Глава 9. Персональные данные в сфере электронной коммерции 2 страница

От оператора следует отличать "лицо, которое осуществляет обработку персональных данных по поручению оператора" (в англоязычной терминологии - data processor). Учитывая, что используемая в Законе терминология весьма громоздка, для краткости такое лицо будет далее именоваться обработчиком <1>. В качестве лиц, выступающих обработчиками персональных данных, можно указать, в частности, провайдеров облачных сервисов; организации, осуществляющие расчеты заработной платы на условиях аутсорсинга (payroll companies); организации, в чьих дата-центрах размещаются серверы оператора персональных данных (co-location) <2>. Отличительной чертой статуса обработчика персональных данных является то, что он не определяет цели обработки персональных данных - они задаются оператором. Закон о персональных данных указывает, что в поручении оператора обработчику должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться обработчиком, цели обработки, а также должна быть установлена обязанность обработчика соблюдать конфиденциальность персональных данных и обеспечивать их безопасность с указанием требований к защите обрабатываемых персональных данных в соответствии со ст. 19 Закона о персональных данных (ч. 3 ст. 6). Из текста данного положения можно сделать вывод, что наличие такого поручения является необходимым условием получения лицом статуса обработчика. При этом Закон никак не конкретизирует форму и характер такого поручения: представляет оно собой отдельный договор <3> или является дополнительным условием в основном договоре. Представляется, что возможны оба варианта, причем первый вариант может быть на практике иногда удобнее, так как не предполагает необходимости внесения изменений в типовые формы договоров, используемых обработчиком.

--------------------------------

<1> В Постановлении Правительства РФ от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" такое лицо именуется "уполномоченное лицо", однако вряд ли данный термин можно считать удачным в силу весьма общего характера данного термина, а также неудобства его использования при рассмотрении отдельных проблем защиты персональных данных. Так, например, сразу возникают вопросы: кем такое лицо уполномочено, на что уполномочено? Ответы на них приводят к той же самой громоздкой формулировке, от которой хотелось уйти.

<2> В данном случае можно говорить о том, что они осуществляют обработку персональных данных в форме их хранения.

<3> Даже несмотря на использование законодателем слова "поручение", такое соглашение не может быть квалифицировано в качестве договора поручения, поскольку предметом такого договора является совершение юридических действий (ст. 971 ГК РФ), в то время как предметом поручения оператора является совершение преимущественно фактических действий. Скорее всего, данное поручение можно рассматривать в качестве соглашения особого рода (sui generis), существенные условия которого указаны в ч. 3 ст. 6 Закона о персональных данных.

Отличительной особенностью статуса обработчика является то, что он не имеет обязанностей непосредственно перед субъектом персональных данных, ответственность за его действия несет непосредственно оператор (ч. 5 ст. 6 Закона о персональных данных). Иными словами, субъект персональных данных не может предъявлять свои требования напрямую к обработчику, такие требования должны быть предъявлены непосредственно к оператору. Однако не следует забывать, что одно и то же лицо может выступать по отношению к различным персональным данным и в роли оператора, и в роли лица, осуществляющего обработку персональных данных по поручению оператора, в связи с чем оно все равно будет вынуждено соблюдать все основные положения законодательства о персональных данных.

Основными требованиями, предъявляемыми Законом к обработке персональных данных, являются:

1) наличие законного основания для такой обработки;

2) добросовестный характер такой обработки;

3) принятие организационно-технических мер для выполнения обязанностей оператора и защиты персональных данных;

4) соблюдение особых требований к трансграничной передаче персональных данных;

5) в подлежащих случаях - направление уведомления в уполномоченный орган об обработке персональных данных.

Рассмотрим подробнее указанные требования.

2.1. Наличие законного основания

для обработки персональных данных

Одним из главных требований, предъявляемых к обработке персональных данных, является наличие законного основания для их обработки. Исчерпывающий перечень таких оснований предусмотрен в ч. 1 ст. 6 Закона о персональных данных. К ним относится:

1) наличие согласия субъекта персональных данных на такую обработку;

2) необходимость такой обработки персональных данных для достижения целей, предусмотренных законом, а также для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей <1>;

--------------------------------

<1> Следует подчеркнуть, что в данном случае речь идет именно о законодательстве РФ, а не о законодательстве в принципе. Поэтому иностранным компаниям, ведущим свою деятельность на территории России, не получится ссылаться на данное основание в тех случаях, когда они осуществляют обработку в рамках предписаний своего "родного" законодательства.

