Новые консультации в системе ГАРАНТ Консалтинг

По общему правилу, сформулированному в ч. 1 ст. 22 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ), до начала обработки персональных данных оператор обязан направить уведомление о намерении осуществлять такую обработку в уполномоченный орган по защите прав субъектов персональных данных - Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). Уведомление направляется один раз за время деятельности организации, не влечет за собой каких-либо затрат и дополнительных обязательств. Данное уведомление является основанием для внесения сведений об операторе в реестр операторов, осуществляющих обработку персональных данных.
Однако не все операторы должны уведомлять Роскомнадзор о начале обработки персональных данных. Часть 2 ст. 22 Закона N 152-ФЗ содержит перечень исключений, когда оператор может обрабатывать персональные данные без соответствующего уведомления. Причем каждое исключение является самостоятельным основанием, освобождающим оператора от направления уведомления в территориальный орган Роскомнадзора.
В частности, не требуется уведомление территориального органа Роскомнадзора в случае обработки персональных данных, полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных (п. 2 ч. 2 ст. 22 Закона N 152-ФЗ). При этом по смыслу приведенной нормы необходимо соблюдение следующих условий:
- персональные данные не распространяются и не предоставляются третьим лицам, то есть оператор не делает эту информацию доступной неопределенному или определенному кругу лиц;
- персональные данные предоставляются третьим лицам, но исключительно в целях заключения или исполнения заключенного договора и при наличии на это согласия субъекта. Если оператор передает персональные данные контрагента в иных целях, то направление уведомления обязательно;
- под данное исключение не подпадают договоры, в которых субъект персональных данных выступает не стороной, а выгодоприобретателем или поручителем.
Можно ли участника программы лояльности считать стороной договора, зависит от содержания данной программы, условий публичной оферты, характере возникших правоотношений. Так, например, Гагаринский районный суд г. Москвы счел, что бонусная программа является поощрительной акцией ОАО "Аэрофлот", участники которой не несут никаких обязательств друг перед другом. Она позволяет участникам накапливать мили за полеты, а затем использовать их для приобретения бесплатных билетов и повышения класса обслуживания, а потому данную акцию нельзя рассматривать как договор между сторонами (решение Гагаринского районного суда г. Москвы от 17 мая 2011 г.). Схожие выводы содержатся в апелляционном определении СК по гражданским делам Ростовского областного суда от 6 декабря 2018 г. по делу N 33-21604/2018, определении СК по гражданским делам Третьего кассационного суда общей юрисдикции от 29 июля 2020 г. по делу N 8Г-4917/2020[88-7420/2020]. Соответственно, при таком положении обработка персональных данных участников программы лояльности под исключение, содержащееся в п. 2 ч. 2 ст. 22 Закона N 152-ФЗ, не подпадает.
Если же исходить из того, что между оператором программы лояльности и участником возникают договорные отношения, то и в этом случае, по нашему мнению, обязанность уведомить Роскомнадзор возникает, т.к. в рассматриваемой ситуации частично сбор, запись, передачу персональных данных, помимо оператора программы лояльности, осуществляют также франчайзи, которые в контексте Закона N 152-ФЗ являются самостоятельными операторами персональных данных (п. 2 ст. 3 Закона N 152-ФЗ). Мы считаем, что обработка персональных данных в этом случае осуществляется не в целях заключения или исполнения заключенного договора, поскольку сам франчайзер никаких маркетинговых услуг покупателям в рамках программы лояльности не оказывает и оказывать не будет. На этом основании полагаем, что обработка персональных данных покупателей компаниями-франчайзи выходит за рамки целей, поименованных в п. 2 ч. 2 ст. 22 Закона N 152-ФЗ, что обусловливает необходимость направления соответствующего уведомления в территориальный орган Роскомнадзора.
Подчеркнем, что Закон N 152-ФЗ не регулирует взаимоотношения между двумя операторами по поводу передачи обработки персональных данных граждан. Исходя из принципа свободы договора (ст. 421 ГК РФ), договор между операторами может предусматривать любые условия, однако они не должны нарушать императивных норм Закона N 152-ФЗ, в том числе ст. 22 Закона N 152-ФЗ и др.
К сожалению, каких-либо официальных разъяснений по данному вопросу нам обнаружить не удалось.

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Амирова Лариса

Ответ прошел контроль качества

20 октября 2020 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.