Kitobni o'qish: «Защита данных: научно-практический комментарий к судебной практике»

Одобрено секцией публичного права ученого совета Института законодательства и сравнительного правоведения при Правительстве Российской Федерации

Рецензенты:

А.И. Щукин – старший научный сотрудник отдела международного частного права ИЗиСП, кандидат юридических наук;

С.В. Липень – профессор кафедры теории и истории государства и права МГЮА, доктор юридических наук, профессор.

© Институт законодательства и сравнительного правоведения при Правительстве Российской Федерации, 2019

The Institute of Legislation and Comparative Law under the Government of the Russian Federation

DATA PROTECTION

Scientific and Practical Commentary on Judicial Practice

Executive editors

Doctor of Law, Professor V.V. Lazarev, Doctor of Law H.I. Gadzhiev

Moscow

LAW FIRM CONTRAKT

2020

Approved by the Section of Public Law of the Scientific Council of the Institute of Legislation and Comparative Law under the Government of the Russian Federation

Reviewers:

A.I. Shchukin – Senior Researcher, Department of Private International Law, ILCL, Candidate of Law;

S.V. Lipen – Professor, Department of Theory and History of State and Law, Moscow State Law Academy, Doctor of Law, Professor.

Data protection: scientific and practical commentary on judicial practice / V.V. Lazarev, H.I. Gadzhiev, E.V. Alimov etc; ex. ed. V.V. Lazarev, H.I. Gadzhiev; The Institute of Legislation and Comparative Law under the Government of the Russian Federation. – M.: LAW FIRM CONTRACT, 2020. – 176 p.

The value of information is growing exponentially and business entities are using new forms of its extraction and processing. The classical methods of personal data protection in various legal relations are the subject of constant review, which is why the nearest future probably will be the time of searching a compromise between protecting private life and ensuring the security of state.

This scientific and practical commentary is aimed on identifying trends in the processing of information containing personal data.

The following issues are considered: how much informed should be a consent to the processing of personal data regarding the possibilities of their processing and storage periods; what margins of discretion should law enforcement entities have to insure the balance between private and public interests in case of accessing to personal data without permission; how the expression of will of the subject of personal data to agree on processing of personal data should be expressed; how personal information and personal data contained in electronic documents is qualified by the courts as evidence; what recommendations for the legislator concerning personal data directly or indirectly follows from the practice of the Constitutional Court of the Russian Federation and from the practice of the other courts; what foreign experience of judicial practice on cases of protection of personal exists; what trends might be found in the practice of the European Court of Human Rights concerning processing of personal data.

For lawyers – scientists and practitioners, representatives of the business community and the Internet community, teachers, students and graduate students of law schools and faculties, as well as for a wide range of readers interested in the legitimate use of their personal data.

© The Institute of Legislation and Comparative Law under the Government of the Russian Federation, 2019

АВТОРЫ И СОСТАВИТЕЛИ

Лазарев В.В. – главный научный сотрудник центра фундаментальных правовых исследований ИЗиСП, доктор юридических наук, профессор, заслуженный деятель науки РФ (введение);

Гаджиев Х.И. – заведующий отделом судебной практики и правоприменения ИЗиСП, доктор юридических наук (гл. 10, заключение);

Алимов Э.В. – старший научный сотрудник отдела конституционного права ИЗиСП, кандидат юридических наук (гл. 2);

Алимова Д.Р. – младший научный сотрудник отдела теории права и междисциплинарных исследований законодательства ИЗиСП (гл. 1);

Грачева С.А. – старший научный сотрудник отдела судебной практики и правоприменения ИЗиСП, кандидат юридических наук (гл. 6);

Долова М.О. – старший научный сотрудник отдела гражданского законодательства и процесса ИЗиСП, кандидат юридических наук (гл. 3);

Ибрагимова Ю.Э. – младший научный сотрудник отдела судебной практики и правоприменения ИЗиСП (гл. 5);

Сидоренко А.И. – ведущий научный сотрудник отдела судебной практики и правоприменения ИЗиСП, кандидат юридических наук (гл. 8);

Черемисинова М.Е. – заведующий центром научных изданий ИЗиСП (гл. 4);

Черенкова В.С. – младший научный сотрудник отдела обеспечения деятельности секретариата делегации Российской Федерации в Европейской комиссии за демократию через право (Венецианской комиссии) ИЗиСП (гл. 9);

Щербак С.С. – научный сотрудник отдела гражданского законодательства иностранных государств ИЗиСП (гл. 7).

Введение

Как предсказывается многими учеными, озабоченными глобальными проблемами современности, повсеместное внедрение цифровых технологий подразумевает преобладающее значение информации в общественных отношениях. Ценность информации растет в геометрической прогрессии, в связи с чем хозяйствующие субъекты изобретают все новые формы ее извлечения и обработки. В таких условиях классические методы охраны личных данных в самых разных правоотношениях подлежат постоянному пересмотру с учетом меняющихся реалий. Судебная практика является одним из инструментов выявления отклонения развития правоотношений от целей законодательного регулирования, провозглашенных в Конституции Российской Федерации. Допустимы утверждения, что с онтологической точки зрения формируется новая реальность – киберреальность, в рамках которой существует потребность в соответствующем правовом регулировании. В настоящее время цифровые права уже признаны объектами гражданских прав. При этом многими отмечается, что такие цифровые права по существу представляют собой средства фиксации гражданских прав. В связи с этим значение порядка обработки персональных данных в сети Интернет возрастает колоссально, поскольку достоверность средства фиксации обеспечивается именно привязкой к автору и адресату юридически значимого сообщения. Только благодаря надлежащему порядку обработки персональных данных в сети Интернет можно упорядочить правоотношения, возникающие, существующие и прекращающиеся в названной киберреальности.

Другой важный аспект, на котором следует заострить внимание, – это обеспечение публичного порядка, что является одной из первоочередных задач государства. Современные технологии предоставляют беспрецедентные возможности для заинтересованных государственных структур по сбору и обработке персональных данных граждан, что в перспективе имеет как огромный потенциал для повышения эффективности государственного управления, так и не меньший потенциал злоупотреблений в процессе использования таких данных не по назначению. Предстоящие годы, а может и десятилетия, видятся временем поиска компромисса между охраной частной жизни и обеспечением безопасности государства. Уже сейчас ответом на обозначенный вызов среди представителей гражданского общества является внедрение технологий шифрования, благодаря которым личная переписка, иные сведения будут храниться в системах распределенных реестров, доступ к ним будет только у специально уполномоченного лица. Названные технологии, характеризуемые в качестве панацеи в области противостояния государственному контролю, поднимают множество вопросов, ответы на которые также должны следовать из имеющегося, пускай пока незначительного, опыта судебного рассмотрения подобных дел. Формируемые сегодня судами подходы могут стать базой для приведения к единообразию судебной практики и апробирования планируемых способов законодательного регулирования.

Отдельно следует упомянуть право на свободу слова. Европейский суд по правам человека неоднократно обозначал ориентиры, в рамках которых средства массовой информации могут собирать и распространять открытые для всеобщего доступа данные: сбор и систематизация информации должны поднимать общественно значимые проблемы, а не удовлетворять любопытство. Однако с внедрением технологий обработки больших данных вполне возможно, что данный подход устареет, поскольку многие открытые данные смогут предоставляться в один клик.

