Добрый день. Мы — юридическое лицо, которое покупает металлолом у физических лиц. Необходимо ли нам брать заявление от физических лиц на обработку персональных данных? Мы получаем от этих лиц ксерокопии их паспорта.
Здравствуйте!
Коротко: согласие может не требоваться, если данные нужны для договора купли-продажи лома или предписаны правилами его приёма, но безопаснее оформить его письменно.
Ниже приведён подробный разбор норм о персональных данных, применимых к Вашей ситуации исключений и практических рекомендаций.
Является ли копирование паспорта продавца обработкой персональных данных?
Да. Согласно пункту 3 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», обработкой персональных данных признаётся любое действие или совокупность действий с персональными данными — в том числе сбор, запись, систематизация, накопление и хранение — независимо от того, применяются ли при этом средства автоматизации. Снятие ксерокопии паспорта продавца, хранение этой копии в документах организации и использование указанных в ней сведений (ФИО, серия и номер документа, адрес регистрации) — это обработка персональных данных в понимании закона, а не техническая формальность.
Когда обработка персональных данных допускается без согласия субъекта?
По общему правилу обработка персональных данных должна вестись с согласия субъекта — это закреплено в части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Однако та же часть 1 статьи 6 прямо перечисляет случаи, когда обработка допускается и без отдельного согласия. Применительно к покупке лома у населения значение имеют, в частности, два исключения:
- обработка необходима для исполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (пункт 2 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»);
- обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (пункт 5 части 1 статьи 6 того же закона).
Покрывает ли договор купли-продажи лома обработку данных продавца?
Приём металлолома у физического лица оформляется как купля-продажа: организация покупает лом, а гражданин выступает продавцом — стороной договора (общие положения о купле-продаже закреплены в статье 454 Гражданского кодекса РФ). Раз продавец — сторона договора, обработка его персональных данных, необходимая для заключения и исполнения этой сделки (идентификация продавца, оформление приёмо-сдаточного акта, расчёт и выплата денег), может подпадать под исключение пункта 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» — то есть формально обходиться без отдельного согласия.
Обязывают ли правила приёма лома фиксировать паспортные данные продавца?
Приём лома чёрных и цветных металлов у населения — деятельность, отдельно урегулированная постановлениями Правительства Российской Федерации, устанавливающими правила обращения с ломом и отходами чёрных и цветных металлов. Эти правила прямо обязывают приёмщика лома фиксировать данные документа, удостоверяющего личность сдающего лицо, в приёмо-сдаточном акте. Если такая обязанность прямо возложена на организацию нормативным актом, обработка соответствующих данных может подпадать и под другое исключение — пункт 2 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (обработка необходима для исполнения обязанности, возложенной законодательством).
Значит ли это, что письменное согласие можно вообще не брать?
Формально — оба рассмотренных исключения дают основания обходиться без отдельного письменного согласия продавца лома. Но применение этих исключений к конкретной ситуации — вопрос оценочный: он зависит от того, насколько состав и объём собираемых данных (например, если помимо паспорта запрашиваются ещё и контактный телефон или банковские реквизиты для перевода оплаты) действительно необходим именно для исполнения договора или прямо предписанной обязанности, а не собирается «про запас». Если субъект персональных данных или Роскомнадзор сочтут, что организация вышла за пределы необходимого для этих целей объёма, спор придётся вести, доказывая обоснованность каждого исключения. Подробнее о том, как разграничивается обработка данных с согласия и без него применительно к похожим спорным ситуациям, разобрано в материале о согласии на обработку персональных данных при заключении договора поставки.
Поэтому на практике проще и безопаснее не полагаться только на исключения, а всё же получать от продавца лома письменное согласие на обработку персональных данных при приёме металла. Это не усложняет процедуру приёма (согласие оформляется тем же приёмо-сдаточным актом или отдельной короткой формой одновременно со снятием копии паспорта), зато снимает риск претензий как со стороны самого продавца, так и со стороны надзорного органа — то есть в равной мере защищает организацию независимо от того, к какому выводу впоследствии придёт проверяющий или суд по вопросу о применимости исключений.
Частые вопросы
Меняется ли ответ, если продавец лома — индивидуальный предприниматель, а не просто гражданин?
Нет. Субъектом персональных данных закон признаёт физическое лицо независимо от того, выступает ли оно также индивидуальным предпринимателем: паспортные данные и другие сведения о личности гражданина защищаются одинаково. Наличие у продавца статуса ИП само по себе не отменяет применения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и разобранных выше правил.
Можно ли передать копии полученных паспортов другой организации, например при проверке?
Передача персональных данных другому оператору — это тоже их обработка, и она допускается только в случаях, установленных законом (например, по законному запросу контролирующего органа), либо с согласия субъекта. Произвольная передача копий паспортов третьим лицам «на всякий случай» в разобранные выше исключения не укладывается. Порядок такой передачи разобран в материале об оформлении передачи персональных данных физических лиц другому оператору.
Нужно ли отдельное согласие, если организация хранит копии паспортов только без использования компьютерных баз данных?
Нет, само по себе отсутствие автоматизации ничего не меняет: закон одинаково регулирует обработку персональных данных как с использованием средств автоматизации, так и без них. Папка с бумажными копиями паспортов — тоже база персональных данных, и к ней применяются те же правила и исключения, что разобраны выше. Подробнее — в материале о том, что такое обработка персональных данных без использования средств автоматизации.
Что грозит организации, если она обрабатывала данные без согласия и не смогла обосновать исключение?
Обработка персональных данных в случаях, не предусмотренных законодательством, либо обработка, несовместимая с целями сбора данных, влечёт административную ответственность по статье 13.11 Кодекса Российской Федерации об административных правонарушениях. Именно поэтому, если организация не уверена, что сможет доказать применимость исключения, разумнее заранее получить письменное согласие, а не выяснять это уже в рамках проверки или спора.
Краткая сводка: согласие на обработку персональных данных при покупке лома у физлиц
- Снятие и хранение копии паспорта продавца — обработка персональных данных (пункт 3 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).
- По общему правилу обработка требует согласия субъекта (часть 1 статьи 6 того же закона).
- Исключение: обработка необходима для исполнения договора, стороной которого является субъект данных (пункт 5 части 1 статьи 6) — покупка лома оформляется договором купли-продажи (статья 454 Гражданского кодекса РФ).
- Исключение: обработка необходима для исполнения обязанности, возложенной законодательством (пункт 2 части 1 статьи 6) — правила приёма лома у населения прямо требуют фиксировать данные документа, удостоверяющего личность.
- Формально письменное согласие в этой ситуации может не требоваться, но вопрос оценочный — сохраняется риск спора с продавцом или с Роскомнадзором.
- Практическая рекомендация: всё же получать письменное согласие продавца лома — это не усложняет приём металла, но снимает спорность вопроса.
Таким образом, отдельное письменное согласие продавца лома на обработку его персональных данных формально может не требоваться в силу исключений, предусмотренных пунктами 2 и 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Но поскольку применение этих исключений к конкретной ситуации — вопрос оценочный, на практике безопаснее и проще всё же оформлять письменное согласие продавца: это не создаёт организации дополнительных сложностей, зато снимает риск спора с субъектом персональных данных или с Роскомнадзором.
С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».
Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.
Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:
Доверьте нам решение своей проблемы
Наша главная цель — помощь клиентам в решении существующих проблем и их профилактика в будущем.
Оставьте заявку на консультацию, чтобы убедиться в этом лично!
Мы работаем по всей России. Укажите Ваш город в комментарии