3) необходимость такой обработки персональных данных для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в порядке исполнительного производства;

4) необходимость такой обработки персональных данных для исполнения полномочий государственных и муниципальных органов на едином портале государственных и муниципальных услуг;

5) необходимость такой обработки персональных данных для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;

6) необходимость такой обработки персональных данных для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

7) необходимость такой обработки персональных данных для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

8) необходимость такой обработки персональных данных для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;

9) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в ст. 15 Закона о персональных данных, при условии обязательного обезличивания персональных данных;

10) общедоступный характер персональных данных вследствие предоставления доступа к ним неограниченному кругу лиц субъектом персональных данных либо по его просьбе иным лицом;

11) осуществление обработки персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с Законом.

В сфере электронной коммерции наибольшую актуальность представляют основания, указанные в п. п. 1, 5 и 10. Рассмотрим их подробнее.

Согласие субъекта персональных данных является одним из основных способов придания обработке персональных данных законного характера. Такое согласие в соответствии с ч. 1 ст. 9 Закона о персональных данных должно быть "конкретным, информированным и сознательным". Согласие субъекта персональных данных на их обработку может быть дано по общему правилу в любой форме, позволяющей подтвердить факт его получения. Правда, оператор должен быть готов предоставить доказательства наличия такого согласия, что заставляет искать компромисс между свободой формы и ее надежностью с точки зрения возможности последующего доказывания факта дачи согласия, предоставленного в такой форме. Очевидно, что устная форма создает немало сложностей в процессе доказывания оператором факта дачи согласия субъектом персональных данных. К тому же, если персональные данные подпадают под понятие специальных или биометрических, необходимо оформление согласия в письменной форме, с обеспечением наличия в нем определенных реквизитов.

Важно подчеркнуть, что отсутствие возражений субъекта персональных данных на производящуюся оператором обработку его персональных данных не является согласием, так как не носит конкретного характера <1>. Молчание вообще, как известно, не является (вопреки распространенной поговорке) знаком согласия в праве. А вот предоставление самим субъектом персональных данных определенных сведений о себе может в некоторых случаях быть расценено как выражение согласия на их обработку в конклюдентной форме <2>.

--------------------------------

<1> Не менее интересным является вопрос о соответствии требованиям конкретности и сознательности согласия на обработку персональных данных наличия на веб-сайте или техническом устройстве определенных настроек конфиденциальности, особенно если они носят предустановленный характер. Представляется, что о наличии согласия если и можно говорить в таких случаях, то только в том случае, когда имеются доказательства, что соответствующие настройки были сделаны самим субъектом персональных данных, а не представляли собой состояние "по умолчанию".

<2> См., например: решение Сысертского районного суда Свердловской области от 14 мая 2012 г. N 2-526/2012 (в данном случае подача субъектом персональных данных письменного обращения, в котором содержались его персональные данные, была признана судом конклюдентной формой выражения согласия на их последующую обработку адресатом).

В сфере электронной коммерции получила широкое распространение практика дачи согласия на обработку персональных данных путем проставления "галочки" в соответствующем поле на экране при оформлении заказа или регистрации на веб-сайте. В принципе нет оснований считать недействительным такое согласие при условии, что оно было информированным и сознательным <1>. Другое дело, что необходимо быть готовым доказать не только факт дачи такого согласия, но и факт дачи согласия конкретным лицом. Как вариант можно отражать факт его наличия в электронном письме, направляемом пользователю в подтверждение произведенной регистрации или размещенного заказа, копия которого остается у оператора. Хотя, конечно, в случае возникновения споров относительно наличия или отсутствия факта дачи такого согласия и оспаривания аутентичности содержания предоставленного оператором электронного письма шансы на успешное доказывание факта дачи согласия на обработку персональных данных будут невелики <2>. Факт дачи согласия определенным лицом в отсутствие ЭЦП может быть доказан только косвенными доказательствами, например фактом использования в качестве средства платежа банковской карты, принадлежащей субъекту персональных данных.

--------------------------------

<1> Зоркольцев Р.Д. Персональные данные, получаемые через Интернет: практические вопросы // СПС "КонсультантПлюс".

