Является ли геолокация персональными данными и что это значит для оператора
Данные о вашем местоположении — это персональные данные, поскольку относятся к прямо определяемому физическому лицу (вам).
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);[…]
— п. 1 ст. 3 Федерального закона «О персональных данных» № 152-ФЗ
Координаты геолокации, коль скоро они привязаны к вашему устройству и «рисуют» маршрут конкретного человека, позволяют идентифицировать вас — значит, сервис доставки, собирающий и хранящий эти данные, является оператором и обязан соблюдать 152-ФЗ. Сбор местоположения через приложение — это «обработка персональных данных» в смысле закона, на которую нужны правовые основания.
Более того, обработка должна быть соразмерна заявленным целям, а круглосуточная слежка вне работы этой соразмерности не выдерживает.
- Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.[…]
— ч. 5 ст. 5 Федерального закона № 152-ФЗ
Цель обработки вашей геолокации в сервисе доставки — передать заказ в работу и доставить его (найти «свободного» курьера, показать его положение заказчику во время выполнения заказа). Постоянный круглосуточный доступ, когда заказ вы не выполняете, этой цели не служит и потому является избыточной обработкой. Требование держать геолокацию включённой 24/7, даже когда вы не работаете, прямо противоречит принципу недопустимости избыточности.
Вывод по вопросу: геолокация — это персональные данные; их обработка допустима только в объёме, соразмерном цели (выполнение конкретного заказа), а круглосуточное отслеживание вне заказов — избыточная обработка, нарушающая ст. 5 152-ФЗ.
Требование постоянного доступа под угрозой «не дадим заказы» — принуждение к согласию
Согласие на обработку данных должно быть свободным и не может навязываться под угрозой лишения работы.
Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором. (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3.
— ч. 1 ст. 9 Федерального закона № 152-ФЗ
Требование «включите геолокацию навсегда, иначе не будут приходить заказы» — это обусловливание доступа к работе предоставлением избыточных данных. Формально вы согласие уже «дали» при первом включении, но раз его условием становится постоянное (а не «при использовании») отслеживание, такое согласие перестаёт быть свободным, конкретным и предметным: вы даёте его не добровольно, а под давлением экономической зависимости от платформы.
Договор с платформой не может содержать положений, ограничивающих права субъекта данных.
- обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных
— п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ
Важно: вы сами указали, что в пользовательском соглашении про постоянный доступ к геолокации ничего не сказано. Значит, условие «работаешь, только если геолокация включена 24/7» не только непрописано в оферте, но и — даже если бы было прописано — ограничивало бы ваши права и потому не могло бы считаться законным основанием обработки. Обработка для исполнения договора (п. 5 ч. 1 ст. 6) оправдывает доступ к геолокации только в той мере, в какой это нужно для выполнения конкретного заказа, а не для круглосуточного мониторинга.
Ваше право — отозвать согласие (в том числе переключив доступ обратно на «при использовании»), и оператор обязан это учитывать.
- Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора. 4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
— ч. 2 ст. 9 Федерального закона № 152-ФЗ
Бремя доказывания наличия правового основания для обработки лежит на операторе, а не на вас — это прямо установлено ч. 3 ст. 9 152-ФЗ, закреплённой в процитированном фрагменте. Если сервис требует доступ, он обязан показать, на каком основании — а поскольку в соглашении условия нет, показать ему нечего.
Вывод по вопросу: требование включать геолокацию круглосуточно под угрозой «не дадим заказы» — это принуждение к согласию, которое закон признаёт недопустимым; такое условие неправомерно независимо от того, прописано оно в соглашении или просто навязывается через push-уведомления. Ваш выбор режима «при использовании» юридически защищён.
Если ваши отношения с сервисом оформлены как трудовые — действует гл. 14 ТК РФ
Развилка: форма отношений определяет, добавляются ли к 152-ФЗ специальные нормы ТК РФ.
- обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества; (В редакции Федерального закона от 02.07.2013 № 185-ФЗ) 2) при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией Российской Федерации , настоящим Кодексом и иными федеральными законами; 3) все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение; 4) работодатель не имеет права получать и обрабатывать сведения о работнике, относящиеся в соответствии с законодательством Российской Федерации в области персональных данных к специальным категориям персональных данных, за исключением случаев, предусмотренных настоящим Кодексом и другими федеральными законами;
— п. 1 ст. 86 ТК РФ
Перечень целей обработки в ст. 86 ТК закрытый. Геолокация работника может обрабатываться только для «контроля количества и качества выполняемой работы» и «обеспечения сохранности имущества» — то есть в рабочее время и применительно к выполняемым заказам. Круглосуточная передача координат вне рабочего времени не входит ни в одну из легальных целей: это не контроль качества работы (вы в этот момент не работаете) и не защита имущества. Следовательно, даже при трудовом договоре постоянная слежка незаконна.
Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном настоящим Кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами. (В редакции федеральных законов от 30.06.2006 № 90-ФЗ; от 07.05.2013 № 99-ФЗ) Раздел IV. РАБОЧЕЕ ВРЕМЯ Глава 15. ОБЩИЕ ПОЛОЖЕНИЯ
— ст. 90 ТК РФ
Разбор применения: норма возлагает на лиц, незаконно обрабатывающих персданные работника, весь спектр ответственности — дисциплинарную, материальную, гражданско-правовую, административную и уголовную. То есть независимо от формы отношений оператор/работодатель несёт ответственность за незаконную обработку данных о местоположении.
Вывод по вопросу (развилка): если вы состоите в трудовых отношениях с сервисом — требование вести геолокацию круглосуточно противоречит ст. 86 ТК РФ (цели обработки исчерпывающие, круглосуточное отслеживание в них не входит). Если отношения оформлены как ГПХ/самозанятость/оферта приложения — применяются только нормы 152-ФЗ, разобранные в предыдущих блоках, с тем же итогом: постоянный доступ вне выполнения заказов неправомерен.
Куда жаловаться и какие последствия для оператора
У вас есть два независимых канала защиты, и можно использовать оба одновременно.
1. Жалоба в Роскомнадзор — уполномоченный орган по защите прав субъектов персональных данных (внесудебный порядок). Он обязан рассматривать обращения и вправе привлекать виновных к административной ответственности.
- привлекать к административной ответственности лиц, виновных в нарушении настоящего Федерального закона. 4. В отношении персональных данных, ставших известными уполномоченному органу по защите прав субъектов персональных данных в ходе осуществления им своей деятельности, должна обеспечиваться конфиденциальность персональных данных. 5. Уполномоченный орган по защите прав субъектов персональных данных обязан: 1) организовывать в соответствии с требованиями настоящего Федерального закона и других федеральных законов защиту прав субъектов персональных данных; 2) рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений; 3) вести реестр операторов; 4) осуществлять меры, направленные на совершенствование защиты прав субъектов персональных данных; 5) принимать в установленном законодательством Российской Федерации порядке по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, федерального органа исполнительной власти в области государственной охраны или федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, меры по приостановлению или прекращению обработки персональных данных;
— п. 9 ч. 3 ст. 23 Федерального закона № 152-ФЗ
Роскомнадзор рассматривает ваше обращение о несоответствии объёма и способов обработки геолокации целям, может потребовать прекратить обработку и оштрафовать оператора (административная ответственность за обработку персональных данных с нарушением ст. 13.11 КоАП РФ).
2. Судебный порядок — компенсация морального вреда. Это отдельное и более существенное для вас последствие.
Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке. Глава 4. Обязанности оператора
— ст. 17 Федерального закона № 152-ФЗ, п. 2
Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков. (Дополнение частью - Федеральный закон от 25.07.2011 № 261-ФЗ) Глава 6. Заключительные положения
— ст. 24 Федерального закона № 152-ФЗ, п. 2
Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. (В редакции Федерального закона от 02.07.2013 № 142-ФЗ) При определении размеров компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями гражданина, которому причинен вред. (В редакции Федерального закона от 02.07.2013 № 142-ФЗ)
— ст. 151 ГК РФ
Размер компенсации морального вреда определяется судом в зависимости от характера причиненных потерпевшему физических и нравственных страданий, а также степени вины причинителя вреда в случаях, когда вина является основанием возмещения вреда. При определении размера компенсации вреда должны учитываться требования разумности и справедливости. Характер физических и нравственных страданий оценивается судом с учетом фактических обстоятельств, при которых был причинен моральный вред, и индивидуальных особенностей потерпевшего. Глава 60. Обязательства вследствие неосновательного обогащения
— ст. 1101 ГК РФ, п. 2
Разбор применения: незаконная круглосуточная обработка вашей геолокации напрямую посягает на нематериальное благо — неприкосновенность частной жизни (ст. 23–24 Конституции РФ), а «слежка за мной», которую вы прямо обозначили как источник беспокойства, — это и есть нравственные страдания, подлежащие компенсации по ст. 151 ГК РФ. 152-ФЗ прямо предусматривает, что моральный вред от нарушения правил обработки персданных возмещается независимо от возмещения убытков. Размер суд определит с учётом разумности и справедливости (ст. 1101 ГК РФ).
Вывод по вопросу: орган для жалобы — Роскомнадзор (внесудебно, может оштрафовать оператора); суд общей юрисдикции — для взыскания компенсации морального вреда и требования прекратить избыточную обработку (прекратить обработку сведений о местоположении вне выполнения заказов). Оба способа можно задействовать параллельно, они не исключают друг друга.