Истребование копии паспорта у гражданина (правовые основания)⁠⁠

В современных условиях утечка личных данных граждан - золотое дно для всевозможных мошенников. В связи с чем все более актуальным становится вопрос защиты таких данных.

Рассмотрим некоторые аспекты истребования копии паспорта гражданина, когда, например, в организациях просят паспорт гражданина и снимают с него копию для каких-то зачастую надуманных целей, будь то гостиница (отель), стоматологическая клиника, автосалон, салон красоты, фитнесс центр, магазин и прочее. Даже работодатель не может хранить копию паспорта в личном деле работника без его согласия, если иное прямо не предусмотрено законом. Если необходимо получить копию паспорта другого человека, то требуется его согласие.

Так как же действовать, если у Вас запросили паспорт и начали делать с него копию? Для начала разберемся в теории. Сразу оговоримся, что вопрос предоставления документов при взаимодействии субъектов предпринимательской деятельности оставим за кадром, поскольку требования закона и рекомендации компетентных органов могут несколько «отличаться» (например, письма ФНС России от 05.06.2017 № ЕД-4-15/10588, от 24.06.2016 № ЕД-19-15/104, от 24.07.2015 № ЕД-4-2/13005@; постановления Арбитражного суда Западно-Сибирского округа от 12.04.2016 № Ф04-1344/2016 по делу № А70-3732/2015, от 26.09.2016 № Ф04-4214/2016 по делу № А46-14470/2015). Также необходимость предоставления копии паспорта встречается, как правило, при обращении в государственные органы, банки, страховые и другие финансовые организаций, где этот вопрос урегулирован на законодательном уровне.

Необходимо понимать, что ч. 1 ст. 23 Конституции Российской Федерации закрепляет право каждого на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени. Согласно ч. 1 ст. 24 сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются. Паспорт гражданина Российской Федерации содержит персональные данные работника, а хранение копий паспорта подпадает под понятие «обработка персональных данных» (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Закон № 152-ФЗ). Следующее и ключевое, что необходимо понимать – одним из принципов обработки персональных данных является то, что содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки (ч. 5 ст. 5 Закона № 152-ФЗ). Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

То есть само по себе наличие у организации (в том числе работодателя) копий паспортов клиентов (работников) в отсутствии недвусмысленного и явно выраженного согласия субъекта на обработку его персональных данных может свидетельствовать об избыточности запрашиваемой (собираемой) информации о гражданах (их персональных данных). Собирая и храня в документах по учетам организации копий страниц паспорта гражданина организация в большинстве случаев превышает объем обрабатываемых персональных данных, установленный законодательством Российской Федерации.

Теперь от теории к практике. Что же делать, если с Вашего паспорта хотят снять копию в случае, если это не регламентировано законом и отсутствует Ваше согласие?

Предлагаю вежливо напомнить о требованиях закона, предусмотренной ответственности за нарушения порядка обработки персональных данных и предложить внести данные Вашего паспорта, которые необходимы для удостоверения личности, в необходимые документы (личная карточка, заявление, претензия, реестры и др.). Указать, что в противном случае действия организации, как оператора персональных данных, не отвечают заявленной цели обработки персональных данных, являются избыточными по отношению к ней. В большинстве случаев Вас поймут и пойдут навстречу, а если нет, то и связываться с такими организациями не советовал бы.

В качестве примера из практики предлагаю ознакомиться с Постановлением Арбитражного суда Уральского округа от 31.03.2022 № Ф09-1630/22 по делу № А60-24551/2021. Так, в расчетно-информационный центр пришел гражданин за перерасчетом стоимости услуги по вывозу мусора. Заявление на перерасчет приняли, но попросили паспорт и сняли с него копии нескольких страниц. Гражданин посчитал, что обработка персональных данных возможна лишь с его согласия, которого он ни центру, ни даже исполнителю коммунальной услуги не давал. Затем он обратился в прокуратуру, которая посчитала, что это нарушение законодательства о персональных данных и внесла представление об устранении нарушений закона, которое центр обжаловал в суде. По результатам рассмотрения дела в суде в числе прочего указано, что законодательством не предусмотрена обязанность потребителей коммунальных услуг предоставлять исполнителю документы (их копии), удостоверяющие личность, в том числе для снятия их копий. То есть на практике в большинстве случаев снимать копии страниц паспорта организации не вправе.