Настоящий научно-практический комментарий подготовлен с целью отслеживания тенденций в сфере обработки информации, содержащей личные данные как по гражданским, так и по уголовным делам. Важными являются вопросы: насколько согласие на обработку персональных данных должно быть информированным в части возможностей их обработки и сроков хранения; какие границы усмотрения должны соблюдать правоприменители, в части определения баланса частных и публичных интересов в случае доступа к персональным данным без соответствующего разрешения; каким образом должно быть выражено волеизъявление субъекта персональных данных о согласии на обработку персональных данных, в том числе с учетом возможностей выражения его в электронной форме; как личная информация и персональные данные, содержащиеся в электронных документах, квалифицируются судами в качестве доказательств; какие рекомендации для законодателя вытекают из практики Конституционного Суда Российской Федерации прямо или косвенно, равно как и из практики других судов, которые может воспринять законодатель; каков зарубежный опыт рассмотрения судами дел о защите личных данных, в особенности, на территории Европейского Союза; какие тенденции порядка обработки персональных данных вытекают из практики Европейского суда по правам человека, в особенности по делам о слежке в порядке уголовного преследования за лицами, подозреваемыми или обвиняемыми в совершении преступления.

Ответы на перечисленные, а также на многие другие вопросы постарались дать авторы настоящего комментария, при этом делая акцент на потребности юридической практики.

Глава 1
Согласие на обработку персональных данных: вопросы судебной практики

Современное российское законодательство о защите персональных данных предусматривает, что для их обработки оператору необходимо получить соответствующее согласие от субъекта персональных данных. Одной из основных целей регулирования порядка дачи субъектом согласия на обработку персональных данных является устранение информационной асимметрии в отношениях между оператором и субъектом персональных данных и обеспечение автономии воли последнего¹. Согласие субъекта персональных данных на их обработку является единственным законным основанием для любого вида обработки персональных данных. Все случаи обработки персональных данных при отсутствии согласия субъекта на их обработку можно отнести к специальным: речь идет либо о специальных целях обработки, либо о специальном субъекте на стороне оператора, либо об обоих указанных случаях в совокупности.

§ 1. Общие требования к согласию на обработку персональных данных

В статье 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Федеральный закон «О персональных данных», Закон № 152-ФЗ) к согласию на обработку персональных данных предъявляется ряд общих требований. Указанный закон содержит несколько условий принятия решения о предоставлении согласия на обработку персональных данных: такое решение принимается свободно, своей волей и в своем интересе. Кроме того, согласие должно отвечать следующим требованиям:

– быть точным, определенным и неабстрактным. Факт дачи согласия должен быть следствием действий субъекта персональных данных, а не вытекать из характера отношений между оператором их обработки и субъектом персональных данных. Молчание или бездействие субъекта персональных данных, даже если такое поведение в соответствии с политикой конфиденциальности оператора будет признаваться согласием, не будет удовлетворять указанному требованию. Также и в случае использования интернет-ресурсов с применением настроек конфиденциальности по умолчанию при отсутствии их изменения пользователем согласие на обработку персональных данных не будет считаться данным в надлежащей форме;

– быть информированным, то есть осведомленным о последствиях дачи такого согласия. Это требование означает, что перед дачей согласия субъекту предоставляется вся необходимая и достоверная информация о целях обработки, обрабатываемых данных, операторе и иных лицах, которые будут осуществлять обработку его персональных данных, сроки обработки, иная значимая информация, касающаяся обработки персональных данных. При этом из материалов сложившейся судебной практики следует, что желательно также и разъяснить субъекту персональных данных значение используемых терминов для полного соответствия согласия требованиям закона, поскольку без такого разъяснения информированность данного согласия может быть оспорена. Так, в постановлении Арбитражного суда Северо-Западного округа от 18 июля 2016 г. по делу № А44-9647/2015 указано: «Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным и предполагает, как минимум, письменное разъяснение субъекту персональных данных значения понятия «обработка персональных данных»;

– быть сознательным. Такое условие к даче согласия предполагает осмысленное принятие решения. Вынужденный характер дачи согласия ставит под сомнение его соответствие требованиям закона.

Статья 9 Закона № 152-ФЗ также содержит требования к форме согласия на обработку персональных данных: оно может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено Федеральным законом. При этом помимо собственноручной подписи субъекта персональных данных на бумажном носителе признается и согласие в форме электронного документа, подписанного в соответствии с Федеральным законом электронной подписью. Таким образом, закон предусматривает широкую вариативность в вопросе оформления такого согласия.

В настоящее время согласие на обработку персональных данных может быть дано в различных формах.

§ 2. Согласие на обработку персональных данных в виде письменного документа с собственноручной подписью субъекта персональных данных

Получение согласия на обработку персональных данных в письменной форме является обязательным в следующих случаях, прямо предусмотренных Законом № 152-ФЗ:

– если в целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных (ст. 8);

– если речь идет об обработке специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (ст. 10);

– если речь идет о сведениях, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных (ст. 11);

– если в процессе обработки предполагается трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных. При этом, если речь идет о защите жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц, а получение согласия в письменной форме субъекта персональных данных невозможно, то такая передача может быть осуществлена (ст. 12);

– если решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных (ст. 16).

В остальных случаях соблюдение письменной формы не является обязательным.

В Законе № 152-ФЗ предусмотрен также конкретный перечень сведений, которые должны содержаться в согласии в письменной форме:

1) фамилия, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) фамилия, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);

3) наименование или фамилия, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

4) цель обработки персональных данных;

5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

6) наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

9) подпись субъекта персональных данных.

Следует отметить, что письменная форма такого согласия всегда предполагает составление отдельного документа, а не включение положения о согласии на обработку персональных данных в качестве пункта в какой-либо договор. Так, в решении по делу № А65-33540/2017 суд указывает, что включение пункта о согласии субъекта на обработку персональных данных в договор не отвечает требованиям конкретности, информированности и сознательности. Подписывая заранее разработанный текст договора, оформленный мелким шрифтом и содержащий специфические, используемые в целях Закона № 152-ФЗ и не используемые в обиходе понятия и термины, такие как «обработка персональных данных», «трансграничная передача», субъект вряд ли был достаточно информирован об истинном смысле этих понятий и терминов, а также о возможных последствиях своего согласия на обработку своих персональных данных. Суд делает вывод, что данное в договоре страхования согласие на обработку персональных данных нельзя признать в качестве надлежащего согласия в целях Закона № 152-ФЗ, поскольку такое согласие не отвечает требованиям о письменном согласии, изложенным в п. 4 ст. 9 Закона № 152-ФЗ. Требование Закона № 152-ФЗ в части того, что согласие на обработку персональных данных должно быть конкретным, информированным и сознательным, предполагает как минимум письменное разъяснение субъекту персональных данных значения понятия «обработка персональных данных», которое включает в себя любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Однако ни договор страхования, ни любой другой документ не содержат никаких сведений о разъяснении страхователю как субъекту персональных данных указанного понятия. Кроме того, из смысла ст. 9 Закона № 152-ФЗ следует, что субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку не просто путем подписания договора с условием о согласии, а согласие должно быть выражено свободно, своей волей и в своем интересе отдельно.

