Законность использования персональных данных и ответственность владельца облачного софта

Правовые риски участия в ИТ-проекте по рассылке сообщений через WhatsApp

Анализ ситуации

Продукт предназначен для массовых рассылок через WhatsApp с использованием логинов или номеров телефонов пользователей. Рассматривается возможность входа в долю проекта, где программное обеспечение предоставляется клиентам по подписке.

Правовой анализ использования персональных данных

Являются ли логины и номера телефонов персональными данными

"персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)

Логины и номера телефонов в WhatsApp однозначно относятся к персональным данным, поскольку позволяют идентифицировать конкретное физическое лицо.

Требования к обработке персональных данных для рассылок

"Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только при условии предварительного согласия субъекта персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 15)

"Распространение рекламы по сетям электросвязи допускается только при условии предварительного согласия абонента или адресата на получение рекламы" (Источник: Федеральный закон от 13.03.2006 N 38-ФЗ "О рекламе", статья 18)

Вывод: Массовые рассылки без явного предварительного согласия являются незаконными.

Ответственность за нарушения в сфере персональных данных

"Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено... влечет наложение административного штрафа на юридических лиц от трехсот тысяч до семисот тысяч рублей" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11)

Ответственность за противоправные действия клиентов

Квалификация владельца софта

Владелец программного обеспечения может быть квалифицирован как оператор персональных данных, поскольку:

"оператор - юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)

Ответственность за действия третьих лиц

"Юридическое лицо либо гражданин возмещает вред, причиненный его работником при исполнении трудовых обязанностей" (Источник: Гражданский кодекс Российской Федерации, статья 1068)

"Должник отвечает за неисполнение или ненадлежащее исполнение обязательства третьими лицами, на которых было возложено исполнение" (Источник: Гражданский кодекс Российской Федерации, статья 403)

Уголовная и административная ответственность

Если клиенты используют софт для мошеннических схем:

"Мошенничество в сфере компьютерной информации... наказывается штрафом в размере до ста двадцати тысяч рублей или лишением свободы на срок до двух лет" (Источник: Уголовный кодекс Российской Федерации, статья 159.6)

За распространение запрещенной информации:

"Неисполнение организатором сервиса обмена мгновенными сообщениями установленных законодательством обязанностей влечет наложение административного штрафа на юридических лиц от восьмисот тысяч до одного миллиона рублей" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.39)

Выводы и рекомендации

Основные правовые риски:

1. Нарушение законодательства о персональных данных - массовые рассылки без согласия незаконны
2. Нарушение законодательства о рекламе - рассылка рекламы без согласия запрещена
3. Субсидиарная ответственность за противоправные действия клиентов
4. Уголовная ответственность при использовании софта для мошенничества
5. Административная ответственность за невыполнение обязанностей оператора

Рекомендации:

1. Не входить в долю проекта в текущем виде из-за высоких правовых рисков

2. Если решение о participation принято, необходимо:

   • Разработать механизм получения явного согласия на рассылки
   • Внедрить систему мониторинга использования софта клиентами
   • Разработать и реализовать политику противодействия противоправному использованию
   • Застраховать профессиональную ответственность

3. Для минимизации рисков следует проконсультироваться с адвокатом, специализирующимся на IT-праве и защите персональных данных

Текущая бизнес-модель проекта основана на массовых рассылках без согласия, что прямо противоречит российскому законодательству и создает существенные правовые риски для владельца программного обеспечения.