Статья 6.
Условия обработки персональных данных
Комментарий к статье 6
1. Соблюдение принципов обработки персональных данных, представленных предшествующей статьей, не является единственным условием, гарантирующим защищенность прав и законных интересов граждан, чьи персональные данные становятся объектом соответствующих правоотношений. В достижение заявленных целей, а равно обеспечения баланса интересов граждан — субъектов персональных данных, общества, государства и частных лиц при соблюдении требований адекватной защиты прав и свобод граждан, гарантированных Конституцией РФ, законодатель в числе обязательных условий работы с персональными данными определяет обязательность получения соответствующего согласия субъектов персональных данных. Таким образом, формально устанавливается безусловная презумпция запрета на действия с персональными данными без согласия субъекта персональных данных. Подобный законодательный подход ставит под сомнение реализацию законных прав и интересов оператора и третьих лиц в таких ключевых областях отношений, как имущественные и финансовые отношения. Кроме того, неоправданно жесткое требование потенциально исключает любую возможность сбора и обработки персональных данных в тех случаях, когда подобная работа с ними не легитимирована законом.
Комментируемая статья не определяет процедуру получения, форму и способ выражения согласия. Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных.
Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных, а в случае обработки общедоступных персональных данных обязанность доказывания того, что обрабатываемые персональные данные являются общедоступными, возлагается на оператора.
Предполагается, что в целях обработки персональных данных достаточно устного согласия субъекта, за исключением случаев, когда иное установлено законом. В частности, п.4 ст.9 настоящего Закона предусмотрено, что в отдельных случаях, установленных настоящим Законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Письменное согласие на обработку персональных данных должно быть получено в случаях:
обработки специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (п.1 ст.10 комментируемого Закона);
обработки сведений, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность (биометрические персональные данные) (п.1 ст.11 комментируемого Закона);
трансграничной передачи персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных (п.3 ст.12 комментируемого Закона).
Для обработки персональных данных, содержащихся в согласии в письменной форме субъекта на обработку его персональных данных, дополнительное согласие не требуется. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает в письменной форме законный представитель субъекта персональных данных. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают в письменной форме наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
В отдельных случаях получение такого согласия подразумевается. Речь здесь идет, как правило, о ситуациях, когда субъект инициативно, вследствие исполнения возложенной на него обязанности предоставляет свои персональные данные оператору, например при получении паспорта гражданина РФ или постановке на воинский учет, участии в выборах, трудоустройстве, заключении различного рода договоров и т.п.
2. В целях обеспечения баланса интересов личности, общества и государства, защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства законодатель формирует круг условий, наличие которых освобождает оператора от обязанности истребования согласия субъекта персональных данных на их обработку. Формально представленный в п.2 комментируемой статьи перечень оснований, дающих возможность обработки персональных данных при отсутствии согласия на то субъекта, является исчерпывающим.
2.1. При формальном соблюдении условия о получении персональных данных только с согласия их субъекта законодатель допускает неограниченный круг случаев, когда конфиденциальные сведения предоставляются их обладателем инициативно при молчаливом согласии последнего. Авторы комментируемого Закона подчеркивают, что ситуации такого рода должны иметь место лишь в случаях, прямо оговоренных федеральным законом, когда круг субъектов персональных данных, сведения, подлежащие обработке, условия их получения, а также полномочия оператора достаточно определены и не требуют дополнительной регламентации. К такого рода случаям могут быть отнесены получение сведений при заключении трудового договора, в процессе прохождения государственной службы (вопросы, связанные с назначением на должность, аттестацией государственных служащих и т.п.), при постановке граждан на воинский учет, в ходе осуществления деятельности по пенсионному страхованию и т.п.Таким образом, создается достаточно обширная область общественных отношений, в которых согласие субъекта персональных данных является условием номинальным.
2.2. Наличие договорных отношений с субъектом персональных данных также освобождает оператора от обязанности получения согласия своего контрагента на обработку предоставляемых им конфиденциальных сведений. Законодатель не конкретизирует, какой именно договор должен иметь место, в случаях исполнения которого не требуется получения соответствующего согласия. В качестве такового могут выступать различного рода хозяйственные договоры, трудовой договор, договоры на выполнение работ и оказание услуг и т.п., тем самым сюда может быть включен весь круг договорных отношений, потенциально возможных и допустимых к существованию на территории РФ. В целях соблюдения условия, определенного требованиями настоящей статьи, к такого рода договорным отношениям предъявляются, как минимум, следующие требования:
договор должен соответствовать обязательным для сторон правилам, в части, касающейся его формы и содержания, установленным законом и иными правовыми актами (императивным нормам), действующим в момент его заключения;
договор должен быть реален к исполнению и не содержать условий, ограничивающих прав его участников, в части, касающейся защиты персональных данных, по отношению к действующему законодательству;
предмет договора, равно как и цель его заключения, должны быть неразрывно связаны с личностью одного из участников договорных отношений. Последнее требование в большей степени характерно для трудовых договоров, коллективных соглашений, договоров на выполнение работ и оказание услуг, авторских договоров и договоров о передачи результатов интеллектуальной деятельности, исполнение которых предполагает обязательную обработку персональных данных.
2.3. Обработка персональных данных для статистических, научных и иных аналогичных целей является допустимой при соблюдении гарантий по обеспечению прав субъектов персональных данных на неприкосновенность частной жизни.
Задачей статистики является обеспечение информационных потребностей общества в достоверной, научно обоснованной, своевременной и полной информации о социальном, экономическом, демографическом и экологическом положении государства. Официальная статистическая деятельность направлена на достижение стратегических целей развития государства, создание условий для повышения эффективности функционирования системы федеральных органов исполнительной власти. Статистические данные необходимы деловым кругам, научной общественности, средствам массовой информации, населению.
Обязательными условиями обработки конфиденциальных сведений, гарантирующими защиту прав и законных интересов граждан, в статистических и научных целях являются:
обеспечение соответствующего режима хранения и защиты полученных оператором в процессе деятельности персональных данных;
обезличивание обрабатываемых персональных данных.
Закрепленное в комментируемой статье требование обработки персональных данных для статистических или иных научных целей при условии обязательного обезличивания персональных данных не основано на положениях Конвенции и Директивы 95/46/ЕС о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных. Последняя указывает на необходимость гарантий в отношении персональных данных, собираемых для указанных целей, но делает исключение для обработки персональных данных, осуществляемой исключительно в целях журналистики или в целях художественного или литературного творчества, в противном случае под запрет попадает вся историческая литература.