Запрет требования избыточных персональных данных

С 01 сентября 2022 г. вступают в силу изменения в Закон РФ от 07.02.1992 N 2300−1 «О защите прав потребителей» (далее — ЗоПП)

В частности, поговорим о п. 4. ст. 16 ЗоПП, согласно которой теперь установлено:

«Продавец (исполнитель, владелец агрегатора) не вправе отказывать потребителю в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем.

При предъявлении потребителем требования о предоставлении информации о конкретных причинах и правовых основаниях, определяющих невозможность заключения, исполнения, изменения или расторжения договора без предоставления персональных данных, в письменной форме (в том числе в форме электронного документа) продавец (исполнитель, владелец агрегатора) должен предоставить такую информацию в течение семи дней со дня предъявления указанного требования.

Продавец (исполнитель, владелец агрегатора) предоставляет информацию потребителю в той форме, в которой предъявлено требование потребителя о предоставлении информации о конкретных причинах и правовых основаниях, определяющих невозможность заключения, исполнения, изменения или расторжения договора без предоставления персональных данных, если иное не указано в этом требовании.

При предъявлении потребителем требования о предоставлении информации о конкретных причинах и правовых основаниях, определяющих невозможность заключения, исполнения, изменения или расторжения договора без предоставления персональных данных, в устной форме такая информация должна быть предоставлена незамедлительно".

Таким образом, в ЗоПП введена норма, фактически запрещающая требовать от потребителя предоставления «избыточных"* персональных данных, за исключением случаев, если обязанность предоставления таких данных установлена законом или связана с исполнением договора с потребителем. То есть продавец (исполнитель, владелец агрегатора) может запросить только некоторые персональные данные, необходимые для исполнения договора.

При этом потребитель может запросить, с какой целью собираются его персональные данные.

Обращение может быть как устным, так и письменным. Если обращение устное, продавец (исполнитель, агрегатор) обязан дать ответ потребителю немедленно. Если обращение будет подано письменно, в электронной или иной форме, то ответ должен быть дан в течение семи дней. За этим будет следить Роспотребнадзор, практика покажет, как это будет происходить.

До этих нововведений *частями 2, 4, 5 ст. 5 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» уже было установлено, что обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора. Обработке подлежат только персональные данные, которые отвечают целям их обработки. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

То есть нарушением является, когда персональные данные избыточны по отношению к целям их обработки или обрабатываются с целью, которая не указана в договоре.

Например, не должна осуществляться обработка копии паспорта потребителя (паспортных данных), не требующихся для исполнения договора. Или, например, для сервиса доставки еды (исполнения договора) достаточно адреса и номера телефона заказчика, а на сайте доставщик предлагает дополнительно предоставить паспортные данные заказчика, и это обязательное условие для доставки еды. Такие требования (и персональные данные) будут избыточными, не установленными законом и не связанным, в т. ч., с исполнением договора.

В каких случаях можно требовать от потребителя персональные данные

Персональные данные для заключения договора можно потребовать в двух случаях:

1. если без них продавец не может выполнить свои обязательства по договору. Например, необходимы адрес и телефон потребителя для доставки товара; необходим адрес электронной почты потребителя, чтобы отправить на него билеты на мероприятие, если скачать их напрямую с сайта нельзя;
2. в случаях, установленных законом. Например, при заключении потребителем договора с мобильным оператором, банком, микрофинансовой организацией.

Нельзя требовать от потребителя, в том числе, при работе с рассылками:

— при покупке товара указать ФИО, электронную почту, согласие на рекламную рассылку (как обязательное условие заключения сделки);
-предустанавливать галочки в чекбоксах на сайтах продавца, покупатель должен сделать это сам (добровольно);
— объединять (подменять) согласие на обработку персональных данных и согласие на рассылку (это два отдельных действия, которые потребитель волеизъявление на осуществление которых покупатель должен сделать самостоятельно);
— завуалированно включать согласия в документы, соглашаясь с которыми, покупатель «автоматически» соглашается на рассылку, обработку каких-то персональных данных.


Также пользователю должна быть обеспечена возможность отписаться от рассылки Если пользователь хочет отписаться от рассылки, ее необходимо отключить и уведомить об этом пользователя. Иначе можно столкнуться с претензиями УФАС России в связи с рассылкой рекламы без предварительного согласия получателя рассылки.


Нельзя будет требовать предъявить паспорт при возврате денег за товар, так как, общему правилу, паспортные данные не являются обязательными при таком возврате. В силу абзаца 3 п. 1 ст. 25 ЗоПП возврат товара осуществляется при наличии чека или иного подтверждающего оплату документа.

Ответственность за отказ в заключении, исполнении, изменении или расторжении договора с потребителем в связи с его отказом предоставить свои персональные данные

Федеральным законом от 28 мая 2022 г. N 145-ФЗ «О внесении изменения в статью 14.8 Кодекса Российской Федерации об административных правонарушениях» введена административная ответственность за отказ в заключении, исполнении, изменении или расторжении договора с потребителем в связи с его отказом предоставить свои персональные данные. Это не касается случаев, когда обязанность предоставления таких данных предусмотрена законом или непосредственно связана с исполнением договора с потребителем.

Штраф для должностных лиц составит от 5 тыс. до 10 тыс. руб., для организаций — от 30 тыс. до 50 тыс. руб.

Закон вступает в силу с 1 сентября 2022 г.