Дата рождения и идентификационный номер в согласии: когда это избыточные персональные данные

Предоставление персональных данных, в т.ч. в согласии на обработку персональных данных, является обработкой персональных данных, в связи с чем прежде всего должны соблюдаться общие требования к обработке персональных данных, определенные в ст. 4 Закона от 07.05.2021 № 99‑З «О защите персональных данных» (далее – Закон № 99‑З):

• обработка персональных данных осуществляется в соответствии с Законом № 99‑З и иными актами законодательства;
• обработка персональных данных должна быть соразмерна заявленным целям их обработки и обеспечивать на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц;
• обработка персональных данных должна ограничиваться достижением конкретных, заранее заявленных законных целей. Не допускается обработка персональных данных, не совместимая с первоначально заявленными целями их обработки;
• содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям их обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

В пункте 6 ст. 5 Закона № 99‑З определено, что субъект персональных данных при даче своего согласия оператору указывает свои фамилию, собственное имя, отчество (если таковое имеется), дату рождения, идентификационный номер, а в случае отсутствия такого номера – номер документа, удостоверяющего его личность, за исключением случая, предусмотренного ч. 2 п. 6 ст. 5 Закона № 99‑З.

Если цели обработки персональных данных не требуют обработки информации, указанной в ч. 1 п. 6 ст. 5 Закона № 99‑З, эта информация не подлежит обработке оператором при получении согласия субъекта персональных данных.

Тем самым, если для участия в конкурсе нет необходимости собирать и иным образом обрабатывать дату рождения и идентификационный номер субъекта и без этой информации субъект, дающий согласие на обработку его персональных данных, может быть однозначно идентифицирован, указание в тексте согласия на обработку персональных данных даты рождения и идентификационного номера субъекта является избыточной обработкой персональных данных.

Соответственно, при разработке в организации, проводящей конкурс, текста согласия на обработку персональных данных не должны предусматриваться графы «дата рождения» и «идентификационный номер субъекта», а также эта организация не вправе требовать их указания при даче согласия.

Кроме того, чтобы обеспечить соразмерность обработки персональных данных заявленным целям их обработки (п. 2 ст. 4 Закона № 99‑З), ограничиться при обработке достижением конкретных, заранее заявленных законных целей (п. 4 ст. 4 Закона № 99‑З), выполнить требование о соответствии содержания и объема обрабатываемых персональных данных заявленным целям их обработки и не допустить избыточной обработки персональных данных (п. 5 ст. 4 Закона № 99‑З), организация, проводящая конкурс, должна в своей Политике в отношении обработки персональных данных и Реестре обработки не указывать в перечне персональных данных, обрабатываемых для цели участия в конкурсе, дату рождения и идентификационный номер субъекта.