В соответствии со ст. 6 закона «О персональных данных» оператор вправе поручить обработку персональных данных сотрудника или клиента третьему лицу. Это действие требует обязательного оформления согласия субъекта ПД.

Случаи передачи персональных данных третьим лицам

В пункте 3 статьи 6 закона «О персональных данных» говорится о том, что оператор в ряде случаев может поручить обработку персональных данных, доверенных ему правообладателем, третьим лицам. 

При такой передаче соблюдаются следующие условия:

• если она предусмотрена законом, между сторонами не заключаются соглашение или договор об условиях обработки;
• если передача происходит по соглашению, стороны заключают договор, раскрывающий условия соглашения;
• согласие на передачу сведений у правообладателя получает только лицо, передающее данные;
• лицо, получающее информацию для обработки, не обязано получать отдельное согласие у субъекта персональных данных;
• в рамках реализации договора оформляется поручение оператора, в котором содержатся сведения о перечне действий, совершаемых доверенным лицом, о целях обработки, а также требования обеспечивать конфиденциальность и защиту ПД;
• в соглашении (договоре) указываются требования к защите персональных данных, определяемых их категорией (общедоступные, биометрические, иные) и требованиями ФСТЭК РФ.

Ответственность за то, как третье лицо выполняет обязательства по защите персональных данных, всегда несет передавший их оператор. Если осуществляется трансграничная передача информации, на это потребуется оформить отдельное согласие. 

На практике персональные данные передаются на обработку третьим лицам в следующих случаях:

• анализ клиентской базы. В этой ситуации требуется их обезличивание;
• предоставление сведений банку при реализации зарплатной программы для открытия карточных счетов;
• передача статистических данных государственным организациям – Росстату, Пенсионному фонду, ФНС;
• передача информации из ЖКХ организациям биллинговых услуг или управляющим организациям;
• продажа кредитной задолженности банками;
• взыскание задолженности операторами связи, организациями ЖКХ.

В ряде случаев такая передача оказывается незаконной, и оператор привлекается к гражданской или административной ответственности, выплачивая штраф или компенсируя убытки правообладателю. Но чаще суды встают на сторону более сильного с состязательной точки зрения субъекта, например, ПАО «Ростелеком», и отказывают в возмещении морального вреда даже при явном нарушении закона оператором персональных данных (дело 2-7574/19 Набережночелнинского суда).

Как оформить согласие на передачу ПД третьим лицам

О необходимости оформлять согласие на передачу персональных данных для обработки третьим лицам говорит не только закон «О персональных данных», но и Трудовой кодекс, который в ст. 88 прямо требует у работодателя оформить письменное согласие в любых случаях предоставления данных третьим лицам, за исключением ситуаций, когда ПД необходимо передать для предотвращения угрозы жизни или здоровью сотрудника. Согласие обязательно потребуется, если данные передаются с целью реализации коммерческих интересов работодателя. Оно не нужно, если сведения передаются в социальные фонды, налоговую, службу государственной статистики, службу занятости или федеральную инспекцию по надзору в сфере трудового законодательства.

Закон прямо не требует от оператора указания в согласии всех третьих лиц, которым он предполагает передать сведения на обработку. Но если у гражданина есть сомнения в правомерности такой передачи и соответствии цели обработки передаваемых ПД закону, он всегда вправе отозвать свое согласие, вынудив оператора обратиться к агенту с требованием уничтожить данные. Отказ от выполнения этой обязанности можно обжаловать Роскомнадзоре, и тогда оператор будет оштрафован в рамках ст. 13.11 КоАП РФ. 

Обязательное оформление согласия на передачу персональных данных для обработки третьим лицам становится задачей оператора, его отсутствие приведет к негативным последствиям. Права субъектов персональных данных должны соблюдаться всеми операторами.

03.03.2020