Законно ли отображение налоговой инспекцией персональных данных учредителей в открытом реестре юрлиц и их дальнейшее распространение на сторонних сайтах без согласия?

Законность показа ФНС ваших ФИО и доли в сервисе ЕГРЮЛ: согласие не требуется

ФИО учредителя и размер доли попадают в ЕГРЮЛ не по чьему-либо согласию, а в силу закона — при государственной регистрации общества. Закон прямо вводит их в состав сведений реестра:

д) сведения об учредителях или участниках юридического лица, в том числе сведения об учредителях или участниках хозяйственного товарищества, крестьянского (фермерского) хозяйства, хозяйственного партнерства, производственного кооператива, жилищного накопительного кооператива, государственного или муниципального унитарного предприятия, учреждения, государственной корпорации, публично-правовой компании, общественной организации, общественного движения, ассоциации (союза), нотариальной палаты, адвокатской палаты, адвокатского образования, являющегося юридическим лицом, казачьего общества, внесенного в государственный реестр казачьих обществ в Российской Федерации, общины коренных малочисленных народов Российской Федерации, общественно полезного фонда, личного фонда, автономной некоммерческой организации, религиозной организации, хозяйственного общества, в том числе в отношении общества с ограниченной ответственностью - сведения о размерах и номинальной стоимости доли в уставном капитале общества, принадлежащей каждому участнику и обществу, о передаче доли или ее части в залог или об ином их обременении, об аресте, наложенном судом или судебным приставом-исполнителем, о передаче доли или ее части (в том числе доли, переходящей в порядке наследования) в доверительное управление и о доверительном управляющем долей или ее частью, в отношении акционерного общества - сведения о том, что общество состоит из единственного участника (акционера), и сведения о таком участнике, а также сведения о держателе реестра акционеров общества
— подп. «д» п. 1 ст. 5 ФЗ от 08.08.2001 № 129-ФЗ

То есть сведения об участнике ООО (включая размер и номинальную стоимость его доли) — это обязательный элемент записи ЕГРЮЛ, формируемый при регистрации на основании представленных документов. Это и есть законное основание обработки персональных данных без согласия субъекта.

Далее закон устанавливает режим открытости этих сведений:

1. Содержащиеся в государственных реестрах сведения и документы являются открытыми и общедоступными, за исключением решений об учреждении личных фондов и уставов таких фондов, сведений об учредителях личных фондов, а также сведений, доступ к которым ограничен в соответствии с абзацами вторым, третьим, пятым и шестым настоящего пункта , Федеральным законом от 3 августа 2018 года № 290-ФЗ "О международных компаниях и международных фондах" и Федеральным законом от 29 декабря 2014 года № 473-ФЗ "О территориях опережающего развития в Российской Федерации
   — п. 1 ст. 6 ФЗ от 08.08.2001 № 129-ФЗ

1. Сведения о государственной регистрации размещаются на официальном сайте регистрирующего органа в сети Интернет. Состав сведений, подлежащих размещению в сети Интернет в соответствии с настоящим пунктом, и порядок их размещения устанавливаются уполномоченным Правительством Российской Федерации федеральным органом исполнительной власти
   — п. 8 ст. 6 ФЗ от 08.08.2001 № 129-ФЗ

Из этих норм следует: сведения ЕГРЮЛ по общему правилу открыты и общедоступны, а сведения о регистрации налоговая обязана размещать в интернете. Состав и порядок такого размещения определяет ФНС (уполномоченный орган), но сам факт законного раскрытия ФИО и доли закреплён в законе.

Что касается согласия по ФЗ-152: на обработку персональных данных согласие не нужно, когда обработка обязательна по закону либо когда данные подлежат обязательному раскрытию:

1. обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей
   — п. 2 ч. 1 ст. 6 ФЗ от 27.07.2006 № 152-ФЗ

1. осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом. 1 1 . Обработка персональных данных объектов государственной охраны и членов их семей осуществляется с учетом особенностей, предусмотренных Федеральным законом от 27 мая 1996 года № 57-ФЗ "О государственной охране". (Дополнение частью - Федеральный закон от 01.07.2017 № 148-ФЗ ) 1 2 .
   — п. 11 ч. 1 ст. 6 ФЗ от 27.07.2006 № 152-ФЗ

