являются ли фамилия и инициалы персональными данными судебная практика
Являются ли фамилия и инициалы персональными данными судебная практика
Управление Роскомнадзора по Республике Карелия, рассмотрев обращение, не усмотрело наличия каких-либо нарушений требований законодательства в области обработки персональных данных.
Под персональными данными подразумевается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Характер сведений, опубликованных в статье, не позволяет определить пол человека, его имя и отчество. Фамилия гражданки С. не является уникальной и довольно распространена. В состав реквизита «подпись» входят: наименование должности лица, подписавшего документ, личная подпись и расшифровка подписи (инициалы, фамилия). Подпись является обязательным реквизитом любого документа и подтверждает достоверность сведений, изложенных в тексте документа, и полномочия должностного лица, подписавшего документ.
В статье опубликовано интервью Эльвиры Александровны о ситуации, произошедшей с её дочерью, которая не носит фамилию гражданки С.. Согласно пояснениям сотрудников газеты «Карельская Губернiя» при фотографировании ответа учреждения здравоохранения, предоставленного героиней статьи, в объектив фотоаппарата попала нижняя часть другой страницы из подборки материалов.
В действиях редакции газеты «Карельская Губернiя» не обнаружены признаки нарушения установленного законом порядка использования или распространения информации о гражданах (персональных данных). В настоящее время в сети Интернет на странице сайта http://www.rep.ru/dailv/2012/03/28/18275/ размещена статья «Пиявки довели до больничной койки?», которая не содержит сведений о фамилии гражданки С..
В соответствии с п. 5 ст. 152 ГК РФ гражданин вправе требовать по суду опровержения порочащих его честь, достоинство и деловой репутации. В случае если данной публикацией нанесен ущерб правам гражданки С., то гражданка С. вправе наряду с опровержением таких сведений требовать возмещения убытков и морального вреда, причиненных их распространением, обратиться в суд с иском к редакции газеты «Карельская Губернiя» о защите чести и достоинства.
Управлением Роскомнадзора по Республике Карелия рассмотрено обращение гражданки Е. в части соблюдения требований законодательства в областях связи и обработки персональных данных.
ОАО «Мобильные ТелеСистемы» заключило Договор № 1013523 от 01.09.2010 г. с ЗАО «Русская Телефонная Компания», по условиям которого Дилер (коммерческий представитель) обязуется совершать от имени и за счет Оператора действия по поиску потенциальных Абонентов, их справочно-информационному обслуживанию, а также юридические действия по заключению Абонентских договоров на территории Республика Карелия. По договору, заключенному третьим лицом от имени и за счет оператора связи, права и обязанности возникают непосредственно у оператора связи.
В ходе проверки выявлено нарушение пункта 5 лицензионных условий, установленных лицензией на предоставление услуг подвижной радиотелефонной связи № 56081, а именно:
— оказание услуг без заключения с абонентом договора в нарушение пункта 14 Правил;
— не сообщение (в письменной форме) о результатах рассмотрения оператором связи претензий абонента в срок, не превышающий 60 дней с даты регистрации претензий в нарушение п. 55 Правил.
Поскольку совершенное Обществом правонарушение непосредственно посягает на права потребителей, следовательно, срок давности привлечения к административной ответственности в силу части 1 статьи 4.5 КоАП РФ составляет один год со дня его совершения. На юридическое лицо ОАО «МТС» составлен протокол об административной правонарушении, ответственность за которое предусмотрена частью 3 статьи 14.1 КоАП РФ.
В соответствии со ст. 5 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» обработка персональных данных должна осуществляться на законной основе, при обработке персональных данных должна быть обеспечена точность персональных данных, их достаточность для целей обработки.
В ходе рассмотрения обращения гражданки Е. выявлено нарушение установленного законом порядка сбора, хранения, использования информации о гражданах (персональных данных) в части обработки персональных данных без согласия субъекта персональных данных (п.п. 1 ч.1 ст.6 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных»).
Коммерческим представителем ОАО «МТС» были незаконно (без согласия) использованы персональные данные гражданки Е. с целью осуществления действий по заключению фиктивных договоров, выполнения плана-продаж.
