Думаю есть ли смысл сразу писать в надзорный орган и не спорить с сайтами?

Публикация данных бывшего ИП на частном сайте: законность и порядок защиты прав

Правовой анализ ситуации

Ваша ситуация, к сожалению, распространена. Частные сайты часто агрегируют данные из государственных реестров, создавая так называемые «сервисы проверки контрагентов». Ваше несогласие с этим абсолютно обоснованно. Давайте разберем сложившуюся коллизию на основе норм закона.

С одной стороны, закон действительно объявляет сведения из Единого государственного реестра индивидуальных предпринимателей (ЕГРИП) открытыми и общедоступными. С другой стороны, эти же сведения прямо определены как ваши персональные данные, а значит, их обработка третьими лицами, включая публикацию в интернете, должна соответствовать строгим правилам.

Являются ли ФИО, ИНН и ОКВЭД персональными данными?

Безусловно, да. Федеральный закон «О персональных данных» определяет это понятие максимально широко.

«персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», Статья 3)

Ваши фамилия, имя, отчество, ИНН и даже совокупность кодов ОКВЭД, привязанная к конкретному человеку, прямо идентифицируют вас. Следовательно, это ваши персональные данные. Прекращение статуса ИП не меняет этой природы: вы остаетесь физическим лицом — субъектом персональных данных.

Владелец сайта, который собирает, систематизирует и публикует эти сведения, становится «оператором персональных данных» в отношении вас.

«оператор - ...юридическое или физическое лицо... организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», Статья 3)

А публикация на сайте — это вид обработки, а именно «распространение».

«распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», Статья 3)

Законна ли такая обработка данных владельцем частного сайта?

Вот здесь кроется ключевой нюанс, который владельцы подобных сайтов часто трактуют неверно. Они смешивают два разных понятия: статус информации в государственном реестре и право частного лица на ее безусловное распространение.

1. Открытость реестра ≠ свобода распространения без правил.
   Действительно, Закон о государственной регистрации устанавливает, что сведения в ЕГРИП являются открытыми.

   «Содержащиеся в государственных реестрах сведения и документы являются открытыми и общедоступными, за исключением...» (Источник: Федеральный закон от 08.08.2001 N 129-ФЗ «О государственной регистрации юридических лиц и индивидуальных предпринимателей», Статья 6)

   Это означает, что регистрирующий орган (ФНС) обязан предоставлять эти сведения по запросам и публиковать их на своем официальном сайте. Обладателем этой информации как федерального ресурса является государство. (Источник: 129-ФЗ, Статья 4)

2. Обработка персональных данных частным лицом требует законного основания.
   Владелец сайта, будучи оператором, обязан соблюдать Федеральный закон «О персональных данных». По общему правилу, обработка персональных данных требует вашего согласия.

   «1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», Статья 9)

   Вы такого согласия владельцу сайта не давали. Это очевидно.

3. Может ли владелец сайта сослаться на исключение из правила о согласии?
   Да, закон содержит закрытый перечень случаев, когда обработка персональных данных допускается без согласия субъекта.

   «обработка персональных данных допускается в следующих случаях: ... 11) осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», Статья 6)

   Именно на этот пункт и пытаются опереться владельцы сайтов. Однако здесь важен контекст. Обязанность по опубликованию и раскрытию законом возложена на регистрирующий орган, а не на частный сайт. Частный сайт не выполняет государственную функцию по информированию неопределенного круга лиц. Он занимается собственной коммерческой или иной деятельностью, используя ваши данные. Кроме того, данные уже были опубликованы на официальном источнике (сайте ФНС), и их повторная публикация иными лицами для иных целей не может считаться обязательным раскрытием.

4. Конкретная норма о праве требовать удаления данных.
   Есть еще одна важнейшая гарантия, прямо применимая к вашей ситуации. Даже если предположить, что данные из реестра попали в некие «общедоступные источники», закон предоставляет вам безусловное право требовать их исключения оттуда.

   «Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», Статья 8)

   Это ваша сильная правовая позиция. Вы имеете полное, закрепленное законом право требовать удаления ваших данных с частного сайта, и ваше требование обязательно для исполнения.

Влияние прекращения статуса ИП

Факт закрытия ИП в апреле 2024 года многократно усиливает вашу позицию. После прекращения статуса ИП цель обработки ваших данных как предпринимателя (которую мог бы декларировать владелец сайта, например, «проверка действующих контрагентов») отпала. Дальнейшая обработка ваших данных для него становится неправомерной, даже если когда-то и была законной. Закон обязывает оператора прекратить обработку, если цель достигнута.

«В случае достижения цели обработки персональных данных оператор обязан прекратить обработку персональных данных... и уничтожить персональные данные...» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», Статья 21)

Сведения в реестре носят исторический характер, но их неограниченное распространение частными лицами после прекращения деятельности не имеет законной цели.

Выводы и рекомендации: алгоритм действий

Действия владельца сайта по публикации ваших персональных данных без вашего согласия и отказ удалить их по вашему требованию являются неправомерными. Продолжение переписки с ним, судя по его ответу, действительно может быть пустой тратой времени.

Ваша стратегия должна выглядеть следующим образом:

1. Направьте финальное досудебное требование. Напишите владельцу сайта последнее письмо. В нем четко сошлитесь на ст. 8 Федерального закона «О персональных данных», которая дает вам право в любое время требовать исключения сведений о вас из общедоступных источников. Укажите, что в противном случае вы будете вынуждены обратиться в Роскомнадзор и суд. Этим вы зафиксируете его отказ в удовлетворительном ответе, что станет хорошим доказательством.

2. Обратитесь в надзорный орган — Роскомнадзор. Это правильный и логичный шаг. Именно этот орган уполномочен защищать права субъектов персональных данных.

   «Уполномоченным органом по защите прав субъектов персональных данных является федеральный орган исполнительной власти, осуществляющий... функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства...» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», Статья 23)

   Роскомнадзор имеет право потребовать от оператора (владельца сайта) уточнения, блокирования или уничтожения ваших персональных данных.

3. Судебная защита. Если реакции Роскомнадзора окажется недостаточно, у вас есть право на судебную защиту. Закон «О персональных данных» прямо это предусматривает.

   «...субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», Статья 17)

   Кроме того, закон «Об информации» также гарантирует вам право на судебную защиту при нарушении ваших прав.

   «Лица, права и законные интересы которых были нарушены в связи с разглашением информации ограниченного доступа или иным неправомерным использованием такой информации, вправе обратиться в установленном порядке за судебной защитой своих прав, в том числе с исками о возмещении убытков, компенсации морального вред...» (Источник: Федеральный закон от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации», Статья 17)

   В суде вы можете потребовать не только удаления ваших данных, но и компенсации морального вреда.

Резюме: Ваша правовая позиция сильная. Владельцы сайтов-агрегаторов часто спекулируют на термине «открытые данные», игнорируя примат законодательства о персональных данных над их желанием зарабатывать на чужой информации. Обращение в Роскомнадзор — наиболее действенный способ быстро и эффективно решить проблему без длительных судебных разбирательств.