Текст книги "Защита данных: научно-практический комментарий к судебной практике"

§ 3. Согласие на обработку персональных данных в конклюдентной форме

Такая форма дачи согласия предполагает, что оно вытекает из действий субъекта. Например, факт заполнения и предоставления резюме был признан судом в качестве согласия субъекта персональных данных, отвечающих требованиям закона[3]3
  См.: Апелляционное определение Московского городского суда от 28 сентября 2016 г. по делу № 33-38280/2016.


[Закрыть].

Таганский районный суд в решении от 1 апреля 2015 г. по делу № 2-1464/2015 признал правомерным привлечение к дисциплинарной ответственности сотрудника, в трудовые обязанности которого входила работа с персональными данными, за распространение анкет соискателей без их согласия путем направления с корпоративной почты на адреса третьих лиц, не являющихся работниками организации. Данный факт был обнаружен службой безопасности компании. Выяснилось, что резюме кандидатов были направлены в качестве примера без согласия соискателей и иных законных оснований, что стало нарушением не только локальных нормативных актов организации, но и Федерального закона «О персональных данных»[4]4
  См.: решение Таганского районного суда от 1 апреля 2015 г. по делу № 2-1464/2015.


[Закрыть].

§ 4. Согласие на обработку персональных данных в форме электронного документа, подписанного простой электронной подписью

В соответствии с Федеральным законом от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи» (далее – Федеральный закон «Об электронной подписи» простая электронная подпись – это электронная подпись, которая создается посредством использования кодов, паролей или иных средств и подтверждает факт формирования электронной подписи определенным лицом. Суды признают документ, в котором было выражено согласие в подобной форме, в качестве подписанного простой электронной подписью. Следует отметить, что для обеспечения документа, подписанного простой электронной подписью, юридической силой необходимо идентифицировать лицо, которое использует простую электронную подпись. По общему правилу идентификация лица происходит, когда субъект лично посещает организацию, выдающую ключи электронной подписи. Подписант предъявляет документ, удостоверяющий личность, и получает ключ электронной подписи.

При этом ключ простой электронной подписи может генерироваться и онлайн с использованием различных кодов подтверждения по электронной почте, SMS-кодов и др. Такая форма не предполагает очной идентификации лица с предоставлением документа, удостоверяющего личность. Однако механизм с генерированием ключей простых электронных подписей онлайн широко применяется в сфере онлайн-банкинга для физических лиц, где идентификация подписанта осуществляется в момент выдачи дебетовой или кредитной карты, к которой услуга онлайн-банкинга привязана. Также получение согласия на обработку персональных данных в форме электронного документа, подписанного простой электронной подписью, распространено в области государственных услуг для физических лиц и в сфере коммунального хозяйства.

Так, в определении Приморского краевого суда от 7 апреля 2015 г. по делу № 33-2865 указано: «Согласно оферте СМС-код используется в качестве электронной подписи клиента для формирования им каждого электронного документа. В случае идентичности СМС-кода, направленного банком, и СМС-кода, введенного в форме электронного документа для подтверждения передачи клиентом соответствующего распоряжении/заявления через интернет-банк, такая электронная подпись считается подлинной и предоставленной клиентом»[5]5
  Определение Приморского краевого суда от 7 апреля 2015 г. по делу № 33-2865.


[Закрыть].

Также в качестве подписанного простой электронной подписью признается согласие, подписанное с помощью кода подтверждения, высланного по электронной почте.

При этом важно соблюсти положения ст. 6 Федерального закона «Об электронной подписи», в частности, чтобы стороны (оператор и субъект) достигли соглашения о том, что направление сообщения с определенного электронного адреса будет считаться подписанием документа простой электронной подписью. Юридическая сила сообщений электронной почты подтверждается и судебной практикой. Так, в постановлении Президиума ВАС РФ от 12 ноября 2013 г. № 18002/12 указано, что «получение или отправка сообщения с использованием адреса электронной почты, известного как почта самого лица или служебная почта его компетентного сотрудника, свидетельствует о совершении этих действий самим лицом, пока им не доказано обратное».

