В условиях цифровизации экономических отношений персональные данные потребителей все чаще подвергаются обработке. Успех предпринимательства зависит от умения выстроить доверительные отношения с клиентом: представляя бизнесу свою личную информацию, человек получает более удобный и качественный сервис.
При этом потребитель является слабой стороной в потребительском договоре, потому что не может повлиять на условия заключаемого договора.
Определение Верховного Суда РФ от 21.04.2023 № 305-ЭС23-153 по делу № А40-263203/2021;
Определения Конституционного Суда РФ от 26.10.2021 № 2284-О; от 19 ноября 2015 года № 2724-О, от 18 июля 2017 года № 1652-О и от 26 ноября 2018 года № 2993-О.
Порядок обработки и защиты персональных данных физических лиц, в том числе приобретающих или использующих товары (работы, услуги), регламентирован Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
Учитывая, что повсеместный сбор данных потребителей сопряжен с определенными рисками, нормы, направленные на защиту личной информации, в 2022 году внесены и в Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей».
В частности, статья с перечнем условий договора, ущемляющих права потребителя, дополнена законодательным запретом в понуждении потребителя к предоставлению «избыточных» персональных данных при заключении, исполнении, изменении или расторжении договора.
ч. 4 ст. 16 Закона РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»
Нововведение применимо в тех случаях, когда предоставление персональных данных не предусмотрено законодательством или не связано с исполнением договора.
Пример: при оформлении доставки продавцу необходимо знать контактные данные и адрес заказчика (иначе он не может оказать услугу), но не обязательно знать дату рождения клиента.
В гостиничном бизнесе обработка персональных данных в определенном объеме необходима и обусловлена требованиями законодательства. При заключении договора оказания гостиничных услуг заказчик обязан предоставить: сведения о себе (фамилия, имя, отчество (при наличии) и сведения о документе, удостоверяющем его личность, оформленном в установленном порядке).
При заселении потребитель должен предъявить документ, удостоверяющий личность.
ст.ст. 13, 18 Правил предоставления гостиничных услуг в Российской Федерации,
утвержденных постановлением Правительства РФ от 18.11.2020 № 1853
За отказ потребителю в заключении, исполнении, изменении или расторжении договора в связи с отказом потребителя предоставить персональные данные предусмотрена административная ответственность по части 7 статьи 14.8 Кодекса Российской Федерации об административных правонарушениях.
Влечет наложение административного штрафа на должностных лиц в размере от 5 тыс. до 10 тыс. рублей; на юридических лиц — от 30 тыс. до 50 тыс. рублей.
Вместе с тем судебная практика показывает, что многие вопросы несоблюдения требований законодательства по обработке персональных данных потребителей и ранее являлись предметом споров, подлежащих рассмотрению в суде.
Так, применительно к финансовой сфере, судом признаны недействительными положения договора, если одна подпись на документе подтверждает согласие с условиями договора и согласие на обработку персональных данных.
Арбитражный суд города Санкт-Петербурга и Ленинградской области установил факт включения банком в кредитный договор условия, ущемляющие права потребителя, а именно согласие на обработку персональных данных заемщика, исходя из которого невозможно установить лиц, осуществляющих обработку персональных данных.
Суд установил, что, проставляя одну подпись в документе, лицо подтверждает факт согласия с условиями договора, что не может одновременно считаться предоставлением согласия на обработку персональных данных. Возможность передачи персональных данных предполагается (презюмируется) самим фактом заключения кредитного договора, что не соответствует положениям Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Постановлением Тринадцатого арбитражного апелляционного суда от 25.11.2020 решение по делу о привлечении финансовой организации к административной ответственности по части 2 статьи 14.8 Кодекса Российской Федерации об административных правонарушениях оставлено в силе.
- Решение Арбитражного суда города Санкт-Петербурга и Ленинградской области от 30.07.2020 по делу № А56-25130/2020;
- Постановление Тринадцатого арбитражного апелляционного суда от 25.11.2020 № 13АП-21818/2020, 13АП-22245/2020 по делу № А56-25130/2020.