В связи с вышеизложенными фактами ОАО «МТС» выдано предписание об устранении выявленных нарушений в части неправомерной обработки персональных данных.
Результаты проверки направлены в органы прокуратуры городов Москвы и Петрозаводска для принятия мер прокурорского реагирования.
На основании ч.2 ст.7 Федерального закона от 02.05.2006г. №59-ФЗ, «В случае необходимости в подтверждение своих доводов гражданин прилагает к письменному обращению документы и материалы либо их копии». У гражданки Г. к обращению не приложены документы подтверждающие факты нарушения требований законодательства в области персональных данных граждан (уведомление ООО «Агентство по сбору долгов» или других доказательств передачи Банком «Русский стандарт» персональных данных гражданки Г. третьим лицам). Управлением Роскомнадзора по Республике Карелия 21.05.2012г. (исх.№АД-04/10-958) делался запрос в адрес гражданки Г. о представлении копий документов, подтверждающих доводы, изложенные в обращении. Однако до настоящего времени не представлены документы, подтверждающие нарушения законодательства в области персональных данных.
Часть 1 и 5 статьи 5 Федерального закона «О порядке рассмотрения обращений граждан Российской Федерации» гарантируют гражданину следующие права:
«1) представлять дополнительные документы и материалы либо обращаться с
просьбой об их истребовании. ».
Управление Роскомнадзора по Республике Карелия не наделено полномочиями осуществлять оперативно-розыскные мероприятия. Право осуществлять оперативно-розыскную деятельность предоставляется только оперативным подразделениям, перечисленным в статье 13 Федерального закона от 12.08.1995г. №144-ФЗ «Об оперативно-розыскной деятельности» (с изменениями).
При рассмотрении обращения гражданина К., поступившего из прокуратуры г. Петрозаводска, Управление Роскомнадзора по Республике Карелия руководствовалось требованиями Федерального закона от 02.05.2006г. №59-ФЗ «О порядке рассмотрения обращений граждан» (с изменениями). В соответствии с ч.2 статьи 7 Федерального закона от 02.05.2006 №59-ФЗ, «В случае необходимости в подтверждение своих доводов гражданин прилагает к письменному обращению документы и материалы либо их копии». В обращении недостаточно конкретной информации, которая позволила бы объективно и своевременно рассмотреть его по существу. В обращении гражданина К. написано про «различные персональные данные», при этом не указано какие именно категории персональных данных по мнению гражданина К. собираются не правомерно.
Управление Роскомнадзора по Республике Карелия не наделено полномочиями осуществлять оперативно-розыскные мероприятия. Право осуществлять оперативно-розыскную деятельность предоставляется только оперативным подразделениям, перечисленным в статье 13 Федерального закона от 12.08.1995г. №144-ФЗ «Об оперативно-розыскной деятельности». 29.05.2012г. направлялся запрос в адрес гражданина К. о представлении конкретной информации, а именно какие категории персональных данных собираются не правомерно. Ответа до настоящего времени не поступало.
Поэтому вопрос об избыточности сбора персональных данных поликлиникой №3 в настоящее время оставлен без рассмотрения.
По вопросу сертификации информационной системы базы персональных данных поликлиники №3 г. Петрозаводска, Управление Роскомнадзора по Республике Карелия направило обращение гражданина К. руководителю ФСТЭК по СЗФО.
При рассмотрении обращения гражданина М., поступившее из Управление Федеральной антимонопольной службы по Республике Карелия Управление Роскомнадзора по Республике Карелия руководствовалось требованиями Федерального закона от 02.05.2006г. №59-ФЗ «О порядке рассмотрения обращений граждан» (с изменениями).
На основании ч.15 ст. 155 ЖК РФ «Наймодатель жилого помещения, управляющая организация, иное юридическое лицо или индивидуальный предприниматель, которым в соответствии с настоящим Кодексом вносится плата за жилое помещение и коммунальные услуги, а также их представитель вправе осуществлять расчеты с нанимателями жилых помещений государственного и муниципального жилищных фондов и собственниками жилых помещений и взимать плату за жилое помещение и коммунальные услуги при участии платежных агентов, осуществляющих деятельность по приему платежей физических лиц, а также банковских платежных агентов, осуществляющих деятельность в соответствии с законодательством о банках и банковской деятельности».
