Защищаю граждан, чьи персональные данные обрабатывают без согласия или передают третьим лицам. Проверяю подписанный бланк согласия, требую от оператора сведений, прекращения обработки и удаления данных, подаю жалобу в Роскомнадзор и заявляю в суде требование о компенсации.
Коротко
Передача персональных данных без согласия — не всегда нарушение: закон называет случаи, когда согласие не нужно (ч. 1 ст. 6 ФЗ «О персональных данных»). Сначала проверяют основание, потом выбирают путь: запрос оператору, жалоба в Роскомнадзор или суд (ст. 17). В этой теме шесть услуг: сведения об обработке, её прекращение, удаление из открытого доступа, незаконность обработки, убытки, моральный вред.
Выберите тему или конкретную юридическую задачу
6 услуг
Сначала устанавливаем оператора и основание обработки, потом выбираем, куда обращаться.
Путь зависит от того, есть ли у оператора основание и чего вы хотите — узнать, остановить или взыскать
Чтобы найти, кто держит данные, субъект имеет право узнать правовые основания и цели обработки и кому данные раскрыты (ч. 7 ст. 14 ФЗ «О персональных данных»). Заполнить запрос можно самому или через представителя: номер паспорта, дата выдачи, номер договора с оператором, подпись; в электронном виде — с электронной подписью (ч. 3 ст. 14). Ответ дают в течение десяти рабочих дней (ч. 1 ст. 20).
Согласие можно отозвать (ч. 2 ст. 9 ФЗ «О персональных данных»), требование прекратить обработку оператор исполняет в срок до десяти рабочих дней (ч. 5.1 ст. 21). Но при ином основании из ч. 1 ст. 6 — договор с вами, обязанность по закону, государственные услуги, включая регистрацию на едином портале (Госуслуги), судопроизводство — обработка может законно продолжаться.
Если данные распространяют с нарушением правил о согласии на распространение, требование прекратить их передачу направляют любому лицу, которое их обрабатывает, или сразу в суд (ч. 14 ст. 10.1 ФЗ «О персональных данных»). На основании вступившего в силу судебного акта сайт вносят в реестр нарушителей и ограничивают к нему доступ (ч. 5 и 6 ст. 15.5 ФЗ «Об информации, информационных технологиях и о защите информации»).
Если оператор осуществляет обработку с нарушением закона, его действия обжалуют в Роскомнадзор как уполномоченный орган (ч. 1 ст. 17 ФЗ «О персональных данных»); предмет контроля — соблюдение операторами обязательных требований в области персональных данных (ч. 2 ст. 23.1). За обработку без письменного согласия, когда оно обязательно, должностное лицо платит от ста до трёхсот тысяч рублей (ч. 2 ст. 13.11 КоАП РФ).
Моральный вред возмещается независимо от имущественного вреда и понесённых убытков (ч. 2 ст. 24 ФЗ «О персональных данных»). Иск о защите прав субъекта персональных данных можно подать и по своему месту жительства (ч. 6.1 ст. 29 ГПК РФ). Убытки подтверждают расчётом реального ущерба и упущенной выгоды (ст. 15 ГК РФ).
Пока дети учатся или занимаются в секции, согласие на обработку их данных вправе дать родители — законные представители своих детей (п. 1 ст. 64 СК РФ), а полномочия представителя проверяет оператор (ч. 1 ст. 9 ФЗ «О персональных данных»). Незаконные сбор и передача компьютерной информации, содержащей персональные данные несовершеннолетних, — отдельный, более строгий состав преступления (ч. 2 ст. 272.1 УК РФ).
Ошибки выбора адресата: оператор, Роскомнадзор или суд
Да. Понятие дано в законе: под персональными данными понимается любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ст. 3 ФЗ «О персональных данных»). Значит, фамилия, имя, отчество, год и место рождения, адрес и телефон — тоже персональные данные, закон называет их прямо (ч. 1 ст. 8). Их сбор, хранение, изменение, передача, в том числе с помощью компьютера, — это обработка (п. 3, 4 ст. 3).
Единого образца нет. Согласие должно быть конкретным, предметным, информированным, сознательным, однозначным и отдельным от других документов (ч. 1 ст. 9 ФЗ «О персональных данных»). Если закон требует письменную форму, в бланк включают данные субъекта и оператора, цель, перечень данных, действия с ними, срок, способ отзыва и подпись (ч. 4 ст. 9). Письменная форма обязательна для особых типов данных — специальных и биометрических (п. 1 ч. 2 ст. 10, ч. 1 ст. 11). Электронный документ с электронной подписью равнозначен бумаге.
Направьте оператору заявление об отзыве согласия (ч. 2 ст. 9 ФЗ «О персональных данных»): он прекращает обработку и уничтожает данные в срок до тридцати дней, если нет другого основания их хранить (ч. 5 ст. 21). Проверить оператора помогает реестр: в уведомлении Роскомнадзору указаны цель, описание мер по обеспечению безопасности и ответственный, и эти сведения, кроме средств обеспечения безопасности, общедоступны (ч. 3, 4 ст. 22).
Моральный вред возмещается независимо от убытков (ч. 2 ст. 24 ФЗ «О персональных данных»), размер определяет суд (ст. 1101 ГК РФ). Убытки — списания, замену документов — подтверждают расчётом (ст. 15 ГК РФ). Доводы берут из политики оператора в отношении обработки данных, которую при сборе через интернет публикуют на сайте (ч. 2 ст. 18.1), и из положения о порядке обработки, с которым работника знакомят под роспись (п. 8 ст. 86 ТК РФ).
Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» в действующей редакции называет иные основания: исполнение закона, судопроизводство, договор, где вы сторона, выгодоприобретатель или поручитель (п. 2–5 ч. 1 ст. 6). В остальных случаях действует конфиденциальность, то есть неразглашение: операторы и лица, которые имеют доступ к данным, не раскрывают их третьим лицам без согласия (ст. 7). Работодатель передаёт сведения сотрудника с письменного согласия (ст. 88 ТК РФ).
Подача жалобы в Роскомнадзор или сразу иск в суд — на выбор субъекта (ч. 1 ст. 17 ФЗ «О персональных данных»). Что писать в жалобе на слив и как её написать: указать, какие данные утекли, кто и когда их обрабатывал, приложить ответы оператора. Если утекли данные специальной категории — сведения о здоровье пациента из медицинской организации, составляющие врачебную тайну (ч. 1 ст. 10 этого закона, ч. 1 ст. 13 закона № 323-ФЗ), — или биометрические, штраф оператора выше обычного (ч. 16, 17 ст. 13.11 КоАП РФ).
Какие данные обрабатываются, на каком основании, кому раскрыты и сколько хранятся (ч. 7 ст. 14 ФЗ «О персональных данных»); ответ — в течение десяти рабочих дней (ч. 1 ст. 20). Решение с юридическими последствиями на основании исключительно автоматизированной обработки допустимо с письменного согласия или в случаях, установленных федеральным законом; против него можно заявить возражение, его рассматривают в течение тридцати дней (ст. 16).
Если форма просит «укажите персональные данные» и «выберите согласие», она собирает сведения, и без иного основания оператор должен получить согласие в соответствии с ч. 1 ст. 9 ФЗ «О персональных данных»: оно даётся свободно и отдельно от других условий. Продавец или исполнитель не вправе отказать потребителю в договоре из-за отказа предоставить персональные данные, кроме случаев, установленных законом (п. 4 ст. 16 Закона «О защите прав потребителей»).
Когда вопрос о данных переходит в другой спор
Не откладывайте защиту