Новый пункт о персональных данных участников в условиях лотерей и стимулирующих лотерей станет обязательным

7 мая 2013 г. Президентом России подписан принятый Госдумой 26.04.13 г. и одобренный Советом Федерации 27.04.13 г. Федеральный закон № 99-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона "О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных" и Федерального закона "О персональных данных"».

В порядке ст.ст. 3 и 6 Федерального закона от 14.06.1994 г. № 5-ФЗ «О порядке опубликования и вступления в силу федеральных конституционных законов, федеральных законов, актов палат Федерального Собрания» новый закон подлежит официальному опубликованию в течение 7-ми дней после дня его подписания главой государства и вступит в силу по истечении 10-ти дней после дня официального опубликования, так как в самом законе иной порядок начала его действия не предусмотрен.

Статья 11 нового федерального нормативного акта вносит изменения в Закон о лотереях, касающиеся персональных данных участников лотерей и стимулирующих лотерей, положения о которых теперь должны будут отражаться в структуре условий в пункте 17 для платных лотерей и пункте 9 для стимулирующих лотерей соответственно:

«Статья 11

Внести в Федеральный закон от 11 ноября 2003 года N 138-ФЗ "О лотереях" (Собрание законодательства Российской Федерации, 2003, N 46, ст. 4434; 2010, N 31, ст. 4183) следующие изменения:

1) в статье 8:
а) часть 2 дополнить пунктом 17 следующего содержания:
"17) согласие участника лотереи на обработку его персональных данных, перечень персональных данных участника лотереи, обработка которых будет осуществляться организатором лотереи, цели обработки персональных данных, перечень действий с такими персональными данными, лица, которым могут быть раскрыты или переданы персональные данные, сведения о трансграничной передаче персональных данных, если такая трансграничная передача будет осуществляться, срок, в течение которого будет осуществляться обработка персональных данных участника лотереи.";
б) в абзаце втором части 3 слова "пунктами 1, 3, 4, 7, 12, 13 и 14 части 2 настоящей статьи" заменить словами "пунктами 1, 3, 4, 7, 12, 13, 14 и 17 части 2 настоящей статьи";
2) часть 2 статьи 9 дополнить пунктом 9 следующего содержания:
"9) согласие участника стимулирующей лотереи на обработку его персональных данных, перечень персональных данных участника стимулирующей лотереи, обработка которых будет осуществляться организатором стимулирующей лотереи, цели обработки персональных данных, перечень действий с такими персональными данными, лица, которым могут быть раскрыты или переданы персональные данные, сведения о трансграничной передаче персональных данных, если такая трансграничная передача будет осуществляться, срок, в течение которого будет осуществляться обработка персональных данных участника стимулирующей лотереи.";
3) пункт 6 части 1 статьи 12 дополнить словами ", о согласии участника лотереи на обработку его персональных данных".».

 
Напомним долгую предысторию рассматриваемого документа, когда он, будучи еще Проектом № 217355-4, был внесен в Госдуму в сентябре 2005 г. и уже в ноябре того же года был ею одобрен в первом чтении. Изначально предполагалось лишь поменять в п. 4 ст. 20 Закона о лотереях слово «разрешение» на его синоним «согласие» в отношении запрета разглашения организатором персональных данных участника без его одобрения. Законодателям понадобилось почти 8 лет, чтобы наконец-то опять вернуться к Проекту, а эволюция нормотворчества, как видим, внесла существенные коррективы в его текст.

Надо сказать, что столь длительное время не было потрачено совсем впустую. В целях имплементации во внутреннее национальное законодательство положений Конвенции Совета Европы № 108 «О защите частных лиц в отношении автоматизированной обработки данных личного характера» (Страсбург, 28.01.1998 г.), которую Россия подписала еще в ноябре 2001 г., одновременно с Проектом № 217355-4 в Госдуму были внесены Законопроекты №№ 217346-4, 217352-4 и 217354-4.

Результатом их рассмотрений явилось принятие следующих ныне уже действующих федеральных законов соответственно:

- № 152-ФЗ от 27.07.2006 г. «О персональных данных»;
- № 149-ФЗ от 27.07.2006 г. «Об информации, информационных технологиях и о защите информации»;
- № 160-ФЗ от 19.12.2005 г. «О ратификации Конвенции Совета Европы о защите частных лиц в отношении автоматизированной обработки данных личного характера».

Следует оговориться, что несмотря на подписание и ратификацию Конвенции по состоянию на 25.04.2013 г. ее положения еще не вступили в силу для России (см. Статус Конвенции на сайта Совета Европы https://www.coe.int). Однако, полагаем, что решение этого вопроса - дело недалекого будущего, а российские суды и без последнего этапа легитимации этого многостороннего международного договора уже довольно активно используют его в качестве источника права при рассмотрении споров в отношении автоматизированной обработки ПДн на территории РФ.

