Некоторые проблемы использования чекбоксов для получения согласия на сбор и обработку персональных данных
В статье рассматривается проблема использования на интернет-ресурсах такого инструмента, как чекбокс, для получения согласия на сбор и обработку персональных данных. Уделено внимание определению содержания правовых норм, регулирующих процесс сбора и обработки персональных данных. С учетом анализа правоприменительной практики выявлена проблема идентификации лиц посредством применения чекбоксов в информационно-телекоммуникационной сети Интернет. По результатам исследования предложены рекомендации по устранению имеющихся проблем, в частности, сделан вывод о возможности использования биометрии.
Ключевые слова: информация, идентификация, аутентификация, персональные данные, биометрия, чекбокс, административная ответственность, государственные услуги.
The article discusses the problem of using a tool such as a checkbox on Internet resources to obtain consent to the collection and processing of personal data. Attention is paid to defining the content of the legal norms governing the collection and processing of personal data. Taking into account the analysis of law enforcement practice, the problem of identifying individuals through the use of checkboxes in the Internet information and telecommunications network has been identified. Based on the results of the study, recommendations are proposed to eliminate existing problems, in particular, it is concluded that biometrics can be used.
Key words: information, identification, authentication, personal data, biometrics, checkbox, administrative responsibility, public services.
Цифровизация и развитие информационных технологий существенно трансформировали область оборота информации, обеспечивая беспрецедентную скорость, объемы и доступность передачи данных. Данные процессы способствуют оптимизации социально-экономических взаимодействий, повышению эффективности государственного управления и расширению возможностей для реализации прав граждан. Однако параллельно возникают принципиально новые риски, связанные с увеличением вероятности неправомерного использования персональных данных, нарушением приватности частной жизни и даже информационной безопасности государства.
В данной связи актуализируется необходимость поиска баланса между обеспечением свободного обращения информации и защитой персональных данных от злоупотреблений. Реализация данной потребности требует разработки адекватных правовых механизмов, сочетающих превентивные меры, эффективный контроль и ответственность за нарушения правил оборота информации, с учетом как национальных, так и международных стандартов.
Только таким образом можно минимизировать негативные последствия цифровизации, сохранив при этом ее очевидные преимущества для личности, общества и государства.
А.А. Затолокин и В.В. Стрельцов указывают: "...посредством персональных данных граждане вступают в различные социальные правоотношения, реализуя предоставленные им конституционные права. Неправомерное использование персональных данных является грубым нарушением прав и свобод человека и гражданина и, в свою очередь, образует состав либо административного правонарушения, либо преступления" <1>.
--------------------------------
<1> Затолокин А.А. Административно-правовые аспекты государственного регулирования обработки биометрических персональных данных // Общество и право. 2023. N 1 (83). С. 79.
Персональные данные являются объектом правовой защиты, что выражается не только в установлении законодателем составов административных правонарушений и преступлений, но и в правоприменительной деятельности органов публичной власти.
Согласно ч. 3 ст. 13.11 Кодекса Российской Федерации об административных правонарушениях, за отсутствие размещения на интернет-сайте в открытом доступе документа, определяющего политику в отношении обработки персональных данных, предусмотрена административная ответственность.
Рассмотрим более подробно объективные и субъективные признаки составов административных правонарушений, предусмотренных ст. 13.11 КоАП РФ.
Видовым объектом выступают общественные отношения, складывающиеся в области реализации интересов личности в информационном пространстве. Непосредственными объектами являются различные группы общественных отношений, связанные с оборотом персональных данных, в том числе правом субъекта персональных данных на неприкосновенность частной жизни, личную и семейную тайну, а также на защиту персональных данных.
Объективная сторона правонарушений состоит в деянии, выраженном в нарушении норм федерального законодательства, регулирующих оборот персональных данных.
Оператором персональных данных может быть государственный или муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими организует и (или) осуществляет обработку данных, определяя цели, состав и действия с ними. Обработка данных охватывает любые действия, включая сбор, хранение, использование, передачу, обезличивание и уничтожение информации.
