Вопрос: Организация получает от своих контрагентов копии протоколов (решений) о назначении руководителя, где указаны персональные данные физических лиц (паспортные данные, например). Обязательно ли в этом случае получать согласие руководителя (директора) контрагента на обработку его персональных данных?
Ответ: Полагаем, если информация в протоколе (решении) с указанием персональных данных физических лиц предоставлена организации как контрагенту в рамках договора, то дополнительное согласие на обработку персональных данных получать не нужно. Согласие на обработку персональных данных должна брать организация, в которой такой руководитель исполняет свои обязанности. Получив согласие от директора на обработку персональных данных и передачу их третьим лицам, организация вправе представить сведения контрагенту.
Тем не менее такое согласие может обезопасить организацию от возможных претензий со стороны субъекта персональных данных в будущем. Для минимизации рисков рекомендуем запросить от своего контрагента копию согласия на обработку персональных данных его руководителя и передачу их третьим лицам. При этом информацию о персональных данных не следует распространять среди третьих лиц без согласия руководителя контрагента.
Обоснование: Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее — Закон N 152-ФЗ)).
Оператором персональных данных может являться юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку таких данных, а также определяющее цели их обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с данными (п. 2 ст. 3 Закона N 152-ФЗ).
То есть операторами персональных данных являются все без исключения физические лица, организации и предприниматели, которые получают, хранят и обрабатывают информацию о других людях.
Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона N 152-ФЗ).
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено Законом N 152-ФЗ (ст. 7 Закона N 152-ФЗ).
Когда юридические лица заключают между собой договор, в рамках проверки контрагента одно юридическое лицо может запросить у другого юридического лица различные документы, в частности протокол, подтверждающий полномочия исполнительного органа (директора), в котором указаны паспортные данные. Сделать это рекомендуют и контролирующие органы (п. 12 Приложения N 2 к Приказу ФНС России от 30.05.2007 N ММ-3-06/333@, Письмо ФНС России от 24.07.2015 N ЕД-4-2/13005@). Полагаем, что в данном случае получать от директора проверяемого юридического лица отдельное согласие на обработку персональных данных не нужно.
Передача персональных данных третьей стороне по общему правилу допускается только с письменного согласия субъекта персональных данных на обработку его персональных данных (ст. 6 Закона N 152-ФЗ).
В связи с чем полагаем, что согласие на обработку персональных данных должна брать организация, в которой руководитель исполняет свои обязанности. Последующее направление персональных данных в адрес контрагента будет одним из видов обработки персональных данных.
Однако, поскольку обработка персональных данных может осуществляться только с согласия субъекта персональных данных, в случае необходимости последующей передачи персональных данных третьим лицам рекомендуем запросить такое согласие, чтобы обезопасить себя от возможных претензий со стороны субъекта персональных данных в будущем.
