Юристы компании «ИнфоТехноПроект» Анастасия ШИЛИНА и Наталья САМОЙЛОВА помогли ответить на самые актуальные вопросы. С их мнением по некоторым вопросам можно поспорить.
? Структура турбизнеса строится таким образом: заявитель приходит в туристическое агентство, заказывает турпродукт. В свою очередь, агентство приобретает турпродукт у туроператора. Туроператор передает персональные данные субъекта (иногда с помощью третьих лиц ) в консульство для оформления документов для выезда. Каждому ли из участников этой цепочки требуется согласие ? агентству, туроператору, может быть, третьим лицам, которые обрабатывают эти персональные данные?
!!!Федеральный закон ? 132-ФЗ «Об основах туристской деятельности в Российской Федерации» (статья 10) определяет, что реализация туристского продукта осуществляется на основании договора, заключаемого между туристом и туроператором, либо между туристом и турагентом. Законодательством Российской Федерации в сфере туризма также реализовано право туриста знать о третьих лицах, предоставляющих услуги, а также о туроператоре при заключении договора через агента (пункты 7, 13 «Правил оказания услуг по реализации туристского продукта», утвержденных постановлением Правительства РФ от 18 июля 2007 года).
Вся предусмотренная законодательством схема взаимодействия между туристом, турагентом, туроператором и третьими лицами направлена на реализацию туристского продукта, то есть на исполнение договора, поэтому согласия туриста на обработку его персональных данных в таком случае не требуется согласно части 2 пункта 2 статьи 6 Федерального закона от 27 июля 2006 г. ? 152-ФЗ «О персональных данных» (далее ФЗ-152).
Во всех иных случаях, когда персональные данные собираются посредником (турагентом, туроператором) для обработки их третьим лицом не в целях исполнения договора согласие брать необходимо. Вопрос, кто из участников схемы взаимодействия будет брать такое согласие должен решаться на уровне правоотношений между оператором персональных данных (тем, кто формулирует цели и содержание обработки) и его контрагентом, который по поручению оператора согласно части 4 статьи ФЗ-152 «О персональных данных» собирает такие данные. По нашему мнению, ФЗ-152, допуская возможность поручения обработки третьему лицу, дает возможность поручения третьему лицу и сбора согласий на обработку персональных данных, жестко устанавливая при этом ответственность оператора перед субъектом персональных данных при нарушении третьим лицом его прав.
? Среди наших клиентов есть иностранцы, которые к нам в офис не приходят, активно пользуются online-бронированием, формируют туры и заказы по Интернету, в том числе производят оплату, и мы их совершенно не видим. Необходимо ли в таких случаях брать согласие у клиента?
!!Статья 6 ФЗ-152 «О персональных данных» описывает случаи возможности обработки оператором персональных данных субъекта без его согласия, в том числе, в случае обработки персональных данных в целях исполнения договора, стороной которого является субъект персональных данных. Случай удаленного взаимодействия клиента и организации, оказывающей услуги, вполне может рассматриваться как случай оказания услуг по договору оферты, при условии соблюдения требований статей 435, 437 Гражданского кодекса Российской Федерации. В связи с тем, что такие договорные правоотношения являются вполне законными и обработка персональных данных клиентов осуществляется исключительно в целях исполнения договора, согласия клиента не требуется. Но хотелось бы отметить при этом, что отсутствие необходимости брать согласие с клиентов, которым оказываются услуги дистанционно, не исключает обязанности оператора персональных данных обеспечивать их конфиденциальность.
? Является ли передача персональных данных в зарубежные консульства, находящиеся на территории Российской Федерации, трансграничной?
!!!Согласно пункту 11 статьи 3 закона «О персональных данных», трансграничная передача персональных данных - это передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства.
Консульство представляет собой официальное представительство государства за ее границами, в данном случае, на территории Российской Федерации. Поскольку в процессе передачи персональных данных в затронутом в вопросе примере не происходит пересечения границы Российской Федерации, передача персональных данных в консульство иностранного государства не является трансграничной.
? Наша компания, как и многие туристические, передает персональные данные клиентов за границу. Согласно части 1 статьи 12 ФЗ-152, прежде чем осуществлять трансграничную передачу персональных данных, «оператор обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных». По мнению Роскомнадзора, адекватность оценивается присоединением иностранного государства к Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных. Как турфирмам передавать персональные данные клиентов в государства, не обеспечивающие должную защиту этой информации?
!!!В настоящее время отсутствуют законодательно закрепленные критерии оценки адекватности защиты прав субъектов персональных данных. Это является одной из проблем правоприменения ФЗ-152. Однако при поиске ответа на вопрос о возможности осуществления трансграничной передачи персональных данных необходимо обратить внимание на часть 3 статьи 12 данного закона, в которой определены случаи, когда операторы вправе осуществлять такую передачу также на территории государств, не обеспечивающих адекватной защиты прав субъектов персональных данных.
Если речь идет о туристических фирмах, то, на наш взгляд, стоит воспользоваться исключением, закрепленном в части 3 пункта 4: туристические фирмы могут осуществлять трансграничную передачу на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных в случае исполнения договора, стороной которого является субъект персональных данных. В данном случае в соответствии со статьей 10 Федерального закона от 24 ноября 1996 г. №132 «Об основах туристской деятельности в Российской Федерации» таким договором является договор о реализации туристского продукта, существенным условием которого являются, в том числе, сведения о туристе.