Как указано выше, среди требований законодательства к согласию на обработку персональных данных есть положение об обязательном указании срока, в течение которого действует согласие субъекта персональных данных. При этом следует отметить, что в согласии на обработку персональных данных может быть установлен и неопределенный срок его действия до отзыва со стороны субъекта персональных данных в письменной форме, и такое установление считается соответствующим требованиям закона. Так, в решении Суда апелляционной инстанции по делу № А42-342/2017 указано, что законодательная норма не предусматривает указания в согласии конкретного срока, в течение которого оно действует, предельный срок действия такого согласия также не установлен законодателем. В рассматриваемом случае срок действия согласия определен началом его действия (со дня подписания) и заканчивается моментом востребования – письменным отзывом в произвольной форме. Таким образом, срок действия согласия субъекта персональных данных на их обработку в любом случае ограничен действием самого субъекта персональных данных по представлению письменного отзыва ранее данного им согласия, в связи с чем указанный срок можно квалифицировать как срок, определяющий момент востребования. Указанное не противоречит общим правилам определения сроков, установленных по аналогии закона гражданским законодательством (ст. 190 ГК РФ).

Более того, суд указывает, что указание точного срока действия согласия субъекта персональных данных на их обработку в привязке к конкретному временному периоду или календарной дате в данном случае невозможно, поскольку предприятие как оператор персональных данных не в состоянии заранее с достоверностью определить временной промежуток, до какой календарной даты конкретный пользователь услуг плавательного бассейна будет фактически посещать бассейн и в какую дату пользователь таких услуг может прекратить таковое посещение по собственной инициативе. Между тем действием самого субъекта персональных данных по представлению письменного отзыва ранее данного им согласия его права не нарушаются. В решении по делу № А42-342/2017 суд заключает, что в части получения согласия на обработку персональных данных в отношении срока такого согласия нарушений предприятием не допущено. В рамках указанного дела также был рассмотрен вопрос об обработке биометрических персональных данных (фотографии) без письменного согласия субъекта персональных данных. В данном случае пропуск с фотографией, характеризующей физиологические и биологические особенности человека (относящейся к биометрическим персональным данным), позволяет установить, принадлежит ли данному лицу предъявляемый пропуск, на основе которых можно установить его личность путем сравнения фото с лицом предъявителя пропуска и указываемых владельцем пропуска фамилии, имени и отчества. Суд указывает, что эти данные используются оператором для установления личности субъекта персональных данных в случае сомнения в том, что пропуск предъявляется его действительным владельцем, а потому он используется оператором для установления личности субъекта персональных данных, и данная обработка должна осуществляться в строгом соответствии со ст. 11 Закона № 152-ФЗ. Суд пришел к выводу о том, что фотографические изображения, содержащиеся на документе «пропуск», являются биометрическими персональными данными, поскольку характеризуют физиологические и биологические особенности человека. Обработка указанных данных должна осуществляться с соблюдением требований п. 1 ст. 11 Закона № 152-ФЗ, а именно при наличии согласия субъекта персональных данных. Суд апелляционной инстанции установил, что в соответствии с положением о порядке посещения плавательного бассейна для различных категорий населения в рамках государственной программы Мурманской области «Развитие физической культуры и спорта» на 2014–2020 годы, утвержденным председателем Комитета по физической культуре и спорту Мурманской области 26 апреля 2016 г., посетителями предоставлялись предприятию фотографии, которые размещались заявителем на документе «пропуск» для последующего использования в целях установления их личности. Указанные действия предприятия (сбор, оформление (размещение), использование фотографий) подпадают под понятие обработки персональных данных с позиции ч. 3 ст. 3 Закона № 152-ФЗ. Между тем согласия указанных лиц на обработку их биометрических персональных данных (фотографий) в нарушении требования ч. 1 ст. 11 Закона № 152-ФЗ предприятием не получено. При таком положении суд признал, что в данном случае использование фотографий для пропуска является обработкой биометрических персональных данных в смысле Закона № 152-ФЗ и поэтому предприятием были допущены нарушения².

§ 3. Согласие на обработку персональных данных в конклюдентной форме

Такая форма дачи согласия предполагает, что оно вытекает из действий субъекта. Например, факт заполнения и предоставления резюме был признан судом в качестве согласия субъекта персональных данных, отвечающих требованиям закона³.

Таганский районный суд в решении от 1 апреля 2015 г. по делу № 2-1464/2015 признал правомерным привлечение к дисциплинарной ответственности сотрудника, в трудовые обязанности которого входила работа с персональными данными, за распространение анкет соискателей без их согласия путем направления с корпоративной почты на адреса третьих лиц, не являющихся работниками организации. Данный факт был обнаружен службой безопасности компании. Выяснилось, что резюме кандидатов были направлены в качестве примера без согласия соискателей и иных законных оснований, что стало нарушением не только локальных нормативных актов организации, но и Федерального закона «О персональных данных»⁴.

§ 4. Согласие на обработку персональных данных в форме электронного документа, подписанного простой электронной подписью

В соответствии с Федеральным законом от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи» (далее – Федеральный закон «Об электронной подписи» простая электронная подпись – это электронная подпись, которая создается посредством использования кодов, паролей или иных средств и подтверждает факт формирования электронной подписи определенным лицом. Суды признают документ, в котором было выражено согласие в подобной форме, в качестве подписанного простой электронной подписью. Следует отметить, что для обеспечения документа, подписанного простой электронной подписью, юридической силой необходимо идентифицировать лицо, которое использует простую электронную подпись. По общему правилу идентификация лица происходит, когда субъект лично посещает организацию, выдающую ключи электронной подписи. Подписант предъявляет документ, удостоверяющий личность, и получает ключ электронной подписи.

При этом ключ простой электронной подписи может генерироваться и онлайн с использованием различных кодов подтверждения по электронной почте, SMS-кодов и др. Такая форма не предполагает очной идентификации лица с предоставлением документа, удостоверяющего личность. Однако механизм с генерированием ключей простых электронных подписей онлайн широко применяется в сфере онлайн-банкинга для физических лиц, где идентификация подписанта осуществляется в момент выдачи дебетовой или кредитной карты, к которой услуга онлайн-банкинга привязана. Также получение согласия на обработку персональных данных в форме электронного документа, подписанного простой электронной подписью, распространено в области государственных услуг для физических лиц и в сфере коммунального хозяйства.

Так, в определении Приморского краевого суда от 7 апреля 2015 г. по делу № 33-2865 указано: «Согласно оферте СМС-код используется в качестве электронной подписи клиента для формирования им каждого электронного документа. В случае идентичности СМС-кода, направленного банком, и СМС-кода, введенного в форме электронного документа для подтверждения передачи клиентом соответствующего распоряжении/заявления через интернет-банк, такая электронная подпись считается подлинной и предоставленной клиентом»⁵.

Также в качестве подписанного простой электронной подписью признается согласие, подписанное с помощью кода подтверждения, высланного по электронной почте.

При этом важно соблюсти положения ст. 6 Федерального закона «Об электронной подписи», в частности, чтобы стороны (оператор и субъект) достигли соглашения о том, что направление сообщения с определенного электронного адреса будет считаться подписанием документа простой электронной подписью. Юридическая сила сообщений электронной почты подтверждается и судебной практикой. Так, в постановлении Президиума ВАС РФ от 12 ноября 2013 г. № 18002/12 указано, что «получение или отправка сообщения с использованием адреса электронной почты, известного как почта самого лица или служебная почта его компетентного сотрудника, свидетельствует о совершении этих действий самим лицом, пока им не доказано обратное».

§ 5. Согласие на обработку персональных данных без использования электронной подписи

Электронная форма дачи согласия на обработку персональных данных может быть также выражена путем проставления так называемой галочки под условиями обработки персональных данных, например в соответствующем поле на экране при оформлении заказа или регистрации на веб-сайте.

При определенных обстоятельствах такого рода согласие также может рассматриваться в качестве электронного документа, подписанного простой электронной подписью.

