограничения по содержанию договора. Договор не может ограничивать права и свободы субъекта ПДн, допускать в качестве условия бездействие субъекта, устанавливать случаи обработки данных несовершеннолетних, если иное не предусмотрено законодательством РФ, или предусматривать бездействие субъекта как условие заключения договора.
▫ Трудовые отношения – особая сфера. Положение п. 5 ч. 1 ст. 6 152-ФЗ не распространяется на трудовые отношения. Обработка ПДн работников регулируется трудовым законодательством РФ.

Неправильный выбор правового основания, в частности запрос согласия от субъекта в ситуации, когда обработка должна была осуществляться на основании договора, влечет за собой серьезные риски.

В соответствии с Постановлением Правительства РФ № 1046 избыточный сбор согласий на обработку ПДн является основанием для отнесения деятельности оператора к группе тяжести «А». Это автоматически переводит компанию в категорию риска не ниже «среднего». Такая категория напрямую влияет на периодичность контрольных (надзорных) мероприятий со стороны Роскомнадзора, повышая вероятность проведения внеплановых проверок.

#Privacy