Роскомнадзор выявил нарушения в части соответствия деятельности по обработке персональных данных требованиям законодательства по результатам плановой выездной проверки одного из бюро кредитных историй. 

Эти результаты бюро попыталось оспорить в Арбитражном суде города Москвы (решение Арбитражного суда города Москвы от 5 мая 2017 года по делу № А40-5250/17-144-51).

Суть выявленных Роскомнадзором нарушений заключалась в следующем:

• финансовая организация не представила уведомление в уполномоченный орган об использовании сервисов Double Data Social Link и Double Data Social Attributes, которые передавали финансовой организации данные физических лиц или потенциальных клиентов из открытых источников информации (ч. 1 ст. 22 Федерального закона от 27 июля 2006 г. № 152-ФЗ "О персональных данных", далее – Закона № 152-ФЗ);
• отсутствовало согласие на обработку персональных данных, содержащихся в открытых источниках – в социальных сетях и на интернет-порталах (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ).

Арбитражный суд города Москвы определил, что обработка персональных данных допускается в случаях, когда персональные данные доступны неопределенному кругу лиц, имеется согласие владельца данных и сведения предоставлены непосредственно самим субъектом (п. 1, п. 10 ч. 1 ст. 6 Закона № 152-ФЗ).

Суд подчеркнул, что без письменного согласия субъекта персональных данных нельзя утверждать о предоставлении согласия именно указанным лицом. По его мнению, если владелец сделал персональные данные общедоступными для всех, то они могут содержаться только в общедоступных источниках (ст. 8 Закона № 152-ФЗ). По мнению суда, соцсети не являются такими источниками получения персональных данных, соответственно информация о лице, размещенная в них, не может быть отнесена к общедоступной.

В решении арбитража указано, что в общедоступные источники персональных данных могут включаться фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные их владельца с его письменного согласия и сообщаемые им самим. Суд пришел к выводу, что владельцы персональных данных не сделали сведения общедоступными, которые обрабатывались бюро кредитных историй в социальных сетях (ч. 3 ст. 22, п. 1 ч. 1 ст. 6 Закона № 152-ФЗ). В связи с чем суд признал предписание Роскомнадзора законным и отказал финансовому учреждению в удовлетворении исковых требований.

Суд апелляционной инстанции согласился с выводами нижестоящего суда, подчеркнув, что размещение персональных данных в социальных сетях не делает их автоматически общедоступными, следовательно, требуется согласие субъекта на обработку информации (постановление Девятого арбитражного апелляционного суда от 27 июля 2017 года по делу № А40-5250/17). Суд кассационной инстанции и Верховный Суд Российской Федерации встали на сторону Роскомнадзора и не нашли оснований для отмены обжалуемых судебных актов (постановление Арбитражного суда Московского округа от 9 ноября 2017 года по делу № А40-5250/2017, Определение ВС РФ от 29 января 2018 года по делу № 305-КГ17-21291).

Таким образом, суды решили, что персональные данные являются общедоступными при выполнении двух условий: они предоставлены владельцем и доступны неопределенному кругу лиц. По их мнению, из-за отсутствия согласия владельца персональных данных на размещение сведений о нем в соцсетях, нельзя их [соцсети] отнести к общедоступным источникам. При этом оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных, в случае его отзыва, только при наличии соответствующих оснований, например, для противодействия терроризму или коррупции (ч. 2 ст. 9 Закона № 152-ФЗ).

Ведущий юрист Европейской Юридической Службы Елена Держиева отметила, что по условиям пользовательского соглашения соцсети "Вконтакте" владелец персональных данных дает согласие только на доступ к информации, которую он размещает на своей странице, но не на обработку третьими лицами.

Источник: garant.ru