Субъективная сторона правонарушений может выражаться как в умышленных, так и в неосторожных действиях, а также в бездействии.
Субъектами правонарушений являются операторы персональных данных и их должностные лица, включая граждан, индивидуальных предпринимателей, юридических лиц, государственные и муниципальные органы.
Согласно Федеральному закону "О персональных данных" <2>, персональные данные определяются как информация, позволяющая идентифицировать физическое лицо, включая Ф.И.О., дату и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы и другие сведения. Такая информация относится к категории конфиденциальной, за исключением обезличенных данных и общедоступной информации. Конфиденциальность персональных данных защищается законом, включая запрет на сбор, хранение и распространение информации о частной жизни без согласия субъекта, за исключением случаев, предусмотренных законодательством.
--------------------------------
<2> Федеральный закон от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (последняя редакция).
Федеральный закон "О персональных данных" определяет согласие субъекта персональных данных на обработку сведений о его частной жизни в качестве одного из принципов правового регулирования отношений в сфере информации, информационных технологий и защиты информации, включая информацию персонального характера. Следует отметить, что из данного основополагающего "принципа согласия" могут иметь место исключения, прямо и недвусмысленно предусмотренные нормами Закона.
Не вызывает сомнений тот факт, что каждый пользователь информационно-телекоммуникационной сети Интернет хотя бы раз сталкивался с чекбоксами о согласии на обработку персональных данных.
По своей сути чекбокс - это элемент интерфейса сайта в виде "окна" с местом для проставления отметки в виде "галочки" с текстом "Соглашаюсь на обработку персональных данных в соответствии с политикой конфиденциальности" или "Регистрируясь, вы принимаете пользовательское соглашение". Однако, несмотря на широкое распространение чекбоксов, их использование вызывает ряд вопросов с точки зрения соответствия требованиям законодательства.
Как уже было отмечено, в соответствии со ст. 3 Федерального закона "О персональных данных" персональные данные - это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Например, фамилия, имя и отчество; год, месяц, дата и место рождения; адрес, семейное, социальное, имущественное положение; образование, профессия, доходы и другая информация.
Обработка указанных персональных данных осуществляется оператором только при наличии согласия субъекта (ст. 6).
В случаях, установленных законодательством, такая обработка возможна лишь с письменного согласия, выраженного субъектом персональных данных. При этом согласие в электронном виде, которое подписано электронной цифровой подписью, приравнивается к документу с собственноручной подписью на бумажном носителе, если это предусмотрено соответствующими нормативными правовыми актами.
Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:
1) идентификационные данные субъекта;
2) данные представителя (если согласие предоставляется от имени субъекта;
3) информацию об операторе;
4) цель обработки персональных данных;
5) перечень персональных данных - конкретизация всех категорий персональных данных, на обработку которых дается согласие;
6) данные лица, обрабатывающего информацию;
7) перечень действий, на совершение которых дается согласие;
8) срок действия согласия, а также способ его отзыва;
9) подпись субъекта персональных данных.
Процедура получения согласия субъекта на обработку его персональных данных в формате электронного документа для предоставления государственных и муниципальных услуг регламентируется Правительством Российской Федерации.
Форма согласия в виде чекбокса, по сути, не соответствует предъявляемым к такому документу требованиям и не предусмотрена законодательством, поскольку такое действие не является выраженным в письменной форме или с использованием электронной цифровой подписи. Аналогом собственноручной подписи такой формат также нельзя назвать.
Несомненно, использование чекбоксов для получения согласия на обработку персональных данных облегчает доступ граждан к интернет-ресурсам. Однако отметка в чекбоксе не эквивалентна настоящему согласию, поскольку в таком случае идентификация лица, предоставляющего свои данные, становится затруднительной. Существует вероятность искажения информации или возможность использования данных другого человека.
Стоит отметить, что правоприменительная практика подтверждает данный тезис. Так, например, УФАС г. Москвы посчитало галочку в чекбоксе на согласие с обработкой персональных данных недостаточной. Оператор предоставил Ф.И.О. и номер телефона пользователя, но УФАС не приняло эти данные в качестве доказательства. Антимонопольная служба решила, что согласие на обработку дало неустановленное лицо <3>.
