Если у нас есть согласие человека, которое явно разрешает обработку его персональных данных, включая анализ информации из всех доступных источников, насколько это юридически обоснованно?

Здравствуйте, Алексей!

Исходя из того, что в силу ч. 1, 2 ст. 9 Федерального закона от 27.07.2006 №152-ФЗ, согласие человека на обработку его персональных данных (далее — ПД) должно быть

конкретным, предметным, информированным, сознательным и однозначным

и к тому же должна быть возможность это согласие отозвать, очевидно, что согласие он должен давать вполне конкретному оператору ПД. Проще говоря, если он дал согласие Госуслугам, его ПД не должны выходить за рамки этих Госуслуг.

Более того, согласно ч. 2 ст. 5 ФЗ №152, оператор ПД может обрабатывать их только с конкретной целью и до их достижения. Ваши цели обработки отличаются от целей обработки того оператора, кому люди давали согласие.

Поэтому ПД, полученные на основе утечек, Вы обрабатывать не имеете права. Здесь можно попасть под ч. 1 ст. 137 УК РФ.

Ниже продолжу.

Добрый вечер, уважаемый Алексей! 

В данном случае правовой точки зрения  при заключении гражданином с любой организацией – оператором ПД любого договора в своих интересах такая организация вправе обрабатывать его персональные данные. А соответственно  обработка ПД – это любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.)

Поэтому в согласии на обработку персональных данных, которые организация-оператор вправе не только обрабатывать, но и распространять, необходимо указывать контактные данные гражданина, а также иные сведения, перечень которых дан в законодательстве (Приказ Роскомнадзора от 24 февраля 2021 г. № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения»).

В части того какие конкретные юридические аспекты и риски следует учитывать, особенно если клиентская компания предоставляет нам такое согласие от кандидата на работу. 

Типичные нарушения прав субъектов ПД законодатель перечислил в ст. 13.11 КоАП РФ и установил за них административную ответственность. В частности, оператор может быть оштрафован за обработку персональных данных в случаях, которые не предусмотрены законодательством, а также за обработку данных, несовместимую с целью их сбора.

При таких нарушениях ему грозит штраф до 100 тыс. руб. За обработку данных без письменного согласия человека, когда оно необходимо по закону, оператор может быть оштрафован на сумму до 150 тыс. руб.

Если лицо посчитает, что оператор ПД нарушает  права, то можно обратиться с жалобой в Роскомнадзор или с иском в суд. В случае установления судом нарушения прав вы сможете рассчитывать на выплату оператором компенсации морального вреда.

В этой связи любая компания или ИП обязаны перед обработкой персональных данных получить на это согласие физлица: в письменной форме либо же в форме электронного документы, подписанного ЭЦП. Согласие на обработку персональных данных обязательно должнобыть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 закона № 152-ФЗ).

Что касается согласия через сторонние сервисы, такие как Тинькофф ID и Госуслуги, да Вы можете  использовать согласие на обработку данных, полученное через такие сервисы, для Вашей деятельности, с учетом вышеуказанных соблюдений и условий. 

Поэтому  для включения сведений в указанны источники необходимо также о согласие того или иного субъекта и ресурсы согласиями обзаводятся вполне и возможно и каких либо ограничений в использовании этих сервисов в контексте Вашего бизнеса нет.

Кроме того, необходимо Вам учитывать, что согласие может быть в любой момент отозвано (ст. 9 закона № 152-ФЗ). Тогда оператор обязан прекратить обработку персональных данных и уничтожить те, что ранее собрал. 

Обработка персональных данных без согласия физлица, в том числе и в случаях, когда согласие на обработку было отозвано, является основанием для привлечения организации и ИП к административной ответственности по ч. 2 ст. 13.11 КоАП. 

Если часть требований не учесть при составлении согласия, обработка будет считаться проведенной без согласия, а оператору будет грозить крупный штраф.

Более того, появились и новые штрафы за нарушение правил работы с биометрическими персональными данными. С 23 декабря 2023 года вводится в действие новая ст. 13.11.3 КоАП «Нарушение требований в области размещения биометрических персональных данных».

Биометрические персональные данные — это сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность(ст. 11 закона от 27.07.2006 № 152-ФЗ). Обработкой биометрических персональных данных занимаются банки и МФЦ. Он размещают данные в Единой биометрической системе. Сделать это можно только с письменного согласия физлица. За нарушение может грозить также штраф.

Поэтому если собладать нормы закона, Вы вполне можем  опубликовать общие выводы и заключения на основе данной информации, не раскрывая личность владельца номера, а соответственно вполне может  включаться информация о возможной сфере деятельности, связанной с этим номером, без указания конкретного лица.

Таким образом, на основании вышеизложенного, и предоставленной информации, в данном конкретном Вашем случае, с юридической точки зрения, при соблюдении условий и правил действующего законодательства Ваша компания может предоставлять уникальный онлайн сервис для проверки физических лиц для эффективной проверки потенциальных сотрудников или клиентов, используя общедоступную информацию.

Рад был Вам максимально помочь, уважаемый Алексей! 

Удачи Вам в бизнесе!