Общедоступные и открытые источники персональных данных
В настоящее время правоприменительная и судебная практики претерпевают существенную трансформацию в отношении понимания видов и юридического статуса источников персональных данных (далее – ПДн), доступ к которым предоставлен неопределенному (неограниченному) кругу лиц. Действия по созданию и поддержанию функционирования подобных источников квалифицируются п.5 ст.3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – 152-ФЗ) как действия, направленные на раскрытие ПДн неопределенному кругу лиц – распространение ПДн.
С точки зрения действующего законодательства ПДн могут быть сделаны общедоступными двумя основными способами, сравнительная характеристика которых представлена в таблице ниже:
| Распространение ПДн оператором | Распространение ПДн субъектом |
|---|---|
| Объективная сторона | |
| Предоставление доступа неограниченного круга лиц к ПДн осуществляется путем включения ПДн в общедоступный источник соответствующим оператором (ч.1 ст.8 152-ФЗ) или иным лицом, действующим по поручению оператора (ч.3 ст.6 152-ФЗ). Оператор самостоятельно или совместно с другими лицами осуществляет целенаправленную деятельность по обработке ПДн, в рамках которой распространение ПДн является одним из элементов общего процесса обработки ПДн. Одним из признаков целенаправленности деятельности является заблаговременно определенный круг (перечень) субъектов, ПДн которых предназначаются для включения в общедоступный источник ПДн. Отдельным случаем является распространение ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом (п.11 ч.1 ст.6 152-ФЗ). | Предоставление доступа неограниченного круга лиц к ПДн осуществляется целенаправленными действиями самого субъекта ПДн либо по его просьбе (п.10 ч.1 ст.6 152-ФЗ и абз.2 ч.1 ст.152.2 ГК РФ). Субъект ПДн является самостоятельным в целеполагании своих действий и выборе способа реализации своего субъективного права на предоставление общего доступа к своим ПДн. |
| Форма реализации | |
| Организация предоставления общего доступа к таким информационным ресурсам как «справочники, адресные книги». При этом, исходя из буквального толкования норм ч.1 ст.8 152-ФЗ, данный перечень источников не является исчерпывающим и может быть дополнен. Кроме того, ведение публичных реестров, содержащих ПДн (Единый государственный реестр юридических лиц и индивидуальных предпринимателей, Единый государственный реестр прав на недвижимое имущество и сделок с ним, Реестр уведомлений о залоге движимого имущества, Реестр операторов, осуществляющих обработку ПДн и т.п.), осуществляется в рамках п.11 ч.1 ст.6 152-ФЗ. | Использование таких общедоступных информационных ресурсов как корпоративные и профильные сайты в сети «Интернет», Интернет-сервисы (социальные сети, блоги, форумы, видеохостинги и иные сервисы по обмену информацией в сети «Интернет»), печатные издания и информационные стенды с объявлениями различного характера от физических лиц, и т.п. Следует отметить, что для субъекта ПДн существует альтернатива как воспользоваться информационными ресурсами, представляемыми на различном основании другими лицами, так и создать собственный общедоступный информационный ресурс. |
| Цель | |
| Целью является «информационное обеспечение». К сожалению, законодатель не раскрывает всех аспектов такой цели – в чем состоит ее существо и какие лица (оператор, субъекты ПДн или иные лица) являются бенефициарами от реализации такой цели. Кроме того, применительно к публичным реестрам, в качестве цели можно выделить удовлетворение общественного (публичного) интереса, которые может быть сформулирован в отдельных взятых нормативных правовых актах. | Цель в законодательстве явно не определена, но можно разумно предположить, что такой целью является удовлетворение личных и (или) семейных нужд субъектов ПДн, т.е. действия для удовлетворения сугубо частного (приватного) интереса. |
| Правовое основание | |
| Получение у субъекта ПДн письменного согласия, соответствующего требованиям ч.4 ст.9 152-ФЗ. Согласно ч.2 ст.8 152-ФЗ, сведения о субъекте ПДн должны быть в любое время исключены из общедоступных источников ПДн по требованию субъекта ПДн либо по решению суда или иных уполномоченных государственных органов. При этом под вопросом остается определение юридического статуса в качестве общедоступных источников ПДн таких информационных ресурсов как упомянутые ранее публичные реестры – ведь включение в них ПДн осуществляется на основании норм применимого законодательства (федеральных законов – п.11 ч.1 ст.6 152-ФЗ), а не письменного согласия субъекта ПДн. | 1. Конклюдентные действия субъекта ПДн по предоставлению доступа к своим ПДн для неограниченного круга лиц. 2. Действия иных лиц, совершаемые на основании волеизъявления субъекта ПДн, выраженного в любой объективной форме. 3. Исполнения договора (например, пользовательского соглашения), стороной которого является субъект ПДн. |
| Правовой режим для третьих лиц | |
