Гражданско-правовая квалификация персональных данных

Чернышенко Илья Геннадьевич ORCID: 0000-0003-4066-8446 студент, Финансовый университет при Правительстве Российской Федерации 105187, Россия, г. Москва, ул. Щербаковская, 38 Chernyshenko Ilya Gennad'evich Student, Financial University under the Government of the Russian Federation 105187, Russia, Moscow, Shcherbakovskaya str., 38 cheig@inbox.ru Другие публикации этого автора

Баркова Алина Васильевна ORCID: 0000-0001-9470-3070 кандидат юридических наук доцент, Департамент правового регулирования экономической деятельности, Финансовый университет при Правительстве Российской Федерации 105187, Россия, г. Москва, ул. Щербаковская, 38 Barkova Alina Vasil'evna PhD in Law Associate Professor, Department of Legal Regulation of Economic Activity, Financial University under the Government of the Russian Federation 38 Shcherbakovskaya str., Moscow, 105187, Russia rav6232551@mail.ru Другие публикации этого автора

При рассмотрении гражданско-правовой природы персональных данных важно акцентировать внимание на том, что понятие объекта субъективного гражданского права тождественно понятию объекта гражданского правоотношения.

Персональные данные занимают центральное место в рамках правового поля, являются собирательной категорией. Эти данные представляют собой информацию, которая идентифицирует отдельного человека или делает его идентифицируемым. В современном обществе, где цифровые технологии становятся все более распространяемыми, сбор и обработка персональных данных являются неотъемлемой частью многих аспектов современных правоотношений.

Стоит констатировать, что в российском законодательстве до сих пор сохраняется проблема квалификации той или иной информации о личности в качестве персональных данных, проблема их фигурирования в тесной взаимосвязи с гражданскими отношениями, разграничения категорий частного или публичного права в контексте отношений в сфере персональных данных. Данные вопросы уже частично затрагивались в работах таких ведущих специалистов по теме исследования, как: Л. К. Остриковой, Э. В. Талапиной, А. И. Савельева и др.

Позиция автора настоящей статьи такова: персональные данные в России, действительно, являются объектом гражданского субъективного права, хоть и прямо не поименованы в ст. 128 ГК РФ.

Для того чтобы доказать, что персональные данные гражданина – это объект гражданских правоотношений, целесообразно начать с рассмотрения содержания статьи 23 Конституции Российской Федерации, так как она устанавливает фундаментальное конституционное право граждан на неприкосновенность (далее – конфиденциальность) частной жизни, которое в свою очередь охраняется гражданским правом в соответствии со ст. 152.2 ГК РФ.

Формулировка статьи 23 Конституции Российской Федерации представляет собой конституционно-правовую основу, в том числе для защиты персональных данных гражданина. Во-первых, содержание указанной статьи направлено на защиту частной жизни и связанных с ней элементов. Такие данные, как имя, адрес, телефон и другие идентифицирующие сведения (далее – персональные данные), являются составляющим элементом частной (приватной) жизни человека. Во-вторых, право на тайну, равно этому право на конфиденциальность, включает в себя механизм защиты от незаконного доступа и использования, - вопросы защиты данного права регламентирует законодательство о персональных данных. В-третьих, персональные данные могут также включать в себя информацию, передаваемую в рамках личной корреспонденции и в процессе коммуникации (по электронным письмам, сообщениям в мессенджерах и в рамках телефонных разговорах), - это является одним из составляющих частной жизни человека, следовательно, ее неприкосновенность подразумевает защиту данных. В-четвертых, базовый закон о персональных данных дополняет конституционную норму, конкретизируя, каким образом должны использоваться и обрабатываться персональные данные.

Другой аргумент в защиту указанной позиции можно представить на основании Определения Конституционного Суда от 9 июня 2005 г. № 248-О «Об отказе в принятии к рассмотрению жалобы граждан Захаркина Валерия Алексеевича и Захаркиной Ирины Николаевны на нарушение их конституционных прав пунктом «б» части третьей статьи 125 и частью третьей статьи 127 Уголовно-исполнительного кодекса Российской Федерации». Так, Конституционный Суд определил, что понятие неприкосновенности частной жизни связано с гарантированной государством возможностью контролировать информацию о самом себе, препятствовать разглашению сведений личного, интимного характера. В состав персональных данных и входят как раз-таки личные и интимные сведения, такие как: информация о здоровье, семейном положении и многое другое. Контроль гражданами над информацией о самом себе и защита информации о личной жизни от незаконного или несанкционированного разглашения – есть задачи законодательства о персональных данных.

Квалификация персональных данных в качестве объекта гражданско-правовых отношений необходима, прежде всего, для расширения возможностей (способов) правовой защиты и более комплексного регулирования персональных данных граждан во взаимосвязи гражданского права с другими областями правовых отношений.