<2> Справедливости ради надо отметить, что дача согласия на обработку персональных данных в электронной форме носит проблемный характер не только для оператора, но и для самого субъекта персональных данных, поскольку существенно затрудняет возможность последующего отзыва такого согласия и в особенности защиту своих прав в случае отказа оператора удовлетворить поступившее заявление об отзыве.

К тому же необходимо учитывать судебную практику по вопросам включения условия о даче согласия на обработку персональных данных в договоры присоединения. Так, известны случаи, когда суд не признавал наличие согласия на обработку персональных данных, даже несмотря на то, что соответствующее условие было включено в такой договор. По мнению суда, у субъекта персональных данных в таких случаях отсутствовал выбор, поскольку единственная возможность не давать такое согласие выражалась в отказе от заключения договора <1>.

--------------------------------

<1> См.: Постановления Семнадцатого арбитражного апелляционного суда от 12 апреля 2013 г. N 17АП-2955/2013-АК по делу N А60-39156/2012, оставленное без изменений Постановлением ФАС Уральского округа от 29 июля 2013 г. N Ф09-5767/13; Восьмого арбитражного апелляционного суда от 18 марта 2013 г. по делу N А70-8957/2012; Восемнадцатого арбитражного апелляционного суда от 28 мая 2013 г. N 18АП-3864/2013 по делу N А47-13986/2012.

Также рискованной является практика включения условия о согласии на обработку персональных данных не в текст документа, против которого пользователь выражает свое согласие, а в текст иного документа, к которому содержится отсылка в первом. Учитывая малую вероятность того, что пользователь ознакомится с его содержимым, говорить о наличии информированного и сознательного согласия в таких случаях вряд ли возможно, о чем свидетельствует и судебная практика <1>.

--------------------------------

<1> См., например: Постановление Второго арбитражного апелляционного суда от 16 июля 2012 г. по делу N А31-3106/2012.

В свете вышеизложенного вдвойне сомнительным является включение условия о даче субъектом персональных данных согласия на обработку его персональных данных в текст browse-wrap- соглашений, например различного рода Privacy policy, с которыми субъект обычно не знакомится. Говорить о наличии конкретного, информированного и сознательного согласия в таких случаях нельзя. Что, однако, не умаляет роли данных документов, о которой будет сказано далее.

Особые требования к даче согласия на обработку персональных данных предусмотрены в отношении так называемых специальных категорий персональных данных, которые в доктрине иногда также именуются как "чувствительные" данные. К ним относятся данные о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни. Для обработки таких данных согласие субъекта должно быть выражено в письменной форме, которая должна включать в себя, в частности:

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);

3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

4) цель обработки персональных данных;

5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено законом;

9) подпись субъекта персональных данных.

Закон о персональных данных содержит перечень случаев, при которых обработка "чувствительных" данных возможна и без согласия их субъекта (ч. 2 ст. 10 Закона о персональных данных), однако они малоприменимы к сфере электронной коммерции. Видимо, предполагается, что обладание указанными данными не является необходимым для осуществления предпринимательской или иной экономической деятельности, что в целом можно признать обоснованным.

В свете вышеизложенных положений, особенно касающихся повышенных требований к форме дачи согласия на обработку "чувствительных" персональных данных, в зоне риска оказываются различного рода тематические форумы (религиозной, политической, философской направленности, в области здравоохранения и пр.), которые предполагают предоставление обширных данных о пользователях при регистрации, совокупное обладание такими данными позволяет потенциально определить личность такого пользователя. В совокупности с содержанием его высказываний на форуме такие регистрационные данные позволяют приписать такому пользователю наличие определенных убеждений и качеств, сведения о которых являются специальной категорией персональных данных. Разумеется, ни один из владельцев подобных ресурсов не выполняет вышеуказанные требования Закона, являясь при этом вполне полноценным оператором персональных данных. Для минимизации риска привлечения к ответственности за несоответствие требованиям Закона можно посоветовать максимально минимизировать перечень сведений, собираемых в процессе регистрации на таких ресурсах, для того чтобы они обладали минимальным идентифицирующим потенциалом, тем самым поддерживая максимально анонимный статус участников подобного рода форумов и информационных ресурсов.