В данном случае ООО «Энергокомфорт» в качестве агента выбрало Акционерный коммерческий Сберегательный банк Российской Федерации (ОАО) и заключило с ним договор №8628-16/16 от 17.12.2010г. о приёме платежей физических лиц в валюте Российской Федерации с использованием Интегрированной системы приёма платежей населения.
В соответствии с п.4.1.7 указанного выше договора, Банк обязуется не разглашать и не передавать другим лицам (обеспечить конфиденциальность) информацию, связанную с использованием системы.
Для предотвращения информации от несанкционированного доступа используется криптографическая защита информации, СКЗИ «Бискрипрт-КСБ-С», которая удовлетворяет требованиям к стойкости СКЗИ класса КС1.
По результатам рассмотрения заявления гражданина М., Управление Роскомнадзора по Республике Карелия не выявило нарушений действующего законодательства в области персональных данных.
Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Республике Карелия в соответствии с полномочиями, определёнными Положением об Управлении, рассмотрело обращение гражданина М-ва, поступившее из прокуратуры г. Петрозаводска.
Управлением сделан запрос в МКП «Петрозаводская паспортная служба» и был получен ответ, что справка №040492 о регистрации была выдана по запросу Петрозаводского городского суда от 10.11.2011г. №2-8080/5 (судья Овчинникова О.В.).
В соответствии с п.2 ст. 13 ГПК РФ, законные распоряжения, требования, поручения, вызовы и обращения судов являются обязательными для всех без исключения должностных лиц, граждан, организаций и подлежат неукоснительному исполнению на всей территории Российской Федерации.
На основании п.п.З п.1 ст.6 Федерального закона №152-ФЗ от 27.07.2006 «О персональных данных», обработка персональных данных допускается, если она необходима для осуществления правосудия.
Из представленных в наш адрес для рассмотрения обращения материалов Управление Роскомнадзора по Республики Карелия не выявило нарушения требований Федерального закона от 27 июля 2006 г. N 152-ФЗ.
Время публикации: 20.07.2012 16:23
Последнее изменение: 20.07.2012 16:55
3 злободневных вопроса об обработке персональных данных: ищем ответы в свежих разъяснениях регулятора и судебных делах
Консультант Центра информационной безопасности компании «Инфосистемы Джет»
специально для ГАРАНТ.РУ
Разобраться в нюансах обработки персональных данных бывает не просто даже опытным специалистам. Это связано с тем, что положения Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) содержат общие формулировки, которые могут трактоваться по-разному. Позиции Роскомнадзора и суда по одному и тому же вопросу могут различаться, более того, встречаются судебные дела с противоположными решениями. При построении процессов обработки персональных данных руководители компаний часто не понимают, на что им ориентироваться, чтобы не допустить нарушений Закона № 152-ФЗ.
При этом вопрос защиты персональных данных год от года становится более острым. За последние два года в КоАП РФ внесены поправки об увеличении штрафов за невыполнение требований Закона № 152-ФЗ. Кроме того, сейчас готовится проект закона об увеличении штрафов за утечку персональных данных. Ежегодно Роскомнадздор фиксирует более 50 тыс. жалоб физических лиц и выписывает организациям административные штрафы, общая сумма которых превышает 1 млн руб. Возможные последствия для компаний не ограничиваются одними штрафами: регулятор может заблокировать сайт организации, что является неотъемлемой частью бизнеса для тех, кто предоставляет онлайн-сервисы или развивает продажи в интернете.
В данной колонке я рассмотрю три важных вопроса, которые мне регулярно задают предприниматели, сравнив положения Закона № 152-ФЗ и позицию Роскомнадзора. А также поделюсь личным опытом участия в проверках службы.
Использование фотографий в системах контроля управления доступом (СКУД) – распространенная практика в компаниях. Поэтому многих волнует вопрос: относится ли фотография в СКУД к биометрическим персональным данным? Ведь в этом случае организация должна будет получить согласие субъекта персональных данных в письменной форме, указанной в ст. 9 Закона № 152-ФЗ.