--------------------------------
<3> Решение Управления Федеральной антимонопольной службы по г. Москве от 6 ноября 2019 г. по делу N 077/05/18-11501/2019.
Как утверждает А.Н. Водопьянова, "идентификация лиц с использованием биометрических персональных данных все чаще применяется в нашей жизни. Сейчас данные технологии активно внедряются на объектах транспортной инфраструктуры" <4>.
--------------------------------
<4> Водопьянова А.Н. Идентификация лиц с использованием биометрических персональных данных при оказании услуг пассажирских перевозок // Модель федерального собрания Российской Федерации: материалы III научно-практической конференции студентов и молодых ученых, Екатеринбург, 7 - 8 апреля 2023 г. Екатеринбург, 2023. С. 143.
Полагаем, что в условиях активного использования биометрических технологий идентификация пользователей может быть реализована именно через такие методы.
Во-первых, это значительно увеличит объем данных о гражданах в Единой биометрической системе.
Во-вторых, применение биометрии устраняет возможность заполнения чекбоксов недостоверной информацией, которую может предоставить любое третье лицо, а не лицо, фактически заполняющее форму.
На данный момент биометрия используется:
- для получения услуг, для которых требуется подтверждение личности по паспорту, например банковских;
- оформления усиленной квалифицированной электронной подписи;
- безопасного входа на Госуслуги;
- оплаты товаров и услуг на сумму до 5 000 руб.;
- дистанционного заключения договоров на оказание услуг связи;
- дистанционного оформления карты болельщика;
- дистанционной сдачи промежуточной и итоговой аттестации в вузах;
- оплаты проезда в транспорте;
- прохода на территорию государственных органов и организаций.
Стоит также отметить, что в личном кабинете Единого портала государственных услуг во вкладке "Согласия и доверенности" у каждого пользователя имеется возможность посмотреть действующие согласия на предоставление организациям персональных данных, однако в списке отражены лишь государственные учреждения и кредитно-финансовые организации.
Таким образом, полагаем, что в дальнейшем не исключено дополнение указанного раздела согласиями, предоставленными в адрес коммерческих организаций, а также интернет-ресурсов. Помимо этого, отображение актуального списка позволит пользователю отслеживать ситуацию и в случае необходимости отзывать свои согласия своевременно.
Цифровизация и развитие интернет-технологий привели к необходимости совершенствования правового регулирования в области персональных данных. Использование чекбоксов для получения согласия на обработку персональных данных, несмотря на их удобство, не всегда соответствует требованиям законодательства.
Внедрение биометрических технологий может стать эффективным решением для обеспечения достоверности идентификации пользователей и повышения уровня защиты персональных данных. В будущем развитие системы согласий на обработку персональных данных, включая их отображение в личном кабинете на Едином портале государственных услуг, позволит гражданам более эффективно контролировать использование своих данных и своевременно реагировать на возможные нарушения.
Таким образом, цифровизация и развитие информационных технологий, обеспечивая беспрецедентные возможности для оборота информации, одновременно порождают новые риски, связанные с неправомерным использованием персональных данных, что требует выработки сбалансированного подхода к их регулированию.
Анализ административно-правовых средств защиты персональных данных свидетельствует о необходимости совершенствования некоторых административно-правовых инструментов, направленных на обеспечение конфиденциальности информации.
Особую актуальность приобретает вопрос о легитимности использования чекбоксов как формы согласия на обработку персональных данных, поскольку их применение зачастую не соответствует требованиям законодательства к письменному согласию, что подтверждается правоприменительной практикой. В этой связи перспективным направлением представляется внедрение биометрических технологий, способных обеспечить достоверную идентификацию субъектов данных, а также развитие системы контроля за предоставленными согласиями, в том числе через интеграцию соответствующих механизмов в инфраструктуру Единого портала государственных услуг. Дальнейшее совершенствование правового регулирования в данной сфере должно быть направлено на поиск оптимального баланса между удобством цифровых сервисов и надежными гарантиями защиты персональных данных.