Раскрытие ФИО участника и размера его доли в ЕГРЮЛ подпадает под оба эти основания одновременно: (1) ФНС выполняет возложенную на неё законом функцию ведения и раскрытия реестра (п. 2 ч. 1 ст. 6 ФЗ-152); (2) сведения подлежат обязательному раскрытию в силу ФЗ-129 (п. 11 ч. 1 ст. 6 ФЗ-152). Более того, обязанность доказывать наличие основания обработки лежит на операторе — и здесь таким основанием выступает сам закон:

1. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора
   — ч. 3 ст. 9 ФЗ от 27.07.2006 № 152-ФЗ

Вывод: действия налоговой инспекции по отображению ваших ФИО и доли в открытом сервисе ЕГРЮЛ законны и согласия учредителя не требуют — это не «распространение ПД по согласию», а обязательное законное раскрытие сведений, прямо включённых законом в состав реестра. Требовать от ФНС прекратить раскрытие ФИО и доли участника как таковых вы не можете: п. 4 ст. 6 ФЗ-129 прямо запрещает отказ в предоставлении таких открытых сведений.

Границы открытости: что ФНС обязана скрывать и какие данные уже закрыты

Открытость реестра не безгранична. Закон сам очерчивает перечень сведений, которые налоговая не вправе раскрывать всем:

Сведения о номере, о дате выдачи и об органе, выдавшем документ, удостоверяющий личность физического лица, содержащиеся в государственных реестрах, могут быть предоставлены исключительно органам государственной власти, иным государственным органам, судам, органам государственных внебюджетных фондов, государственной корпорации "Агентство по страхованию вкладов" в случаях, предусмотренных федеральными законами, и в порядке, установленном актами Правительства Российской Федерации. Данное ограничение не применяется при предоставлении содержащих указанные сведения копий учредительных документов юридических лиц, а также сведений о месте жительства индивидуальных предпринимателей, которые предоставляются в порядке, установленном пунктом 5 настоящей статьи
— абз. 2 п. 1 ст. 6 ФЗ от 08.08.2001 № 129-ФЗ

Из этой нормы следует: данные документа, удостоверяющего личность (серия, номер, дата выдачи, орган), налоговая предоставляет только госорганам, судам, внебюджетным фондам и АСВ — неограниченному кругу они раскрываться не могут. Именно поэтому такие реквизиты не должны отображаться ни в выписке для третьих лиц, ни в открытых сервисах; если они где-то всплыли — это либо нарушение, либо «утечка» из иных источников.

Кроме того, действует заявительный механизм ограничения доступа к сведениям ЕГРЮЛ о конкретном юрлице:

1. Отказ в предоставлении содержащихся в государственных реестрах сведений и документов, за исключением сведений, доступ к которым ограничен в соответствии с пунктом 1 настоящей статьи, не допускается
   — п. 4 ст. 6 ФЗ от 08.08.2001 № 129-ФЗ

Важная оговорка: этот механизм (абз. 3 п. 1 ст. 6 ФЗ-129) ограничивает доступ к сведениям о юридическом лице по заявлению самого общества, но не затрагивает базовые сведения о ФИО учредителя и размере доли — они относятся к числу сведений, вносимых в силу закона и остающихся открытыми. Речь в нём идёт о сведениях, перечень и условия ограничения которых определяет Правительство. Таким образом, уповать на полное «закрытие» своих ФИО и доли только через заявление об ограничении доступа нельзя — закон такого не предусматривает для обычного участника, не подпадающего под спецрежим (например, санкционный, ст. 6 ФЗ-129 с отсылками к ФЗ-290).

Вывод: ФИО и доля участника ООО раскрываются ФНС правомерно и согласию не подлежат; ограничению подлежат только специальные категории сведений (паспортные реквизиты и др.) и сведения, закрываемые по заявлению общества на основании акта Правительства. Паспортные данные и данные документа, удостоверяющего личность, налоговая раскрывать всем не вправе — если они появились в открытом виде, это нарушение.

Правомерность «растаскивания» данных сторонними сайтами-агрегаторами

Здесь иная квалификация, чем в отношении самой ФНС. Внешние сайты — самостоятельные операторы персональных данных:

1. оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных
   — п. 2 ст. 3 ФЗ от 27.07.2006 № 152-ФЗ

Для них ЕГРЮЛ — не «общедоступный источник ПД», созданный с вашего согласия. Механизм общедоступных источников устроен иначе:

1. В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных
   — ч. 1 ст. 8 ФЗ от 27.07.2006 № 152-ФЗ

1. Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов
   — ч. 2 ст. 8 ФЗ от 27.07.2006 № 152-ФЗ

Ключевое: в общедоступный источник (справочник и т.п.) сведения включаются с письменного согласия субъекта. Вашего согласия на включение ФИО в такие базы не было — вы давали согласие не публиковать данные, а лишь вступить в общество. Поэтому ссылка агрегатора «данные взяты из открытого ЕГРЮЛ, значит они общедоступны» некорректна: открытость сведений реестра в силу закона не тождественна наличию вашего согласия на их дальнейшее распространение неопределённому кругу третьими лицами.

