Законный интерес в массы

Вместе с девальвацией ценности согласий на обработку данных (по крайней мере, на словах) второе дыхание получила тема законного интереса.

Помимо исполнения договора и требований законодательства, «законный интерес» – это одно из ключевых правовых оснований, на которое может опереться оператор при отсутствии согласия субъекта.

Удобство законного интереса как основания для обработки заключается в том, что он предъявляет к обработке данных, казалось бы, несложные для выполнения требования (п. 7 ч. 1 ст. 6 152-ФЗ):
⚫️персональные данные должны обрабатываться для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей;
⚫️обработка должна быть необходимой для достижения указанных выше целей;
⚫️не должны нарушаться права и свободы субъекта.

Несмотря на кажущееся удобство, законный интерес редко используется за рамками наиболее «безопасных» кейсов, вроде контрольно-пропускного режима, проверки благонадежности контрагентов или выдачи доверенностей.

Почему? Не последнюю роль играет неуверенность в том, что инспектор Роскомнадзора оценит интересы оператора как законные, а права субъекта как не нарушенные.

Но дело не только в этом.

Один из типовых кейсов обработки персональных данных для любой коммерческой компании – ведение базы данных потенциальных клиентов (CRM): ФИО, контакты, реквизиты, история заказов и взаимодействия.

Попробуем разложить его по критериям законного интереса:

⚫️Есть ли законный интерес? Да, ведь каждый имеет право на свободное использование своих способностей и имущества для не запрещенной законом экономической деятельности (ст. 34 Конституции РФ). Вполне очевидно, что никакая экономическая деятельность не может существовать без взаимодействия ее участников.

⚫️Необходима ли обработка? Да, переговоры, подготовка и направление оферты, а также прочие преддоговорные коммуникации невозможны без идентификации контрагента и использования контактов его представителей.

⚫️Нарушает ли обработка данных в CRM-системе права и свободы субъекта? Не должна, при условии разумного и добросовестного использования данных (без навязчивого маркетинга и «серых» практик).

Получается, что нет никаких препятствий для ведения CRM-системы на основе законного интереса? Да, но как только компания начинает использовать для ведения CRM сторонний сервис (а для малого и среднего бизнеса это почти всегда так), то возникает проблема поручения обработки.

Согласно ч. 3 ст. 6 152-ФЗ, поручение обработки допускается только с согласия субъекта, кроме случаев, прямо предусмотренных федеральным законом. В таком случае конструкция начинает рушиться, потому что формально оператор может опираться на законный интерес, но фактически не может обойтись без согласия из-за использования внешнего сервиса.

Отдельный слой проблемы проистекает из позиции провайдера. Так, на практике некоторые крупные (не будем показывать пальцем) CRM-провайдеры вообще не готовы подписывать с клиентом поручение на обработку. Аргументируется это тем, что провайдер якобы предоставляет лишь ПО, не имеет доступа к данным, размещенным на его серверных мощностях, и все операции по обработке данных осуществляет компания-пользователь.

Этот кейс по сути является еще одной иллюстрацией проблем, описанных в нашем недавнем посте про «культ согласий». Проблема не столько в практике применения, а в самой конструкции закона: пока поручение обработки требует согласия, альтернативные основания, в том числе законный интерес, так и будут ограничены в практическом применении.