С 01 сентября 2022 г. вступают в силу изменения в Закон РФ от 07.02.1992 N 2300-1 «О защите прав потребителей» (далее – ЗоПП).
В частности, поговорим о п. 4. ст. 16 ЗоПП, согласно которой теперь установлено:
«Продавец (исполнитель, владелец агрегатора) не вправе отказывать потребителю в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем.
При предъявлении потребителем требования о предоставлении информации о конкретных причинах и правовых основаниях, определяющих невозможность заключения, исполнения, изменения или расторжения договора без предоставления персональных данных, в письменной форме (в том числе в форме электронного документа) продавец (исполнитель, владелец агрегатора) должен предоставить такую информацию в течение семи дней со дня предъявления указанного требования.
Продавец (исполнитель, владелец агрегатора) предоставляет информацию потребителю в той форме, в которой предъявлено требование потребителя о предоставлении информации о конкретных причинах и правовых основаниях, определяющих невозможность заключения, исполнения, изменения или расторжения договора без предоставления персональных данных, если иное не указано в этом требовании.
При предъявлении потребителем требования о предоставлении информации о конкретных причинах и правовых основаниях, определяющих невозможность заключения, исполнения, изменения или расторжения договора без предоставления персональных данных, в устной форме такая информация должна быть предоставлена незамедлительно».
Таким образом, в ЗоПП введена норма, фактически запрещающая требовать от потребителя предоставления «избыточных»* персональных данных, за исключением случаев, если обязанность предоставления таких данных установлена законом или связана с исполнением договора с потребителем. То есть продавец (исполнитель, владелец агрегатора) может запросить только некоторые персональные данные, необходимые для исполнения договора.
При этом потребитель может запросить, с какой целью собираются его персональные данные.
Обращение может быть как устным, так и письменным. Если обращение устное, продавец (исполнитель, агрегатор) обязан дать ответ потребителю немедленно. Если обращение будет подано письменно, в электронной или иной форме, то ответ должен быть дан в течение семи дней. За этим будет следить Роспотребнадзор, практика покажет, как это будет происходить.
До этих нововведений *частями 2,4, 5 ст. 5 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» уже было установлено, что обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора. Обработке подлежат только персональные данные, которые отвечают целям их обработки. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
То есть нарушением является, когда персональные данные избыточны по отношению к целям их обработки или обрабатываются с целью, которая не указана в договоре.
Например, не должна осуществляться обработка копии паспорта потребителя (паспортных данных), не требующихся для исполнения договора. Или, например, для сервиса доставки еды (исполнения договора) достаточно адреса и номера телефона заказчика, а на сайте доставщик предлагает дополнительно предоставить паспортные данные заказчика, и это обязательное условие для доставки еды. Такие требования (и персональные данные) будут избыточными, не установленными законом и не связанным, в т.ч., с исполнением договора.
В каких случаях можно требовать от потребителя персональные данные?
Персональные данные для заключения договора можно потребовать в двух случаях:
1. Если без них продавец не может выполнить свои обязательства по договору. Например, необходимы адрес и телефон потребителя для доставки товара; необходим адрес электронной почты потребителя, чтобы отправить на него билеты на мероприятие, если скачать их напрямую с сайта нельзя;
2. В случаях, установленных законом. Например, при заключении потребителем договора с мобильным оператором, банком, микрофинансовой организацией.
Нельзя требовать от потребителя, в том числе, при работе с рассылками:
- при покупке товара указать ФИО, электронную почту, согласие на рекламную рассылку (как обязательное условие заключения сделки);
- предустанавливать галочки в чекбоксах на сайтах продавца, покупатель должен сделать это сам (добровольно);
- объединять (подменять) согласие на обработку персональных данных и согласие на рассылку (это два отдельных действия, которые потребитель волеизъявление на осуществление которых покупатель должен сделать самостоятельно);
- завуалированно включать согласия в документы, соглашаясь с которыми, покупатель «автоматически» соглашается на рассылку, обработку каких-то персональных данных.
Также пользователю должна быть обеспечена возможность отписаться от рассылки Если пользователь хочет отписаться от рассылки, ее необходимо отключить и уведомить об этом пользователя. Иначе можно столкнуться с претензиями УФАС России в связи с рассылкой рекламы без предварительного согласия получателя рассылки.
Нельзя будет требовать предъявить паспорт при возврате денег за товар, так как, общему правилу, паспортные данные не являются обязательными при таком возврате. В силу абзаца 3 п. 1 ст. 25 ЗоПП возврат товара осуществляется при наличии чека или иного подтверждающего оплату документа.
Ответственность за отказ в заключении, исполнении, изменении или расторжении договора с потребителем в связи с его отказом предоставить свои персональные данные.
Федеральным законом от 28 мая 2022 г. N 145-ФЗ «О внесении изменения в статью 14.8 Кодекса Российской Федерации об административных правонарушениях» введена административная ответственность за отказ в заключении, исполнении, изменении или расторжении договора с потребителем в связи с его отказом предоставить свои персональные данные. Это не касается случаев, когда обязанность предоставления таких данных предусмотрена законом или непосредственно связана с исполнением договора с потребителем.
Штраф для должностных лиц составит от 5 тыс. до 10 тыс. руб., для организаций — от 30 тыс. до 50 тыс. руб.
Закон вступает в силу с 1 сентября 2022 г.
Автор: Любовь Шаталина, юрист