При всех благих намерениях по трансформации общих принципов Конвенции о защите ПДн в национальное законодательство нововведения именно в Закон о лотереях представляются не только бессмысленными и очевидно декларативно-популистскими, так как в них не было никакой юридической необходимости, но и вредными с практической точки зрения по нижеприведенным мотивам, при рассмотрении которых учтено, что Конвенция не была составлена таким образом, чтобы иметь какие-либо конкретные нормы прямого действия, вынуждающие их дословно цитировать в российских законах (п. 38 Пояснительного Доклада к Конвенции).

Лотереи и стимулирующие лотереи являются играми, проводимыми на основании договора между их организаторами и участниками (п. 1 ст. 2 Закона о лотереях). В порядке п. 5 ч. 1 ст. 6 Закона о ПДн допускается обработка персональных данных субъекта, если обработка ПДн необходима для исполнения договора, стороной которого является субъект ПДн. При этом для оператора ПДн императивно установлены принципы их обработки: ограничиваться достижением конкретных и заранее определенных целей; обрабатывать только те ПДн, содержание и объем которых отвечают целям обработки (ч.ч. 2, 4 и 5 Закона о ПДн).

Таким образом, никакого дополнительного согласия от участников для обработки их ПДн организаторам лотерей и стимулирующих лотерей априори не требовалось. Если, к примеру, проводить параллели со сбором ПДн потребителей при дистанционном заказе товаров, то согласно Информации Роспотребнадзора получать согласие субъекта ПДн также не нужно, а необходимо лишь принимать соответствующие меры к защите обрабатываемых ПДн. Но теперь прежний порядок для договора дистанционной купли-продажи товаров по образцам сохранится, Закон о защите прав потребителей изменений не претерпит, а для договора на участие в лотерее и стимулирующей лотерее почему-то вдруг понадобилось еще согласие субъекта ПДн, к тому же полученное довольно странным образом.

В соответствии с ч. 1 ст. 9 Закона о ПДн согласие субъекта персональных данных на их обработку должно даваться свободно, его волей и в его интересе, при этом согласие должно быть конкретным, информированным и сознательным. По нашему мнению, подобные решение и волеизъявление могут быть безусловно реализованы и оформлены только в отдельном документе, подписанным субъектом ПДн собственноручно или электронной подписью.

Для чего было необходимо озадачивать организатора вместо участника прописывать в условиях согласие последнего на обработку ПДн (и как оно должно при этом выглядеть юридико-технически) и «узаконивать» сомнительное право получать согласие субъекта путем его присоединения к некому формуляру договора присоединения в виде условий лотерей и стимулирующих лотерей, остается непонятным.

У практикующих специалистов по лотереям и раньше вызывало определенные трудности при толковании положение ч. 1 ст. 9 Закона о ПДн о том, что согласие на обработку персональных данных может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме. Почему-то в понимании юристов и менеджеров многих заказчиков «любая форма» представлялась им всеми пришедшими на ум способами, даже теми, которые не позволяли однозначно идентифицировать субъекта, от которого исходит согласие, и впоследствии доказать его получение именно от субъекта ПДн.

А если теперь стало законодательно не только возможно, но даже обязательно прописывать за участника его согласие на обработку ПДн в условиях лотерей и стимулирующих лотерей, то что может остановить пойти дальше в «правовом нигилизме» и, к примеру, там же (да и в правилах любых стимулирующих мероприятий не в виде стимулирующих лотерей также) отразить по аналогии его согласие на использование его изображения в связи с участием в лотерее/мероприятии (ст. 152.1 ГК РФ) и на получение рекламы о лотерее/мероприятии, распространяемой по сетям электросвязи, в том числе телефонной, факсимильной и подвижной радиотелефонной связи (ч. 1 ст. 18 Закона о рекламе)? И как при таком способе будет решаться вопрос о праве субъекта ПДн отозвать свое согласие (ч. 2 ст. 9 Закона о ПДн), если оно не подано отдельным документом, а «вмонтировано» как неотъемлемая часть текста условий/правил?

Вероятно, законодатели не до конца продумали новеллы, спеша с декорациями по видимому соблюдению положений Конвенции и системно не соотнеся их с иными нормами внутреннего российского законодательства, или хотели угодить государственным лотереям с электронными билетами и квитанциями, либо опечатались и имели ввиду, что в условиях должно быть отражено не «согласие участника лотереи на обработку его ПДн», а хотя бы «порядок дачи согласия участником лотереи на обработку его ПДн» и/или «форма (образец) согласия», что, как мы уже сказали, все равно не несет в себе никакой необходимой правовой нагрузки. В противном случае сложно объяснить еще каким-то образом очередную небрежность в Законе о лотереях, в котором и без нее достаточно противоречий.