Черемушкинским районным судом г. Москвы 18.06.2019 рассмотрено дело о привлечении организации к административной ответственности по части 1 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях в связи с тем, что ее работники систематически осуществляли звонки на телефонный номер гражданина, не состоящего с этой фирмой в договорных отношениях. Суд указал оператору на недопустимость обработки персональных данных граждан, несовместимой с целями их сбора, а также на необходимость обеспечения их точности и актуальности.
Таким образом суд заключил, что оператор должен принимать необходимые меры по удалению или уточнению неполных или неточных персональных данных.
- Решение Черемушкинского районного суда г. Москвы от 18.06.2019 по делу № 12-973/19
В Пермском крае суды трех инстанций поддержали позицию Роспотребнадзора о том, что обработка кредитной организацией персональных данных в течение 10 лет после прекращения обязательств по договору с потребителем является незаконной и противоречит требованиям частей 2, 7 статьи 5 Федерального закона «О персональных данных».
Так, в 2021 году между Банком и потребителем заключен Договор накопительного счета путем присоединения к договору о комплексном банковском обслуживании физических лиц. Пунктом 3.16.14 договора предусмотрено: «Банк осуществляет обработку персональных данных Клиента в течение всего срока действия соглашений, договоров, включая договор о комплексном банковском обслуживании физических лиц, заключенных с Банком, а также в течение 10 лет с даты прекращения обязательств сторон по соглашениям». Согласно пункту 3.17 договора: «Персональные данные Клиента подлежат уничтожению по истечении
10 (десяти) лет с даты прекращения обязательств Сторон по Договору».
Постановлением Роспотребнадзора от 11.01.2022 Банк признан виновным в совершении административного правонарушения, предусмотренного по части 2 статьи 14.8 Кодекса об административных правонарушениях, в том числе на основании вышеизложенных положений договора, содержащих завышенный, не подтвержденный целями срок обработки персональных данных клиента.
- Постановление Арбитражного суда Московского округа от 03.10.2022 по делу № А40-12838/2022
В сфере оказания транспортных услуг включение в договор с потребителем положений, предусматривающих возможность передачи персональных данных непоименованным третьим лицам, признано незаконным.
В 2021 году по делу в отношении компании, оказывающей транспортные услуги, суды первой, апелляционной и кассационной инстанции пришли к выводу о том, что в заявление на заключение опционного договора, являющегося неотъемлемой частью договора, включены пункты, ущемляющие установленные законом права потребителя.
Ущемляющими права признано отсутствие выбора согласия или отказа на обработку персональных данных, а также отсутствие конкретного перечня третьих лиц, которым транспортная компания вправе передать персональные данные.
- Решение от 01.06.2021 Арбитражного суда Новосибирской области по делу № А45-6560/2021;
- Постановление от 05.08.2021 Седьмого арбитражного апелляционного суда по делу № А45-6560/2021;
- Постановление Арбитражного суда Западно-Сибирского округа от 26.10.2021 № Ф04-5462/2021 по делу № А45-6560/2021.
Постановление надзорного органа о привлечении юридического лица к административной ответственности по части 2 статьи 14.8 Кодекса Российской Федерации об административных правонарушениях оставлено в силе.
Аналогичное дело рассмотрено в 2022 году Верховным Судом РФ.
Определение Верховного Суда РФ от 16.03.2022 № 308-ЭС22-1050 по делу № А53-40297/2020.
Организация, предоставляющая во временное пользование автомобили, была привлечена Роспотребнадзором к административной ответственности части 2 статьи 14.8 Кодекса Российской Федерации об административных правонарушениях за включение в договор аренды транспортного средства и пользовательского соглашения положений: о праве арендодателя в определенных случаях направить персональные данные пользователя в уполномоченные органы для привлечения его к административной ответственности, а также в организации, осуществляющие взыскание денежных средств; праве осуществлять видеофиксацию в салоне автомобиля и запись контактов (разговоров) Пользователя со Службой поддержки и предоставление такой записи третьим лицам. Арбитражные суды трех инстанций посчитали постановление Роспотребнадзора законным и обоснованным, а Верховный суд РФ отказал в пересмотре обжалуемых судебных актов в кассационном порядке.