Кроме этого, необходимость легального закрепления такого объекта, как персональные данные, в гражданском праве косвенно можно выразить из проблемы их места в системе российского законодательства, указанной Л. К. Остриковой ^[5]. Закрепление персональных данных в гражданском законодательстве привнесет правовую определенность их правового режима.

Массив персональных данных может быть включен в предмет гражданско-правовых договоров, в особенности, включая договор оказания услуг и его разновидности. В контексте договора оказания услуг персональные данные могут фигурировать в следующих конструкциях:

1) договор на обработку (об обработке) персональных данных (ДОПД), который регулирует отношения между субъектом персональных данных и оператором данных. Оператор данных обязуется выполнять обработку данных от имени и по указанию субъекта данных. Этот договор подразумевает передачу массива персональных данных оператору для выполнения в последующем определенных задач;

2) массив персональных данных может быть задействован в договоре об оказании конкретного вида услуг, где сама обработка данных несет функциональную нагрузку. В этом случае персональные данные будут использованы для оказания определенной услуги (например, в процессе обработки запроса, предоставления поддержки), а обязанности по обработке данных будут включены в условия договора;

3) договор, заключаемый с поставщиками облачных сервисов. Организации используют облачные сервисы в виде хранилищ данных, они заключают договоры с поставщиками услуг. В таких договорах предусматриваются условия относительно обработки персональных данных, если такие данные передаются в облако. Зачастую организации применяют данную договорную конструкцию при аренде серверного пространства у провайдера в целях передачи на сервер данных клиентов для последующего их хранения и обработки.

В любом из вышеуказанных случаев договор регулирует вопросы, связанные с обработкой персональных данных, включая цели обработки, сроки хранения, меры безопасности и ответственность сторон. Поэтому легальное закрепление персональных данных в гражданском законодательстве будет нивелировать риски в правоприменительной практике, связанные с неоднозначностью толкования условий договорных конструкций, перечисленных свыше.

Но важно указать, что персональные данные не должны восприниматься в классическом понимании объекта гражданского оборота, они могут лишь фигурировать в предмете и иных условиях договора, но не должны быть его объектом в целях противодействия купли-продаже информации о приватной жизни гражданина и следованию этическим принципам хранения и обработки персональных данных, в соответствии с которыми граждане должны быть уверены в том, что их данные используются с уважением к их частной жизни и не превращаются в объект торговли.

Однако Ю. Е. Донников пытается разграничить ситуации, когда информация о частной жизни гражданина, включаемая в персональные данные, может являться и не может являться объектом гражданского оборота ^[1]. В частности, если речь идет о неимущественном компоненте (т.е. о нематериальном благе), то персональные данные не находятся в гражданском обороте, а если об имущественном, например, за получение платы за позирование гражданином для получения его изображения, то персональные данные могут вполне присутствовать в гражданском обороте. Более того, указанный автор, приравнивая персональные данные к информации, старается узаконить их нахождение в гражданском обороте на основании того, что информация может свободно использоваться и распространяться в соответствии с Законом об информации.

Автор настоящей статьи категорически не согласен с мнением Ю. Е. Донникова ввиду нижеследующего.

Во-первых, на основе одного примера, причем неверно сформулированного, дается общее утверждение о возможности участия всех персональных данных в гражданском обороте, т.е. не указаны категории (виды) персональных данных, отсутствует разграничение: какие данные могли бы находиться в гражданском обороте, а какие никогда не будут в нем фигурировать в силу положений законодательства о персональных данных.

Во-вторых, отсутствует разграничение изображения физического лица как нематериального блага и как объекта интеллектуальной собственности (имущественный компонент в отношениях будет присутствовать только при передаче имущественных прав на так называемое «позирование с целью получения изображения»; скорее всего, автор статьи пытался донести мысль не о получении изображения гражданина для решения каких-либо задач или исполнения обязанностей, а в целях осуществления фотографической деятельности, но тогда изображение не будет ни разновидностью информации, ни нематериальным благом, а должно быть квалифицировано как объект интеллектуальной собственности).

В-третьих, не сделан акцент на ограничении гражданского оборота персональных данных. Такое ограничение касается следующих моментов в гражданских правоотношениях: обработка персональных данных требует добровольного и информированного согласия субъекта данных; данные могут собираться и использоваться только для определенных законных целей, известных заранее; сбору подлежат только те персональные данные, которые необходимы для достижения цели их обработки и использования; обработка и защита персональных данных должны осуществляться с соблюдением мер их конфиденциальности и безопасности; субъекты данных должны обладать правом на доступ к своим данным в любое время, на их изменение, блокировку или удаление. Следовательно, персональные данные не являются объектом свободного гражданского оборота, а, более того, существует категория персональных данных («чувствительные данные»), которые вовсе не могут находиться в гражданском обороте, поскольку их распространение в гражданских правоотношениях приведет к потенциальной угрозе для безопасности приватной жизни гражданина. Такие «чувствительные данные» (например, отпечатки пальцев, медицинская история болезней и др.) могут иметь публичный интерес, не связанный с частноправовыми отношениями.

