Объем обработки ПДн контрагента – индивидуального предпринимателя

Организация планирует заключить договор оказания услуг с Индивидуальным предпринимателем (ИП). В соответствии с пунктом 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» допускается обработка персональных данных, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных. В тоже время положениями части 5 статьи 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» установлено, что содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки, а также что обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. Правомерно ли включение в договор оказания услуг паспортных данных ИП, не является ли это избыточной обработкой персональных данных ИП, т.к. для удостоверения личности достаточно предъявления паспорта при заключении договора и последующая обработка (хранение договора с паспортными данными ИП) может быть признано избыточным? Имеются ли по данному вопросу позиция Роскомнадзора?

Как Вы правильно заметили в тексте вопроса, необходимость заключения и/или исполнения договора является одним из условий для обработки персональных данных (далее — ПД). При этом содержание и объем обрабатываемых ПД должны соответствовать заявленным целям обработки и не должны быть избыточными. Обработка ПД может включать не только обработку данных, включенных в текст договора, но и других ПД контрагента. То есть теоретически и данные паспорта, при необходимости, могут обрабатываться, но не вноситься в договор.

Текст договора должен включать в себя необходимый минимум ПД, позволяющий сторонам пользоваться правами и исполнять предусмотренные договором обязанности, в частности: идентифицировать и найти контрагента, осуществлять платежи, установить подсудность, а также содержать сведения, которые могут потребоваться сторонам в случае обращения в суд.

Учитывая, что стороной по договору будет являться ИП, в договор необходимо включить данные для его идентификации как субъекта предпринимательской деятельности: ФИО (с обозначением «ИП»), ОГРНИП, ИНН, адрес регистрации в качестве ИП, банковские реквизиты для проведения платежей. Вполне обоснованным будет указание номеров ОКВЭД, подтверждающих, что предмет договора не выходит за их пределы, номера телефона и адреса электронной почты для коммуникаций (в дополнение к адресу регистрации). Там, где это применимо, целесообразно указать реквизиты разрешений/лицензий для осуществления предусмотренной договором деятельности.

Паспорт субъекта (это может быть как ИП, так и его уполномоченный представитель) потребуется непосредственно перед подписанием договора для идентификации физического лица, которое будет его подписывать. При этом заносить паспортные данные подписанта в текст договора нет необходимости, так как они не потребуются для его исполнения. О позиции РКН на этот счет ничего не известно. Однако хочу предостеречь от практики копирования паспорта подписанта для сохранения в архиве компании. РКН обозначил конкретные условия для хранения копий паспортов работников компаний, которые для данного случая вряд ли будут уместны.

Ответ подготовил Владимир Скурыдин (07.11.2020)