О сроке действия согласия клиента на обработку его персональных данных и о разрешении на использование его фотографии

Хотя закон «О персональных данных»¹ у нас существует уже давно, до сих пор многие организации не разобрались в особенностях его применения и регулярно получают предписания от Роскомнадзора по устранению недостатков в своей работе.

Так произошло и с ГОУП «Учебно-спортивный центр» Комитета по физической культуре и спорту Мурманской области, который собирал от своих клиентов согласия на обработку их персональных данных (ПД). Но сотрудники Роскомнадзора нашли в них недочеты:

• не указан срок, в течение которого действует согласие субъекта персональных данных (нарушение п. 8 ч. 4 ст. 9 Закона № 152-ФЗ);
• нет разрешения клиента на использование его биометрических данных, хотя на пропуска в бассейн наклеиваются фотографии (нарушение ч. 1 ст. 11 Закона № 152-ФЗ).

«Учебно-спортивному центру» было выдано предписание на устранение этих нарушений, но он посчитал это незаконным и обратился в арбитражный суд. Дело рассматривало несколько инстанций. И вот что получилось.

Сначала разберемся со сроком действия согласия клиента на обработку его ПД:

• оно вступало в силу со дня подписания и действовало в течение неопределенного срока,
• при этом могло быть отозвано клиентом письменным заявлением в произвольной форме.

Роскомнадзору не понравилось отсутствие конкретного срока действия согласия, это сочли нарушением п. 8 ч. 4 ст. 9 Закона № 152-ФЗ. Но Арбитражный суд Мурманской области (рассмотрел дело № А42-342/2017 в апреле 2017 года) посчитал иначе:

• данная норма Закона не предусматривает указания в согласии конкретного срока, в течение которого оно действует, и предельный срок действия такого согласия также не установлен законодателем;
• в рассматриваемом случае срок действия согласия определен началом его действия (со дня подписания) и заканчивается моментом письменного отзыва в произвольной форме – этого вполне достаточно.

Тринадцатый арбитражный апелляционный суд в июле 2017 года к этому добавил:

• указание точного срока действия согласия субъекта ПД на их обработку в привязке к конкретному временному периоду или календарной дате в данном случае невозможно, поскольку «Учебно-спортивный центр» не в состоянии заранее с достоверностью определить, до какой календарной даты конкретный человек пожелает посещать плавательный бассейн и будет это делать.

А вот относительно использования фотографий клиентов и получения на это их согласия суды были не столь единодушны.

Арбитражный суд Мурманской области расценил так:

• в соответствии с Положением о порядке посещения плавательного бассейна для различных категорий населения в рамках Государственной программы Мурманской области «Развитие физической культуры и спорта» на 2014–2020 годы, утвержденным председателем Комитета по физической культуре и спорту Мурманской области, граждане предоставляют «фотографию на пропуск», которая размещается на документе «Пропуск» для установления личности посещающих бассейн;
• фотографические изображения, содержащиеся на пропусках, являются биометрическими персональными данными, т.к. рядом указываются фамилия, имя, отчество клиента, позволяющие его идентифицировать;
• таким образом, для использования фотографического изображения на пропуске с указанием фамилии, имени и отчества требуется письменное согласие субъекта биометрических ПД;
• однако на копиях пропусков, приложенных к Справке Роскомнадзора о результатах осуществления государственного контроля и надзора, отсутствовали фотографии клиентов. На этом основании суд первой инстанции признал претензии Управления Роскомнадзора по Мурманской области необоснованными.

Потом Тринадцатый арбитражный апелляционный суд посчитал несостоятельным вывод суда первой инстанции о недоказанности факта обработки фотографий клиентов «Учебно-спортивным центром». Ведь тот не отрицал исполнение Правил посещения бассейна, а настаивал в суде на необязательности получения письменного согласия посетителей на использование их фотографий на бумажных пропусках. В результате вторая и последующие судебные инстанции² согласились с требованием Роскомнадзора к «Учебно-спортивному центру» о том, что в согласии каждого клиента должно быть отражено его разрешение на использование фотографии на пропуске в бассейн. Верховный Суд РФ определением от 05.03.2018 № 307-КГ18-101 по делу № А42-342/2017 отказал «Учебно-спортивному центру» в передаче кассационной жалобы для рассмотрения ВС РФ.

Какие выводы стоит сделать из этой истории? Во-первых, на использование фотографий клиентов, конечно же, надо брать их согласие. Во-вторых, в данном деле суды вставали на сторону организации, которая оставила «открытым» период обработки персональных данных клиентов. Изложенную при рассмотрении дела в суде аргументацию вы можете взять себе на вооружение, если захотите поступать аналогично, т.к. сбор и грамотная обработка информации о своих клиентах часто становится залогом процветания бизнеса.