Арбитражная практика

Что нужно знать о передаче персональных данных третьим лицам

  • 17 июля 2019
  • 271

Если компания незаконно занимается передачей третьим лицам персональных данных своих сотрудников, клиентов или контрагентов, ее ждет крупный штраф или иные административные меры. В каких случаях закон позволяет передавать такие данные.

С претензиями о нарушении законодательства в сфере защиты персональных данных сталкиваются компании, которые работают с клиентами-физлицами. Кроме того, любая компания обязана охранять сведения о своих сотрудниках. Юристу-судебнику может потребоваться отстаивать интересы организации в рамках такого административного спора. Рассмотрим, какую ответственность несут за незаконную передачу данных и каких позиций придерживаются суды.     

Какие правила о передаче персональных данных третьим лицам нужно знать операторам

Помимо Конституции РФ, главным документом в сфере защиты персональных данных является Федеральный закон от 27.07.2006 № 152-ФЗ. Еще один важный документ — Указ Президента РФ от 06.03.1997 № 188 «Об утверждении перечня сведений конфиденциального характера». Именно в законе № 152 содержится определение термина «персональные данные». Так называют информацию, по которой можно идентифицировать конкретного человека (ст. 3 закона № 152). Перечень таких данных открытый.

Каждый день появляется все больше ресурсов (в том числе в сети «Интернет»), позволяющих соотнести пользователя таких ресурсов с конкретным человеком. Как следствие, растет и количество операторов персональных данных, которые работают с этой информацией, в том числе осуществляют передачу ее третьим лицам. Передача персональных данных третьим лицам — это вид обработки, в результате которой к информации получает доступ третья сторона.

Одни операторы получают сведения законно, от самих субъектов данных. Другие могут получить информацию с нарушением закона.

Предоставление паспортных и других личных данных третьим лицам не допускают без согласия субъекта

В России запрещена передача персональных данных третьим лицам без согласия субъектов данных, о чем прямо сказано в статье 7 закона № 152. В этой же статье содержится условие, соблюдение которого позволяет передавать такие данные. Этим условием является согласие субъекта.

Согласие на обработку данных должно быть дано в определенной законом форме (ст. 6 закона № 152). Согласие получают путем заключения договора между субъектом и оператором данных. На практике договор чаще всего заключается путем присоединения. Субъект совершает действие, явно свидетельствующее о его намерении заключать договор. Таким действием, например, может быть проставление галочки в соответствующей графе.

Незаконной считают передачу сведений третьим лицам, если субъект персональных данных прямо не указал на такой способ обработки

Передача информации о человеке является законной, если он дал согласие в установленной законом форме. Важно, чтобы разрешение распространялось на все необходимые оператору виды обработки, в том числе на передачу.

Если согласие было получено, но в договоре  отсутствует такой вид обработки как «передача третьим лицам», то оператор не вправе передавать персональные данные субъекта. Также оператор не вправе передавать данные, если:

  • субъект отозвал ранее данное согласие;
  • истек срок хранения данных, который стороны указали в договоре.

Какую ответственность несет компания за незаконную передачу данных

Контролирующим органом в сфере защиты персональных данных является Роскомнадзор. Данный орган может провести проверку оператора: например, на предмет исполнения ранее выданного предписания. Проверка может быть как плановой, так и внеплановой. Если оператор осуществляет передачу третьим лицам личных данных субъекта без его разрешения, согласно соответствующим статьям виновное лицо можно привлечь:

  • к гражданской ответственности,
  • к дисциплинарной,
  • к административной,
  • к уголовной.

К гражданской ответственности за передачу личной информации третьим лицам привлекают по нормам главы 8 ГК РФ

Статьи 150-152.2 ГК РФ предусматривает гражданскую ответственность за нарушение законодательства о персональных данных. Гражданин, чьи права нарушили, подает иск. Если суд примет его доводы, ответчика обяжут компенсировать моральный вред и устранить нарушение. Более того, истец может потребовать опубликования судебного акта в открытых источниках.

Чем грозит сотруднику компании передача чужих паспортных данных третьим лицам

Статьи 192 и 81 ТК РФ позволяют применить дисциплинарные меры к ответственным за обработку персональных данных. В зависимости от обстоятельств за допущенное нарушение компания вправе даже уволить с работы. Более того, работник будет вынужден возместить ущерб, который нанес разглашением охраняемой законом тайны. Впрочем, работодатель может ограничиться и простым замечанием.

По закону о персональных данных компании несут административную ответственность за передачу сведений третьим лицам

Если Роскомназдор выявил незаконную передачу персональных данных третьим лицам, к компании-нарушителю применят административные санкции. В 2019 году административный штраф колеблется в пределах от 15 000 до 75 000 руб. за одно нарушение (ст. 13.11 КоАП РФ).

Когда применяют уголовную ответственность

Уголовная ответственность грозит нарушителю, который незаконно передал сведения о частной жизни субъекта, составляющие его личную или семейную тайну. Данный вид ответственности установлен статьей 137 УК РФ и предусматривает от штрафа в размере до 200 000 руб. до лишения свободы на срок до 5 лет.

Каких позиций придерживаются суды

Судебная практика сводится в основном к тому, что ответчики доказывают наличие согласия субъекта на обработку его данных. Если такое согласие было дано в надлежащей форме, не отозвано и является действующим, суд не считает оператора виновным в нарушении.

Например, 26 ноября 2018 года Колпинский районный суд Санкт-Петербурга в своем решении по делу № 2-2109/2018 отказал истцу в удовлетворении требований об обязании не разглашать персональные данные третьим лицам, прекратить обработку и передачу персональных данных, взыскании компенсации морального вреда. Суд установил, что истец дал согласие на такую обработку.

Если согласия нет, суд поддержит истца.

Так, Осинниковский городской суд Кемеровской области в своем решении от 8 июня 2018 года по делу № 2-427/2018, оставленному Кемеровский областным судом без изменений, удовлетворил требования истца. Суд принял такое решение ввиду того обстоятельства, что ответчик не доказал наличия согласия от субъекта персональных данных на их обработку, в том числе, передачу третьим лицам.

Таким образом, правильно оформленное согласие субъекта позволит доказать оператору свою правоту и избежать ответственности.

logo
Простите, что прерываем Ваше чтение

Это профессиональный сайт для юристов-практиков. Чтобы обеспечить качество материалов и защитить авторские права редакции, мы вынуждены размещать лучшие статьи в закрытом доступе.

Предлагаем Вам зарегистрироваться и продолжить чтение. Это займет всего полторы минуты.

У меня есть пароль
напомнить
Пароль отправлен на почту
Ввести
Введите эл. почту или логин
Неверный логин или пароль
Неверный пароль
Введите пароль
Я тут впервые
Вы продолжите читать статью через 1 минуту
Зарегистрироваться
×
Пожалуйста, зарегистрируйтесь на сайте и скачайте файл!

Вы сможете скачать любые документы и получите бесплатный доступ ко всем материалам на сайте.

У меня есть пароль
напомнить
Пароль отправлен на почту
Ввести
Введите эл. почту или логин
Неверный логин или пароль
Неверный пароль
Введите пароль
Я тут впервые
и скачать файл
Зарегистрироваться
Сайт использует файлы cookie. Они позволяют узнавать вас и получать информацию о вашем пользовательском опыте. Это нужно, чтобы улучшать сайт. Посещая страницы сайта и предоставляя свои данные, вы позволяете нам предоставлять их сторонним партнерам. Если согласны, продолжайте пользоваться сайтом. Если нет – установите специальные настройки в браузере или обратитесь в техподдержку.