Здравствуйте! Как должна быть оформлена передача персональных данных физических лиц от оператора персональных данных другому оператору? Какие документы это разрешают? Что необходимо для этого?
Здравствуйте!
Коротко: передать данные другому оператору можно только при согласии субъекта персональных данных либо по одному из оснований статьи 6 Федерального закона № 152-ФЗ без согласия — например, исполнения договора. Оформляется это договором между операторами.
Ниже — подробный разбор того, какое основание нужно для передачи данных другому оператору, чем такая передача отличается от поручения обработки, какими документами она оформляется и когда получателю данных нужно уведомить Роскомнадзор.
На каком основании можно передать персональные данные другому оператору?
Передача персональных данных другому оператору — это разновидность обработки персональных данных, и для неё, как и для любой обработки, нужно правовое основание из статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Первое и самое распространённое основание — согласие субъекта персональных данных. Согласие должно быть конкретным, информированным и сознательным: субъект должен понимать, для какой цели, в каком объёме и кому передаются его данные. По общему правилу согласие может быть дано в любой форме, позволяющей подтвердить факт его получения, но в случаях, прямо предусмотренных федеральным законом, требуется письменная форма — на бумажном носителе с собственноручной подписью либо равнозначная ей электронная форма, подписанная электронной подписью (статья 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). На практике для передачи данных стороннему оператору лучше не ограничиваться общей фразой о «передаче третьим лицам», а прямо назвать в тексте согласия конкретного получателя или чётко определённый круг получателей — это снижает риск того, что при проверке Роскомнадзор сочтёт согласие неконкретным и, соответственно, недействительным для данной передачи.
Если получать согласие не требуется или его невозможно получить, передача допустима по одному из оснований части 1 статьи 6 Федерального закона № 152-ФЗ. Применительно к передаче между операторами чаще всего используются: исполнение договора, стороной которого либо выгодоприобретателем по которому является субъект персональных данных (например, оператор передаёт данные подрядчику, оказывающему услугу по заказу самого субъекта); исполнение обязанности, прямо возложенной на оператора федеральным законом; защита жизни, здоровья или иных жизненно важных интересов субъекта, если получить его согласие невозможно. Обязанность доказать наличие согласия или иного законного основания при проверке лежит на операторе, который передаёт данные, — поэтому основание передачи и его документальное подтверждение стоит фиксировать заранее, а не восстанавливать задним числом.
Чем передача данных отличается от поручения обработки?
Закон различает два разных случая, когда данные оказываются у другого лица, и путать их нельзя. Поручение обработки (часть 3 статьи 6 Федерального закона № 152-ФЗ) — это когда оператор поручает выполнение отдельных технических действий с данными другому лицу, которое действует строго по заданию оператора и не определяет собственные цели обработки: например, хранение данных на сервере подрядчика, рассылка уведомлений, бухгалтерские расчёты. По общему правилу для такого поручения оператору нужно согласие субъекта персональных данных, если федеральным законом не установлено иное; поручение оформляется договором, в том числе государственным или муниципальным контрактом, с указанием перечня действий с данными, целей обработки, обязанности соблюдать конфиденциальность и мер защиты данных по статье 19 Федерального закона № 152-ФЗ. При этом само лицо, которому поручена обработка, отдельного согласия субъекта на свои действия не запрашивает — оно действует в рамках согласия или основания, уже имеющегося у оператора, а ответственность перед субъектом персональных данных за его действия по-прежнему несёт оператор, поручивший обработку.
Передача данных другому оператору — принципиально иная ситуация: получатель сам, самостоятельно и в собственных целях определяет, как и для чего обрабатывать полученные данные, а не выполняет чьё-то техническое задание. Право на такую обработку у получателя возникает не автоматически вместе с фактом передачи: у него должно быть собственное законное основание — либо согласие субъекта именно на передачу данных этому оператору (или на дальнейшую обработку им данных), либо одно из оснований статьи 6 закона, применимое непосредственно к получателю, например если он тоже исполняет договор, стороной которого является субъект персональных данных. Похожая ситуация с передачей данных стороннему контрагенту разбиралась в материале «Для заключения договора поставки Торговый дом просит предоставить согласие на обработку персональных данных генерального директора».
Какие документы нужны для передачи персональных данных другому оператору?
Документальное оформление зависит от выбранного основания, но в любом случае состоит из двух частей. Первая — подтверждение правового основания: письменное (или электронное с электронной подписью) согласие субъекта персональных данных, если оно требуется, либо документ, из которого видно основание без согласия (например, сам договор с субъектом, если передача нужна для его исполнения, или норма закона, прямо возлагающая на оператора соответствующую обязанность). Вторая часть — соглашение о передаче данных (договор, дополнительное соглашение к основному договору или раздел о персональных данных в нём) между оператором, который передаёт данные, и оператором-получателем. В таком соглашении стоит прямо прописать: объём и перечень передаваемых данных, цель передачи и дальнейшей обработки, сроки хранения данных получателем, обязанность соблюдать конфиденциальность и меры защиты данных, а также порядок уведомления об утечках и порядок уничтожения данных по достижении цели обработки.