Что говорит законодательство?
Закон № 152-ФЗ дает слишком общее определение биометрических персональных данных, которое не дает четкого ответа на вопрос, относится ли к ним фотография. Так, в ст. 11 Закона № 152-ФЗ говорится, что под биометрическими персональными данными понимаются сведения, характеризующие физиологические и биологические особенности человека, которые используются оператором для установления личности субъекта данных.
Что говорит Роскомнадзор?
На сайте службы опубликованы разъяснения 1 о том, что фотография в СКУД используется для установления личности субъекта персональных данных и, следовательно, является биометрическими персональными данными.
На дне открытых дверей в январе текущего года представители регулятора пояснили, при каких условиях фотография относится к биометрическим персональным данным. Так, если она:
сделана в соответствии с требованиями ГОСТ Р ИСО/ МЭК 19794-5-2013 к изображению (освещение, положение головы, расположение камеры, разрешение изображения и т.д.);
отнесена к биометрическим персональным данным нормативно-правовым актом (например, при обработке в Единой биометрической системе).
При данном пояснении регулятора можно сделать вывод, что обработка фотографии в системе СКУД к биометрическим персональным данным не относится. Кроме того, на последних проверках Роскомнадзора с нашим участием компании не получали замечаний о том, что фотография в СКУД относится к биометрическим персональным данным. Однако нам встречались и примеры с противоположным решением регулятора.
Что говорит судебная практика?
Владелец фитнес-клуба в Казани пытался оспорить в суде постановление Роскомнадзора и штраф в размере 10 тыс. руб. (решение Cоветского районного суда города Казани от 26 сентября 2019 г. по делу № 12-1526/2019). В спортивном клубе использовали систему СКУД для идентификации посетителей по фотографии при проходе через турникет без их письменного согласия. Суд сослался на разъяснения службы о том, что фотография, используемая для идентификации личности, является биометрическими персональными данными, и оставил жалобу без удовлетворения.
Компании часто спрашивают, считаются ли номера телефонов без привязки к ФИО и другой информации пользователя персональными данными, и нужно ли в этом случае получать согласие владельца номера на обработку персональных данных.
Что говорит законодательство?
Напомним, согласно ст. 3 Закона № 152-ФЗ, персональные данные – это любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
Что говорит Роскомнадзор?
На дне открытых дверей представители службы также объяснили, что к персональным данным относится информация, которая характеризует человека. Телефонный номер – это не характеристика человека, а атрибут аппаратного средства связи, и значит, персональными данными не является.
По моей практике участия в проверках Роскомнадзора, представители службы не требуют получения согласия на обработку номера телефона без привязки к другим данным.
Что говорит судебная практика?
Житель города Белгорода обратился в суд (решение Октябрьского районного суда г. Белгорода от 12 сентября 2019 г. по делу № 12-393/2019) с жалобой на размещение его телефонного номера в Интернете компанией ООО «Яндекс Справочник». Роскомнадзор не увидел в этом нарушений, так как номер телефона был опубликован без указания его владельца. Суд согласился с регулятором в том, что номер телефона не относится к персональным данным, так как по нему нельзя идентифицировать человека.
Между тем, суд в Москве, рассматривая подобный вопрос, вынес другое решение (решение Черемушкинского районного суда г. Москвы от 18 июня 2019 г. по делу №12-973_2019). Гражданину поступали звонки от коллекторской компании без его согласия. При этом других данных, кроме номера телефона, у взыскателей о человеке не было. Суд посчитал, что такая обработка персональных данных коллекторской компанией, а именно номера телефона, является нарушением Закона № 152-ФЗ.
Роскомнадзор придерживается позиции, что номер телефона без привязки к другим данным не относится к персональным данным, а значит, не нужно получать согласие его владельца на обработку данных. Однако правоприменительная практика говорит о том, что стоит заручиться согласием субъекта на обработку таких данных. Оно может быть оформлено в любой форме, позволяющей подтвердить факт его получения (например, галочка на сайте).