Отсюда два следствия. Во-первых, вы вправе требовать от любого такого оператора исключения сведений:

1. Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов
   — ч. 2 ст. 8 ФЗ от 27.07.2006 № 152-ФЗ

1. Субъект персональных данных имеет право на получение сведений, указанных в части 7 настоящей статьи, за исключением случаев, предусмотренных частью 8 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав
   — ч. 1 ст. 14 ФЗ от 27.07.2006 № 152-ФЗ

Во-вторых, при неправомерной обработке оператор обязан её прекратить и уничтожить данные:

1. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение
   — ч. 3 ст. 21 ФЗ от 27.07.2006 № 152-ФЗ

Дополнительно, если раскрыты не только ФИО и доля, а сведения, относящиеся к частной жизни, действует ст. 152.2 ГК:

1. Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Не являются нарушением правил, установленных абзацем первым настоящего пункта, сбор, хранение, распространение и использование информации о частной жизни гражданина в государственных, общественных или иных публичных интересах, а также в случаях, если информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле
   — п. 1 ст. 152.2 ГК РФ

1. В случаях, когда информация о частной жизни гражданина, полученная с нарушением закона, содержится в документах, видеозаписях или на иных материальных носителях, гражданин вправе обратиться в суд с требованием об удалении соответствующей информации, а также о пресечении или запрещении дальнейшего ее распространения
   — п. 4 ст. 152.2 ГК РФ

Вывод: дальнейшее распространение ваших ФИО (и тем более иных данных) сторонними сайтами-агрегаторами, полученное без вашего согласия, по общему правилу неправомерно. Вы вправе направлять каждому такому оператору требование об удалении (ч. 2 ст. 8, ч. 1 ст. 14 ФЗ-152), жаловаться в Роскомнадзор и, при необходимости, обращаться в суд с иском об удалении информации и запрете её дальнейшего распространения (ст. 152.2 ГК).

Ответственность нарушителей и компенсация вреда

За неправомерную обработку ПД (в том числе агрегаторами) предусмотрена административная ответственность:

1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния
   — ч. 1 ст. 13.11 КоАП РФ

Она применяется, если обработка ведётся вне законных оснований либо несовместима с целями сбора — то есть как раз случай самостоятельного «тиражирования» ФИО внешними сайтами ради трафика/коммерции, а не ради целей, ради которых данные вносились в реестр. Привлечение к ответственности — через обращение в Роскомнадзор (уполномоченный орган по защите прав субъектов ПД), который вправе возбуждать и рассматривать такие дела.

За моральный вред (например, тревога, неудобства от раскрытия данных о вашей связи с бизнесом) можно требовать денежную компенсацию:

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда
— ст. 151 ГК РФ

Важный нюанс в пользу возможной защиты смежного пласта — охрана частной жизни:

1. Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Не являются нарушением правил, установленных абзацем первым настоящего пункта, сбор, хранение, распространение и использование информации о частной жизни гражданина в государственных, общественных или иных публичных интересах, а также в случаях, если информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле
   — п. 1 ст. 152.2 ГК РФ

Сведения о доле в ООО и факте участия в бизнесе сами по себе формально не относятся к «частной жизни» в узком смысле (это сведения о предпринимательском статусе, подлежащие раскрытию по закону). Поэтому опираться на ст. 152.2 ГК можно лишь в отношении тех данных, которые действительно относятся к частной жизни (адрес, паспортные данные, семейное положение и др.), а не ФИО и доли как таковых. Это важно учитывать при формулировании иска: по ФИО и доле сильная позиция строится на ФЗ-152 (неправомерное распространение неопределённому кругу без согласия), а не на ст. 152.2 ГК.

Вывод: неправомерное распространение ПД сторонними сайтами влечёт административную ответственность по ч. 1 ст. 13.11 КоАП (через Роскомнадзор), а причинивший вам нравственные страдания нарушитель может быть обязан судом к компенсации морального вреда по ст. 151 ГК. К самой ФНС эти меры неприменимы — её раскрытие ФИО и доли правомерно.