Нужно ли уведомлять Роскомнадзор о получении данных новым оператором?
Если оператор, которому передаются данные, ранее не был зарегистрирован как оператор персональных данных, до начала их обработки он по общему правилу обязан уведомить Роскомнадзор о своём намерении осуществлять обработку персональных данных (часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Из этого правила есть исключения, перечисленные в части 2 той же статьи 22, — на практике для бизнеса чаще всего актуально исключение для оператора, который обрабатывает персональные данные исключительно без использования средств автоматизации, то есть без баз данных и компьютерной обработки. Остальные действующие исключения узкие и касаются государственных информационных систем, созданных для защиты безопасности государства и общественного порядка, а также обработки данных в целях транспортной безопасности. Если получатель уже состоит в реестре операторов Роскомнадзора, повторно уведомлять о каждой новой партии полученных данных не нужно — достаточно того, что цели, для которых он их обрабатывает, укладываются в уже поданное им уведомление.
Частые вопросы
Нужно ли согласие субъекта, если получатель обрабатывает данные во исполнение прямого требования закона?
Нет, если у получателя есть собственное основание из части 1 статьи 6 Федерального закона № 152-ФЗ, например обязанность передать сведения, прямо установленная федеральным законом, или исполнение возложенных на него законом функций. В этом случае отдельное согласие субъекта на передачу не требуется, но оператор обязан подтвердить именно эту норму как основание.
Может ли одно согласие разрешать передачу данных сразу нескольким организациям?
Да, если это прямо оговорено в тексте согласия — с описанием круга получателей (конкретных организаций или чётко определённой категории) и целей передачи каждой из них. Расплывчатая формулировка без конкретики о получателях повышает риск, что такое согласие не будет считаться основанием именно для этой передачи.
Что грозит оператору за передачу данных без законного основания?
Такая передача — нарушение статьи 6 Федерального закона № 152-ФЗ, за которое предусмотрена административная ответственность по статье 13.11 КоАП РФ, а субъект персональных данных вправе требовать прекращения незаконной обработки и возмещения причинённого вреда. Оператор, который не может по требованию проверяющего органа подтвердить согласие или иное основание, признаётся нарушившим закон независимо от того, была ли передача добросовестной по существу.
Может ли управляющая организация передать данные жильцов в другую организацию без их отдельного согласия?
Только если для этого есть основание без согласия и получатель обрабатывает данные в тех же законных целях, ради которых они собирались изначально, — например, для расчётов за коммунальные услуги. Разбор похожей ситуации есть в материале «Может ли управляющая организация передать сведения о физических лицах (абонентах) в другую организацию, например энергоснабжающую».
Краткая сводка: как оформить передачу персональных данных другому оператору
- Передача — это обработка данных, для неё нужно основание из статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: согласие субъекта либо одно из оснований без согласия.
- Согласие на передачу оформляется письменно или электронно с электронной подписью (статья 9 закона № 152-ФЗ), должно быть конкретным и по возможности называть получателя данных.
- Передачу другому самостоятельному оператору не следует путать с поручением обработки по части 3 статьи 6 закона № 152-ФЗ — при поручении получатель не определяет собственные цели и действует по заданию оператора.
- Передача оформляется договором между операторами с описанием объёма, целей, сроков хранения и мер защиты данных (статья 19 закона № 152-ФЗ).
- Оператор-получатель, ранее не зарегистрированный как оператор, обязан уведомить Роскомнадзор до начала обработки (часть 1 статьи 22 закона № 152-ФЗ), кроме узкого перечня исключений из части 2 той же статьи — например, обработки данных исключительно без автоматизации.
- Доказывать наличие согласия или иного основания при проверке обязан оператор, передающий данные, а за незаконную передачу предусмотрена ответственность по статье 13.11 КоАП РФ.
Таким образом, передача персональных данных физических лиц от одного оператора другому оформляется в два шага: сначала фиксируется правовое основание — согласие субъекта персональных данных (письменное или электронное с электронной подписью, конкретно называющее получателя) либо одно из оснований статьи 6 Федерального закона № 152-ФЗ без согласия, а затем между операторами заключается договор о передаче данных с описанием объёма, целей, сроков хранения и мер защиты. Если получатель данных ранее не был зарегистрирован как оператор, до начала обработки он обязан уведомить об этом Роскомнадзор. Такую передачу нельзя путать с поручением обработки: у поручения свои правила оформления и своя ответственность оператора-поручителя.
С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».
Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.
Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:
Доверьте нам решение своей проблемы
Наша главная цель — помощь клиентам в решении существующих проблем и их профилактика в будущем.
Оставьте заявку на консультацию, чтобы убедиться в этом лично!
Мы работаем по всей России. Укажите Ваш город в комментарии