В качестве примера актуальности вопросов, связанных с размещением "чувствительных" персональных данных на различных веб-ресурсах, в том числе и личного характера, можно привести дело Lindqvist, рассмотренное Европейским судом <1>. В решении по данному делу суд признал нарушением законодательства о персональных данных действия г-жи Линдквист, разместившей на своем личном веб-сайте информацию об именах и телефонах своих коллег и в особенности "чувствительные" персональные данные, в частности о том, что одна из них повредила ногу и работает неполный день. При этом Суд особо подчеркнул, что предусмотренное в Директиве N 95/46/EC "О персональных данных" положение о ее нераспространении на случаи обработки персональных данных физическим лицом для личных нужд не распространяется на обработку персональных данных в виде их размещения на веб-сайте в сети Интернет, доступном неопределенному кругу лиц. Указанная позиция Европейского суда вполне актуальна и для России, принимая во внимание схожесть российского и европейского законодательства по данной проблематике.

--------------------------------

<1> ECJ Case C-101/01. 06.11.2003.

Если же пользователь форума сам указал в своем профиле свои персональные данные, в силу чего его высказывания, носящие политический, религиозный или иной характер, могут быть отнесены к нему, соответствующие сведения могут быть квалифицированы в качестве общедоступных. В таком случае специального согласия на их обработку не требуется, она допустима в силу Закона (п. 2 ч. 2 ст. 10 Закона о персональных данных).

Сложности, связанные с получением согласия субъекта персональных данных на их обработку, в определенной степени компенсируются наличием в Законе специальных положений, позволяющих производить обработку и в отсутствие такого согласия. Указанные положения приобретают особую актуальность в свете наличия у субъекта персональных данных безусловного права в любой момент отозвать ранее данное согласие <1>. В таком случае оператор вправе продолжить их обработку только при наличии иных оснований, предусмотренных Законом.

--------------------------------

<1> Данное право закрепляется императивной нормой, что обусловливает недействительность различного рода ограничений, которые пытаются наложить на субъекта персональных данных в договорном порядке, включая условия, запрещающие отзыв персональных данных в течение определенного периода, и т.п.

К числу таких оснований относится положение о допустимости обработки персональных данных для целей заключения договора по инициативе субъекта персональных данных либо для исполнения договора, стороной (выгодоприобретателем, поручителем) которого является субъект персональных данных (п. 5 ч. 1 ст. 6 Закона о персональных данных). Понятие "договор" в данном случае охватывает не только гражданско-правовые, но и трудовые договоры <1>.

--------------------------------

<1> См.: п. 6 письма ФНП от 23 декабря 2011 г. N 2515/07-17 "О применении ряда положений Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных".

Следует отметить, что судебная практика достаточно ограничительно толкует указанное положение. Речь идет именно об исполнении договора, стороной (выгодоприобретателем, поручителем) которого является субъект персональных данных, но не о вспомогательных договорах, заключение которых может потребоваться для исполнения основного договора с субъектом персональных данных. В частности, данное основание не было признано применимым к случаям передачи персональных данных субъекта персональных данных, выступающего заемщиком по кредитному договору, коллекторскому агентству, с которым кредитор заключил договор о взыскании задолженности по кредитному договору <1>. В данном случае первостепенной целью обработки персональных данных заемщика агентом является надлежащее исполнение условий агентского договора, стороной которого субъект персональных данных не является. Поэтому нельзя говорить о тождественности целей обработки персональных данных по основному договору и агентскому, несмотря на всю взаимосвязь между ними <2>.

--------------------------------

<1> Постановление ФАС Западно-Сибирского округа от 20 марта 2013 г. по делу N А27-13226/2012; Апелляционное определение Ярославского областного суда от 5 марта 2012 г. по делу N 33-939/2012; Кассационное определение Оренбургского областного суда от 8 февраля 2012 г. по делу N 33-805/2012. Противоположный подход см.: Постановление Тринадцатого арбитражного апелляционного суда от 29 марта 2013 г. по делу N А21-10205/2012.

<2> Анохин Д.А. Возможность обработки персональных данных субъекта-должника без его согласия // Банковское право. 2012. N 6.

Представляется, что данный принцип применим и к иным случаям, когда оператор заключает с третьими лицами договоры, необходимые для исполнения договора, заключенного между оператором и субъектом персональных данных, в частности: субподрядные договоры, лицензионные договоры с правообладателями и пр. Для передачи персональных данных таким третьим лицам формально необходимо информированное согласие субъекта персональных данных.