Как видно из приведенных судебных решений, в договор с потребителем нередко включают условия, предусматривающие возможность передачи персональных данных непоименованным третьим лицам. Подробно судебные разбирательства по таким делам проанализированы в разделе «Судебная практика по делам о передаче оператором персональных данных третьим лицам».
При этом возможность передачи персональных данных непоименованным третьим лицам иногда предусматривает использование ими личных данных в маркетинговых целях.
В сфере страхования, например, такой факт был установлен Девятым арбитражным апелляционным судом при рассмотрении иска компании об оспаривании постановления Роспотребнадзора о привлечении ее к административной ответственности по части 2 статьи 14.8 Кодекса Российской Федерации об административных правонарушениях.
В частности, по факту заключения с гражданином договоров потребительского кредита и страховых услуг проведена проверка, в результате которой установлено следующее.
В страховой полис включено условие:
«Оплачивая и активируя настоящий Полис, Страхователь также выражает согласие: на обработку (совершение любых действий с использованием средств автоматизации или без, в том числе на сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (включая трансграничную), обезличивание, блокирование, удаление, уничтожение) своих персональных данных, указанных в Договоре или полученных в процессе обслуживания данного Договора, в том числе, и снятия копий с использованием технических средств в целях принятия Страховщиком решения о заключении и (или) исполнения-условий соответствующего Договора, а также в целях продвижения на рынке товаров и (или) услуг Страховщика и (или) третьих лиц…».
Таким образом, последующее использование персональных данных в маркетинговых целях никак не связано с исполнением договора, стороной или выгодоприобретателем которого является физическое лицо. В данном случае оператору персональных данных требуется получение согласия на использование персональных данных в целях продвижения своих товаров.
- Постановление Девятого арбитражного апелляционного суда от 30.12.2020 № 09АП-50411/2020 по делу № А40-98225/2020.
Суды признают нарушение прав потребителей в делах об оспаривании условий договоров в сфере жилищно-коммунального хозяйства.
Например, решением Арбитражного суда Свердловской области от 25.07.2022 по делу № А60-27757/2022, оставленным без изменения постановлением Арбитражного суда Уральского округа от 23.01.2023, признано законным постановление Роспотребнадзора о привлечении газоснабжающей организации к административной ответственности по части 2 статьи 14.8 КоАП РФ.
Между ресурсоснабжающей организацией и гражданином посредством подписания акта сдачи-приемки выполненных работ (оказанных услуг) заключен договор о техническом обслуживании и ремонте внутридомового и (или) внутриквартирного газового оборудования. Согласно условиям публичной оферты, опубликованной на сайте организации, договор вступил в силу со дня совершения заказчиком действий, направленных на выполнение предусмотренных им условий и считается заключенным на неопределенный срок.
Ущемляющим права потребителя административный орган посчитал включение в акт сдачи-приемки выполненных работ положения об автоматическом согласии заказчика на обработку его персональных данных, что предусматривало также выражение гражданином согласия на распространение о нем сведений конфиденциального характера путем подписания договора.
Оценив материалы дела, суды обоснованно пришли к выводу о нарушении акционерным обществом требований части 3 статьи 6, частей 1, 4 статьи 9 Федерального закона «О персональных данных».
- Постановление Арбитражного суда Уральского округа от 23 января 2023 г. № Ф09-10171/22 по делу № А60-27757/2022.
Второй кассационный суд общей юрисдикции 02.06.2020 рассмотрел дело о законности привлечения водоснабжающей организации к административной ответственности по части 6 статьи 13.11 КоАП РФ за невыполнение обязанности по соблюдению условий, обеспечивающих сохранность персональных данных.
Организация, предоставляя коммунальные услуги в области водоснабжения и водоотведения, заключила с управляющей домами компанией агентский договор на обработку лицевых счетов потребителей, начисление сумм, подлежащих уплате, формирование квитанций и их доставку до адресатов. Принципал при заключении договора в нарушение статьи 19 Федерального закона «О персональных данных» не обеспечил защиту персональных данных потребителей от неправомерного или случайного доступа к ним третьих лиц; не определил перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки. Агент доставлял платежные документы до потребителей в неконвертируемом виде, что делало их доступными для обозрения неограниченного числа лиц в процессе доставки и хранения в почтовых ящиках.
