Научно-практический постатейный комментарий к Федеральному закону «О персональных данных»
Шрифт:
1) они могут идентифицировать конкретного субъекта в совокупности с данными, которые имеются у интернет-провайдера такого субъекта, и
2) у онлайн-сервиса есть потенциальный доступ к таким данным интернет-провайдера.
В рассматриваемом случае Суд счел, что такой доступ у онлайн-сервиса был, поскольку указанные сведения могли быть запрошены у интернет-провайдера при возникновении необходимости расследования неправомерных действий третьих лиц в отношении онлайн-сервиса, например, DDoS-атак 42 . Учитывая, что благодаря технологиям «больших данных» существует потенциальная возможность сотрудничества в сфере совместной обработки массивов данных, которые могут принадлежать различным операторам, данное решение выглядит вполне логичным. Однако не менее очевидно, что оно чрезмерно расширяет понятие персональных данных, увеличивая как издержки операторов, связанные с исполнением законодательства о персональных данных, так и риски принятия
42
Patrick Breyer v. Bundesrepublik Deutschland, ECJ, Case C-582/14. 19 October 2016. Следует отметить, что ранее Европейский Суд Справедливости уже указывал, что IP-адрес относится к персональным данным. См.: Scarlet Extended SA v. SABAM, ECJ, Case C 70/10. 24 November 2011.
г) Субъектами персональных данных могут выступать только физические лица. Контактные данные и реквизиты юридического лица, а также иные сведения, по которым можно его определить, не охватываются понятием персональных данных. Во многом это связано с тем, что основной вид персональных данных юридического лица – фирменное наименование – обладает защитой в рамках специального правового режима, а данные о представителях юридического лица – физических лицах охватываются общим правовым режимом законодательства о персональных данных. Кроме того, отнесение юридических лиц к числу субъектов персональных данных могло бы повлечь негативные последствия для коммерческого оборота как посредством создания дополнительных условий для недобросовестной конкуренции, так и вследствие дополнительных ограничений на трансграничный обмен информацией.
Персональными данными могут признаваться сведения не только о живом, но и об умершем физическом лице. Данный вывод следует из положений ст. 9 Закона о персональных данных, в которой говорится, что «в случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни». Материалы судебной практики демонстрируют актуальность вопроса об обеспечении надлежащей защиты персональных данных умерших лиц. В ряде случаев соответствующая организация на основании достигнутых с медицинскими учреждениями договоренностей на безвозмездную перевозку тел умерших получает приоритетный доступ к персональным данным умерших и их родственников, что дает ей возможность в первоочередном порядке предлагать свои услуги родственникам умерших. И хотя судами данная ситуация рассматривается преимущественно через призму законодательства о защите конкуренции (см. постановления Семнадцатого арбитражного апелляционного суда от 28 августа 2014 г. по делу № А50-2319/2014; ФАС Уральского округа от 26 марта 2013 г. по делу № А60-25035/2012; решения арбитражного суда Республики Бурятия от 29 декабря 2014 г. по делу № А10-4767/2014; арбитражного суда Свердловской области от 26 декабря 2013 г. по делу № А60-22167/2013), она неплохо иллюстрирует возможную ценность персональных данных умерших лиц и возможное их использование для вторжения в личную сферу родственников умершего и причинения им моральных страданий.
С учетом вышеизложенного, персональные данные можно разделить на три группы:
1) персональные данные, которые предоставляются самим субъектом (например, размещаются им в социальной сети);
2) персональные данные, которые появляются в процессе использования субъектом определенного сервиса (например, геолокационные данные или метаданные);
3) персональные данные, которые являются результатом анализа данных первых двух групп, в том числе посредством инструментов аналитики «больших данных», и представляют собой оценку субъекта персональных данных (например, его кредитный рейтинг) 43 .
43
Personal Data: The Emergence of a New Asset Class. World Economic Forum, January 2011. URL:Recommendation 1/2001 on Employee Evaluation Data. Article 29 Data Protection Working Party. 22 March 2001.
3. Судебная практика по вопросам квалификации персональных данных не отличается единообразием. Многие суды исходят из основанного на устаревших нормативных актах узкого понимания понятия персональных данных как информации, которая позволяет однозначно идентифицировать лицо. В частности, они не признают персональными данными ИНН (Апелляционное определение Санкт-Петербургского городского суда от 3 февраля 2015 г. по делу № 2-3097/2014), СНИЛС (Решение Белоглинского районного суда Краснодарского края от 22 июня 2014 г. по делу № 2-300/2014 № 2-300/2014), номер паспорта (Определение Московского городского суда от 29 февраля 2012 г. № 33-6709; Постановление Тринадцатого арбитражного апелляционного суда от 21 июня 2010 г. по делу № А56-4788/2010), поскольку,
В качестве яркой иллюстрации данной логики можно привести мотивировку одного из решений, в котором суд пришел к выводу об отсутствии нарушений Закона о персональных данных, «поскольку запрашиваемая сотрудниками банка информация в отношении В., высказывания работников ответчиков не содержат персонифицированных и детализированных данных, работниками ответчиков не назывались ни адрес места проживания лица, ни год, месяц, дата и место рождения, семейное, социальное, имущественное положение, образование, профессия, доходы, а также другая информация, по которой возможно идентифицировать конкретное лицо» (Апелляционное определение Московского городского суда от 28 января 2014 г. по делу № 33-5461).
