Здравствуйте, хочу обсудить в данной теме ФЗ от 27 июля 2006г №152-ФЗ «О персональных данных», в частности его применение к отношениям, возникающих при участии людей в заработках предлагаемых так называемыми сайтами платных опросов, платных кликов, автосерфинге и прочей ерунде. Сам имел глупость несколько лет назад участвовать в подобных авантюрах, теперь хотелось бы «подчистить» базы данных этих самых сайтов, удалить оттуда свои персональные данные: ФИО, и прочее. В связи с этим столкнулся по большей части с юридическими, а также техническими вопросами. Надеюсь на вашу помощь в интерпретации некоторых положений данного закона.

1) Итак, ч.2 ст.8 ФЗ «Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.»

В данном пункте меня вот что интересует, по правилам многих их этих сайтов, если человек зарегистрировавший свой аккаунт, не использует его в период от 3-6 месяцев, то он автоматически удаляется. Но мне почему-то кажется, что информация об «абоненте» по прежнему хранится на серверах этих сайтов и продолжает обрабатываться.

Вопрос: То есть я могу опираюсь на эту статью попросить оператора удалить свои персональные данные, а вот чем он может подтвердить факт их удаления, кроме как сухой отпиской, что мол все удалено?

2) Согласие на обработку персональных данных на подобных сайтах оформляется путем согласия с Условием или Соглашением путем проставления галочки в специальном окошке.

Согласно ст.9 ФЗ «Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором».

ВОПРОС: Является ли данная «галочка», той формой согласия о которой говорится в ст.9 ФЗ?

3) Согласно ч.2 ст.9 ФЗ «Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 – 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.

ВОПРОС: Допустим я решил отозвать свое ранее данное «согласие» на обработку персональных данных, мне кажется если оператор не захочет этого сделать, то он может сослаться на п.5 ч.1 ст.6 ФЗ «Условия обработки персональных данных»

«п.5 обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем»; то есть с точки зрения оператора я являюсь стороной по договору (выгодоприобретателем), поэтому откажет.

4) Согласно ч.3 ст.9 ФЗ «Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 – 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.»

Вопрос: Каким образом оператор сможет предоставить доказательство получения моего согласия на участие в платных опросах? Ведь это согласие было оформлено путем «проставления» галочки в окошке?

5) Статья 16 ФЗ « Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных»

ч.1 «Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных частью 2 настоящей статьи».

ВОПРОС: Порождает ли участие в системе платных опросов, юридические последствия в отношении субъекта персональных данных?

6) Ст.18 ФЗ «Обязанности оператора при сборе персональных данных».

1. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 настоящего Федерального закона.

ч.7 ст.14: «Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

1. подтверждение факта обработки персональных данных оператором;

2. правовые основания и цели обработки персональных данных;

3. цели и применяемые оператором способы обработки персональных данных;

4. наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;

5. обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

6. сроки обработки персональных данных, в том числе сроки их хранения;

7. порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;

8. информацию об осуществленной или о предполагаемой трансграничной передаче данных;

9. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;

10. иные сведения, предусмотренные настоящим Федеральным законом или другими федеральными законами.

Опять таки, оператор на основании ч.4 ст.18 ФЗ освобождается от обязанности предоставить субъекту персональных данных сведения, в случаях, если:

«п.2 персональные данные получены оператором на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных», то есть тот самый договор (соглашение) который якобы я заключил с оператором, путем проставления галочки.

ВОПРОС: Законным ли будет возможный отказ оператора предоставить мне информацию предусмотренную частью 7 статьи 14, используя вышеуказанное основание?

7) Статья 18.1. Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом,

ч.2: «Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети».

Вопрос: Перечисленных в данной статье документов, которые оператор должен размещать в сети я не видел, скорее всего если они и есть, то не на всех сайтах. Получается те у кого их нет, не могут продолжать свою работу, так как это является нарушением законодательства?

8) Статья 20. Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта

ч.1: «Оператор обязан сообщить в порядке, предусмотренном статьей 14 настоящего Федерального закона, субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя».

Вопрос: В данной части статьи говорится про условия при котором оператор предоставит данные о наличии персональных данных субъекту: это обращение и(или) запрос поступившие от субъекта которому принадлежат эти самые данные (или его представителя). В чем разница между обращением и запросом?

В ч.2 ст.14 перечислены требования, которыми доложен обладать запрос, чтобы он был в дальнейшем рассмотрен оператором ( «Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации»).

Но нет и слова про требования которые законодательством предъявляются к обращению, отсюда я так полагаю следует вывод, что «обращение» может отправляться оператору в произвольной форме и не должно содержать реквизиты паспорта и прочего.

9) Ст.21 «Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных».

ч.5 «В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами».

Вопросы по данному пункту:

1. Отзыв согласия (того самого, о котором я писал в п.2 своего письма. Там перечислены требования к такому согласию предъявляемые ст.9 ФЗ) является тем действием которое необходимо сделать субъекту персональных данных, чтобы прекратить дальнейшую обработку его данных оператором. Каким образом производится отзыв? Путем направления запроса(обращения)?

2. Даже если оператор согласится с моим требованием уничтожить мои пер.данные, как я узнаю в действительности что это так и информация не осталось на его серверах?

Прошу прокомментировать, что вы думаете по каждому из пунктов и помочь мне ответить на вопрос: как же все-таки удалить свои персональные данные с серверов оператора. Спасибо.