§ 5. Согласие на обработку персональных данных без использования электронной подписи

Электронная форма дачи согласия на обработку персональных данных может быть также выражена путем проставления так называемой галочки под условиями обработки персональных данных, например в соответствующем поле на экране при оформлении заказа или регистрации на веб-сайте.

При определенных обстоятельствах такого рода согласие также может рассматриваться в качестве электронного документа, подписанного простой электронной подписью.

При регистрации на интернет-сайтах пользователь принимает условия пользования указанным интернет-сайтом (пользовательское соглашение) и тем самым берет на себя обязательства, установленные указанным соглашением, а также всеми дополнительными правилами (правила верификации), являющимися неотъемлемой частью пользовательского соглашения.

Пользователь конкретного ресурса в момент регистрации самостоятельно принимает решение о предоставлении собственных персональных данных и дает согласие на их обработку, отвечающее требованиям закона, – конкретное, информированное и сознательное. В случае если пользователь не согласен с какими-либо положениями пользовательского соглашения конкретного интернет-ресурса, он может отказаться от его использования.

В пользовательских соглашениях нередко указано, что пользователь понимает и согласен с тем, что правообладатель может использовать информацию, предоставленную пользователем, в том числе и персональные данные. Например, при регистрации в качестве участника конкурса субъект персональных данных принимает условия правил проведения конкурса, размещенных на сайте, и тем самым берет на себя обязательства, установленные указанными правилами. При этом факт участия в конкурсе означает конкретное, информированное и сознательное согласие участника на обработку организатором конкурса предоставленных участником персональных данных, в том числе фамилии, имени, отчества, номера телефона, а также почтового адреса.

§ 6. Отзыв согласия на обработку персональных данных

Часть 2 ст. 9 Закона № 152-ФЗ предусматривает возможность субъекта отозвать ранее данное согласие на обработку персональных данных. Правовым последствием отзыва является утрата права оператора на обработку персональных данных этого субъекта, за исключением случаев, когда оператор имеет иные предусмотренные Законом № 152-ФЗ основания для обработки таких данных (п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11).

Следует отметить, что бремя доказывания наличия таких оснований возлагается на самого оператора. Так, например, А.И. Савельев указывает, что в случае заключения кредитного договора у банковской организации возникает сразу несколько оснований обработки персональных данных: 1) согласие субъекта персональных данных; 2) цели исполнения договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ); 3) выполнение возложенных законодательством на оператора обязанностей (например, сохранять идентифицирующие клиента документы в течение не менее пяти лет[6]6
  См.: ч. 4 ст. 7 Федерального закона от 7 августа 2001 г. № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма».


[Закрыть]); хранение первичных учетных документов, регистров бухгалтерского учета и бухгалтерской отчетности в течение сроков, устанавливаемых в соответствии с правилами организации государственного архивного дела, но не менее пяти лет (ч. 1 ст. 17 Федерального закона от 21 ноября 1996 г. № 129-ФЗ «О бухгалтерском учете», причем все хозяйственные операции, проводимые организацией, должны оформляться оправдательными документами)[7]7
  См.: Савельев А.И. Указ. соч. С. 76.


[Закрыть]. Из указанного выше следует, что даже после надлежащего исполнения кредитного договора его сторонами у банковской организации возникают обязательства перед государством, связанные с персональными данными заемщика, и поэтому даже в случае отзыва согласия на обработку персональных данных обязанности по немедленному прекращению обработки и уничтожению персональных данных не возникает.

Обработка персональных данных без согласия субъекта персональных данных допускается в случае, если она осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях. Поэтому отзыв работником своего согласия на обработку персональных данных в таких случаях также не может являться основанием для прекращения обработки его персональных данных работодателем.

Согласно ч. 5 ст. 21 Закона № 152-ФЗ в случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено законодательством о персональных данных. Следует подчеркнуть, что нормами Закона № 152-ФЗ не предусмотрена обязанность оператора уведомлять субъекта персональных данных о факте прекращения обработки персональных данных в связи с удовлетворением отзыва согласия субъекта на обработку его персональных данных.