| Третьим лицам: 1. можно осуществлять сбор и последующую обработку ПДн только для достижения той цели, которая была определена оператором при формировании источника, а обработка ПДн для иных целей возможна только при наличии одного из предусмотренных ч.1 ст.6 152-ФЗ условий; 2. можно осуществлять сбор и последующую обработку специальных категорий ПДн только для достижения той цели, которая была определена оператором при формировании источника, а обработка ПДн для иных целей возможна только при наличии одного из предусмотренных ч.2 ст.10 152-ФЗ условий; 3. можно не информировать субъекта ПДн до начала сбора и дальнейшей обработки его ПДн (п.3 ч.4 ст.18 152-ФЗ). | Третьим лицам: 1. можно осуществлять сбор и последующую обработку ПДн для достижения собственных целей (п.10 ч.1 ст.6 152-ФЗ), которые не должны противоречить изначальной цели или контексту распространения ПДн субъектом; 2. можно осуществлять сбор и последующую обработку специальных категорий ПДн для достижения собственных целей (п.2 ч.2 ст.10 152-ФЗ), которые не должны противоречить изначальной цели или контексту распространения ПДн субъектом; 3. можно не информировать субъекта ПДн до начала сбора и дальнейшей обработки его ПДн (п.3 ч.4 ст.18 152-ФЗ). |
Дистанционный характер взаимодействия между субъектами ПДн и подавляющим большинством используемых субъектами ПДн информационными ресурсами, а также организация размещения ПДн на таких ресурсах, порождают обоснованные сомнения в возможности установления достоверной принадлежности ПДн, предоставляемых пользователем информационного ресурса, и субъектом таких данных. Иначе говоря, неприменение оператором общедоступного информационного ресурса юридически значимых процедур (таких как получение соответствующего письменного согласия субъекта ПДн) по определению тождества между пользователем ресурса и субъектом ПДн препятствует юридической квалификации информационного ресурса (например, социальная сеть, форум, видеохостинг) в качестве общедоступного источника ПДн. Следовательно, сведения о субъектах ПДн, содержащиеся в таких информационных ресурсах, не могут быть отнесены к ПДн, сделанным субъектом общедоступными.
Таким образом, возникает очевидный вопрос: каким юридическим статусом обладают общедоступные информационные ресурсы, операторы которых не имеют возможности подтвердить тождество между пользователем ресурса, предоставляющим ПДн для общего доступа, и субъектом таких ПДн? Ответ на поставленный вопрос может быть обнаружен в постановлении Арбитражного суда Московского округа от 09.11.2017 по делу № А40-5250/2017, в котором вышеуказанные информационные ресурсы с ПДн прямо определены в качестве не общедоступных, а открытых источников ПДн. Данный судебный акт содержит следующую позицию: не являются общедоступными ПДн, содержащиеся в открытых источниках (социальных сетях: ВКонтакте, Одноклассники, МойМир, Instragram, Twitter; интернет-порталов Авито и Авто.ру), и размещение ПДн в указанных открытых источниках, исходя из положений 152-ФЗ, не делает их автоматически общедоступными, так как субъект ПДн не давал письменного согласия (ч.1 ст.8 152-ФЗ) на включение своих ПДн в общедоступный источник. В то же время, действующее законодательство Российской Федерации не содержит норм права, позволяющих явно определить «открытые» источники ПДн и юридически обособить их от иных источников ПДн.
Следует отметить, что в мотивировочной части решения1) суда первой инстанции по данному делу присутствует ссылка на ч.4 ст.7 Федерального закона от 27.07.2006 № 149-ФЗ ФЗ «Об информации, информационных технологиях и о защите информации», согласно которой общедоступной является информация, размещаемая ее обладателями в сети «Интернет» в формате, допускающем автоматизированную обработку без ее предварительного изменения человеком в целях повторного ее использования. Судом было отдельно отмечено, что данное условие не соблюдается в рамках предоставления неограниченного доступа к ПДн в социальных сетях и иных подобных Интернет-сервисах. При этом данная аргументация отсутствует в решениях судов второй2) и третьей3) инстанций. Такое упущение представляется логичным, так как указанная норма не содержит определения общедоступной информации и прямо не регулирует правой статус и порядок функционирования общедоступных источников информации (включая ПДн), а касается размещения в общем доступе информации в форме открытых данных4).
Кроме того, иная позиция относительно презумпции наличия статуса общедоступного источника ПДн у различных сайтов в сети «Интернет» заявлена в решении Ингодинского районного суда г. Читы № 12-49/2017 от 22 марта 2017 г. по делу № 12-49/2017: «Как следует из материалов дела, 13 декабря 2016 года Тарасов А.П. обратился в Управление Роскомнадзора с заявлением о неправомерной обработке его персональных данных, а именно: размещением без его согласия фамилии, имени, изображения и занимаемой должности 11 декабря 2016 года на сайте «kommenti.ru». По итогам проверки Управление Роскомнадзора 27 января 2017 года ответило заявителю об отсутствии нарушения указанного закона администратором сайта Фроловым С.В., использующего упомянутые персональные данные в творческой деятельности при отсутствии нарушений прав и законных интересов субъекта персональных данных, получившим их из общедоступных источников - сайтов пяти наименований, в том числе информационного агентства «Чита.ру», официального портала Забайкальского края и справочников Гугл (Google)… При наличии перечисленных персональных сведений в общедоступных источниках, невозможно с очевидность утверждать о их размещении без согласия Тарасова А.П.».