В другом деле суд не признал персональными данными имя, отчество, название улицы и номер дома, где проживает данное лицо, поскольку в совокупности они не позволяют достоверно установить, о каком именно человеке идет речь на страницах форума, а также поскольку «отсутствует указание на фамилию, что не позволяет идентифицировать лицо, о котором идет речь» (Определение Приморского краевого суда от 9 сентября 2013 г. по делу № 33-7063).
Напротив, информация, включающая ФИО субъекта, обычно признается судами персональными данными, например, информация о задолженности по коммунальным платежам, включающая в себя ФИО лица, адрес его проживания и размер задолженности по оплате коммунальных платежей (Постановление Нижегородского областного суда от 12 мая 2015 г. по делу № 4а-288/2015; Кассационное определение Пермского краевого суда от 1 августа 2011 г. по делу № 33-7668); данные в заявке на выдачу кредита, в которой фигурировали ФИО лица, его паспортные данные, место жительства, дата рождения и другие данные (Апелляционное определение Тульского областного суда от 28 апреля 2015 г. по делу № 33-850); информация, содержащаяся в техническом паспорте на дом, включающая ФИО лица, паспортные данные, документ о праве собственности (Определение Приморского краевого суда от 28 апреля 2014 г. по делу № 33-3718).
Следует отметить, что существует и иная судебная практика, которая исходит из широкого понимания понятия персональных данных, согласно которому под персональными данными понимаются сведения, хотя и не позволяющие однозначно определить конкретное лицо, но дающие возможность сделать это косвенным образом. Например, персональными данными была признана информация о соединениях и трафике конкретного абонента, хотя имя конкретного абонента не фигурировало. При этом довод ответчика о том, что указанные данные являлись обезличенными, поскольку не позволяли определить личности конкретных абонентов, был отклонен судом как противоречащий закону (Решение Арбитражного суда г. Москвы от 25 мая 2016 г. по делу № А40-51869/2016-145-449).
Аналогичным образом другой суд признал персональными данными статистическую информацию, необходимую для последующего предоставления адресной рекламы физическому лицу, состоящую из сведений о его поисковых запросах и просмотренных страницах. При этом данные о ФИО конкретного абонента также не фигурировали, а использовался хэш-ID пользователя (уникальный идентификатор активного пользователя) (Постановление Тринадцатого апелляционного арбитражного суда от 1 июля 2016 г. по делу № А56-6698/2016). Существуют решения, в которых суды более определенно указали, что такого рода сведения представляют собой персональные данные, поскольку относятся к «определенному или определяемому косвенно (курсив мой. – А.С.) лицу» (Решение Арбитражного суда г. Москвы от 11 марта 2016 г. по делу № А40-14902/2016-84-126), а также что предоставляемая информация является персональными данными даже несмотря на то, что «не позволяет однозначно идентифицировать пользователя или конкретное физическое лицо… Такой информации достаточно для того, чтобы третьи лица смогли определить, к кому данная информация относится, в целях направления ему определенной рекламы. На этом основании не представляется возможным квалифицировать такие сведения в качестве обезличенных данных, поскольку они предоставляют возможность косвенно определить субъекта, к которому они относятся» (Решение Арбитражного суда г. Москвы от 29 марта 2016 г. по делу № А40-14900/2016-94-126).
В другом случае суд признал, что номер лицевого счета, площадь помещения, сумма начисления и (или) задолженности, показания и номер электрического счетчика являются персональными данными, поскольку указанная информация относится к определяемому физическому лицу (Постановление Восемнадцатого арбитражного апелляционного суда от 9 декабря 2013 г. №18АП-13107/2013 по делу № А34-3659/2013).
По аналогичным соображениям адрес электронной почты, привязанный к принадлежащему лицу телефонному номеру, был признан судом персональными данными, с распространением на порядок обработки такого адреса электронной почты требований законодательства о персональных данных и признанием незаконным направленияе сообщений рекламного характера после отзыва согласия субъектов персональных данных (Апелляционное определение Новосибирского областного суда от 27 сентября 2016 г. по делу № 33-9626/2016).