Купівля-продаж персональних даних

База персональних даних: первинний збір інформації і формування бази даних, її купівля-продаж і узаконення

Купівля-продаж персональних даних

Інформація – цінний товар. Актуальна база персональних даних, наприклад, клієнтів, і правильне її використання надають беззаперечні переваги: розуміння потреб і запитів клієнтів, розширення їх кола, спрощення та індивідуалізація комунікації з клієнтом, і як наслідок, підвищення рівня продаж. Персональні дані, як товар, самі по собі можуть принести прибуток внаслідок їх законного відчуження. Така інформація може бути предметом різних угод, у тому числі договору про купівлю-продаж бази даних.

База персональних даних: первинний збір інформації і формування бази даних, її купівля-продаж і узаконення
База персональних даних як товар: первинний збір і наступний продаж.

База персональних даних: збір і розпорядження інформацією.

Правомірне створення (набуття) бази персональних даних – безальтернативний спосіб її узаконення. Перший варіант реалізації – законний збір і створення бази персональних даних. Другий варіант правомірного набуття – купівля-продаж бази даних у особи, яка правомірно створила її та має право передавати зібрані відомості третім особам. Обидва варіанти розглянуті у цій бліц-консультації. Почнемо з розгляду питання первинного створення бази персональних даних.

Первинний збір відомостей і формування бази персональних даних.

Чіткі правила первинного збору персональних даних і формування відповідної бази даних встановлені Законом України “Про захист персональних даних” (далі просто “Закон”). Які вимоги і правила Закону? Головні з них це: 1) попереднє отримання згоди на збір і опрацювання даних; 2) інформування суб’єкта персональних даних про найменування і місцезнаходження володільця і розпорядника персональних даних; 3) повідомлення про мету обробки персональних даних. У блозі Legal Support розміщена консультація, яка добре розкриває питання отримання згоди на збір і обробку особистих даних. Гіперпосилання на консультацію додане нижче.

Якщо необхідність формування бази персональних даних обумовлена метою її подальшого відчуження, у тому числі за плату, зауважте – законна купівля-продаж даних про фізичних осіб також залежить і від характеру зібраної інформації. Навіть за умови отримання дозволу на збір і наступне відчуження персональних даних, деяка особиста інформація не може бути продана або в інший спосіб відчужена володільцем бази даних. Перелік виключень буде не однаковим у різних юрисдикціях. Тим більше, якщо перед юристом поставлена задача досягти дотримання регуляторних правил Європейського Союзу.

Про порядок отримання згоди на збір і обробку, права суб’єктів персональних даних та обов’язки володільця і розпорядника даних читайте у консультації – Використання персональних даних в Україні та ЄС. Показова і цікава різниця у підходах до купівлі та продажу баз даних з відомостями про фізичних осіб у різних країнах світу.

База персональних даних або анонімізовані відомості про вподобання і поведінку клієнтів – що “продають” у США, ЄС, Україні та світі?

Для України та пострадянського простору (окрім європейської частини) є поширеною і нормальною практика купівлі-продажу баз, власне, персональних даних. Для європейських країн, США та Японії притаманна інша практика – купівля-продаж баз даних з анонімізованою інформацією про клієнтів, користувачів і підписників сервісів. Анонімізована інформація про поведінку і вподобання користувачів та ще і з розподілом за віковими групами неоцінена для маркетингу. В Японії навіть фінансові установи мають можливість формувати подібні бази даних і продавати їх своїм корпоративним клієнтам. За відомостями офіційного веб-ресурсу Bloomberg першим японським банком, який продаватиме анонімізовані дані про поведінку і вподобання своїх клієнтів, став банк Mizuho (Mizuho Financial Group Inc).

Не торкаючись питання купівлі-продажу баз персональних даних з не анонімізованими відомостями, зауважимо, що навіть у випадку продажу анонімізованих відомостей про суб’єктів персональних даних, їх слід проінформувати про такі дії. Для цих цілей використовують сповіщення (політики) про конфіденційність або відповідні положення двосторонніх угод.

Купівля-продаж персональних даних – чи дозволено законом?

Так, дозволено, за умови дотримання прав суб’єктів персональних даних і обов’язків, визначених Законом, обома сторонами угоди про купівлю-продаж персональних даних.

