Физлицо, выступающее арендатором нежилого помещения, получает от юридического лица-арендодателя проект согласия на обработку персональных данных. В этом документе, помимо стандартных паспортных данных, содержатся два пункта, вызывающих сомнение: формулировка «другие данные, необходимые для заполнения договора аренды» и требование предоставить информацию о банковских счетах. Пользователь уже ознакомился с проектом договора аренды и актом приема-передачи, но само согласие пока не подписано.
С правовой точки зрения, здесь возникают отношения, связанные с обработкой персональных данных физического лица (арендатора) оператором (арендодателем). Юридически значимым является вопрос о том, соответствует ли объем запрашиваемых данных и сама форма согласия требованиям законодательства о персональных данных, а также принципам разумности и добросовестности в гражданском обороте.
Ключевой момент — определение конкретной и законной цели сбора данных. Для исполнения договора аренды оператору объективно необходимы данные, позволяющие идентифицировать арендатора (ФИО, паспортные данные, адрес регистрации) и проводить расчеты (например, для возврата обеспечительного платежа). Однако «размытая» формулировка «другие данные, необходимые для заполнения договора» не соответствует требованию конкретизации целей обработки. Такая формулировка предоставляет арендодателю право запрашивать любые сведения, которые он субъективно сочтет нужными, что нарушает принцип минимизации обрабатываемых данных.
Особо юридически значимо включение в согласие информации о банковских счетах. Хотя номер счета сам по себе может не относиться к специальным категориям персональных данных, в совокупности с другими данными (ФИО, паспорт) он позволяет идентифицировать арендатора и его финансовые операции. Обработка этих данных возможна, если она необходима для исполнения договора (например, для перечисления арендной платы или возврата залога). Однако если договор аренды уже предусматривает порядок расчетов (например, наличными или по реквизитам, указанным в самом договоре), то отказ арендатора предоставить эти данные в отдельном согласии не должен влиять на заключение договора.
Таким образом, суть ситуации — в потенциальном несоответствии запрашиваемого согласия требованиям закона о конкретности, определенности и соразмерности (пропорциональности) обработки персональных данных цели, для которой они собираются. Пользователь находится в состоянии неопределенности: он обязан исполнить договор аренды, но сомневается в правомерности условий, на которых арендодатель настаивает при обработке его личных данных.
Согласно статье 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», содержание и объем обрабатываемых сведений должны строго соответствовать заявленным целям и не быть избыточными. Включение в согласие формулировки «другие данные, необходимые для заполнения договора аренды» является неконкретным и размытым, что не позволяет вам как субъекту персональных данных оценить, какие именно сведения будут обрабатываться. Поскольку договор аренды уже заключается, а акт приема-передачи подписан, арендодатель уже располагает необходимыми для исполнения сделки данными (ваше имя, паспортные данные, адрес). Дополнительный неопределенный перечень «других данных» выходит за пределы разумной необходимости для заполнения договора — эта формулировка нарушает принцип минимизации данных, так как допускает сбор избыточной информации без четкого обоснования.
- Обработке подлежат только персональные данные, которые отвечают целям их обработки. 5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 5
Далее, в силу статьи 6 этого же закона, одним из законных оснований для обработки ваших данных является исполнение договора, стороной которого вы выступаете. Договор аренды нежилого помещения уже заключен — для его исполнения (внесение арендной платы, обеспечение доступа в помещение) арендодателю достаточно тех данных, которые вы уже предоставили. Пункт 5 части 1 статьи 6 прямо допускает обработку без отдельного согласия, если она необходима для исполнения договора. Это означает, что подписание вами согласия на обработку с такой открытой формулировкой не является обязательным условием для существования арендных отношений — арендодатель вправе обрабатывать ваши данные без дополнительного согласия в пределах, необходимых для исполнения сделки. Следовательно, вы не обязаны подписывать предложенный документ, а если арендодатель настаивает — это может быть расценено как принуждение, ограничивающее ваши права.
Статья 6. Условия обработки персональных данных: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных; 5) обработка персональных данных необходима для исполнения договора, стороной которого является субъект персональных данных. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
Что касается информации о банковских счетах — такие данные обрабатываются для исполнения договора (например, для возврата обеспечительного платежа или проведения расчетов) и, в принципе, могут быть необходимы арендодателю. Однако их включение в согласие должно быть конкретным и предметным, как того требует часть 1 статьи 9 того же закона. Формулировка «другие данные, необходимые для заполнения договора» позволяет оператору трактовать необходимость сведений о банковских счетах произвольно, что нарушает требование к согласию как к информированному и однозначному. Вы вправе потребовать разъяснений: зачем именно арендодателю ваши реквизиты счета, будут ли они использоваться только для исполнения договора, предусмотрен ли срок их хранения и возможность отзыва. Поскольку закон предъявляет к письменному согласию строгие требования (статья 9), непрозрачная формулировка делает такое согласие уязвимым — вы можете его отозвать в любой момент, если подписали, но лучше не подписывать до получения ясных разъяснений.
- Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. ... 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
Наконец, статья 421 Гражданского кодекса РФ закрепляет принцип свободы договора: вы не обязаны заключать какие-либо дополнительные соглашения, в том числе на обработку данных, если они не являются условием, прямо предписанным законом или добровольно принятым обязательством. Договор аренды уже заключен, и понуждение вас к подписанию согласия на обработку данных с неясным объемом будет нарушением вашей свободы в определении условий сделки. Вы вправе потребовать исключить спорную формулировку («другие данные, необходимые для заполнения договора аренды») или заменить ее на закрытый перечень конкретных данных, которые действительно необходимы для исполнения договора. Если арендодатель откажется, вы можете не подписывать согласие — это не повлечет недействительности самого договора аренды, так как обработка для исполнения обязательств по нему законна и без согласия (ст. 6, п. 5). В случае спора вы также вправе обжаловать действия арендодателя в Роскомнадзор или суд, ссылаясь на нарушение ст. 5, 6 и 9 Закона о персональных данных и ст. 421 ГК РФ.
- Граждане и юридические лица свободны в заключении договора. Понуждение к заключению договора не допускается... 4. Условия договора определяются по усмотрению сторон, кроме случаев, когда содержание соответствующего условия предписано законом или иными правовыми актами.
— Гражданский кодекс Российской Федерации (часть первая), ст. 421
