Договір з фізособою: чи потрібний пункт про персональні дані?
Чи можна при укладенні цивільно-правового договору з фізичною особою замість окремо оформленої згоди на використання її персональних даних уключити відповідну умову про згоду до самого договору?
(м. Луганськ)
Закон України «Про захист персональних даних» від 01.06.2010 р. № 2297-VI дійсно вказує на необхідність отримання згоди фізичної особи, персональні дані якої оброблятимуться в процесі діяльності підприємства (ч. 6 ст. 6). На підставі цієї норми Державна служба із захисту персональних даних від початку наполягає на тому, що факт отримання будь-якої персональної інформації від будь-якої фізичної особи є достатньою підставою, щоб говорити про обов’язок суб’єкта господарювання отримати від такої особи її згоду на обробку персональних даних. Одночасно з цим вона зазначає і про обов’язок зареєструвати базу персональних даних «Контрагенти» або будь-яку іншу, аналогічну їй за змістом. Докладно про вимоги, що висуваються до суб’єктів господарювання у зв’язку з необхідністю захисту персональних даних, див. «Податки та бухгалтерський облік», 2012, № 48.
Річ у тім, що сама по собі відсутність згоди з боку фізособи на обробку її персональних даних не тягне застосування будь-яких заходів відповідальності до суб’єкта господарювання або його посадових осіб. Усі порушення, за які встановлено відповідальність (зокрема, ст. 18839 КпАП), так чи інакше пов’язані з наявністю бази персональних даних. А тому в тих суб’єктів господарювання, які уклали з фізособами договори, не одержавши від них згоди на обробку персональних даних, є низка аргументів на свою користь:
1. Закон про захист персональних даних вимагає отримання згоди на обробку персональних даних, під якою, у свою чергу, розуміється будь-яка дія або сукупність дій, учинених повністю або частково в інформаційній (автоматизованій) системі та/або в картотеках персональних даних, що пов’язані зі збиранням, реєстрацією, накопиченням, зберіганням, адаптацією, зміною, відновленням, використанням та поширенням, знеособленням, знищенням відомостей про фізичну особу.
Як бачимо, ідеться не про будь-які операції з відомостями про фізособу, а лише про ті з них, які здійснюються в інформаційних (автоматизованих) системах та/або картотеках. В одній зі своїх прес-конференцій представники Мін’юсту вказували на те, що при цьому відомості мають бути структуровані за певними критеріями, що стосуються фізичних осіб, так, щоб забезпечити легкий доступ до відповідних персональних даних (див. http://www.minjust.gov.ua/0/38307).
Інакше кажучи, зовсім не кожна сукупність документів, в яких зустрічаються ті чи інші відомості про фізичних осіб, може вважатися базою персональних даних, оскільки, щоб знайти в таких документах інформацію про фізособу, доведеться докласти певних зусиль та витратити час. За справедливим висновком Мін’юсту, легкий доступ до відомостей про фізособу — одна з ознак бази персональних даних.
У подальшому представники Мін’юсту, керуючись цим висновком, указали, що тільки згадки тих чи інших даних фізичної особи (навіть якщо вони дозволяють ідентифікувати таку особу) недостатньо, щоб вважалося, що на підприємстві є БПД. Це твердження працівниками Мін’юсту було проілюстроване на такому прикладі. Підприємство укладає цивільно-правові договори з фізособами-підприємцями та формує їх у папки у хронологічному порядку. Такий спосіб упорядкувати інформацію не свідчить про наявність бази персональних даних, оскільки в основі її систематизації та структуризації лежать не відомості про фізособу, а дата укладеного з нею договору. Якби підприємство, наприклад, формувало папки в алфавітному порядку за прізвищами фізосіб-підприємців, з якими укладено договори, були б підстави вказувати на наявність БПД.
