Поступило заявление об отзыве согласия на обработку персональных данных. Что нужно с ним сделать? Договор на водоснабжение и водоотведение с собственником заключен в 2019 году (договор действует на текущий момент), данные занесены только в программу 1С. Необходимо исключить все данные?

Рассмотрев вопрос, мы пришли к следующему выводу:
В случае отзыва гражданином согласия на обработку персональных данных, ресурсоснабжающая организация вправе продолжить обработку персональных данных потребителя услуг по водоотведению и водоснабжению по гражданско-правовому договору без его согласия на основании п. 5 ч. 1 ст. 6 Закона N 152-ФЗ в объеме, необходимом для исполнения договора водоснабжения и водоотведения.

Обоснование вывода:
1. По общему правилу, сформулированному в ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ), обработка персональных данных возможна только с согласия субъектов персональных данных, которое должно быть конкретным, предметным, информированным, сознательным и однозначным, то есть содержать информацию, позволяющую однозначно сделать вывод о целях, способах обработки с указанием действий, совершаемых с персональными данными, объеме обрабатываемых персональных данных (ч. 1 ст. 9 Закона N 152-ФЗ).
Оператор может обрабатывать персональные данные без согласия физического лица при наличии оснований, указанных в пп. 2-11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона N 152-ФЗ.
В частности, такая обработка допускается, если она необходима для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (п. 5 ч. 1 ст. 6 Закона N 152-ФЗ).
Поэтому в случае обработки персональных субъектов на условиях, в объеме и порядке, предусмотренном договором, получение отдельного письменного согласия субъекта на обработку персональных данных, а равно включение согласия на обработку персональных данных в текст договора, не требуется (письмо Роскомнадзора от 23.09.2022 N 08-85970, смотрите, например, постановление АС Московского округа от 30.05.2022 N Ф05-9445/22, определение Мосгорсуда от 02.05.2017 N 33-16887/17).
Это справедливо и для случаев, в которых между сторонами сложились договорные отношения в отсутствие письменного договора (смотрите, например, определение Седьмого КСОЮ от 07.10.2020 N 8Г-14325/2020).
Однако надлежит учитывать, что обработке подлежат только те персональные данные, которые отвечают целям их обработки. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки (ч.ч. 4, 5 ст. 5 Закона N 152-ФЗ).
Как следует из вопроса, с собственником заключен гражданско-правовой договор на водоснабжение и водоотведение и продолжает действовать на текущий момент, то есть персональные данные необходимы организации, в том числе для надлежащего выполнения своих обязательств по гражданско-правовому договору.
На этом основании полагаем, что организация может письменно уведомить собственника, который отозвал свое согласие на обработку его персональных данных, о невозможности совершения подобных действий до достижения конечной цели такой обработки.
Следовательно, в случае, если собственник отзывает свое согласие на обработку персональных данных, организация вправе продолжить обрабатывать персональные данные собственника (потребителя услуг по водоотведению и водоснабжению по гражданско-правовому договору) без его согласия при наличии основания, поименованного в п. 5 ч. 1 ст. 6 Закона N 152-ФЗ, до достижения конечной цели такой обработки.
2. Частью 2 ст. 9 Закона N 152-ФЗ закреплено право субъекта в любое время отозвать свое согласие на обработку его персональных данных. Способ отзыва согласия, в том числе форма и сроки отзыва, должны предусматриваться согласием (п. 8 ч. 4 ст. 9 Закона N 152-ФЗ). В этом случае оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом N 152-ФЗ или другими федеральными законами (ч. 5 ст. 21 Закона N 152-ФЗ).
При отсутствии возможности уничтожения персональных данных в течение установленного срока оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами (ч. 6 ст. 21 Закона N 152-ФЗ).
В п. 8 ст. 3 Закона N 152-ФЗ приведено определение уничтожения персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Отметим, что Закон N 152-ФЗ не регламентирует процедуру уничтожения информации, содержащей персональные данные. Оператор определяет ее самостоятельно. Однако на оператора возлагается обязанность документально подтвердить факт уничтожения персональных данных в случаях, предусмотренных ч. 1, 3, 4-5.1 ст. 21 Закона N 152-ФЗ (ч. 7 ст. 21 Закона N 152-ФЗ).
Требования к подтверждению уничтожения персональных данных утверждены приказом Роскомнадзора от 28.10.2022 N 179, которые вступили в силу 1 марта 2023 г. (подробный порядок уничтожения и подтверждение уничтожения персональных дополнительно смотрите в Энциклопедии решений. Подтверждение уничтожения персональных данных (май 2023)).
Закон N 152-ФЗ предусматривает определенные последствия уничтожения - предписывает оператору уведомить субъекта персональных данных или его представителя об уничтожении персональных данных, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган. Но данная обязанность напрямую установлена законом только на случай выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора (ч. 3 ст. 21 Закона N 152-ФЗ). Мы считаем, что данная норма по своему характеру может быть применена в порядке аналогии закона и к случаю отзыва гражданином согласия на обработку его персональных данных.
При этом отметим, что (применительно к вопросу) уничтожению подлежат только персональные данные, которые не соответствуют заявленным целям их обработки.

Рекомендуем также ознакомиться с материалами:

• Энциклопедия решений. Соблюдение законодательства о персональных данных при заключении и исполнении гражданско-правового договора (май 2023);
• Энциклопедия решений. Условия обработки персональных данных (март 2023);
• Энциклопедия решений. Подтверждение уничтожения персональных данных (май 2023).

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Шайхутдинов Газинур

Ответ прошел контроль качества

11 мая 2023 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.