Закон не містить прямих заборон щодо продажу баз персональних даних. Натомість, Закон містить застереження щодо прав суб’єктів персональних даних і відповідних обов’язків володільця і розпорядника бази даних, зокрема стосовно вичерпного попереднього інформування суб’єкта персональних даних про операції з його відомостями.

Таким чином, питання узаконення бази персональних даних тісно пов’язано з законністю її набуття і дотримання прав суб’єктів персональних даних (наприклад, клієнтів, інформація про яких міститься у клієнтській базі) при первинному зборі і наступному продажу даних. Є різні юридичні практики і підходи стосовно юридичного оформлення передачі (продажу) бази персональних даних. Деякі юристи виходять з позиції того, що відбувається продаж (надання виключної або обмеженої ліценції) права користування та/або розпорядження базою даних, виключно як об’єктом права інтелектуальної власності. Ми вважаємо, що така позиція у чистому вигляді дійсно має право на існування. Однак, ураховуючи утилітарний характер формування бази персональних даних і мету її відчуження, акцент слід розставляти на інших питаннях, ніж у типовому договорі про розпорядження об’єктами права інтелектуальної власності.

Як правильно укласти Угоду купівлі-продажу бази персональних даних?

Для правильного укладення угоди купівлі-продажу бази персональних даних потрібно подбати про три питання: а) перевірити наявність законних передумов укладення договору, включаючи належне отримання дозволу користувачів/клієнтів; б) правильно викласти предмет угоди і обов’язки сторін; в) належним чином оформити текст угоди, перевірити повноваження осіб, які її підписують, долучити необхідні додатки (довіреності, завірені тексти оферт, за якими отримано згоду суб’єктів персональних даних тощо).

Продаж і набуття бази персональних даних за договором – законна операція за умови дотримання одного правила. Наявність підтвердження належного отримання згоди суб’єкта персональних даних (наприклад, клієнта) на збір і передачу його відомостей третім особам – це обов’язкова умова для законного укладення угоди.

Правильний предмет угоди про купівлю-продаж персональних даних – у предметі зазначається про обов’язок однієї сторони передати, а іншої оплатити і прийняти базу даних в користування та/або розпорядження. Предмет також має містити назву і короткий опис бази даних та посилання на окремий пункт угоди або додаток до угоди, в якому міститься розгорнутий опис бази даних і способу її формування. З огляду на визначений предмет угоди, виписуються обов’язки і права сторін. В тексті угоди доречно передбачити окремі гарантії, які бере на себе продавець бази даних. Ці гарантії передусім пов’язані з декларацією продавця про правомірність набуття персональних даних і належне отримання згоди суб’єктів персональних даних, відомості про яких включено до бази даних.

Оформлення і підписання угоди – є два прості, але важливі нюанси оформлення і підписання тексту угоди. Перше – забезпечте наявність підписів сторін на кожній сторінці угоди. Друге – перевірьте повноваження підписантів. Так, якщо угоду підписує директор підприємства, то потрібно ознайомитись з його повноваженнями і обмеженнями за статутом і відомостями з ЄДР. Якщо договір підписує представник за довіреністю, слід уважно вивчити повноваження як довірителя, так і повіреного за довіреністю. Інакше можна опинитись у ситуації, коли угоду буде визнано недійсною в судовому порядку.  Завжди звертаємо увагу на ще одне питання – нотаріальне посвідчення такої угоди не є обов’язковим. Хоча, сторона, яка прагне отримати додаткові гарантії, може наполягати на нотаріальному посвідченні.

Цикл публікацій про персональні дані та законодавчі вимоги.

Сьогоднішня бліц-консультація завершена. Питання, які ми мали намір висвітити у рамках цієї короткої консультації, розглянуті. Проблематика законного збору і обробки персональних даних у відповідності до законодавства Європейського Союзу та України висвітлена у подробицях у попередніх консультаціях наших юристів. Більше 20 публікацій, присвячених питанням: дотримання правил Загального регламенту про захист даних ЄС, функціям DPO, правильного розміщення сповіщень для користувачів і оформлення сайтів e-commerce майданчиків, розміщені у блозі Legal Support. Доступ до цих матеріалів вільний, безкоштовний і не потребує реєстрації.

З повагою до читачів, юрист Мовчун Євгеній

Блог – Купівля-продаж бази персональних даних