Часто компании задаются вопросом, нужно ли отдельно получать согласие, если персональные данные обрабатываются с целью выполнения обязательств по договору, или договор сам по себе является правовым основанием для обработки.
Что говорит законодательство?
В ст. 6 Закона № 152-ФЗ говорится, что обработка персональных данных допускается:
для исполнения договора, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект будет являться выгодоприобретателем или поручителем.
Что говорит Роскомнадзор?
На официальном сайте Роскомнадзора 2 размещена информация о том, что согласие не требуется, если обработка персональных данных необходима для исполнения договора.
По моему опыту участия в проверках регулятора отсутствие согласия может быть нарушением в следующих случаях:
персональные данные избыточны по отношению к цели обработки или обрабатываются с целью, которая не указана в договоре. В качестве примера можно привести обработку копий паспортов, не требующихся для исполнения договора, или рассылку рекламных SMS-сообщений клиентам;
не указан перечень организаций, в которые передаются персональные данные;
требуется согласие на обработку персональных данных в письменной форме (для специальных категорий данных, биометрических данных, трансграничной передачи персональных данных и т.п.).
Что говорит судебная практика?
Рассмотрим два примера с противоположными решениями суда.
В пятом арбитражном апелляционном суде Владивостока рассматривался случай обработки персональных данных собственников помещения ресурсоснабжающей организацией. Судебная коллегия определила, что при наличии договора согласие субъекта на обработку данных не требуется, поскольку она необходима для исполнения договора (постановление Пятого арбитражного апелляционного суда от 3 апреля 2019 г. № 05АП-367/19 по делу № А51-19080/2018).
В другом деле апелляционный суд Воронежа установил, что подписание договора не может считаться согласием собственника помещения многоквартирного дома на обработку персональных данных (постановление Девятнадцатого арбитражного апелляционного суда от 27 декабря 2018 г. № 19АП-8727/18). Согласие должно быть выражено с соблюдением требований ст. 9 Закона № 152-ФЗ с обязательным указанием сроков обработки персональных данных.
В судебной практике есть пример, где наличие договора не является согласием. Роскомнадзор тоже не требует согласия, если персональные данные обрабатываются с целью исполнения договора, но проверяет выполнение условий, приведенных выше.
Тема обработки персональных данных всегда вызывает много вопросов из-за неоднозначности формулировок Закона № 152-ФЗ, и у каждого специалиста по персональным данным своя интерпретация правильного выполнения требований. Встречаются ситуации, когда в судебном порядке оспариваются постановления службы. Более того, по одному вопросу можно найти противоположные решения суда. Подход Роскомнадзора меняется со временем, появляются новые разъяснения на сайте службы и открытых мероприятиях, а также решения судебных дел. Я рекомендую при построении процессов обработки персональных данных оценивать совокупность факторов и выбирать решение, которое минимизирует риски получения предписаний и штрафов, на периодической основе проверять процессы обработки персональных данных на соответствие новым подходам Роскомнадзора. Кроме того, стоит обратить внимание на разработку организационно-распорядительных документов, которые должны соответствовать выбранной позиции по спорным вопросам, а также отражать актуальные изменения процессов обработки персональных данных в компании.
Какие данные являются персональными: позиция суда
В п. 1 ст. 3 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее – Закон № 152‑ФЗ) предусмотрено, что персональные данные представляют собой любую информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Как видно из приведенного определения, закон не содержит исчерпывающего перечня сведений, которые входят в круг персональных данных. Соответственно, в каждом случае необходимо определить, может ли та или иная информация быть отнесена к конкретному лицу. Поможет в этом анализ судебной практики.
См. статью «Организуем работу с персональными данными сотрудников» в № 2’ 2015
См. статью «Работа с персональными данными клиентов» в № 3’ 2015
«Классические» персональные данные
К «классическим» персональным данным относятся Ф.И.О. физического лица, ведь они позволяют его идентифицировать среди остальной массы людей, поэтому без согласия человека обработка таких персональных данных не допускается.