При регистрации на интернет-сайтах пользователь принимает условия пользования указанным интернет-сайтом (пользовательское соглашение) и тем самым берет на себя обязательства, установленные указанным соглашением, а также всеми дополнительными правилами (правила верификации), являющимися неотъемлемой частью пользовательского соглашения.

Пользователь конкретного ресурса в момент регистрации самостоятельно принимает решение о предоставлении собственных персональных данных и дает согласие на их обработку, отвечающее требованиям закона, – конкретное, информированное и сознательное. В случае если пользователь не согласен с какими-либо положениями пользовательского соглашения конкретного интернет-ресурса, он может отказаться от его использования.

В пользовательских соглашениях нередко указано, что пользователь понимает и согласен с тем, что правообладатель может использовать информацию, предоставленную пользователем, в том числе и персональные данные. Например, при регистрации в качестве участника конкурса субъект персональных данных принимает условия правил проведения конкурса, размещенных на сайте, и тем самым берет на себя обязательства, установленные указанными правилами. При этом факт участия в конкурсе означает конкретное, информированное и сознательное согласие участника на обработку организатором конкурса предоставленных участником персональных данных, в том числе фамилии, имени, отчества, номера телефона, а также почтового адреса.

§ 6. Отзыв согласия на обработку персональных данных

Часть 2 ст. 9 Закона № 152-ФЗ предусматривает возможность субъекта отозвать ранее данное согласие на обработку персональных данных. Правовым последствием отзыва является утрата права оператора на обработку персональных данных этого субъекта, за исключением случаев, когда оператор имеет иные предусмотренные Законом № 152-ФЗ основания для обработки таких данных (п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11).

Следует отметить, что бремя доказывания наличия таких оснований возлагается на самого оператора. Так, например, А.И. Савельев указывает, что в случае заключения кредитного договора у банковской организации возникает сразу несколько оснований обработки персональных данных: 1) согласие субъекта персональных данных; 2) цели исполнения договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ); 3) выполнение возложенных законодательством на оператора обязанностей (например, сохранять идентифицирующие клиента документы в течение не менее пяти лет⁶); хранение первичных учетных документов, регистров бухгалтерского учета и бухгалтерской отчетности в течение сроков, устанавливаемых в соответствии с правилами организации государственного архивного дела, но не менее пяти лет (ч. 1 ст. 17 Федерального закона от 21 ноября 1996 г. № 129-ФЗ «О бухгалтерском учете», причем все хозяйственные операции, проводимые организацией, должны оформляться оправдательными документами)⁷. Из указанного выше следует, что даже после надлежащего исполнения кредитного договора его сторонами у банковской организации возникают обязательства перед государством, связанные с персональными данными заемщика, и поэтому даже в случае отзыва согласия на обработку персональных данных обязанности по немедленному прекращению обработки и уничтожению персональных данных не возникает.

Обработка персональных данных без согласия субъекта персональных данных допускается в случае, если она осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях. Поэтому отзыв работником своего согласия на обработку персональных данных в таких случаях также не может являться основанием для прекращения обработки его персональных данных работодателем.

Согласно ч. 5 ст. 21 Закона № 152-ФЗ в случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено законодательством о персональных данных. Следует подчеркнуть, что нормами Закона № 152-ФЗ не предусмотрена обязанность оператора уведомлять субъекта персональных данных о факте прекращения обработки персональных данных в связи с удовлетворением отзыва согласия субъекта на обработку его персональных данных.

Нередко возникают ситуации, когда субъект персональных данных вынужден дать согласие на их обработку, поскольку оператор обусловил предоставление товара или оказание услуги дачей согласия на обработку персональных данных любыми способами, явно несоразмерными целям дачи согласия со стороны субъекта персональных данных. Такое согласие предусматривает обработку персональных данных с указанием целей, способов, сроков и иных параметров обработки, которые явно избыточны по отношению к тем целям, ради которых субъект персональных данных обратился к оператору. При этом в случае отказа от подписания такой формы согласия обычно оператор отказывается в свою очередь заключить договор. Такая ситуация фактически лишает субъекта персональных данных возможности выбора и противоречит действующему законодательству не только о защите персональных данных, но и о защите прав потребителей. Так, в соответствии с ч. 2 ст. 16 Закона РФ от 7 февраля 1992 г. № 2300-1 «О защите прав потребителей» (далее – Закон «О защите прав потребителей») запрещается обусловливать приобретение одних товаров (работ, услуг) обязательным приобретением других товаров (работ, услуг). Следует подчеркнуть, что это положение ст. 16 данного закона, посвященной недействительности условий договора, ущемляющих права потребителя. Очевидно, что в тех ситуациях, когда субъект персональных данных, выступая в качестве потребителя, вынужден дать под угрозой незаключения договора согласие с условиями обработки персональных данных, заранее сформулированными предпринимателем и содержащими явно избыточные положения и требования, можно говорить об ущемлении прав потребителя субъекта персональных данных и о нарушении не только законодательства о персональных данных, но и законодательства о защите прав потребителей. Данный вывод подтверждается и судебной практикой. Так, в постановлении Арбитражного суда Северо-Западного округа от 18 июля 2016 г. по делу № А44-9647/2015⁸ указано, что отсутствие у потребителя права выбора возможности согласия или отказа в согласии на обработку персональных данных ущемляет права потребителей. Поскольку потребитель является экономически более слабой стороной, предоставление ему полной и достоверной информации, необходимой для принятия самостоятельного решения, является важным условием, обеспечивающим соблюдение его прав.

Федеральный арбитражный суд Московского округа в постановлении от 19 августа 2011 г. по делу № А40-129864/10-21-809 указывает, что нарушением законодательства о персональных данных является отсутствие указания в заявлении о согласии на обработку персональных данных перечня действий с персональными данными, а также указание неверного срока хранения персональных данных.

§ 7. Дача согласия на обработку персональных данных представителем субъекта персональных данных

Закон № 152-ФЗ также предусматривает возможность дачи согласия в случае недееспособности субъекта персональных данных законным представителем субъекта. Представительство в данном случае может быть законным (например, если речь идет о несовершеннолетнем ребенке, то его законными представителями являются его родители; законным представителем лица, лишенного дееспособности, выступает его опекун и др.). Документами, подтверждающими законность представительства, могут являться свидетельство о рождении, акт о назначении опекуном, а в случае добровольного представительства – надлежащим образом оформленная доверенность. Важно иметь в виду, что в действующем законодательстве нет требований об обязательном нотариальном заверении доверенности на право совершения действий с персональными данными представляемого лица.

Порядок получения согласия субъекта персональных данных на их обработку в целях предоставления государственных и муниципальных услуг в форме электронного документа устанавливается Правительством РФ. Так, постановлением Правительства РФ от 25 января 2013 г. № 33 утверждены Правила использования простой электронной подписи при оказании государственных и муниципальных услуг⁹. Данные правила устанавливают порядок использования простой электронной подписи любыми лицами при обращении за получением государственных и муниципальных услуг в электронной форме, оказываемых федеральными органами исполнительной власти, государственными корпорациями, которые в соответствии с федеральным законом наделены полномочиями по предоставлению государственных услуг в установленной сфере деятельности, органами государственных внебюджетных фондов, органами исполнительной власти субъектов Российской Федерации, органами местного самоуправления, а также за получением услуг, перечень которых устанавливается Правительством РФ и которые предоставляются государственными и муниципальными учреждениями и другими организациями, которым дается государственное или муниципальное задание на предоставление таких услуг.

В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни. К форме и содержанию такого согласия применяются общие правила, установленные для согласия субъекта персональных данных.

