Коллектив авторов - Защита данных - научно-практический комментарий к судебной практике

Как указано выше, среди требований законодательства к согласию на обработку персональных данных есть положение об обязательном указании срока, в течение которого действует согласие субъекта персональных данных. При этом следует отметить, что в согласии на обработку персональных данных может быть установлен и неопределенный срок его действия до отзыва со стороны субъекта персональных данных в письменной форме, и такое установление считается соответствующим требованиям закона. Так, в решении Суда апелляционной инстанции по делу № А42-342/2017 указано, что законодательная норма не предусматривает указания в согласии конкретного срока, в течение которого оно действует, предельный срок действия такого согласия также не установлен законодателем. В рассматриваемом случае срок действия согласия определен началом его действия (со дня подписания) и заканчивается моментом востребования – письменным отзывом в произвольной форме. Таким образом, срок действия согласия субъекта персональных данных на их обработку в любом случае ограничен действием самого субъекта персональных данных по представлению письменного отзыва ранее данного им согласия, в связи с чем указанный срок можно квалифицировать как срок, определяющий момент востребования. Указанное не противоречит общим правилам определения сроков, установленных по аналогии закона гражданским законодательством (ст. 190 ГК РФ).

Более того, суд указывает, что указание точного срока действия согласия субъекта персональных данных на их обработку в привязке к конкретному временному периоду или календарной дате в данном случае невозможно, поскольку предприятие как оператор персональных данных не в состоянии заранее с достоверностью определить временной промежуток, до какой календарной даты конкретный пользователь услуг плавательного бассейна будет фактически посещать бассейн и в какую дату пользователь таких услуг может прекратить таковое посещение по собственной инициативе. Между тем действием самого субъекта персональных данных по представлению письменного отзыва ранее данного им согласия его права не нарушаются. В решении по делу № А42-342/2017 суд заключает, что в части получения согласия на обработку персональных данных в отношении срока такого согласия нарушений предприятием не допущено. В рамках указанного дела также был рассмотрен вопрос об обработке биометрических персональных данных (фотографии) без письменного согласия субъекта персональных данных. В данном случае пропуск с фотографией, характеризующей физиологические и биологические особенности человека (относящейся к биометрическим персональным данным), позволяет установить, принадлежит ли данному лицу предъявляемый пропуск, на основе которых можно установить его личность путем сравнения фото с лицом предъявителя пропуска и указываемых владельцем пропуска фамилии, имени и отчества. Суд указывает, что эти данные используются оператором для установления личности субъекта персональных данных в случае сомнения в том, что пропуск предъявляется его действительным владельцем, а потому он используется оператором для установления личности субъекта персональных данных, и данная обработка должна осуществляться в строгом соответствии со ст. 11 Закона № 152-ФЗ. Суд пришел к выводу о том, что фотографические изображения, содержащиеся на документе «пропуск», являются биометрическими персональными данными, поскольку характеризуют физиологические и биологические особенности человека. Обработка указанных данных должна осуществляться с соблюдением требований п. 1 ст. 11 Закона № 152-ФЗ, а именно при наличии согласия субъекта персональных данных. Суд апелляционной инстанции установил, что в соответствии с положением о порядке посещения плавательного бассейна для различных категорий населения в рамках государственной программы Мурманской области «Развитие физической культуры и спорта» на 2014–2020 годы, утвержденным председателем Комитета по физической культуре и спорту Мурманской области 26 апреля 2016 г., посетителями предоставлялись предприятию фотографии, которые размещались заявителем на документе «пропуск» для последующего использования в целях установления их личности. Указанные действия предприятия (сбор, оформление (размещение), использование фотографий) подпадают под понятие обработки персональных данных с позиции ч. 3 ст. 3 Закона № 152-ФЗ. Между тем согласия указанных лиц на обработку их биометрических персональных данных (фотографий) в нарушении требования ч. 1 ст. 11 Закона № 152-ФЗ предприятием не получено. При таком положении суд признал, что в данном случае использование фотографий для пропуска является обработкой биометрических персональных данных в смысле Закона № 152-ФЗ и поэтому предприятием были допущены нарушения [2] Там же. .