Коллектив авторов - Защита данных: научно-практический комментарий к судебной практике

Также в качестве подписанного простой электронной подписью признается согласие, подписанное с помощью кода подтверждения, высланного по электронной почте.

При этом важно соблюсти положения ст. 6 Федерального закона «Об электронной подписи», в частности, чтобы стороны (оператор и субъект) достигли соглашения о том, что направление сообщения с определенного электронного адреса будет считаться подписанием документа простой электронной подписью. Юридическая сила сообщений электронной почты подтверждается и судебной практикой. Так, в постановлении Президиума ВАС РФ от 12 ноября 2013 г. № 18002/12 указано, что «получение или отправка сообщения с использованием адреса электронной почты, известного как почта самого лица или служебная почта его компетентного сотрудника, свидетельствует о совершении этих действий самим лицом, пока им не доказано обратное».

Электронная форма дачи согласия на обработку персональных данных может быть также выражена путем проставления так называемой галочки под условиями обработки персональных данных, например в соответствующем поле на экране при оформлении заказа или регистрации на веб-сайте.

При определенных обстоятельствах такого рода согласие также может рассматриваться в качестве электронного документа, подписанного простой электронной подписью.

При регистрации на интернет-сайтах пользователь принимает условия пользования указанным интернет-сайтом (пользовательское соглашение) и тем самым берет на себя обязательства, установленные указанным соглашением, а также всеми дополнительными правилами (правила верификации), являющимися неотъемлемой частью пользовательского соглашения.

Пользователь конкретного ресурса в момент регистрации самостоятельно принимает решение о предоставлении собственных персональных данных и дает согласие на их обработку, отвечающее требованиям закона, – конкретное, информированное и сознательное. В случае если пользователь не согласен с какими-либо положениями пользовательского соглашения конкретного интернет-ресурса, он может отказаться от его использования.

В пользовательских соглашениях нередко указано, что пользователь понимает и согласен с тем, что правообладатель может использовать информацию, предоставленную пользователем, в том числе и персональные данные. Например, при регистрации в качестве участника конкурса субъект персональных данных принимает условия правил проведения конкурса, размещенных на сайте, и тем самым берет на себя обязательства, установленные указанными правилами. При этом факт участия в конкурсе означает конкретное, информированное и сознательное согласие участника на обработку организатором конкурса предоставленных участником персональных данных, в том числе фамилии, имени, отчества, номера телефона, а также почтового адреса.

Часть 2 ст. 9 Закона № 152-ФЗ предусматривает возможность субъекта отозвать ранее данное согласие на обработку персональных данных. Правовым последствием отзыва является утрата права оператора на обработку персональных данных этого субъекта, за исключением случаев, когда оператор имеет иные предусмотренные Законом № 152-ФЗ основания для обработки таких данных (п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11).

Следует отметить, что бремя доказывания наличия таких оснований возлагается на самого оператора. Так, например, А.И. Савельев указывает, что в случае заключения кредитного договора у банковской организации возникает сразу несколько оснований обработки персональных данных: 1) согласие субъекта персональных данных; 2) цели исполнения договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ); 3) выполнение возложенных законодательством на оператора обязанностей (например, сохранять идентифицирующие клиента документы в течение не менее пяти лет [6] См.: ч. 4 ст. 7 Федерального закона от 7 августа 2001 г. № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма». ); хранение первичных учетных документов, регистров бухгалтерского учета и бухгалтерской отчетности в течение сроков, устанавливаемых в соответствии с правилами организации государственного архивного дела, но не менее пяти лет (ч. 1 ст. 17 Федерального закона от 21 ноября 1996 г. № 129-ФЗ «О бухгалтерском учете», причем все хозяйственные операции, проводимые организацией, должны оформляться оправдательными документами) [7] См.: Савельев А.И. Указ. соч. С. 76. . Из указанного выше следует, что даже после надлежащего исполнения кредитного договора его сторонами у банковской организации возникают обязательства перед государством, связанные с персональными данными заемщика, и поэтому даже в случае отзыва согласия на обработку персональных данных обязанности по немедленному прекращению обработки и уничтожению персональных данных не возникает.

Обработка персональных данных без согласия субъекта персональных данных допускается в случае, если она осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях. Поэтому отзыв работником своего согласия на обработку персональных данных в таких случаях также не может являться основанием для прекращения обработки его персональных данных работодателем.

Согласно ч. 5 ст. 21 Закона № 152-ФЗ в случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено законодательством о персональных данных. Следует подчеркнуть, что нормами Закона № 152-ФЗ не предусмотрена обязанность оператора уведомлять субъекта персональных данных о факте прекращения обработки персональных данных в связи с удовлетворением отзыва согласия субъекта на обработку его персональных данных.

Нередко возникают ситуации, когда субъект персональных данных вынужден дать согласие на их обработку, поскольку оператор обусловил предоставление товара или оказание услуги дачей согласия на обработку персональных данных любыми способами, явно несоразмерными целям дачи согласия со стороны субъекта персональных данных. Такое согласие предусматривает обработку персональных данных с указанием целей, способов, сроков и иных параметров обработки, которые явно избыточны по отношению к тем целям, ради которых субъект персональных данных обратился к оператору. При этом в случае отказа от подписания такой формы согласия обычно оператор отказывается в свою очередь заключить договор. Такая ситуация фактически лишает субъекта персональных данных возможности выбора и противоречит действующему законодательству не только о защите персональных данных, но и о защите прав потребителей. Так, в соответствии с ч. 2 ст. 16 Закона РФ от 7 февраля 1992 г. № 2300-1 «О защите прав потребителей» (далее – Закон «О защите прав потребителей») запрещается обусловливать приобретение одних товаров (работ, услуг) обязательным приобретением других товаров (работ, услуг). Следует подчеркнуть, что это положение ст. 16 данного закона, посвященной недействительности условий договора, ущемляющих права потребителя. Очевидно, что в тех ситуациях, когда субъект персональных данных, выступая в качестве потребителя, вынужден дать под угрозой незаключения договора согласие с условиями обработки персональных данных, заранее сформулированными предпринимателем и содержащими явно избыточные положения и требования, можно говорить об ущемлении прав потребителя субъекта персональных данных и о нарушении не только законодательства о персональных данных, но и законодательства о защите прав потребителей. Данный вывод подтверждается и судебной практикой. Так, в постановлении Арбитражного суда Северо-Западного округа от 18 июля 2016 г. по делу № А44-9647/2015 [8] СПС «КонсультантПлюс». указано, что отсутствие у потребителя права выбора возможности согласия или отказа в согласии на обработку персональных данных ущемляет права потребителей. Поскольку потребитель является экономически более слабой стороной, предоставление ему полной и достоверной информации, необходимой для принятия самостоятельного решения, является важным условием, обеспечивающим соблюдение его прав.