Часть 8 ст. 9 Федерального закона «О защите персональных данных» содержит положение, согласно которому оператор может получить персональные данные не от самого субъекта, а от третьего лица. Однако при этом оператор обязан убедиться, что персональные данные были получены и предоставлены оператору таким третьим лицом на законном основании (п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10, и ч. 2 ст. 11).

Глава 2
Правовые позиции Конституционного Суда Российской Федерации о защите персональных данных

В соответствии с п. «в», «и» ч. 1 ст. 71 Конституции РФ регулирование и защита прав и свобод человека и гражданина, информация и связь отнесены к ведению Российской Федерации. Субъекты Российской Федерации не могут принимать нормативные правовые акты в указанной сфере. Поэтому, как справедливо указывает Конституционный Суд РФ (далее – КС РФ) в своей правовой позиции, обязанность обеспечить – с учетом современного уровня развития средств и способов обращения такого специфического нематериального объекта, как информация – баланс прав и законных интересов, а также определенность правового положения участников правоотношений, объектом которых она выступает, и правоотношений, связанных с ее поиском, получением, передачей, производством и распространением, возлагается на федерального законодателя (постановление от 26 октября 2017 г. № 25-П).

Несмотря на сформированную практику по вопросам защиты персональных данных, КС РФ не принял ни одного постановления, предметом которого были бы нормы Закона № 152-ФЗ. При этом КС РФ принял множество определений и постановлений, касающихся иных федеральных законов, затрагивающих отдельные аспекты защиты персональных данных.

§ 1. Защита персональных данных граждан при обращении в медицинские учреждения

Интерес представляют несколько наиболее актуальных вопросов: обработка сведений о пациенте и возможность их передачи другим лицам без его согласия; допустимость аудио- и видеозаписи в кабинетах учреждений здравоохранения.

В пункте 4 ч. 2 Закона № 152-ФЗ закреплено, что обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну. КС РФ отметил, что данная норма позволяет хранить информацию о состоянии здоровья граждан исключительно в целях реализации их права на охрану здоровья и медицинскую помощь, при этом конфиденциальность персональных данных обеспечивается врачебной тайной, а потому не может рассматриваться как нарушение конституционных прав заявителями в указанном им аспекте (определение от 16 июля 2013 г. № 1176-О)¹⁰

КС РФ также отмечал, что положения Закона об охране здоровья граждан, допускающие использование локальных информационных систем, направлены на обеспечение прав граждан на получение медицинской помощи необходимого объема и надлежащего качества на основе установленных стандартов ее оказания и сами по себе не могут рассматриваться как нарушающие конституционные права граждан в указанном заявителем аспекте (определение от 24 сентября 2013 г. № 1333-О). При этом в любом случае пациент или работник медицинского учреждения должен предоставить письменное согласие на обработку персональных данных подобным способом. В частности, предоставление данных сведений без согласия гражданина допускается указанным федеральным законом для осуществления контроля качества и безопасности медицинской деятельности, в том числе в целях внутреннего контроля.

Несмотря на небольшое количество решений КС РФ по отмеченным вопросам, можно отметить, что в Законе № 152-ФЗ сформулированы общие положения, гарантирующие соблюдение врачебной и иной охраняемой законом тайны и защиту персональной информации учреждениями, осуществляющими сбор и хранение такой информации, а в Законе об охране здоровья граждан закреплены основания предоставления сведений, составляющих врачебную тайну, без согласия гражданина или его законного представителя, которые в полной мере отвечают целям защиты прав и законных интересов граждан, соблюдения баланса частных и публичных интересов (постановления от 20 декабря 2011 г. № 29-П, от 22 июня 2017 г. № 16-П, от 17 апреля 2019 г. № 18-П и др.).

§ 2. Оперативно-розыскная деятельность

В данном случае наибольший интерес представляет практика КС РФ по вопросу допустимости сбора информации о гражданах без их согласия в рамках оперативно-разыскных действий с помощью технических средств. Так, в своей жалобе в КС РФ гражданин, привлеченный к уголовной ответственности за совершение преступления, предусмотренного ч. 4 ст. 290 УК РФ, оспаривал конституционность ч. 2–5 ст. 8 Федерального закона от 12 августа 1995 г. № 144-ФЗ «Об оперативно-розыскной деятельности» (далее – Федеральный закон № 144-ФЗ), позволивших проводить наблюдение с использованием технических средств, в результате которого получены аудио- и видеозаписи переговоров (разговоров) граждан в служебных помещениях, без судебного решения. По мнению заявителя, оспариваемые нормы в системной связи с положениями ст. 9, 11 Федерального закона № 144-ФЗ, а также ст. 13, 29, 186 УПК РФ допускают произвольное вторжение в частную жизнь и сбор информации без согласия и уведомления лица, что нарушило гарантированное ст. 23 Конституции РФ право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений.

КС РФ отметил, что поскольку осуществление оперативно-разыскных мероприятий, в том числе наблюдения, возможно лишь в целях выполнения задач, предусмотренных ст. 2 Федерального закона № 144-ФЗ, и при наличии оснований, указанных в ст. 7, то данный федеральный закон не допускает сбора, хранения, использования и распространения информации о частной жизни проверяемого лица, если это не связано с выявлением, предупреждением, пресечением и раскрытием преступлений, а также с выявлением и установлением лиц, их подготавливающих, совершающих или совершивших, и другими законными задачами и основаниями оперативно-разыскной деятельности (определение от 14 июля 1998 г. № 86-О).

КС РФ в своих решениях неоднократно указывал на то, что применение технических средств фиксации наблюдаемых событий само по себе не предопределяет необходимость вынесения о том специального судебного решения, которое признается обязательным условием для проведения отдельных оперативно-разыскных мероприятий, ограничивающих конституционные права человека и гражданина (определения от 16 ноября 2006 г. № 454-О, от 20 марта 2007 г. № 178-О-О, от 21 октября 2008 г. № 862-О-О, от 13 октября 2009 г. № 1148-О-О и др.), а потому положения Федерального закона № 144-ФЗ, допускающие проведение наблюдения с использованием средств аудио- и видеозаписи, как сами по себе, так и в системной связи с указанными в жалобе законоположениями не могут рассматриваться как ограничивающие права заявителя. К тому же согласно ст. 5 Федерального закона № 144-ФЗ органы, осуществляющие оперативно-разыскную деятельность, при проведении оперативно-разыскных мероприятий обязаны обеспечивать соблюдение прав человека и гражданина на неприкосновенность частной жизни, личную и семейную тайну, неприкосновенность жилища и тайну корреспонденции и им запрещено разглашать сведения, которые затрагивают неприкосновенность частной жизни, личную и семейную тайну, честь и доброе имя граждан и которые стали им известны в процессе проведения оперативно-разыскных мероприятий, без согласия граждан, за исключением случаев, предусмотренных федеральными законами.

§ 3. Личные данные участников административного разбирательства

Согласно позиции КС РФ право на неприкосновенность частной жизни, личную и семейную тайну означает предоставленную человеку и гарантированную государством возможность контролировать информацию о самом себе, препятствовать разглашению сведений личного, интимного характера; в понятие «частная жизнь» включается та область жизнедеятельности человека, которая относится к отдельному лицу, касается только его и не подлежит контролю со стороны общества и государства, если не носит противоправного характера (определения от 24 декабря 2013 г. № 2128-О, от 9 июня 2005 г. № 248-О, от 26 января 2010 г. № 158-О-О и др.).