А. И. Савельев в своем научном труде приходит к выводам о том, что ^[7]: а) персональные данные соответствуют не всем признакам для признания их нематериальным благом; б) в современных общественных отношениях персональные данные уже коммерциализируемые, например, при включении в трудовой договор с тренером или со спортсменом условия о предоставлении одним из них работодателю прав на использование изображения, фамилии и др. данных или при использовании изображения малоизвестных лиц в рекламных видеороликах, на фотографиях при оформлении веб-сайтов и т.д.; в) можно было бы признать персональные данные в качестве иного имущества. Относительно приведенного мнения следует выразить однозначное несогласие с юридической логикой исследования данного вопроса.

Во-первых, в контексте правовой защиты персональных данных гражданина рассмотрение их с позиций абсолютного или относительного характера для последующего выделения данных в качестве нематериального блага лишено практического юридического значения. Абсолютный характер нематериальных благ не более, чем абстрактная теоретическая концепция, используемая для научных изысканий. Важно ориентироваться на комплексные правовые отношения, где различия в признаках одного и того же объекта, в его регулировании – совершенно обычное, частое и логичное явление, которое отражает разнообразие и сложность правового режима, его действия в разных правовых ситуациях.

Во-вторых, использование персональных данных (даже де-факто) в качестве непосредственного объекта договорного обязательства немыслимо и не соотносимо с концепцией действующего гражданского законодательства. Персональные данные не должны быть расценены как товар, который можно свободно отчуждать в любой гражданско-правовой сделке по ряду причин: это будет подрывать принцип уважения личной жизни и конфиденциальности, повлечет противоречия в установленных обязательных требованиях к обработке данных, обеспечении их безопасности, повысится риск, связанный со злоупотреблением данными со стороны контрагента (например, к их незаконной продаже, недобросовестному использованию в других целях), это не отвечает цели базового законодательства о персональных данных – усиленной защите интересов субъектов данных («владельца» данных).

В-третьих, квалификация персональных данных в качестве иного имущества по статье 128 ГК РФ повлечет за собой неимоверное количество юридических рисков в правоприменении, часть которых уже была указана свыше. Например, это не коррелируется со специфическими требованиями к обработке и защите персональных данных, может вызвать опасения относительно возможности использования данных без согласия субъекта данных и др. С точки зрения неюридического аспекта, расценивание данных гражданина как имущества вызовет смысловую несостоятельность (персональные данные имеют особые свойства и ценность, особую значимость, - они не могут быть адекватно отражены понятием «имущество»), нарушит все представления о высоких этических стандартах в общественной среде.

Э. В. Талапина поднимает серьезный вопрос о разграничении частного и публичного в случае правовой защиты персональных данных, приходит к справедливому выводу о том, что защита персональных данных гражданина имеет межотраслевой характер, обличенный в публично-правовую защиту данных и в реализацию субъективного гражданского права ^[10].

Рассуждая о размывании границ частного и публичного при регулировании защиты персональных данных, она исследует зарубежный опыт. Например, законодательство Германии о персональных данных содержит в себе унитарный подход регулирования со стертой разницей между частным и публичным. В законодательстве США есть пример регулирования, где пересекаются грани между частным и публичным правом: существует ряд федеральных законов, таких как Закон о защите персональных данных в сфере здравоохранения (HIPAA) и Закон о контроле кредитных отчетов (FCRA), которые регулируют обработку и защиту персональных данных граждан как в секторе деятельности частных компаний, так и в сфере деятельности государственных и муниципальных организаций, подконтрольных государственным структурам.

Автором статьи предлагается провести разграничение между элементами частного и публичного права именно в сфере сбора, хранения, использования и обработки персональных данных. Относительно субъектного состава: персональные данные выступают объектом частных отношений только между гражданином и организациями, в редких случаях – гражданином и гражданином, в то время как публичные правоотношения будут связывать деятельность государства, его уполномоченных органов с гражданами.

Перейдем к разграничению по объекту. К публичным правоотношениям в сфере персональных данных следует относить: разработку нормативно-правовых актов, регламентирующих обработку персональных данных; осуществление контроля и надзора за соблюдением законодательства о персональных данных; сбор и обработку персональных данных заинтересованными органами без согласия субъектов персональных данных (соблюдение условия о получении согласия субъекта на обработку данных является моментом перехода отношений в частноправовую плоскость).