Наконец, необходимо сказать несколько слов о так называемых общедоступных персональных данных, которые могут обрабатываться операторами без получения согласия их субъекта (п. 10 ч. 1 ст. 6 Закона о персональных данных). Речь идет о тех данных, к которым субъектом персональных данных либо по его просьбе иным лицом был предоставлен доступ неограниченному кругу лиц. Статья 8 Закона о персональных данных содержит определенное регулирование, посвященное источникам таких общедоступных персональных данных. Она предусматривает, что в общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных. В качестве примеров таких источников в данной статье приведены справочники и адресные книги. Однако ничто не мешает рассматривать в качестве общедоступных источников и различного рода веб-сайты в сети Интернет, в том числе социальные сети, которые являются в настоящее время основным источником сведений о физических лицах, использованием которых не гнушаются даже судебные приставы <1>. Правда, говорить об общедоступном характере персональных данных, размещенных в социальных сетях, можно только в том случае, если их доступность не ограничена настройками приватности. Другим примером общедоступных персональных данных в сети Интернет являются сертификаты ключей проверки электронной подписи, которые в силу своего существа не могут относиться к иной категории персональных данных.

--------------------------------

<1> См.: Методические рекомендации по использованию сети Интернет в целях поиска информации о должниках и их имуществе, утв. ФССП России от 30 ноября 2010 г. N 02-7 // СПС "КонсультантПлюс".

Закон о персональных данных исходит из возможности изменения субъектом статуса общедоступности персональных данных. Предполагается, что поскольку они приобретают такой статус лишь в результате волеизъявления субъекта персональных данных, то в результате волеизъявления их обладателя они могут и утратить такой статус. Закон предусматривает право субъекта персональных данных потребовать в любой момент исключения персональных данных из общедоступных источников (ч. 2 ст. 8 Закона о персональных данных). Правда, применительно к общедоступным данным, размещенным в сети Интернет, данная норма носит преимущественно декларативный характер, поскольку даже в случае их оперативного исключения с соответствующего ресурса нет никаких гарантий, что никакое другое лицо не осуществляет их обработку. Найти всех таких лиц и повлиять на них практически невозможно. Поэтому лицо, размещающее свои персональные данные в социальных сетях и на иных веб-сайтах в режиме, предполагающем неограниченный доступ к ним, должно отдавать себе отчет, что с этого момента оно никак не может повлиять на их дальнейшее использование, которое становится фактически бесконтрольным. Однако и потенциальные операторы таких данных также оказываются не в лучшем положении. Поскольку легитимная обработка общедоступных персональных данных возможна только в том случае, когда они были сделаны таковыми самим субъектом персональных данных или с его согласия, то размещение на общедоступных интернет-ресурсах персональных данных определенного лица без его согласия не придает их последующей обработке законного характера.

Систематическое толкование положений Закона о персональных данных позволяет сделать вывод о том, что реализация субъектом персональных данных права исключения его персональных данных из общедоступных источников невозможна в случаях, когда оператор таких данных имеет право их обработки в силу Закона (например, когда персональные данные сотрудников компании размещаются на официальном веб-сайте компании). Несмотря на то что можно говорить о таком сайте как об источнике общедоступной информации, подпадающем под действие ст. 8 Закона о персональных данных, обработка персональных данных в таком случае осуществляется во исполнение существующего трудового договора и согласия субъекта персональных данных на их обработку не требуется. А раз не требуется волеизъявления на инициацию обработки персональных данных, оно не имеет значения и для определения их дальнейшей судьбы, пока сохраняется основание для их законной обработки оператором (трудовые отношения). Однако это справедливо лишь в случае соответствия такой обработки принципам, указанным в ст. 5 Закона о персональных данных (см. далее), и не лишает субъекта персональных данных всех остальных прав, предусмотренных законодательством о персональных данных, в частности права требовать исправления некорректных данных.

2.2. Добросовестный характер обработки персональных данных

Одного только наличия законного основания для обработки персональных данных недостаточно для того, чтобы оператор мог испытать чувство удовлетворения от обеспечения соответствия его деятельности требованиям законодательства о персональных данных. Необходимо, чтобы обработка персональных данных осуществлялась в соответствии с принципами, изложенными в ст. 5 Закона о персональных данных, суть которых можно свести к обеспечению добросовестности и прозрачности такой обработки. Таких принципов семь.

1. Обработка персональных данных должна осуществляться на законной и справедливой основе.

2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

4. Обработке подлежат только персональные данные, которые отвечают целям их обработки.

5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.

Дата добавления: 2015-08-02