Нередко возникают ситуации, когда субъект персональных данных вынужден дать согласие на их обработку, поскольку оператор обусловил предоставление товара или оказание услуги дачей согласия на обработку персональных данных любыми способами, явно несоразмерными целям дачи согласия со стороны субъекта персональных данных. Такое согласие предусматривает обработку персональных данных с указанием целей, способов, сроков и иных параметров обработки, которые явно избыточны по отношению к тем целям, ради которых субъект персональных данных обратился к оператору. При этом в случае отказа от подписания такой формы согласия обычно оператор отказывается в свою очередь заключить договор. Такая ситуация фактически лишает субъекта персональных данных возможности выбора и противоречит действующему законодательству не только о защите персональных данных, но и о защите прав потребителей. Так, в соответствии с ч. 2 ст. 16 Закона РФ от 7 февраля 1992 г. № 2300-1 «О защите прав потребителей» (далее – Закон «О защите прав потребителей») запрещается обусловливать приобретение одних товаров (работ, услуг) обязательным приобретением других товаров (работ, услуг). Следует подчеркнуть, что это положение ст. 16 данного закона, посвященной недействительности условий договора, ущемляющих права потребителя. Очевидно, что в тех ситуациях, когда субъект персональных данных, выступая в качестве потребителя, вынужден дать под угрозой незаключения договора согласие с условиями обработки персональных данных, заранее сформулированными предпринимателем и содержащими явно избыточные положения и требования, можно говорить об ущемлении прав потребителя субъекта персональных данных и о нарушении не только законодательства о персональных данных, но и законодательства о защите прав потребителей. Данный вывод подтверждается и судебной практикой. Так, в постановлении Арбитражного суда Северо-Западного округа от 18 июля 2016 г. по делу № А44-9647/2015[8]8
  СПС «КонсультантПлюс».


[Закрыть] указано, что отсутствие у потребителя права выбора возможности согласия или отказа в согласии на обработку персональных данных ущемляет права потребителей. Поскольку потребитель является экономически более слабой стороной, предоставление ему полной и достоверной информации, необходимой для принятия самостоятельного решения, является важным условием, обеспечивающим соблюдение его прав.

Федеральный арбитражный суд Московского округа в постановлении от 19 августа 2011 г. по делу № А40-129864/10-21-809 указывает, что нарушением законодательства о персональных данных является отсутствие указания в заявлении о согласии на обработку персональных данных перечня действий с персональными данными, а также указание неверного срока хранения персональных данных.

§ 7. Дача согласия на обработку персональных данных представителем субъекта персональных данных

Закон № 152-ФЗ также предусматривает возможность дачи согласия в случае недееспособности субъекта персональных данных законным представителем субъекта. Представительство в данном случае может быть законным (например, если речь идет о несовершеннолетнем ребенке, то его законными представителями являются его родители; законным представителем лица, лишенного дееспособности, выступает его опекун и др.). Документами, подтверждающими законность представительства, могут являться свидетельство о рождении, акт о назначении опекуном, а в случае добровольного представительства – надлежащим образом оформленная доверенность. Важно иметь в виду, что в действующем законодательстве нет требований об обязательном нотариальном заверении доверенности на право совершения действий с персональными данными представляемого лица.

Порядок получения согласия субъекта персональных данных на их обработку в целях предоставления государственных и муниципальных услуг в форме электронного документа устанавливается Правительством РФ. Так, постановлением Правительства РФ от 25 января 2013 г. № 33 утверждены Правила использования простой электронной подписи при оказании государственных и муниципальных услуг[9]9
  Постановление Правительства РФ от 25 января 2013 г. № 33 (в ред. от 20 ноября 2018 г.) «Об использовании простой электронной подписи при оказании государственных и муниципальных услуг» // СЗ РФ. 2013. № 5. Ст. 377.


