Какие персональные данные не требуют обеспечения конфиденциальности?

Здравствуйте. Какие персональные данные не требуют обеспечения конфиденциальности?

Здравствуйте!

Коротко: общая обязанность не раскрывать и не распространять персональные данные без согласия человека установлена статьей 7 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Из неё есть три исключения: данные, приведённые к обезличенному виду; данные, которые человек сам сделал общедоступными; и данные, которые оператор обязан раскрыть по прямому указанию другого федерального закона.

Ниже разберем каждое из этих оснований подробно: как данные становятся общедоступными, что меняют правила об отдельном согласии на распространение, действующие с 2021 года, и какие риски возникают, если считать данные открытыми без достаточных оснований.

Что означает конфиденциальность персональных данных по закону?

Конфиденциальность персональных данных — это обязанность оператора и любого лица, получившего доступ к данным, не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное прямо не предусмотрено федеральным законом (статья 7 Закона № 152-ФЗ). Это правило действует по умолчанию: любые персональные данные — от ФИО и телефона до сведений о доходах или состоянии здоровья — считаются конфиденциальными, пока для конкретного случая закон прямо не установил иное.

Здесь важно различать два разных вопроса, которые часто путают. Первый — можно ли обрабатывать данные без согласия человека: перечень таких оснований (исполнение договора, требования закона, защита жизни и здоровья и другие) дан в статье 6 Закона № 152-ФЗ. Второй — можно ли данные раскрывать третьим лицам и распространять, то есть снимать с них конфиденциальность: это отдельный вопрос статьи 7, и он решается положительно только в трёх ситуациях, о которых пойдет речь ниже. Оператор может иметь законное право обрабатывать данные (например, для исполнения договора) — и при этом быть обязанным хранить их в тайне от посторонних.

Требуют ли конфиденциальности обезличенные персональные данные?

Обезличивание — это преобразование данных, после которого без привлечения дополнительной информации уже нельзя определить, какому конкретно человеку они принадлежат (понятие раскрыто в статье 3 Закона № 152-ФЗ). Пока данные привязаны к конкретному человеку прямо или косвенно, они остаются персональными и конфиденциальными. Как только связь с личностью надёжно утрачена, сведения формально перестают быть персональными данными именно этого человека — и требование о конфиденциальности к ним больше не применяется.

Отдельно закон разрешает обрабатывать данные для статистических и иных исследовательских целей без согласия субъекта, но только при условии обязательного обезличивания (пункт 9 части 1 статьи 6 Закона № 152-ФЗ). То есть обезличивание здесь — не право оператора по желанию, а обязательное условие законной обработки в таких целях.

Что такое общедоступные персональные данные и как они появляются?

Второе исключение — данные, доступ к которым неограниченному кругу лиц предоставил сам субъект персональных данных либо по его просьбе (пункт 10 части 1 статьи 6 Закона № 152-ФЗ). Такие данные закон называет общедоступными персональными данными. Классический механизм их появления описан в статье 8 Закона № 152-ФЗ: в целях информационного обеспечения создаются общедоступные источники персональных данных, в том числе справочники и адресные книги. Включить туда можно только те сведения, на которые субъект дал письменное согласие: фамилию, имя, отчество, год и место рождения, адрес, номер телефона, сведения о профессии и другие данные, сообщённые самим человеком.

У этого статуса есть важная обратная сторона: сведения о субъекте должны быть исключены из общедоступных источников в любое время по его требованию, либо по решению суда, либо по решению иного уполномоченного органа государственной власти. То есть «общедоступность» — не бессрочное состояние, а режим, который можно прекратить. Разбор похожей ситуации — в материале какие персональные данные можно считать общедоступными на конкретном примере из практики.

Нужно ли отдельное согласие, чтобы данные стали общедоступными для распространения?

С 1 марта 2021 года правила ужесточились: Федеральный закон от 30.12.2020 № 519-ФЗ добавил в закон о персональных данных статью 10.1, которая отдельно регулирует обработку данных, разрешённых субъектом для распространения. Согласие на такое распространение оформляется отдельно от любых других согласий на обработку персональных данных: общего согласия на обработку (например, при заключении договора) для этого недостаточно.

В согласии по статье 10.1 человек вправе сам определить перечень данных для каждой категории, способы их распространения, а также установить запреты или условия на обработку данных третьими лицами — например, разрешить показывать телефон, но запретить передавать его для рекламных рассылок. Отдельно закон защищает тех, кто когда-то раскрыл свои данные неограниченному кругу лиц (например, в интернете), не оформляя такое согласие: если это произошло без согласия по статье 10.1, обязанность доказать законность последующего распространения или иной обработки этих данных лежит на каждом, кто такое распространение или обработку осуществляет — а не на самом человеке. Согласие можно отозвать в любой момент.

Какие данные подлежат раскрытию по закону без согласия субъекта?

Третье исключение — данные, которые подлежат опубликованию или обязательному раскрытию в соответствии с федеральным законом (пункт 11 части 1 статьи 6 Закона № 152-ФЗ). Здесь согласие субъекта не требуется в принципе: сам факт публикации или передачи предписан отдельным нормативным актом. На практике это, в частности:

• сведения о руководителях и учредителях юридических лиц, индивидуальных предпринимателях — в открытых реестрах ЕГРЮЛ и ЕГРИП;
• данные должника, размер долга и сведения об исполнительном производстве — в банке данных на сайте ФССП (статья 6.1 Федерального закона «Об исполнительном производстве»);
• сведения о процедурах банкротства физических и юридических лиц — в Едином федеральном реестре сведений о банкротстве;
• фамилии, инициалы и часть иных данных участников процесса — в текстах судебных актов, размещаемых в открытом доступе (Федеральный закон от 22.12.2008 № 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации»), где часть данных, наоборот, обязательно обезличивается.