Принимая решение, суд отметил, что ответственность перед субъектами персональных данных за действия управляющей компании в данном случае должно нести общество, поручившее обработку информации этому юридическому лицу.
- Постановление Второго кассационного суда общей юрисдикции от 02.06.2020 по делу № 16-3231/2020.
Следует отметить, что факты несоблюдения установленного порядка обработки информации о жителях многоквартирных домов организациями, занятыми в сфере жилищно-коммунальных услуг, выявлялись и ранее.
Конституционный суд в определении от 28.01.2016 № 100-О указал, что управляющая компания, чтобы иметь возможность осуществлять деятельность по управлению домом, обязана получить у собственников и нанимателей жилых помещений согласие на обработку персональных данных, в том числе на их передачу третьим лицам, причем данное согласие может быть включено в качестве условия в договор управления многоквартирным домом.
При этом данная обязанность коммунальщиков распространяется и на передачу персональных данных жильцов, имеющих долги по оплате услуг, организациям, оказывающим юридические услуги, в том числе по взысканию задолженности в судебном порядке.
- Решение Московского городского суда от 14.08.2017 по делу № 7-9724/2017;
- Апелляционное определение Верховного суда Республики Хакасия от 25.08.2016 по делу № 33-2853/2016;
- Решение Московского городского суда от 14.08.2017 по делу № 7-9724/2017.
Судебная практика показывает, что при взыскании с потребителей задолженности за жилищно-коммунальные услуги могут возникать вопросы и в части взаимодействия поставщика ресурса и управляющих организаций, жилищных агентств, расчетных центров.
Верховный Суд РФ 02.08.2022 рассмотрел дело по иску ресурсоснабжающей организации к районному жилищному агентству в Санкт-Петербурге.
Определение Верховного Суда РФ от 02.08.2022 № 307-ЭС22-7447 по делу № А56-25078/2021.
Истец являлся оператором персональных данных абонентов — физических лиц, в жилые помещения которых поставлял коммунальные услуги по отоплению и горячему водоснабжению, и которые являлись стороной публичного договора. Ответчик — организация, подведомственная исполнительным органам государственной власти субъекта, которая участвует в предоставлении государственных и муниципальных услуг.
Истец, не располагая достаточными данными для взыскания задолженности с потребителей, обратился в суд с целью понуждения ответчика передать ему сведения о должниках, в том числе фамилию, имя, отчество и место жительства, дату и место рождения (если они известны), серию и номер документа, удостоверяющего личность каждого лица.
Ответчик, хоть и обладал всеми сведениями, персональные данные граждан ресурсоснабжающей организации не передал, полагая, что это повлечет нарушение статей 3 и 7 Федерального закона «О персональных данных» и статьи 9 Федерального закона «Об информации, информационных технологиях и о защите информации», так как потребители не давали свое согласие на передачу их данных третьим лицам.
Оценивая материалы дела, суд пришел к выводу, что предоставлять такую информацию поставщику должны управляющие организации, которые имеют право и обязаны осуществлять сбор, обновление и хранение информации о собственниках и нанимателях помещений в домах, а также осуществлять их обработку в целях управления, обеспечения благоприятных и безопасных условий проживания, надлежащего содержания общего имущества и предоставления коммунальных услуг. У жилищного агентства в данном случае такой обязанности не возникает. Аналогичная правовая позиция отражена и в определении Верховного Суда РФ от 04.06.2021 № 307-ЭС20-22560 по делу № А56-78312/2019.
Одна из управляющих компаний, посчитав возложение на нее обязанностей по предоставлению сведений о каждом потребителе, противоречащим Федеральному закону «О персональных данных», попыталась оспорить и признать недействующим законодательство в этой части. Апелляционная коллегия Верховного суда 15.02.2022 в удовлетворении требований истца отказала, отметив, что передача персональных данных потребителей соответствующей коммунальной услуги поставщику ресурса, не требует получения их согласия.
- Апелляционное определение Апелляционной коллегии Верховного Суда РФ от 15.02.2022 № АПЛ21-571.
Обзор подготовлен ведущим специалистом
по юридическому сопровождению М.Г. Тепляковой