[Закрыть]. Данные правила устанавливают порядок использования простой электронной подписи любыми лицами при обращении за получением государственных и муниципальных услуг в электронной форме, оказываемых федеральными органами исполнительной власти, государственными корпорациями, которые в соответствии с федеральным законом наделены полномочиями по предоставлению государственных услуг в установленной сфере деятельности, органами государственных внебюджетных фондов, органами исполнительной власти субъектов Российской Федерации, органами местного самоуправления, а также за получением услуг, перечень которых устанавливается Правительством РФ и которые предоставляются государственными и муниципальными учреждениями и другими организациями, которым дается государственное или муниципальное задание на предоставление таких услуг.

В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни. К форме и содержанию такого согласия применяются общие правила, установленные для согласия субъекта персональных данных.

Часть 8 ст. 9 Федерального закона «О защите персональных данных» содержит положение, согласно которому оператор может получить персональные данные не от самого субъекта, а от третьего лица. Однако при этом оператор обязан убедиться, что персональные данные были получены и предоставлены оператору таким третьим лицом на законном основании (п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10, и ч. 2 ст. 11).

Глава 2
Правовые позиции Конституционного Суда Российской Федерации о защите персональных данных

В соответствии с п. «в», «и» ч. 1 ст. 71 Конституции РФ регулирование и защита прав и свобод человека и гражданина, информация и связь отнесены к ведению Российской Федерации. Субъекты Российской Федерации не могут принимать нормативные правовые акты в указанной сфере. Поэтому, как справедливо указывает Конституционный Суд РФ (далее – КС РФ) в своей правовой позиции, обязанность обеспечить – с учетом современного уровня развития средств и способов обращения такого специфического нематериального объекта, как информация – баланс прав и законных интересов, а также определенность правового положения участников правоотношений, объектом которых она выступает, и правоотношений, связанных с ее поиском, получением, передачей, производством и распространением, возлагается на федерального законодателя (постановление от 26 октября 2017 г. № 25-П).

Несмотря на сформированную практику по вопросам защиты персональных данных, КС РФ не принял ни одного постановления, предметом которого были бы нормы Закона № 152-ФЗ. При этом КС РФ принял множество определений и постановлений, касающихся иных федеральных законов, затрагивающих отдельные аспекты защиты персональных данных.

§ 1. Защита персональных данных граждан при обращении в медицинские учреждения

Интерес представляют несколько наиболее актуальных вопросов: обработка сведений о пациенте и возможность их передачи другим лицам без его согласия; допустимость аудио– и видеозаписи в кабинетах учреждений здравоохранения.

В пункте 4 ч. 2 Закона № 152-ФЗ закреплено, что обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну. КС РФ отметил, что данная норма позволяет хранить информацию о состоянии здоровья граждан исключительно в целях реализации их права на охрану здоровья и медицинскую помощь, при этом конфиденциальность персональных данных обеспечивается врачебной тайной, а потому не может рассматриваться как нарушение конституционных прав заявителями в указанном им аспекте (определение от 16 июля 2013 г. № 1176-О)[10]10
  Согласно ч. 4 ст. 13 Федерального закона от 21 ноября 2011 г. № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» (далее – Закон об охране здоровья граждан) предоставление сведений, составляющих врачебную тайну, без согласия гражданина или его законного представителя допускается в 11 случаях (в целях проведения медицинского обследования и лечения гражданина, который в результате своего состояния не способен выразить свою волю; при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений; по запросу органов дознания и следствия, суда в связи с проведением расследования или судебным разбирательством, по запросу органов прокуратуры в связи с осуществлением ими прокурорского надзора, по запросу органа уголовно-исполнительной системы в связи с исполнением уголовного наказания и осуществлением контроля за поведением условно осужденного, осужденного, в отношении которого отбывание наказания отсрочено, и лица, освобожденного условно-досрочно, и др.).


[Закрыть]

КС РФ также отмечал, что положения Закона об охране здоровья граждан, допускающие использование локальных информационных систем, направлены на обеспечение прав граждан на получение медицинской помощи необходимого объема и надлежащего качества на основе установленных стандартов ее оказания и сами по себе не могут рассматриваться как нарушающие конституционные права граждан в указанном заявителем аспекте (определение от 24 сентября 2013 г. № 1333-О). При этом в любом случае пациент или работник медицинского учреждения должен предоставить письменное согласие на обработку персональных данных подобным способом. В частности, предоставление данных сведений без согласия гражданина допускается указанным федеральным законом для осуществления контроля качества и безопасности медицинской деятельности, в том числе в целях внутреннего контроля.