В постановлении от 18 февраля 2000 г. № 3-П КС РФ отметил, что права, закрепленные в ст. 23, 24,и 29 Конституции РФ, обосновывают и обеспечивают в том числе возможность для гражданина требовать предоставления ему собираемых органами государственной власти и их должностными лицами сведений, непосредственно затрагивающих его права и свободы, и тем более касающихся его частной жизни, чести и достоинства. Основания для ограничения указанных прав могут устанавливаться законом только в качестве исключения из общего дозволения (ч. 2 ст. 24 Конституции РФ) и должны быть связаны именно с содержанием информации, поскольку иначе они не были бы адекватны конституционно признаваемым целям. Из ряда решений КС РФ можно установить, в каких случаях обработка персональных данных признается соответствующей охраняемым Конституцией РФ гарантиям.

В отношении вопроса об отнесении информации о личных данных заявителя и свидетеля в рамках административного процесса к категории тайны частной жизни КС РФ указал, что «личные данные (имя, адрес места жительства, почтовый адрес, контактный телефон) лица, заявляющего о правонарушении, указываемые им в официально подаваемом заявлении, а равно личные данные свидетеля, которые фиксируются в процессуальных документах, в том числе с их слов (например, в протоколе об административном правонарушении), не относятся к сведениям о частной жизни таких лиц и не признаются законодательством об административных правонарушениях закрытыми сведениями, поскольку такие данные необходимы для производства по делу об административном правонарушении» (определения от 16 июля 2013 г. № 1217-О, от 23 апреля 2015 г. № 1075-О).

Данные выводы КС РФ были сформулированы применительно к действующему правовому регулированию производства по делам об административных правонарушениях и не носят универсального характера (определение от 22 декабря 2015 г. № 2906-О). В частности, КС РФ в названных решениях указал, что законодатель вправе определить случаи, когда личным данным лица, заявляющего об административном правонарушении, указываемым им в официально подаваемом заявлении, придавался бы закрытый характер.

В отмеченных определениях КС РФ также подчеркнул, что несмотря на отсутствие соответствующих положений в действующем правовом регулировании не может рассматриваться как нарушение конституционных прав и свобод, в том числе права на государственную защиту, отмеченная выше ситуация, поскольку лицо, заявляющее об административном правонарушении, и свидетель в рамках существующего правового регулирования не лишены возможности обратиться в правоохранительные органы в связи со всеми случаями противоправного, по их мнению, вмешательства в их частную жизнь и посягательства на их безопасность.

§ 4. Удаление персональных данных гражданина по его требованию

Статья 7 Закона № 152-ФЗ в качестве общего правила закрепляет конфиденциальность персональных данных, которая предполагает, что операторы и иные лица, получившие доступ к персональным данным, то есть к любой информации, относящейся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом (определение от 22 декабря 2015 г. № 2906-О).

В ряде случаев гражданин не может требовать исключения персональных данных о нем, поскольку они приобретают общедоступный и открытый характер. Этим руководствовался КС РФ, отклоняя жалобу индивидуального предпринимателя, который направлял в соответствующие государственные органы заявления об исключении своих персональных данных (имени, фамилии, отчества, даты рождения) из открытых и общедоступных сведений, содержащихся в выписке из Единого государственного реестра индивидуальных предпринимателей и на официальном сайте Федеральной налоговой службы (определение от 17 июля 2012 г. № 1346-О).

Остается актуальной проблема хранения данных о судимостях, фактах привлечения к уголовной и административной ответственности в связи с реализацией гражданами избирательных прав, а также в области доступа к некоторым видам деятельности (правоохранительная, педагогическая, охотничья и т. д.). Это вызвало многочисленные обращения граждан по поводу удаления данных о себе из баз данных соответствующих правоохранительных органов.

В данном случае примечательны определения КС РФ от 27 февраля 2018 г. № 558-О, от 24 апреля 2018 г. № 1099-О в связи с жалобами граждан, которые оспаривают конституционность ряда положений ст. 17 Федерального закона от 7 февраля 2011 г. № 3-ФЗ «О полиции» и ч. 3, 4 ст. 10 Закона № 152-ФЗ, определяющих особенности обработки специальных категорий персональных данных, в частности о судимости. Заявители полагают, что хранение данных о погашенной судимости нарушает их конституционные права, а оспариваемые законоположения допускают не ограниченные по срокам хранение и обработку полицией данных о лице, осужденном за совершение преступления, вне зависимости от погашения либо снятия судимости, а также без учета декриминализации совершенного деяния и не предусматривают механизма уничтожения этих данных по достижении целей обработки, тем самым не позволяя указанному лицу по прошествии определенного времени с момента погашения (снятия) судимости ограничить и контролировать разглашение этих данных в целях реализации и защиты своих прав и свобод, поскольку доступ иных лиц к указанным данным затрудняет реализацию ими прав и свобод.

КС РФ в таких делах отклоняет жалобы заявителей, обосновывая это особым правовым положением полиции и предназначением данного органа государственной власти, которое состоит в защите жизни, здоровья, прав и свобод граждан Российской Федерации, иностранных граждан, лиц без гражданства, противодействии преступности, охране общественного порядка, собственности и обеспечении общественной безопасности. КС РФ также отметил то, что формирование и ведение банков данных о гражданах осуществляются в соответствии с требованиями, установленными российским законодательством, а содержащиеся в них персональные данные обрабатываются в соответствии с установленными законодательством Российской Федерации требованиями в области персональных данных и подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, то есть во всяком случае не могут храниться бессрочно.

В определении от 25 февраля 2016 г. № 335-О КС РФ указал, что Федеральный закон от 7 февраля 2011 г. № 3-ФЗ «О полиции» наделяет полицию правом обрабатывать информацию обо всех лицах, подвергающихся или подвергавшихся уголовному преследованию для исполнения возложенных на нее обязанностей. Соответственно она не предназначена для бессрочного хранения.

При этом полиция может ссылаться на то, что, например, информация о различных правонарушениях необходима для анализа статистики правонарушений за определенный период времени, на той или иной территории и т. д. В любом случае ни в законодательстве, ни в практике КС РФ не установлено критериев, четко регулирующих данные вопросы. В частности, отсутствует правовой механизм, обеспечивающий обязанность полиции уничтожать информацию об уголовном преследовании граждан, что говорит о широкой дискреции полиции в решении рассматриваемого вопроса. Кроме того, законодательно не установлена ответственность за собственно бессрочное хранение указанной информации полицией без соответствующих обоснований, что было проигнорировано КС РФ в отмеченных решениях.

В определении от 16 июля 2013 г. № 1176-О КС РФ указал, что Закон № 152-ФЗ позволяет хранить информацию о состоянии здоровья граждан исключительно в целях реализации их права на охрану здоровья и медицинскую помощь, при этом конфиденциальность персональных данных обеспечивается врачебной тайной. Таким образом, КС РФ придерживается позиции, в силу которой при наличии предусмотренной законом обязанности обеспечения конфиденциальности персональных данных обработка и хранение таких данных допустимы. При этом следует заметить, что ст. 13 Закона об охране здоровья граждан предусматривает запрет разглашения любых сведений, полученных в связи с обращением гражданина в медицинское учреждение. При этом указанная статья содержит конкретный перечень оснований, при наступлении которых допускается использование сведений, составляющих врачебную тайну. Важно также учесть, что положения ст. 13 Закона об охране здоровья граждан корреспондируют п. 1, 6 ч. 1 ст. 6 Закона № 152-ФЗ.

