Добровольная идентификация пользователей при реализации ПО и онлайн-сервисов
Анализ ситуации
Ваша организация не относится к субъектам, перечисленным в Федеральном законе от 07.08.2001 N 115-ФЗ, поскольку осуществляет деятельность по реализации программного обеспечения и предоставлению доступа к онлайн-сервисам, что не включено в перечень организаций, осуществляющих операции с денежными средствами или иным имуществом.
Правомерность добровольной идентификации
Введение добровольной идентификации пользователей является правомерным, поскольку законодательство не запрещает организациям устанавливать дополнительные процедуры проверки клиентов. Однако при этом необходимо соблюдать требования законодательства о персональных данных.
"Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 6)
Обязанности в связи с идентификацией
Добровольное введение идентификации не повлечет автоматической обязанности регистрации в Росфинмониторинге и сдачи отчетности, так как эти обязанности распространяются только на организации, прямо указанные в 115-ФЗ.
"К организациям, осуществляющим операции с денежными средствами или иным имуществом, относятся: кредитные организации, профессиональные участники рынка ценных бумаг... [и другие конкретные категории]" (Источник: Федеральный закон от 07.08.2001 N 115-ФЗ, статья 5)
Риски ответственности
Основные риски связаны не с противодействием легализации доходов, а с нарушением законодательства о персональных данных:
"Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных... - влечет наложение административного штрафа на юридических лиц от ста пятидесяти тысяч до трехсот тысяч рублей" (Источник: КоАП РФ, статья 13.11 часть 1)
Также важно учитывать запрет на необоснованный отказ в заключении договора:
"Отказ в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если предоставление персональных данных является обязательным в соответствии с федеральными законами..." (Источник: КоАП РФ, статья 14.8 часть 7)
Требования к обработке персональных данных
При реализации процедуры идентификации необходимо соблюдать следующие требования:
- Получение согласия:
"Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 9)
- Обеспечение безопасности:
"Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 19)
- Уведомление Роскомнадзора (при необходимости):
"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган о своем намерении осуществлять обработку персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
Выводы и рекомендации
-
Добровольная идентификация возможна - вы вправе ввести процедуру идентификации пользователей, так как не являетесь субъектом 115-ФЗ.
-
Регистрация в Росфинмониторинге не требуется - поскольку ваша деятельность не подпадает под перечень организаций, обязанных регистрироваться.
-
Соблюдайте закон о персональных данных:
- Получайте явное согласие пользователей на обработку их данных
- Разработайте политику обработки персональных данных
- Обеспечьте надлежащую защиту собираемой информации
- Предусмотрите возможность отказа от идентификации без прекращения обслуживания
-
Избегайте необоснованных отказов - не отказывайте в обслуживании пользователям, которые не желают проходить идентификацию, если это не связано с исполнением договора.
-
Проведите правовой аудит - рекомендую обратиться к адвокату для разработки корректной процедуры идентификации и документооборота, соответствующего требованиям 152-ФЗ.
Добровольное введение идентификации не приведет к автоматическому применению к вам требований 115-ФЗ, но создаст дополнительные обязанности по защите персональных данных пользователей.