Напомню также о требованиях Федерального закона от 01.05.2022 № 135-ФЗ «О внесении изменения в статью 16 Закона Российской Федерации «О защите прав потребителей», которым предусмотрен запрет на понуждение потребителя под угрозой отказа в совершении сделки к предоставлению персональных данных в случаях, когда предоставление таких данных не предусмотрено законодательством Российской Федерации и не связано с совершением сделки по реализации товаров (работ, услуг). Указанные нововведения призваны ограничить практику принудительного или непрозрачного, неосознанного сбора персональных данных потребителей для целей, не связанных с заключением и исполнением договора. Детально с информацией по указанному закону можно ознакомиться в информации Роспотребнадзора «О внесении изменений в закон «О защите прав потребителей», которая приведена на сайте https://rospotrebnadzor.ru (https://rospotrebnadzor.ru/about/info/news/news_details.php?...).

Отдельного внимания заслуживает вопрос верификации гражданина посредством фотографии гражданина с паспортом в руках (процедура KYC). В настоящее время все больше организаций применяют этот способ для подтверждения личности. Однако он несет ряд рисков, связанных с утечкой таких данных. Отвечая на вопрос, законно ли это, можно с уверенностью сказать, что законом это не запрещено. Вместе с тем использовать такой способ подтверждения личности следует с особой осторожность, ведь риски могут перекрывать планируемую выгоду. Более подробно ознакомиться с рисками предлагаю на сайте «Лаборатории Касперского» по адресу https://www.kaspersky.ru/blog/selfie-with-id-card-scam/23365.

И напоследок считаю необходимым напомнить, что согласие на обработку персональных данных действует в течение того срока, который указан в этом согласии. Какие-либо требования к сроку действия согласия законодательно не установлены, поэтому можно указать любой срок, например, указать, что согласие действует до его отзыва (п. 8 ч. 4 ст. 9 Закона № 152-ФЗ). Важно, что согласие на обработку персональных данных может быть отозвано субъектом персональных данных способом, указанным ранее в таком согласии, в частности путем направления заявления в свободной форме по почте или через интернет (ч. 2, п. 8 ч. 4 ст. 9 Закона № 152-ФЗ). Старайтесь всегда отзывать ранее данное согласие, если больше не планируете использовать сервис, посещать организации. В таком отзыве обязательно указывайте отдельным абзацем «Абонентский (телефонный) номер +7 777 777-77-77 не использовать, удалить из баз данных, для простой электронной подписи, в том числе через SMS, использовать запрещаю.». Это убережет Вас от возможных негативных последствий в будущем, например, когда поменяете номер и кто-то не со зла (а может и нет) использует Ваш номер для входа в личный кабинет банка, почты, магазина и прочее. Примерный текст такого отзыва на фото.

И пару слов об ответственности за нарушение требований о защите персональных данных.

Основной вид административного наказания за нарушение законодательства о персональных данных - штраф. Его размер зависит от конкретного нарушения. Например, максимальный штраф для организации за обработку персональных данных без письменного согласия гражданина, когда согласие требуется, или за отсутствие в нем всех необходимых сведений составляет 700 000 руб., за повторное правонарушение - 1 500 000 руб. (ч. 2, 2.1 ст. 13.11 КоАП Российской Федерации).

Также нарушение законодательства в области персональных данных может повлечь гражданско-правовую ответственность в форме компенсации морального вреда, возмещения убытков, взыскания неустойки, если она была предусмотрена Вашим договором.

Специальной нормы об ответственности за нарушение Закона № 152-ФЗ в УК Российской Федерации нет. Однако действия лица (в силу требований ст. 19 УК Российской Федерации только физическое лицо), нарушившего правила работы с персональными данными, могут образовать состав преступления из числа предусмотренных УК Российской Федерации: ч. 1 ст. 137, ст. 140, ч. 1 ст. 272.

Спасибо за внимание! С удовольствием прочитаю комментарии и предложения, а также буду признателен за дополнительные источники информации по теме.

С уважением,

Zgrt