Следовательно, можно заключить, что требование об удалении персональных данных исходя из практики КС РФ по таким делам, должно быть основано на следующем:

1) нарушение прав заявителя обработкой и хранением персональных данных;

2) фактическая возможность удаления персональных данных из общего доступа;

3) отсутствие у оператора оснований для хранения и обработки персональных данных, предусмотренных ст. 13 Закона № 152-ФЗ;

4) отсутствие специального режима охраны персональных данных, предусмотренных федеральным законом.

§ 5. Защита персональных данных при рассмотрении обращений граждан

Определенные проблемы возникают в правоприменительной практике в отношении защиты персональных данных при рассмотрении обращений граждан. Спорной является ситуация относительно возможности граждан лично знакомиться с материалами дела и оценивать тем самым законность решения по итогам направленного ими обращения в орган власти или иную организацию, выполняющую функции публичного управления. Согласно позиции КС РФ все зависит от сложившихся обстоятельств: уполномоченный орган или должностное лицо в соответствующих случаях по своему административному усмотрению отказывает или предоставляет возможность доступа к указанным документам и материалам на том основании, что содержащаяся в них информация, затрагивающая права, свободы и законные интересы других лиц, хотя и не защищается в качестве государственной или иной охраняемой федеральным законом тайны, однако отнесена к сведениям, распространение которых в Российской Федерации в установленном федеральным законом порядке ограничено или запрещено (определение от 7 февраля 2013 г. № 134-О). Соответственно ограничение на раскрытие и распространение информации, относящейся к персональным данным, направлено на обеспечение разумного баланса конституционно защищаемых ценностей (определение от 28 июня 2018 г. № 1664-О).

Напротив, в силу ст. 6 Федерального закона от 2 мая 2006 г. № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации» не допускается разглашение сведений, содержащихся в обращении, а также сведений, касающихся частной жизни гражданина, без его согласия.

В определении от 22 декабря 2015 г. № 2906-О КС РФ рассмотрел следующую ситуацию в отношении некоммерческой организации Управлением Минюста России проводилась внеплановая проверка, основанием для которой послужило требование прокуратуры Челябинской области. Между тем само требование прокуратуры было направлено в связи с обращением гражданина в прокуратуру Челябинской области. Представители некоммерческой организации просили Минюст России предоставить исходное обращение, явившееся поводом для проверки, но им было отказано со ссылкой на то, что обращение содержит персональные данные, которые не могут быть разглашены без согласия гражданина. КС РФ указал, что лицо, в отношении которого осуществляется внеплановая проверка, вправе требовать для ознакомления все материалы, послужившие основанием для ее проведения, и рассчитывать на их получение при соблюдении ограничений, предусмотренных федеральным законодательством. Вместе с тем лица, которые направляют в органы публичной власти обращения, содержащие информацию, которая может послужить основанием для проведения внеплановых проверок, вправе рассчитывать на то, что сообщенные ими сведения, относящиеся к их частной жизни, а равно их персональные данные не будут автоматически (без необходимости) предоставлены лицам, в отношении которых проводятся указанные проверки. Однако это не исключает возможности ознакомления проверяемых лиц с данными, содержащимися в соответствующих обращениях. Но при этом должно быть гарантировано, что лицо, направляющее обращение, не будет идентифицировано, если оно не давало согласия на распространение его персональных данных, и к его персональным данным не будет получен доступ.

§ 6. Ограничение права на получение (истребование) информации нормами Закона № 152-ФЗ

Неоднократными были обращения в КС РФ граждан, усматривавших ограничение их процессуальных и профессиональных прав на истребование информации нормами Закона № 152-ФЗ. Оспаривание норм федерального законодательства в данном случае сводится преимущественно к вопросам конституционности ограничения правомочий адвоката и, соответственно, прав гражданина получать доказательства, содержащие персональные данные, для участия в судебном процессе (определение от 29 января 2009 г. № 3-О-О). Данным определением был подтвержден особый правовой режим информации, содержащей персональные данные. Было отмечено, что Конституция РФ «допускает возможность установления в отношении той или иной информации специального правового режима, в том числе режима ограничения свободного доступа к ней со стороны граждан. Исключение информации, относящейся к персональным данным, которая была запрошена заявителем, из режима свободного доступа полностью соответствует предписаниям ч. 2 ст. 24 Конституции Российской Федерации. В противном случае под угрозой оказалось бы гарантированное ч. 1 ст. 23 и ч. 1 ст. 24 Конституции Российской Федерации право на неприкосновенность частной жизни». Основываясь на данной правовой позиции, КС РФ признал, что действие Федерального закона от 22 декабря 2008 г. № 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации» не распространяется на отношения, связанные с обеспечением доступа к информации о деятельности судов, содержащей персональные данные (определение от 16 декабря 2010 г. № 1626-О-О). Однако эта норма не предусматривает полного запрета доступа к любой информации, содержащей персональные данные. Некоторые субъекты имеют право на доступ к ней, и они должны быть непосредственно поименованы в законе, однако законодатель формально не отнес к их числу адвокатов (определение от 17 июня 2008 г. № 434-О-О).

В части 2 ст. 24 Конституции РФ не установлены порядок и условия реализации гарантируемого ею права – это компетенция федерального законодателя, который, исходя из необходимости защиты частных и публичных интересов, вправе установить разные уровни гарантий и степень возможных ограничений права на получение информации при условии соразмерности таких ограничений конституционно признаваемым целям их введения (ч. 3 ст. 55 Конституции РФ). При этом, как указал КС РФ в постановлении от 18 февраля 2000 г. № 3-П, ограничение права, вытекающего из ч. 2 ст. 24 Конституции РФ, допустимо лишь в соответствии с федеральным законом, устанавливающим специальный правовой статус не подлежащей распространению информации, обусловленный ее содержанием, в том числе наличием в ней данных, составляющих государственную тайну, конфиденциальных сведений, связанных с частной жизнью, со служебной, коммерческой, профессиональной, изобретательской деятельностью. Федеральный законодатель не называет адвокатов в числе лиц, запросы которых о предоставлении информации, составляющей коммерческую тайну, являются обязательными для обладателей данной информации, а также для органов публичной власти, которым она стала известна в силу выполнения ими своих функций.

В определении от 29 сентября 2011 г. № 1063-О-О, предметом оценки которого был запрет на самостоятельное истребование адвокатом сведений, содержащих персональные данные, для предоставления их суду в качестве доказательств по делу, КС РФ отметил, что нормы Закона № 152-ФЗ устанавливают специальные категории персональных данных, условия обработки которых предусматривают также специальный правовой режим доступа к ним, обеспечивающий конфиденциальность сведений о частной жизни лица (определение от 29 сентября 2011 г. № 1063-О-О). Такой режим, по мнению КС РФ, не исключает возможность доступа к персональным данным посредством судебных запросов, поскольку заявитель не лишен возможности при рассмотрении судом конкретного дела с участием его доверителя обратиться к суду с ходатайством об истребовании доказательств, в том числе сведений, содержащих конфиденциальную информацию.

