- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 2) оператор - ... физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накоплен
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3
Далее, статья 5 того же закона устанавливает принципы обработки персональных данных. Обработка должна быть законной и справедливой, а содержание и объем обрабатываемых данных должны соответствовать заявленным целям и не быть избыточными. В данной ситуации арендодатель заявляет цель – заключение договора аренды. Для этой цели обычно достаточно паспортных данных (ФИО, дата рождения, место жительства), которые уже идентифицируют арендатора. СНИЛС не является обязательным для идентификации стороны в договоре аренды (он необходим для пенсионного учета, налоговых вычетов, медицинского страхования и т.п., но не для аренды). Таким образом, требование СНИЛС может быть признано избыточным, то есть не соответствующим целям обработки. Это нарушает принцип, закрепленный в пунктах 4 и 5 статьи 5.
Статья 5. Принципы обработки персональных данных: 1. Обработка персональных данных должна осуществляться на законной и справедливой основе. 2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. 4. Обработке подлежат только персональные данные, которые отвечают целям их обработки. 5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 5
Вместе с тем статья 6 того же закона предусматривает, что обработка персональных данных допускается без согласия субъекта, если она необходима для заключения договора по инициативе субъекта персональных данных (арендатора). Однако «необходимость» означает, что без этих данных договор не может быть исполнен надлежащим образом. Для договора аренды (недвижимости или движимого имущества) СНИЛС не требуется ни для заключения, ни для исполнения: арендодателю нужно знать личность арендатора и его контактные данные, что уже содержится в паспорте. Поэтому ссылка на пункт 5 статьи 6 здесь не оправдывает сбор СНИЛС – его предоставление не является необходимым для данной сделки.
Статья 6. Условия обработки персональных данных: ... 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
Даже если бы арендодатель получал согласие на обработку СНИЛС, статья 9 требует, чтобы такое согласие было конкретным, информированным и сознательным. Если арендатор не понимает, зачем нужен СНИЛС, и арендодатель не объяснил законную цель (например, для проверки через государственные реестры?), то согласие может быть признано недействительным как данное без должной информации. Кроме того, письменное согласие должно включать номер основного документа, удостоверяющего личность (паспорта), но СНИЛС к таковым не относится – это отдельный регистрационный номер. Таким образом, формально-юридически требование СНИЛС не подпадает под обязательные элементы письменного согласия по статье 9.
Статья 9. Согласие субъекта персональных данных на обработку его персональных данных. 1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. ... 4. ... Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; ...
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
Если арендодатель обрабатывает СНИЛС без законного основания (необходимости для договора) или в объеме, превышающем необходимый, его действия могут быть квалифицированы по статье 13.11 Кодекса Российской Федерации об административных правонарушениях как обработка персональных данных в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора. Это влечет административную ответственность. Для арендатора это дополнительный инструмент защиты: в случае неправомерного сбора и использования СНИЛС можно обратиться в Роскомнадзор или прокуратуру.
Статья 13.11 КоАП РФ устанавливает ответственность за обработку персональных данных в случаях, не предусмотренных законодательством, или несовместимую с целями сбора, а также за обработку без письменного согласия, когда оно требуется. Это может быть применимо к требованию СНИЛС, если оно не является необходимым для заключения договора аренды.
— Кодекс Российской Федерации об административных правонарушениях, ст. 13.11
Теперь о рисках мошенничества. СНИЛС сам по себе не является паролем или кодом доступа к счетам, но в сочетании с паспортными данными (которые арендодатель уже получил) может быть использован для оформления микрозаймов, фиктивных договоров, получения доступа к личному кабинету на портале «Госуслуги», где часто привязан СНИЛС. Если арендатор передает СНИЛС в ненадёжной среде (например, через незащищённый онлайн-сервис или на сайте-однодневке), это увеличивает риск мошенничества. Однако сам по себе факт требования СНИЛС не является безусловным признаком мошенничества – возможно, арендодатель просто перестраховывается, не зная закона. Но если арендодатель настойчиво требует СНИЛС под угрозой отказа в договоре, при этом не может вразумительно объяснить цель сбора, подозрения обоснованны.
В итоге: требование СНИЛС для заключения договора аренды, скорее всего, незаконно, так как не соответствует принципу минимизации персональных данных (ст. 5 152-ФЗ) и не является необходимым для заключения договора (ст. 6 152-ФЗ). Однако в силу свободы договора (ст. 421 ГК РФ) арендодатель вправе отказать в заключении договора, если арендатор не соглашается предоставить данные, которые арендодатель считает нужными (кроме случаев, когда отказ является дискриминацией или нарушением публичного порядка – но здесь таких обстоятельств нет). Следовательно, арендодатель может не заключать договор без СНИЛС, но такое требование может быть оспорено как незаконное, если будет доказано, что СНИЛС ему не нужен для реальной цели. Арендатору рекомендуется письменно запросить обоснование необходимости СНИЛС, а при отказе – обратиться с жалобой в Роскомнадзор.