Обработка данных из кассовых чеков, полученных от ФНС: правовые аспекты
Анализ ситуации
Вы рассматриваете возможность долговременного хранения и анализа данных из кассовых чеков, полученных от Федеральной налоговой службы с согласия пользователя, но выходящих за рамки целей, указанных в условиях использования системы.
Применимые правовые нормы
Кассовые чеки как персональные данные
"персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)
Кассовые чеки содержат информацию, позволяющую идентифицировать физическое лицо (например, фамилию кассира, а в некоторых случаях - данные покупателя), поэтому они подпадают под действие законодательства о персональных данных.
Принципы обработки персональных данных
"Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 5)
"Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 5)
Особенности данных от государственных органов
"Налоговые органы в рамках межведомственного информационного взаимодействия вправе передавать сведения о расчетах, перечень которых утверждается уполномоченным органом, с учетом требований Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных"" (Источник: Федеральный закон от 22.05.2003 N 54-ФЗ "О применении контрольно-кассовой техники...", статья 7)
"налогоплательщики имеют право: ... 13) на соблюдение и сохранение налоговой тайны" (Источник: Налоговый кодекс Российской Федерации (часть первая), статья 21)
Требования к согласию на обработку
"Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 9)
Выводы и рекомендации
1. Соответствие долговременного хранения заявленным целям
Долговременное хранение и анализ данных для личных нужд, не указанных в условиях использования, не соответствует принципу целевого ограничения обработки персональных данных. Если цели обработки четко ограничены в условиях использования (визуализация, получение чеков, проверка, подача жалоб), то их расширение требует получения нового согласия.
2. Требования к согласию
Общего согласия пользователя недостаточно для обработки данных в целях, не указанных изначально. Требуется:
- Конкретное согласие с указанием всех целей обработки
- Информирование о составе обрабатываемых данных
- Указание срока действия согласия и способа его отзыва
3. Особенности данных от ФНС
Данные, полученные от ФНС, могут содержать сведения, составляющие налоговую тайну, что накладывает дополнительные ограничения на их обработку и распространение.
4. Риски нарушения законодательства
Основные риски включают:
- Нарушение принципа целевого ограничения обработки ПДн
- Несоответствие сроков хранения заявленным целям
- Нарушение требований к содержанию согласия
- Ответственность по ст. 13.11 КоАП РФ за нарушение законодательства о персональных данных
5. Рекомендации
- Получите конкретное информированное согласие пользователя на все планируемые виды обработки данных
- Четко определите и зафиксируйте цели обработки в документации
- Установите обоснованные сроки хранения данных в соответствии с целями обработки
- Обеспечьте возможность пользователя отозвать согласие и удалить данные
- Реализуйте меры по защите персональных данных в соответствии со ст. 19 ФЗ-152
Для детальной проработки правовых аспектов вашей конкретной ситуации рекомендую обратиться к адвокату, специализирующемуся на вопросах защиты персональных данных и информационного права.