Интерес представляет жалоба в КС РФ Т.М. Вербицкой, в которой она оспаривает конституционность п. 5 ч. 1 ст. 6 Закона № 152-ФЗ, в соответствии с которым обработка персональных данных допускается в случае, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (определение от 17 июля 2018 г. № 1810-О). По мнению заявительницы, указанное законоположение не соответствовало ст. 17 (ч. 3), 24, 46 (ч. 1) Конституции РФ в той мере, в какой оно допускает использование ресурсоснабжающей организацией персональных данных (личного номера телефона) без согласия субъекта персональных данных, нарушает баланс прав и законных интересов сторон договора о предоставлении коммунальных услуг, отдавая приоритет интересам юридического лица. КС РФ отметил, что п. 5 ч. 1 ст. 6 Закона № 152-ФЗ «допуская обработку персональных данных, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, направлен на реализацию принципа надлежащего исполнения обязательств в соответствии с условиями обязательства и требованиями закона (ст. 309 ГК РФ), обеспечивает защиту прав участников договорных отношений, в том числе по предоставлению коммунальных услуг, справедливый баланс их законных интересов и не может расцениваться как нарушающий конституционные права и свободы заявительницы в указанном в жалобе аспекте».

Интерес представляет позиция КС РФ по вопросу возможности выдачи копии документов, составляющих врачебную тайну, гражданину об его умершем близком (родственнике, супруге и т. д.). Так, в определении от 9 июня 2015 г. № 1275-О КС отметил, что медицинская информация, непосредственно касающаяся не самого гражданина, а его умерших близких (родственника, супруга и т. д.) как связанная с памятью о дорогих ему людях, может представлять для него не меньшую важность, чем сведения о нем самом, а потому отказ в ее получении, особенно в тех случаях, когда наличие такой информации помогло бы внести ясность в обстоятельства их смерти, существенно затрагивает его права – как имущественные, так и личные неимущественные. В то же время подобная информация является конфиденциальной и составляет медицинскую тайну не только при жизни лица, но и после его смерти. Исходя из ряда конституционных положений (ч. 1 ст. 24, ч. 1 ст. 41 Конституции РФ) в их неразрывной взаимосвязи и учитывая, что гарантии защиты чести и достоинства умершего и доброй памяти о нем не могут быть исключены из сферы общего (публичного) интереса в государстве, где человек, его права и свободы являются высшей ценностью (постановление от 14 июля 2011 г. № 16-П), КС РФ полагает, что введение законодателем ограничений на предоставление медицинских сведений в отношении умершего гражданина третьим лицам само по себе отвечает этим конституционным положениям¹¹.

В определении от 9 июня 2015 г. № 1275-О КС РФ отметил, что в случае, когда сведения о причине смерти и диагнозе заболевания пациента доступны заинтересованному лицу в силу закона, сохранение в тайне от него информации о предпринятых мерах медицинского вмешательства, в частности о диагностике, лечении, назначенных медицинских препаратах, не может во всех случаях быть оправдано необходимостью защиты врачебной тайны, особенно с учетом мотивов и целей обращения за такими сведениями. В подобных ситуациях суд при осуществлении подготовки гражданского дела к разбирательству, правоохранительные органы при решении вопроса о возбуждении уголовного дела, а прокурор при проведении проверки в порядке надзора за соблюдением прав и свобод человека и гражданина могут на основе принципов соразмерности и справедливости принять решение о необходимости ознакомить заинтересованное лицо со сведениями, относящимися к истории болезни умершего пациента, в той мере, в какой это необходимо для эффективной защиты прав заявителя и прав умершего лица. При этом федеральный законодатель не лишен возможности в порядке совершенствования нормативно-правового регулирования в данной сфере предусмотреть конкретные правовые механизмы доступа к сведениям, составляющим врачебную тайну умершего лица, с учетом конституционных требований и сформулированных на их основании правовых позиций КС РФ с соблюдением разумного баланса прав и интересов всех субъектов соответствующих правоотношений. Таким образом, КС РФ по существу отметил наличие пробела в рассматриваемой норме, который хоть и не нарушает охраняемых Конституцией РФ прав и свобод граждан, тем не менее может быть устранен законодателем для целей реализации обозначенного в приведенном определении механизма доступа к сведениям о персональных данных истории болезни умерших лиц.

Кроме того, КС РФ со ссылкой на ряд решений Европейского Суда по правам человека (постановления от 25 февраля 1997 г. по делу «Z. против Финляндии», от 27 августа 1997 г. по делу «M.S. против Швеции» и др.) отметил, что международное право и конституционные нормы не устанавливают конкретных процедур, в рамках которых заинтересованное лицо может ознакомиться с информацией, содержащей медицинскую тайну иного лица. Соответственно федеральный законодатель обладает определенной свободой усмотрения при создании правовых механизмов, которые при соблюдении надлежащего баланса защищаемых Конституцией РФ ценностей позволяли бы заинтересованному лицу осуществлять эффективную защиту (в том числе судебную) как принадлежащих ему имущественных прав и нематериальных благ, так и права на человеческое достоинство умершего лица. Мотивируя свое решение, КС РФ указал на то, что в материалах, представленных в КС РФ заявителем, отсутствуют сведения о том, что он выражал намерение ознакомиться со сведениями, содержащимися в материалах проверки следственными органами его сообщения о преступлении, либо оспаривал вынесенное следователем по итогам проверки процессуальное решение, либо обращался в прокуратуру с соответствующим заявлением. В этих материалах также не содержатся сведения, которые позволяли бы сделать вывод о том, что заявитель воспользовался гражданско-правовыми средствами защиты своих прав.

Таким образом, можно сделать ряд выводов:

1. Учет правовых позиций КС РФ способствует развитию правоприменительной практики, позволяет определять направления совершенствования законодательства в сфере персональных данных, что должно быть направлено на защиту конституционных ценностей (прав и свобод человека и гражданина, обеспечение баланса частных и публичных интересов и т. д.). Так, актуальной проблемой остается преодоление несоответствия понятийного аппарата Закона № 152-ФЗ и норм, регулирующих обработку персональных данных. Возможным способом преодоления данной проблемы является конкретизация положений Закона № 152-ФЗ (в частности, понятия «персональные данные», так как к ним формально-юридически может быть отнесена практически любая информация о человеке), чему может способствовать КС РФ путем указания в своих решениях федеральному законодателю на необходимость совершенствования законодательства Российской Федерации по тому или иному вопросу (на примере постановлений от 20 октября 2016 г. № 20-П, от 10 июля 2018 г. № 30-П, от 4 февраля 2019 г. № 8-П и др.).

2. Правовые позиции КС РФ в области персональных данных отражают определенные тенденции взаимодействия общего правового режима персональных данных и специальных правовых режимов обработки отдельных видов информации. Так, в своих решениях КС РФ указывает, что большей юридической силой обладает специальное регулирование отношений в сфере персональных данных, можно наблюдать признание приоритета отраслевых законов над общими нормами Закона № 152-ФЗ.

3. В правовых позициях КС РФ прослеживается стремление разрешить конкретную спорную ситуацию с точки зрения соблюдения баланса интересов субъекта персональных данных и интересов иных лиц, сведения о которых содержатся в истребуемых им документах.

4. Большинство спорных ситуаций, ставших основанием для обращения в КС РФ, вытекали из конфликта частных и публичных интересов. Анализ практики конституционного судопроизводства в сфере персональных данных показал, что по своему характеру данные ситуации имеют в целом административно-правовую природу и возникают по поводу обработки персональных данных в различных сферах государственного управления в процессе предоставления (или организации предоставления) услуг органами публичной власти или непосредственно связанными с ними организациями. При этом, несмотря на декларируемую конституционную ценность – обеспечение баланса частных и публичных интересов, КС РФ в последнее время отдает приоритет защите публичных интересов в области сбора, хранения и предоставления персональных данных граждан без их согласия уполномоченным органам и лицам, а также удаления персональных данных граждан по их требованию, предоставленных ими ранее в медицинские учреждения либо связанных с судимостью.