Банки не могут распространять платежные карты с открытыми данными клиентов, а управляющие компании рассылать в открытом виде платежные документы, поскольку в таком случае персональные данные людей не защищены от случайного к ним доступа со стороны третьих лиц (апелляционное определение Самарского областного суда от 17.10.2019 № 33-12118/2019).
Помимо Ф.И.О. к числу персональных данных физического лица также относится и конкретный адрес его проживания, включающий город, улицу, номера дома и квартиры, а вот неполный адрес (без указания определенной квартиры) уже не позволяет установить конкретного субъекта персональных данных. В многоквартирном доме находится много квартир, поэтому такой общий адрес нельзя соотнести с конкретным человеком.
Типичным нарушением со стороны управляющей компании, под управлением которой находится жилой дом, является размещение на входной двери, ведущей в подъезд, на стендах и в иных местах, открытых для всеобщего доступа, информации о наличии задолженности по оплате электроэнергии и коммунальных платежей в отношении конкретных граждан с указанием номеров их квартир. Указанные сведения относятся к частной жизни конкретных лиц, поэтому их разглашение будет считаться нарушением, что дает пострадавшему лицу право требовать взыскания денежной компенсации морального вреда на основании ст. 151 ГК РФ (решение Московского районного суда г. Калининграда от 19.04.2017 по делу № 2-688/2017).
Некоторые особо восприимчивые граждане в такой ситуации могут вообще посчитать, что информация о наличии у них задолженности является оскорбительной и задевает их честь, достоинство и доброе имя. Однако порочащий характер сведений должен выражаться в оскорбительных высказываниях, а не в фиксации долга. Нарушение в данном случае состоит только в разглашении персональных данных (апелляционное определение Саратовского областного суда от 23.07.2019 по делу № 33-5366).
Здесь стоит отметить, что судебная практика по вопросу отнесения номеров квартир к числу персональных данных не является единообразной, есть примеры случаев, когда суды полагали возможным указание номеров квартир с информацией о наличии задолженности.
Суд указал, что не будет считаться нарушением размещение информации о наличии задолженности по оплате электроэнергии и коммунальных услуг с перечнем соответствующих квартир, но без указания таких персональных данных, как Ф.И.О. (апелляционное определение Свердловского областного суда от 19.09.2019 по делу № 33-15137/2019).
Жители многоквартирного дома, проживающие в конкретном подъезде, скорее всего, знают друг друга в лицо и по имени, поэтому хоть и не всегда, но в определенных случаях могут соотнести данные о номере квартиры со своими соседями, что позволяет рассматривать номер квартиры как персональные данные конкретных лиц. При таких обстоятельствах можно сделать однозначный вывод: размещение информации о наличии задолженности на стенде подъезда многоквартирного дома с указанием конкретных номеров квартир может рассматриваться как нарушение законодательства о защите персональных данных. Иным образом будет обстоять дело в случае, когда на информационном стенде вывешивается не объявление, а индивидуальное обращение к конкретному лицу по вопросу, представляющему определенную значимость.
Гражданин при входе в подъезд своего жилого дома неожиданно для себя увидел требовательную надпись о том, что ему надлежит вернуть аннулированную доверенность конкретному человеку. Гражданин полагал, что вывешивание такого объявления нарушает требования законодательства по защите персональных данных. Однако суд его требования не поддержал, отметив, что само по себе размещение информации не является обработкой персональных данных и не требует получения разрешения (апелляционное определение Волгоградского областного суда от 09.01.2019 по делу № 33-774/2019).
В состав персональных данных гражданина также входят год, дата, месяц и место его рождения, семейное и имущественное положение, уровень образования, размер доходов, а также иная информация, посредством которой можно идентифицировать конкретное физическое лицо. В качестве персональных данных можно также рассматривать серию и номер паспорта гражданина, которые представляют собой уникальную комбинацию цифр, указываемых в основном документе, удостоверяющем его личность. У другого гражданина реквизиты основного документа, удостоверяющего личность, будут другими, поэтому реквизиты паспорта также могут быть отнесены к числу персональных данных.
Персональные данные под вопросом
Как нам представляется, те или иные разрозненные сведения, рассматриваемые отдельно.