Несмотря на небольшое количество решений КС РФ по отмеченным вопросам, можно отметить, что в Законе № 152-ФЗ сформулированы общие положения, гарантирующие соблюдение врачебной и иной охраняемой законом тайны и защиту персональной информации учреждениями, осуществляющими сбор и хранение такой информации, а в Законе об охране здоровья граждан закреплены основания предоставления сведений, составляющих врачебную тайну, без согласия гражданина или его законного представителя, которые в полной мере отвечают целям защиты прав и законных интересов граждан, соблюдения баланса частных и публичных интересов (постановления от 20 декабря 2011 г. № 29-П, от 22 июня 2017 г. № 16-П, от 17 апреля 2019 г. № 18-П и др.).

§ 2. Оперативно-розыскная деятельность

В данном случае наибольший интерес представляет практика КС РФ по вопросу допустимости сбора информации о гражданах без их согласия в рамках оперативно-разыскных действий с помощью технических средств. Так, в своей жалобе в КС РФ гражданин, привлеченный к уголовной ответственности за совершение преступления, предусмотренного ч. 4 ст. 290 УК РФ, оспаривал конституционность ч. 2–5 ст. 8 Федерального закона от 12 августа 1995 г. № 144-ФЗ «Об оперативно-розыскной деятельности» (далее – Федеральный закон № 144-ФЗ), позволивших проводить наблюдение с использованием технических средств, в результате которого получены аудио– и видеозаписи переговоров (разговоров) граждан в служебных помещениях, без судебного решения. По мнению заявителя, оспариваемые нормы в системной связи с положениями ст. 9, 11 Федерального закона № 144-ФЗ, а также ст. 13, 29, 186 УПК РФ допускают произвольное вторжение в частную жизнь и сбор информации без согласия и уведомления лица, что нарушило гарантированное ст. 23 Конституции РФ право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений.

КС РФ отметил, что поскольку осуществление оперативно-разыскных мероприятий, в том числе наблюдения, возможно лишь в целях выполнения задач, предусмотренных ст. 2 Федерального закона № 144-ФЗ, и при наличии оснований, указанных в ст. 7, то данный федеральный закон не допускает сбора, хранения, использования и распространения информации о частной жизни проверяемого лица, если это не связано с выявлением, предупреждением, пресечением и раскрытием преступлений, а также с выявлением и установлением лиц, их подготавливающих, совершающих или совершивших, и другими законными задачами и основаниями оперативно-разыскной деятельности (определение от 14 июля 1998 г. № 86-О).

КС РФ в своих решениях неоднократно указывал на то, что применение технических средств фиксации наблюдаемых событий само по себе не предопределяет необходимость вынесения о том специального судебного решения, которое признается обязательным условием для проведения отдельных оперативно-разыскных мероприятий, ограничивающих конституционные права человека и гражданина (определения от 16 ноября 2006 г. № 454-О, от 20 марта 2007 г. № 178-О-О, от 21 октября 2008 г. № 862-О-О, от 13 октября 2009 г. № 1148-О-О и др.), а потому положения Федерального закона № 144-ФЗ, допускающие проведение наблюдения с использованием средств аудио– и видеозаписи, как сами по себе, так и в системной связи с указанными в жалобе законоположениями не могут рассматриваться как ограничивающие права заявителя. К тому же согласно ст. 5 Федерального закона № 144-ФЗ органы, осуществляющие оперативно-разыскную деятельность, при проведении оперативно-разыскных мероприятий обязаны обеспечивать соблюдение прав человека и гражданина на неприкосновенность частной жизни, личную и семейную тайну, неприкосновенность жилища и тайну корреспонденции и им запрещено разглашать сведения, которые затрагивают неприкосновенность частной жизни, личную и семейную тайну, честь и доброе имя граждан и которые стали им известны в процессе проведения оперативно-разыскных мероприятий, без согласия граждан, за исключением случаев, предусмотренных федеральными законами.