Когда обработка персональных данных возможна без согласия их владельца

В письме от 18.01.2024 г. № П25-1061-ОГ Минцифры разъяснило основные правила обработки персональных данных.

Когда обработка персональных данных возможна без согласия субъекта ПД        

По общем правилу обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных (п. 1 ч. 1 ст. 6 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», (далее - Закон № 152-ФЗ).

Однако, установлены случаи, при которых оператор вправе осуществлять обработку персональных данных без согласия субъекта.

Эти случаи перечислены в пунктах 2 - 11 части 1 статьи 6 Закона № 152-ФЗ. Так, согласие на обработку персональных данных субъекта персональных данных не требуется при обработке персональных данных, если она необходима:

• для достижения целей, предусмотренных международным договором;
• в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
• для исполнения судебного акта, акта другого органа или должностного лица;
• для исполнения полномочий органов госвласти и местного самоуправления;
• для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;
• для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
• для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
• для осуществления прав и законных интересов оператора или третьих лиц, в том числе при осуществлении деятельности по возврату просроченной задолженности;
• для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
• для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных.

Помимо этого, согласия субъекта ПД не требуется, если обработка персданных осуществляется:

• в статистических или иных исследовательских целях, при условии обязательного обезличивания персональных данных;
• в целях повышения эффективности государственного или муниципального управления;
• в отношении персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

Когда без согласия субъекта ПД возможно предоставление персональных данных оператору   

В соответствии с п. 6 ст. 3 Закона № 152-ФЗ предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

По общему правилу требуется согласие субъекта персональных данных на передачу его персональных данных.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

При этом часть 8 ст. 9 Закона № 152-ФЗ содержит исключение из общего правила, в соответствии с которым персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных. Но при условии предоставления оператору подтверждения наличия оснований, указанных:

1. в пунктах 2 - 11 части 1 статьи 6 Закона № 152-ФЗ;

2. в части 2 статьи 10 Закона № 152-ФЗ, которая касается обработки специальных категорий персональных данных осуществляется в том числе в соответствии с трудовым и пенсионным законодательством. К специальным категориям персональных данных Закон № 152-ФЗ относит информацию, касающуюся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни. К примеру, если обработка полученных в установленных законодательством случаях персональных данных осуществляется органами прокуратуры в связи с осуществлением ими прокурорского надзора,  обработка персданных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством;

3. в части 2 статьи 11 Закона № 152-ФЗ, касающейся порядка обработки биометрических ПД, которая может осуществляться без согласия субъекта персданных в связи:

• с реализацией международных договоров Российской Федерации о реадмиссии;
• с осуществлением правосудия и исполнением судебных актов;
• с проведением обязательной государственной дактилоскопической регистрации;
• обязательной государственной геномной регистрации;
• установлением соответствующих случаев в законодательстве об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством, законодательством о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, о гражданстве Российской Федерации, законодательством о нотариате.

Следовательно, обработка и передача персданных без соответствующего согласия возможна только при наличии правовых оснований, установленных законодательством.

Последствия отзыва согласия на обработку персональных данных

В соответствии с частью 2 статьи 9 Закона № 152-ФЗ субъект персональных данных вправе отозвать согласие на обработку персональных данных, в том числе биометрических персональных данных.

В случае отзыва согласия оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии вышеперечисленных оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона № 152-ФЗ.

При этом отзыв согласия на обработку персональных данных должен быть направлен непосредственно оператору, которому ранее было дано указанное согласие.

Последствия получения требования об уничтожении персональных данных

Уничтожение персональных данных – это действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных (ч. 8 ст. 3 Закона № 152-ФЗ).

Согласно части 1 статьи 14 Закона № 152-ФЗ субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Указанное требование также должно быть направлено непосредственно оператору, осуществляющему обработку персональных данных.

Однако, отметим, что чиновники допускают дальнейшую обработку персданных, несмотря на поступившее от субъекта ПД требование об их уничтожении.

Так, в письмах от 20.01.2022 № ПА-3-24/332@, от 11.02.2021 № ПА-3-24/920@ ФНС напоминала, что обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

Так, обработка сведений о субъектах персональных данных осуществляется налоговиками для достижения целей, предусмотренных законодательством о налогах и сборах, и выполнения возложенных на налоговые органы функций, полномочий и обязанностей.

Соответственно, налоговые органы вправе продолжить обработку персональных данных без согласия субъекта персональных данных.

В этом связи, поскольку уничтожение персональных данных повлечет невозможность выполнения ФНС своих функций, полномочий и обязанностей, то, несмотря на поступление требования об уничтожении персональных данных, обработка персданных продолжится.