Являются ли имя и номер телефона персональными данными, и если организация запрашивает эти данные на своем сайте "Обратная связь или оставить заявку", то подпадает ли она под действие Закона N 152-ФЗ?
Отвечает эксперт службы Правового консалтинга ГАРАНТ Лариса Амирова.
В соответствии со ст. 3 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). По сути, это всевозможные сведения, с помощью которых можно идентифицировать субъекта персональных данных. Как видим, Закон N 152-ФЗ определяет персональные данные достаточно широко, поэтому какого-либо перечня сведений, относящихся к персональным данным субъекта, не существует.
Суды к персональным данным относят фамилию, имя, отчество, год, месяц, дату и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы и др.
Однако надлежит учитывать, что не всякий из этих элементов подпадает под защиту Закона N 152-ФЗ, а только те из них, которые в отдельности или в совокупности достоверно указывают на конкретное определяемое лицо. Телефонный номер абонента, на наш взгляд, таким свойством не обладает. Согласно п. 2 Правил оказания услуг телефонной связи, утвержденных постановлением Правительства РФ от 09.12.2014 N 1342, абонентский номер – это телефонный номер, который однозначно определяет (идентифицирует) оконечный элемент сети связи или подключенную к сети подвижной связи абонентскую станцию с установленным в ней идентификационным модулем. То есть, будучи элементом сети связи, в отрыве от иной информации о физическом лице (фамилии, имени, отчестве, адресе проживания и др.) такой номер сам по себе не позволяет идентифицировать конкретного субъекта персональных данных, а потому персональными данными в терминологии Закона N 152-ФЗ не является.
Однако в комбинации с иными идентификаторами, например именем, фамилией и т.п. гражданина, совокупность сведений может быть квалифицирована в качестве персональных данных, т. к. в этом случае конкретный субъект становится узнаваемым, то есть его можно персонифицировать.
Адрес электронной почты гражданина, по мнению специалистов Роскомнадзора, относится к категории персональных данных, поскольку данный идентификатор уникален: он присваивается конкретному человеку и не может быть отнесен к другому. Даже без дополнительной информации такой идентификатор является персональными данными. На наш взгляд, подобное утверждение не бесспорно, т. к. не всегда по адресу электронной почты можно определить его обладателя. Например, отдельные суды не склонны относить электронный адрес гражданина к его персональным данным.
Так, например, Арбитражный суд Московского округа отметил, что утверждение управления Роскомнадзора о том, что адрес электронной почты является персональными данными лица, его зарегистрировавшего, так как обладает двумя важными свойствами: неизменностью при присвоении и уникальностью, обоснованно признано судами несостоятельным, поскольку по аналогии с номером телефона, без наличия дополнительных идентификаторов невозможно по одному лишь адресу электронной почты определить конкретное физическое лицо, которому он принадлежит.
Таким образом, признание той или иной информации персональными данными зависит от ее объема и от того, можно ли с ее помощью идентифицировать конкретного гражданина или нет.
Полагаем, что во избежание претензий со стороны контролирующих органов форма обратной связи, используемая организацией, должна содержать интерфейс на предоставление субъектом персональных данных согласия на обработку персональных данных в соответствии с политикой оператора в отношении обработки и защиты персональных данных субъектов, т. к. в любом случае для обратной связи одного номера телефона и адреса электронной почты будет недостаточно, необходимо также и имя гражданина, который пожелает воспользоваться подобной формой и, возможно, сам оставит свои данные.
Так, например, в одном из дел суд отметил, что внутренняя воля при передаче персональных данных оператору в целях обработки может выражаться не только в прямой (непосредственной) форме, но и в форме конклюдентных действий, когда субъект, намеревающийся передать свои персональные данные, совершает требующиеся от него действия без предварительного уведомления оператора о своем решении.
Однако оператору в любом случае необходимо обеспечить возможность подтвердить факт получения такого согласия, поскольку на него возлагается обязанность доказывать факт обработки персональных данных с согласия субъекта (ч. 3 ст. 9 Закона N 152-ФЗ).
Подготовлено по материалам системы ГАРАНТ.
LjN8KTrHT
Рекламодатель: ООО "Гарант-Алтай", ИНН 2221043239
