Производитель продукции заключил с индивидуальным предпринимателем договор о поставке продукции. От ИП он получил копию его паспорта, а также копии учредительных документов. Также заключены договоры с ООО, с поручителями (физическими лицами). Когда при заключении договоров с контрагентами нужно получать согласие на обработку персональных данных?

1. В силу п. 5 ч. 1 ст. 6 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) если обработка персональных данных гражданина, в том числе и индивидуального предпринимателя, и поручителя, осуществляется в целях заключения и исполнения договора гражданско-правового характера, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, то его согласие на такую обработку не требуется. Данное исключение направлено на реализацию принципа надлежащего исполнения обязательств в соответствии с условиями обязательства и требованиями закона, как это закреплено в ст. 309 ГК РФ (смотрите определение Конституционного Суда РФ от 17 июля 2018 г. N 1810-О, апелляционное определение СК по административным делам Московского городского суда от 22 марта 2018 г. по делу N 33а-2067/2018).

Если же обработка персональных данных выходит за рамки обозначенных в договоре целей (например если оператор намерен использовать персональные данные гражданина в маркетинговых целях), то необходимо заручиться письменным согласием субъекта.

При этом истечение срока действия гражданско-правового договора само по себе не означает автоматического прекращения обработки персонифицированной информации о контрагенте. Условия прекращения обработки конфиденциальной информации или конкретные временные рамки ее обработки определяет оператор самостоятельно. В силу ч. 7 ст. 5 Закона N 152-ФЗ хранение персональных данных физических лиц должно осуществляться не дольше, чем этого требуют цели такой обработки, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является физическое лицо. Так, например, подп. 8 п. 1 ст. 23 НК РФ обязывает налогоплательщиков в течение четырех лет обеспечивать сохранность данных бухгалтерского и налогового учета и других документов, необходимых для исчисления и уплаты налогов, в том числе документов, подтверждающих получение доходов, осуществление расходов, а также уплату (удержание) налогов. В соответствии с чч. 1 и 2 ст. 29 Федерального закона от 6 декабря 2011 г. N 402-ФЗ "О бухгалтерском учете" первичные учетные документы, регистры бухгалтерского учета, бухгалтерская (финансовая) отчетность подлежат хранению в течение сроков, устанавливаемых в соответствии с правилами организации государственного архивного дела, но не менее пяти лет после отчетного года. Соответственно, организация в силу закона обязана обеспечить хранение этих документов в течение установленных сроков. Согласие субъектов персональных данных для этого не требуется.

2. Что касается обработки персональных данных работников организации-контрагента, ответственных за исполнение договора, отметим, что в силу ст. 88 ТК РФ что при передаче персональных данных работника на работодателя возлагается обязанность не сообщать персональные данные работника третьей стороне без его письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами. Аналогичное требование закреплено в ст. 7 Закона N 152-ФЗ.

Передача работодателем сведений о своих сотрудниках контрагенту в рамках реализации договора означает сообщение персональных данных работников третьей стороне, что требует, как следует из приведенных норм, письменного согласия работника. Поскольку работодатель обязан соблюдать предусмотренные ст. 88 ТК РФ правила передачи персональных данных, именно он и должен получить такое согласие. Полагаем, что необходимость соблюдения контрагентом данного условия не зависит от того, будет оно прописано в договоре между юридическими лицами или нет. При этом в ч. 3 ст. 9 Закона N 152-ФЗ прямо указано, что обязанность по предоставлению доказательств получения согласия субъекта персональных данных на их обработку возлагается законом на оператора (в данном случае на работодателя работников, чьи персональные данные переданы третьей стороне).

На организацию-контрагента же в такой ситуации распространяются требования ч. 3 ст. 18 Закона N 152-ФЗ, согласно которым если персональные данные получены не от субъекта персональных данных, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных информацию, указанную в приведенной норме. Исключения из этого правила установлены в ч. 4 ст. 18 Закона N 152-ФЗ. Так, оператор освобождается от указанной обязанности, если субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим оператором.

Исходя из буквального содержания приведенных норм, можно заключить, что оператор персональных данных, получая конфиденциальную информацию о гражданине от третьего лица, должен быть уверен, что этому гражданину - работнику другого оператора должно быть известно, для каких целей и в каких пределах осуществляется такая передача. Заметим, что законодатель не конкретизирует, каким образом надлежит подтверждать исполнение данной обязанности оператору, который передает персональные данные своих работников. Очевидно, это отнесено на усмотрение контрагентов. На наш взгляд, в таких ситуациях можно предусмотреть в типовых формах документов строку, в которой либо сам передающий оператор гарантирует соблюдение им требований ст. 18 Закона N 152-ФЗ, либо субъект персональных данных расписывается собственноручно, подтверждая, что ему известны цели обработки его персональных данных другим оператором. После получения таких сведений, как мы полагаем, организация может обрабатывать персональные данные работников организации-контрагента, но исключительно в целях исполнения договора со своим контрагентом.

3. Законодательство не устанавливает в виде общего правила требований к составу сведений о сторонах, подлежащих включению в договор.

Помимо имени (фамилии, собственно имени и отчества (при наличии) физического лица или наименования юридического лица, выступающего в качестве стороны договора (смотрите п. 1 ст. 19, п. 1 ст. 48 и п. 1 ст. 54 ГК РФ), принято указывать в договоре также иные индивидуализирующие соответствующее лицо признаки (паспортные данные физического лица, основной государственный регистрационный номер юридического лица (ОГРН), индивидуального предпринимателя (ОГРНИП) или др.). Сторона договора может быть индивидуализирована любым способом, позволяющим установить конкретное лицо, выступающее в этом качестве.

В договоре зачастую указываются также сведения о сторонах, необходимые в связи с исполнением договора (в частности, банковские реквизиты в том случае, если договором предусмотрен безналичный порядок расчетов; сведения, необходимые для выполнения одной из сторон в предусмотренных законом случаях обязанностей налогового агента или обязанности по уплате страховых взносов в отношении сумм, выплачиваемых на основании договора другой стороне (идентификационный номер налогоплательщика (ИНН), страховой номер индивидуального лицевого счета застрахованного лица (СНИЛС), дата рождения и др.).

Отсутствие в договоре подобных данных не влияет на юридическую силу договора. Эти сведения могут быть представлены стороной контрагенту в виде отдельного документа (например, составляемой в произвольной форме учетной карточки организации).

Однако копия паспорта гражданина или единоличного исполнительного органа контрагента не является документом, необходимым для заключения и исполнения договора, то есть не соответствуют требованиям, установленным п. 5 ч. 1 ст. 6 Закона N 152-ФЗ, и, следовательно, не может быть представлена без согласия субъекта на обработку его персональных данных. Надлежит учитывать, что согласно ч. 5 ст. 5 Закона N 152-ФЗ обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. Поскольку копия паспорта субъекта и содержащиеся в ней персональные данные не являются необходимыми для заключения и исполнения гражданско-правового договора, то они могут быть квалифицированы контролирующим органом как избыточные. 

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Амирова Лариса 

Ответ прошел контроль качества 

10 февраля 2023 г. 

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.