2. Необхідно проводити розмежування між інформацією, що дозволяє ідентифікувати фізичну особу, та персональними даними. Так, Конституційний Суд України в рішенні від 20.01.2012 р. № 2-рп/2012 у справі за конституційним поданням Жашківської районної ради Черкаської області щодо офіційного тлумачення положень частин першої, другої статті 32, частин другої, третьої статті 34 Конституції України зазначив, що персональні дані про особу — це будь-які відомості або сукупність відомостей про фізичну особу, яку ідентифіковано або може бути конкретно ідентифіковано, а саме: національність, освіта, сімейний стан, релігійні переконання, стан здоров’я, матеріальне становище, адреса, дата і місце народження, місце проживання та перебування тощо, дані про особисті майнові та немайнові відносини цієї особи з іншими особами, зокрема членами сім’ї, а також відомості про події та явища, що відбувалися або відбуваються в побутовому, інтимному, товариському, професійному, діловому та інших сферах життя особи, за винятком даних щодо виконання повноважень особою, яка обіймає посаду, пов’язану зі здійсненням функцій держави чи органів місцевого самоврядування. Як бачимо, відомості, за допомогою яких можна ідентифікувати особу (саме вони, як правило, указуються в договорах), самі по собі персональними не є. Під захист Закону підпадає лише та інформація, яку можна встановити додатково до даних, що дозволяють ідентифікувати особу (аналіз крові особи, кардіограма, заробітна плата, службова характеристика).
Водночас, якщо суб’єкт господарювання ризикувати не бажає*, він може вибрати форму, в якій заручитися згодою фізособи на обробку її персональних даних. Це може бути як окремо складений документ, так і окремий пункт, уключений до договору (анкети). Крім того, одночасно з отриманням згоди слід заручитися підтвердженням з боку фізособи про те, що її ознайомлено із законодавчими гарантіями, що надаються їй у частині захисту персональних даних. Текст може бути примірно таким:
«Клієнт підтверджує, що:
— він ознайомлений Виконавцем з його правами як суб’єкта персональних даних, визначеними Законом України «Про захист персональних даних», метою збору таких даних та переліком осіб, яким можуть передаватися його персональні дані;
— Клієнт підтверджує згоду на здійснення обробки таких персональних даних щодо нього:
1) ідентифікаційні дані: прізвище, ім’я та по батькові; індивідуальний податковий номер;
2) особисті відомості: вік, стать, сімейний стан, склад сім’ї;
3) відомості щодо освіти, посади, місця роботи;
— Клієнт надає свою згоду на включення до бази персональних даних Виконавця «Контрагенти» своїх персональних даних (наданих відомостей) з метою забезпечення реалізації цивільних, господарських, адміністративно-правових, податкових відносин та відносин у сфері бухгалтерського обліку та аудиту».
Сторони дійшли згоди, що Виконавець має право обробляти персональні дані Клієнта виключно з метою виконання цього Договору, а також у випадках, передбачених чинним законодавством України.
Виконавець зобов’язується належним чином охороняти персональні дані Клієнта, забезпечувати їх конфіденційність та безпеку під час їх обробки.»
Зауважимо, що 02.10.2012 р. парламентом України було прийнято Закон України «Про внесення змін до Закону України «Про захист персональних даних», яким, зокрема, передбачалося, що в ситуації, коли відомості про фізичну особу отримано в результаті укладення з нею договору, отримувати згоду на обробку таких відомостей не потрібно. Крім того, цим же Законом планувалося увести норму, що скасовує обов’язковість реєстрації бази персональних даних «Працівники». Однак Президент ветував цей Закон.
Олена Уварова, юрист
* Ми не можемо виключати, наприклад, і того, що самі фізичні особи, начувшись про заходи щодо захисту персональних даних, наполягатимуть на тому, щоб у них запитали згоду на використання персональних даних. В іншому разі цілком можливо, що все закінчиться скаргою на суб’єкта господарювання до Держслужби із захисту персональних даних, що вже само по собі — підстава для перевірки.
