Как защититься от требования о предоставлении информации о персональных данных

Почему персональные данные стали мишенью гринмейла

Право акционера или участника общества на получение информации о деятельности компании закреплено в Федеральном законе от 26.12.1995 № 208-ФЗ «Об акционерных обществах» (ст. 89–91) и Федеральном законе от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью» (ст. 8). Миноритарий может запрашивать бухгалтерские документы, протоколы, списки аффилированных лиц, кадровые приказы и иные материалы. Значительная часть таких документов содержит персональные данные работников, контрагентов, других акционеров (участников).

Гринмейлер использует это противоречие: с одной стороны, формально закон даёт право на информацию, с другой — передача персональных данных третьих лиц без их согласия ограничена Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Шантажист рассчитывает, что компания либо откажет немотивированно (и тогда он выиграет иск о предоставлении документов), либо передаст данные (и тогда появится повод для жалоб в Роскомнадзор и новых исков). Задача защищающейся стороны — разорвать этот порочный круг, продемонстрировав, что требование является злоупотреблением правом.

Правовая основа: право на информацию vs. защита персональных данных

Статья 10 Гражданского кодекса РФ устанавливает запрет на злоупотребление правом в любой форме. Если акционер (участник) запрашивает документы не для защиты своих законных интересов, а с целью причинить вред обществу, создать условия для корпоративного шантажа, такой отказ правомерен. Судебная практика исходит из того, что право на информацию не является абсолютным: оно ограничено, в том числе, необходимостью соблюдения прав иных лиц.

Федеральный закон № 152-ФЗ (ст. 6, 9) допускает обработку персональных данных без согласия субъекта только в случаях, прямо предусмотренных законом. Обязанность общества предоставить акционеру документы, содержащие персональные данные, не всегда следует из закона автоматически. Например, предоставление копий кадровых приказов, трудовых договоров, списков работников с полными персональными данными обычно не требуется для реализации прав акционера, если только это не связано с оспариванием сделок или подготовкой к общему собранию. В каждом случае необходим баланс интересов.

Признаки злоупотребления правом: как отличить шантаж от законного запроса

Не каждый запрос информации — гринмейл. Компания должна оценить совокупность обстоятельств. Ниже приведены критерии, которые суды, как правило, учитывают при квалификации действий заявителя как недобросовестных.

• Массовость и периодичность: запросы подаются десятками, часто повторяются, дублируют ранее предоставленные документы.
• Отсутствие связи с корпоративным интересом: заявитель не участвует в управлении, не готовится к собранию, не оспаривает сделки, не раскрывает цель получения информации.
• Требование заведомо конфиденциальных или персональных данных, не относящихся к деятельности общества в целом (например, домашние адреса, телефоны работников).
• Сопровождение запросов угрозами, требованиями выкупа доли по завышенной цене, жалобами в контролирующие органы.
• Использование полученной информации для распространения в СМИ, направления многочисленных исков, создания репутационного ущерба.
• Несоразмерность объёма запроса: требование предоставить все документы за длительный период без указания конкретных реквизитов.

Безупречные процедуры: пошаговая защита

Ключевой принцип: каждый отказ должен быть мотивирован, а каждое действие — документально зафиксировано. Это позволит в суде доказать добросовестность общества и злоупотребление со стороны заявителя. Рекомендуется выстроить следующий порядок.

• Ведите журнал учёта запросов: дата, входящий номер, заявитель, перечень требований, срок ответа. Фиксируйте все обращения, включая устные.
• Проверяйте статус заявителя: является ли он акционером (участником) на дату запроса, какова его доля, нет ли ограничений (залог, арест).
• Анализируйте запрос на предмет соответствия закону: какие документы запрошены, содержат ли они персональные данные, есть ли законное основание для их предоставления без согласия субъектов.
• Готовьте мотивированный ответ в установленный срок (по общему правилу — 7 дней для ООО, 30 дней для АО, если иное не предусмотрено уставом). Указывайте конкретные нормы, по которым отказываете или предоставляете информацию.
• При частичном отказе предложите ознакомиться с обезличенными копиями или выписками, не содержащими персональных данных. Это демонстрирует добросовестность.
• При явном злоупотреблении направьте заявителю предупреждение со ссылкой на ст. 10 ГК РФ и уведомление о возможном обращении в суд за взысканием убытков и судебных расходов.
• Все ответы и уведомления направляйте способом, подтверждающим получение (ценное письмо с описью, курьерская служба, электронная почта с уведомлением).

Судебная защита и риски

Если гринмейлер обращается в суд с иском о предоставлении документов, компания вправе заявить возражения, основанные на ст. 10 ГК РФ и 152-ФЗ. Суды в таких спорах исследуют цель запроса, наличие корпоративного интереса, объём требуемых данных и возможные негативные последствия для общества и третьих лиц. При доказанности злоупотребления в иске отказывают.

Кроме того, общество может предъявить встречные требования: о взыскании убытков, причинённых гринмейлом, о признании действий заявителя злоупотреблением правом, о запрете на распространение полученной информации. В рамках дела о банкротстве (127-ФЗ) такие действия могут быть квалифицированы как воспрепятствование деятельности должника. Однако нужно понимать: если суд установит, что отказ был немотивированным или основан на формальных придирках, общество проиграет и будет вынуждено предоставить документы, а также возместить судебные расходы. Поэтому процедура отказа должна быть безупречной.

Важно помнить: предоставление документов с персональными данными без согласия субъектов может повлечь административную ответственность по ст. 13.11 КоАП РФ. Поэтому при малейших сомнениях лучше предложить обезличенные данные или предоставить документы для ознакомления без изготовления копий.

Чек-лист для защиты от требования о персональных данных

Используйте этот алгоритм при поступлении запроса, который может быть частью гринмейла.

• Зарегистрируйте запрос и назначьте ответственного (юриста или корпоративного секретаря).
• Проверьте полномочия заявителя и соответствие запроса уставу и внутренним документам.
• Определите, какие документы содержат персональные данные и можно ли их обезличить.
• Подготовьте мотивированный ответ строго в срок; при отказе сошлитесь на ст. 10 ГК РФ и 152-ФЗ.
• При признаках шантажа зафиксируйте все обстоятельства (угрозы, требования выкупа, массовость) в отдельном акте.
• Рассмотрите возможность направления заявителю предупреждения о недопустимости злоупотребления правом.
• Если иск уже подан — заявите возражения и встречные требования, приложите доказательства недобросовестности.
• Проконсультируйтесь с юристом до передачи любых документов, содержащих персональные данные.