Коллектив авторов - Защита данных: научно-практический комментарий к судебной практике

Более того, суд указывает, что указание точного срока действия согласия субъекта персональных данных на их обработку в привязке к конкретному временному периоду или календарной дате в данном случае невозможно, поскольку предприятие как оператор персональных данных не в состоянии заранее с достоверностью определить временной промежуток, до какой календарной даты конкретный пользователь услуг плавательного бассейна будет фактически посещать бассейн и в какую дату пользователь таких услуг может прекратить таковое посещение по собственной инициативе. Между тем действием самого субъекта персональных данных по представлению письменного отзыва ранее данного им согласия его права не нарушаются. В решении по делу № А42-342/2017 суд заключает, что в части получения согласия на обработку персональных данных в отношении срока такого согласия нарушений предприятием не допущено. В рамках указанного дела также был рассмотрен вопрос об обработке биометрических персональных данных (фотографии) без письменного согласия субъекта персональных данных. В данном случае пропуск с фотографией, характеризующей физиологические и биологические особенности человека (относящейся к биометрическим персональным данным), позволяет установить, принадлежит ли данному лицу предъявляемый пропуск, на основе которых можно установить его личность путем сравнения фото с лицом предъявителя пропуска и указываемых владельцем пропуска фамилии, имени и отчества. Суд указывает, что эти данные используются оператором для установления личности субъекта персональных данных в случае сомнения в том, что пропуск предъявляется его действительным владельцем, а потому он используется оператором для установления личности субъекта персональных данных, и данная обработка должна осуществляться в строгом соответствии со ст. 11 Закона № 152-ФЗ. Суд пришел к выводу о том, что фотографические изображения, содержащиеся на документе «пропуск», являются биометрическими персональными данными, поскольку характеризуют физиологические и биологические особенности человека. Обработка указанных данных должна осуществляться с соблюдением требований п. 1 ст. 11 Закона № 152-ФЗ, а именно при наличии согласия субъекта персональных данных. Суд апелляционной инстанции установил, что в соответствии с положением о порядке посещения плавательного бассейна для различных категорий населения в рамках государственной программы Мурманской области «Развитие физической культуры и спорта» на 2014–2020 годы, утвержденным председателем Комитета по физической культуре и спорту Мурманской области 26 апреля 2016 г., посетителями предоставлялись предприятию фотографии, которые размещались заявителем на документе «пропуск» для последующего использования в целях установления их личности. Указанные действия предприятия (сбор, оформление (размещение), использование фотографий) подпадают под понятие обработки персональных данных с позиции ч. 3 ст. 3 Закона № 152-ФЗ. Между тем согласия указанных лиц на обработку их биометрических персональных данных (фотографий) в нарушении требования ч. 1 ст. 11 Закона № 152-ФЗ предприятием не получено. При таком положении суд признал, что в данном случае использование фотографий для пропуска является обработкой биометрических персональных данных в смысле Закона № 152-ФЗ и поэтому предприятием были допущены нарушения [2] Там же. .

Такая форма дачи согласия предполагает, что оно вытекает из действий субъекта. Например, факт заполнения и предоставления резюме был признан судом в качестве согласия субъекта персональных данных, отвечающих требованиям закона [3] См.: Апелляционное определение Московского городского суда от 28 сентября 2016 г. по делу № 33-38280/2016. .

Таганский районный суд в решении от 1 апреля 2015 г. по делу № 2-1464/2015 признал правомерным привлечение к дисциплинарной ответственности сотрудника, в трудовые обязанности которого входила работа с персональными данными, за распространение анкет соискателей без их согласия путем направления с корпоративной почты на адреса третьих лиц, не являющихся работниками организации. Данный факт был обнаружен службой безопасности компании. Выяснилось, что резюме кандидатов были направлены в качестве примера без согласия соискателей и иных законных оснований, что стало нарушением не только локальных нормативных актов организации, но и Федерального закона «О персональных данных» [4] См.: решение Таганского районного суда от 1 апреля 2015 г. по делу № 2-1464/2015. .

В соответствии с Федеральным законом от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи» (далее – Федеральный закон «Об электронной подписи» простая электронная подпись – это электронная подпись, которая создается посредством использования кодов, паролей или иных средств и подтверждает факт формирования электронной подписи определенным лицом. Суды признают документ, в котором было выражено согласие в подобной форме, в качестве подписанного простой электронной подписью. Следует отметить, что для обеспечения документа, подписанного простой электронной подписью, юридической силой необходимо идентифицировать лицо, которое использует простую электронную подпись. По общему правилу идентификация лица происходит, когда субъект лично посещает организацию, выдающую ключи электронной подписи. Подписант предъявляет документ, удостоверяющий личность, и получает ключ электронной подписи.

При этом ключ простой электронной подписи может генерироваться и онлайн с использованием различных кодов подтверждения по электронной почте, SMS-кодов и др. Такая форма не предполагает очной идентификации лица с предоставлением документа, удостоверяющего личность. Однако механизм с генерированием ключей простых электронных подписей онлайн широко применяется в сфере онлайн-банкинга для физических лиц, где идентификация подписанта осуществляется в момент выдачи дебетовой или кредитной карты, к которой услуга онлайн-банкинга привязана. Также получение согласия на обработку персональных данных в форме электронного документа, подписанного простой электронной подписью, распространено в области государственных услуг для физических лиц и в сфере коммунального хозяйства.

Так, в определении Приморского краевого суда от 7 апреля 2015 г. по делу № 33-2865 указано: «Согласно оферте СМС-код используется в качестве электронной подписи клиента для формирования им каждого электронного документа. В случае идентичности СМС-кода, направленного банком, и СМС-кода, введенного в форме электронного документа для подтверждения передачи клиентом соответствующего распоряжении/заявления через интернет-банк, такая электронная подпись считается подлинной и предоставленной клиентом» [5] Определение Приморского краевого суда от 7 апреля 2015 г. по делу № 33-2865. .