Более того, ненужность нововведний также очевидна, если, исходя из общих принципов лотереи, принять во внимание, что при ее проведении вообще отсутствует какая-либо существенная необходимость в сборе ПДн участников, так как их идентификация и персонализация победителей происходит не по личным данным физических лиц, а путем сверки уникальных номеров, серий и игровых комбинациий в базе данных организатора и на лотерейном билете или его заменителе, которые согласно п. 5 ст. 2 Закона о лотереях служат дукументами, оформляющими договор на участие в лотерее, а также для получения выирыша, при признании их выигравшими (п. 2 ч. 2 ст. 20 Закона о лотереях).

Тем не менее, несмотря на все вышесказанное, через полмесяца организаторы стимулирующих лотерей будут озадачены проблемой юридических формулировок в новых пунктах условий об обработке ПДн участников. А организаторам платных лотерей помимо отражения в условиях придется еще ломать голову над припиской о согласии субъекта ПДн на лотерейном билете.

Скорее всего практика выработает какое-то обобщенное краткое описание такого согласия. Или же устранит новую коллизию фразой типа «в связи с тем, что лотерея/стимулирующая лотерея является игрой, проводимой на основании договора между организатором и участником, получение организатором согласия участника на обработку его ПДн для исполнения договора не требуется», как, например, сейчас решается подобный вопрос в стимулирующих лотереях формальной отпиской о порядке хранении невостребованных выигрышей и порядке их востребования по истечении сроков для получения (п. 7 ч. 2 ст. 7 Закона о лотереях), которые не могут быть никак описаны в приложении № 6 к уведомлению о проведении стимулирующей лотереи из-за отсутствия какой-либо информации об этом в лотерейном законодательстве.

При этом таким образом в любом случае не снимается необходимость получения дополнительного отдельного письменного согласия участника на обработку его биометрических данных в порядке ч. 1 ст. 11 Закона о ПДн, когда, к примеру, организатору стимулирующей лотереи для выполнения им обязанностей налогового агента предоставляется копия паспорта участника с его фотографией и подписью.

И если следовать и дальше рассуждению законодателей, решивших, невзирая на п. 5 ч. 1 ст. 6 Закона о ПДн, что согласие участника на обработку его ПДн является обязательным при проведении на основании договора лотерей и стимулирующих лотерей, то, вероятно, их организаторы теперь будут обязаны подавать и уведомление в Роскомнадзор согласно ч. 1 статьи 22 Закона о ПДн и без учета ее п. 2 ч. 2, не требующего от стороны договора выполнения этих формальностей, для их включения в реестр в качестве операторов ПДн, что, соответственно, повлечет за собой дополнительные затраты на такую услугу.

Представляется, что вместо того, чтобы «сталкивать лбами» специалистов Контрольного управления и организаторов по «боданию» за содержание новых юридически некорректных пунктов в условиях в целях оправдания непонятной логики и мотивов законотворцев, озадачивать организаторов новыми обязанностями и расходами на их выполнение, нарушать права субъектов ПДн и давать «зеленый свет» недобросовестным рекламщикам таким же образом получать иные согласия участников по поводу использования их изображений и распространения рекламы, законодателям в первую очередь следовало ужесточить ответственность за нарушения при обработке ПДн.

На текущий момент оператору ПДн проще и выгодней оплатить максимально возможный 10-титысячный штраф в порядке ст. 13.11 КоАП РФ (который к тому же может быть наложен только прокуратурой, а не Роскомнадзором, что непомерно затягивает дела и освобождает большую часть нарушителей от ответственности из-за несоблюдения сроков административных разбирательств), чем соблюдать утомительные формальности.

Сатистика за 2011 г. говорит сама за себя: число представленных уведомлений для внесения сведений в реестр операторов в 10 раз меньше общего количества компаний, фактически осуществлявших сбор ПДн, а число возбужденных производст к количеству материалов, поданных Роскомнадзором в прокуратуру за 1-е полугодие 2012 г., - 22 к 287-ми. При этом объем нарушений при обработке ПДн увеличился за последний год более чем в 3 раза по сравнению с аналогичным периодом предыдущего года.

Надеемся, что разработанный Роскомнадзором законопроект о внесении изменений в Административный Кодекс, который в сентябре 2012 г. был размещен на сайте Минэкономразвития для публичных консультаций, в целях доработки ст.ст. 13.11, 28.3 и 28.4 и дополнений в виде новых статей 13.11.1, 13.11.2 и 13.11.3, которые вводят новые составы правонарушений, устанавливают ответственность операторов ПДн до 700 000 рублей и передают полномочия возбуждения административных дел от прокуратуры Роскомнадзору, будет вскоре принят. Иначе ни о каком соответствии стандартам стран – членов Совета Европы, в которых штрафы за нарушения в отношении автоматизированной обработки ПДн на порядки выше чем в России, говорить не приходится.

АНОНСЫ
ОПРОСЫ
НАШЛИ ОШИБКУ?
x