Отдельно закон определяет, какие государственные и муниципальные органы вправе распространять персональные данные без согласия субъекта в рамках своих полномочий — подробный разбор конкретных случаев есть в материале какие госучреждения вправе распространять персональные данные без согласия.

Какие риски возникают при неправомерном раскрытии персональных данных?

Ни один из трёх разобранных случаев не работает «по умолчанию» — оператор обязан быть готов подтвердить законность обработки: бремя доказывания наличия согласия субъекта или иного законного основания закон прямо возлагает на оператора, а не на человека, чьи данные обрабатываются (статья 6 Закона № 152-ФЗ). Раскрытие или распространение чужих персональных данных без законных оснований — административное правонарушение по статье 13.11 КоАП РФ, а с учётом ужесточения санкций для операторов, допустивших утечку, штрафы могут быть значительными — подробнее о том, кто возбуждает такие дела, в материале об ужесточении наказания по статье 13.11 КоАП РФ.

Кроме административной ответственности, человек, чьи данные раскрыли незаконно, вправе требовать компенсации морального вреда по статье 151 и статье 1101 Гражданского кодекса РФ — независимо от того, привлечён ли нарушитель к административной ответственности. Именно поэтому на практике безопаснее не полагаться на предположение «эти данные и так все знают», а иметь документальное подтверждение конкретного основания: письменное согласие, договор, судебный акт или прямую норму закона.

Частые вопросы

Можно ли считать общедоступными данные, которые человек когда-то сам опубликовал в социальной сети?

Сам факт добровольной публикации — основание для обработки по пункту 10 части 1 статьи 6 Закона № 152-ФЗ. Но если человек не оформлял отдельное согласие на распространение по статье 10.1, тот, кто хочет распространять эти данные дальше или обрабатывать их для других целей, обязан сам доказать законность своих действий — универсального правила «раз есть в сети, значит можно всё» закон не устанавливает.

Может ли работодатель сообщить размер зарплаты сотрудника другим сотрудникам без его согласия?

Нет. Сведения о доходах — персональные данные, на которые распространяется общее правило о конфиденциальности (статья 7 Закона № 152-ФЗ). Ни одно из трёх исключений здесь обычно не применяется, поэтому раскрытие без согласия сотрудника или прямого указания закона неправомерно и может повлечь ответственность по статье 13.11 КоАП РФ.

Как отозвать согласие на то, чтобы данные оставались общедоступными?

Субъект вправе отозвать согласие в любой момент по заявлению оператору. Сведения должны быть исключены из общедоступных источников по требованию человека, по решению суда либо по решению иного уполномоченного органа государственной власти (статья 8 Закона № 152-ФЗ).

Нужно ли согласие на обработку персональных данных, которые указаны в открытом судебном акте?

Нет: размещение текстов судебных актов в открытом доступе прямо предписано Федеральным законом от 22.12.2008 № 262-ФЗ, а значит подпадает под исключение пункта 11 части 1 статьи 6 Закона № 152-ФЗ. При этом часть данных участников процесса закон, наоборот, обязывает обезличивать при публикации — то есть открытость судебных актов не означает открытости всех данных без ограничений.

Что грозит компании, которая передала персональные данные клиента третьим лицам без согласия и без законного основания?

Административная ответственность по статье 13.11 КоАП РФ (штраф для юридического лица), риск предписания и проверки со стороны Роскомнадзора, а также гражданский иск от пострадавшего о компенсации морального вреда по статьям 151 и 1101 ГК РФ. Доказывать законность передачи в таком споре будет именно компания как оператор.

Краткая сводка: какие персональные данные не требуют конфиденциальности

• Обезличенные данные, по которым без дополнительной информации нельзя определить конкретного человека, — статья 3 и пункт 9 части 1 статьи 6 Закона № 152-ФЗ.
• Данные, которые субъект сам сделал общедоступными или попросил включить в справочник, — пункт 10 части 1 статьи 6 и статья 8 Закона № 152-ФЗ.
• С 1 марта 2021 года для дальнейшего распространения таких данных требуется отдельное письменное согласие — статья 10.1 Закона № 152-ФЗ, введённая Федеральным законом от 30.12.2020 № 519-ФЗ.
• Данные, подлежащие опубликованию или обязательному раскрытию по другому федеральному закону, — пункт 11 части 1 статьи 6 Закона № 152-ФЗ (например, сведения в реестрах ЕГРЮЛ/ЕГРИП, банке данных ФССП, открытых судебных актах).
• Во всех остальных случаях действует общая обязанность конфиденциальности по статье 7 Закона № 152-ФЗ, а её нарушение грозит ответственностью по статье 13.11 КоАП РФ и компенсацией морального вреда по статьям 151, 1101 ГК РФ.

Таким образом, конфиденциальность персональных данных не обязательна только в трёх случаях: данные обезличены, данные добровольно сделаны общедоступными самим человеком с соблюдением правил статьи 10.1 Закона № 152-ФЗ, либо их раскрытие прямо предписано другим федеральным законом. Во всех остальных ситуациях оператор обязан хранить персональные данные в тайне и быть готовым подтвердить законное основание их обработки.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Защита персональных данных
• Абонентское юридическое сопровождение бизнеса