Автор допускает взаимосвязь и взаимодополняемость (т.е. стертые границы) частного и публичного только в случае защиты гражданами своих нематериальных благ. Это позволит расширить объем контроля над своими данными и повысить гибкость и эффективность защиты граждан от утечек, незаконной обработки и злоупотребления их личной информацией, независимо от того, обрабатываются данные в частном или публичном секторе. Кроме этого, такой подход позволит лучше учитывать современные реалии цифровой среды и технологические изменения, гармонизирует законодательство в области защиты персональных данных и усилит прозрачность, ответственность организаций и государства, имеющих отношение к обработке и защите данных.

Так, Девятый арбитражный апелляционный суд по делу А40-597/2019 рассматривал в рамках дела о банкротстве законность видеосъемки единственным кредитором проведения собрания кредиторов, а также возможность признания недействительным решения собрания кредиторов на основе этого факта. Суд апелляционной инстанции счел верными доводы управляющего о превышении предела компетенции единственного кредитора на данном собрании и нарушении права, выразившегося в неполучении согласия собрания кредиторов на видеосъемку на основании ст. 6 Закона о персональных данных при обработке (далее – записи) идентифицирующих сведений (например, информацию о финансовом состоянии должника, его имущественном положении).

Подавая кассационную жалобу на данное постановление, единственный кредитор включил в нее довод о том, что суду при разрешении дела следовало руководствоваться ст. 152.1 ГК РФ в части видеозаписи гражданина на публичном мероприятии, на собрании кредиторов, в данном случае кредитор посчитал, что запись осуществлялась правомерно. Суд кассационной инстанции, отказывая в передаче кассационной жалобы для рассмотрения в судебном заседании, указал, что доводы заявителя кассационной жалобы, т.е. единственного кредитора, о допустимости проведения видеозаписи собрания кредиторов, в том числе о применении ст. 152.1 ГК РФ, являются правомерными.

Данный кейс является очень спорным и неоднозначным с точки зрения соотношения процедуры банкротства как частно-публичной категории с применением к нему публично-правового законодательства (в рамках норм Закона о персональных данных) или частноправового (гражданского) законодательства (в рамках ст. 152.1 ГК РФ), либо вообще субсидиарного применения указанных положений двух различных по своей правовой природе нормативно-правовых актов. Автор считает, что в такой ситуации субсидиарное (комплексное) регулирование не должно быть применено по причине того, что в отношениях по банкротству превалирует публичный интерес, который даже минимально аргументирован участием органа контроля (надзора) в собрании кредиторов, отсюда следует, что применение нормы ГК РФ недопустимо в противоречии существу отношений. Также недопустимо применение нормы ГК РФ ввиду того, что речь ведется не о конкретном гражданине, не о видеозаписи публичного мероприятия, так как собрание кредиторов не отвечает признакам публичного мероприятия по смыслу ст. 2 Федерального закона от 19.06.2004 № 54-ФЗ «О собраниях, митингах, демонстрациях, шествиях и пикетированиях».

Признание Верховным Судом РФ доводов заявителя состоятельными, выражение согласия с ними – это отсутствие понимания у суда разницы персональных данных как комплексной, публично-правовой и частноправовой категории, неясность, когда следует комплексно рассматривать и разрешать спор, а когда подлежит применению законодательство только одной сферы (отрасли), кроме этого, очень спорная и немотивированная позиция суда кассационной инстанции имеет место быть в отсутствии судебной практики по таким аналогичным вопросам.

Автор статьи считает, что применение законодательства о персональных данных в тесной взаимосвязи с гражданским законодательством возможно только в таких случаях, когда два разнородных правовых отношения не противоречат друг другу в контексте содержания правовых норм: понятийного аппарата, субъектного состава и др. элементов.

Таким образом, автор статьи является сторонником комплексного межотраслевого правового регулирования персональных данных ввиду множественности и разнообразия возникающих правовых отношений по поводу них. Необходимость в таком механизме регулирования обусловлена поиском баланса между частным и публичным интересом, особенно в части защиты прав субъектов данных, практических потребностях обработки данных в коммерческих и других целях. При этом комплексное правовое регулирование персональных данных не должно противоречить содержанию одной из включенных в него разновидностей правоотношений.

Автор больше всего склоняется к варианту отдельного закрепления в ГК РФ персональных данных как одного из совокупных объектов нематериальных благ. При этом необходимость закрепления персональных данных в ГК РФ вызвано решением критически важных задач повышения уровня защиты прав субъектов данных, обеспечения прозрачности и предсказуемости их правового режима в контексте гражданских правоотношений, укрепления правопорядка и эффективного пресечения правонарушений в свете нарастающих тенденций развития информационных технологий и цифровизации в целом.