Теоретические аспекты и особенности института персональных данных в системе права
В статье рассматриваются отдельные вопросы становления института персональных данных; исследуются типы персональных данных, цель их сбора, хранения и использования; рассматриваются различные типологии персональных данных в зависимости от целого ряда критериев - степени доступа, направления, вида обработки и т.д.; раскрываются понятия биометрических и физиологических данных; описываются законодательные принципы защиты персональных данных.
Ключевые слова: система права, система законодательства, персональные данные, типы персональных данных, принципы персональных данных.
The article deals with certain issues of the formation of the institution of personal data; examines the types of personal data, the purpose of their collection, storage and use; various typologies of personal data are considered depending on a number of criteria - the degree of access, direction, type of processing, etc.; the concepts of biometric and physiological data are revealed; describes the legislative principles for the protection of personal data.
Key words: system of law, system of legislation, personal data, types of personal data, principles of personal data.
Институт персональных данных считается достаточно молодым по меркам развития правовой системы и тесно связан со становлением конституционных прав и свобод человека. Это касается прежде всего права на неприкосновенность частной жизни.
В теории права персональные данные определяются как информация (хранящаяся на материальном носителе) о конкретном лице, идентифицированном или отождествленном с ней <1>, <2>.
--------------------------------
<1> Защита персональных данных работников по законодательству зарубежных стран: Бюллетень / Под ред. В.М. Лебедева [и др.]. Томск, 2017. С. 12.
<2> Трудовой кодекс Российской Федерации от 30 декабря 2001 г. N 197-ФЗ // Российская газета. 2001. 31 декабря. Ст. 85.
В Федеральном законе от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее по тексту - Федеральный закон "О персональных данных") <3> перечислены определенные виды персональных данных. Они могут быть классифицированы в зависимости от степени секретности, сложности их сбора и возможности использования третьими лицами. Они делятся на следующие типы:
- общие;
- биометрические;
- специальные;
- обезличенные.
--------------------------------
<3> Федеральный закон от 27 июля 2006 г. N 152-ФЗ (ред. от 14.07.2022) "О персональных данных" // СЗ РФ. 2006. N 31 (часть I). Ст. 3451.
Общая информация включает в себя личные данные, которые составляют основные данные оператора:
1) фамилия, имя, отчество;
2) место регистрации и проживания;
3) информация из паспорта;
4) информация о существующем образовании;
5) детали места работы;
6) информация о полученном доходе и т.д. <4>
--------------------------------
<4> Хужокова И.М. Эволюция содержания права на неприкосновенность частной жизни в России // Адвокатская практика. 2006. N 4. С. 2.
Отдельно собранные данные общего характера не могут быть присвоены всем персональным данным. Такие данные указываются в паспорте, в карточке занятости, в справке об образовании, в карточке сотрудника, в трудовой книжке и т.д.
Есть личные данные, которые характеризуют носитель с биологической и физиологической точек зрения. Их называют биометрическими персональными данными. Они включают:
- отпечатки пальцев;
- анализ ДНК;
- группу крови;
- рост;
- вес;
- цвет глаз и т.д.
Эти биометрические данные наиболее востребованы при оформлении паспортов и визовых документов, а также при обращении в государственные органы власти, включая суды.
Необходимо отметить достаточно важную для судов категорию персональных данных - специальные данные. К их особенностям относятся национальность и раса, а также религия, убеждения, информация об убеждениях, состоянии здоровья, предпочтениях в сексуальной и интимной жизни. Они необходимы в политических событиях и используются также при поступлении на службу в аппараты судов.
Обезличенные данные - это персональные данные с общей доступностью, в которых произошел отрыв информации от конкретной личности. Можно найти их в адресных книгах, справочной документации и в средствах массовой информации. Например, публично доступны сведения о доходах, расходах, об имуществе и обязательствах имущественного характера судей и работников аппаратов судов.
Информация имеет прямое либо косвенное отношение к физическому лицу. Прямая по отношению к физическому лицу информация включает, например, адрес местожительства человека, его Ф.И.О., данные водительского удостоверения и т.д.
Другим важным параметром персональных данных выступает цель их сбора, хранения и использования. Закон к таким данным относит не только ту информацию, которая связана с определенным лицом, но и ту, которая идентифицирует "определяемое лицо". В данном случае дается указание на саму возможность идентификации. То есть самой возможности определения человека по такой информации достаточно для необходимости обеспечения ее правовой защиты. Например, фотографию человека, являющуюся частью его личного документа и помещенную с целью идентификации физического лица (военного билета, удостоверения, паспорта), несомненно, следует считать персональными данными. Фотография, рассматриваемая как сама по себе, то есть в отрыве от иной относящейся к физическому лицу информации, не имеет законодательного назначения персональных данных и не подлежит соответствующей правовой защите <5>.
--------------------------------
<5> Усманова Е.Ф. Проблемы и особенности формирования правовой культуры в современном правовом государстве // Инновационные тенденции, социально-экономические и правовые проблемы взаимодействия в международном пространстве. Саранск, 2016. С. 235 - 237.
В научных работах ученых-правоведов даются различные типологии персональных данных в зависимости от целого ряда критериев: степени доступа, направления, вида обработки и т.д. Однако исследование вышеуказанных источников усложняет данную классификацию, позволяя добавить в трехзвенную систему еще две подгруппы персональных данных: базовые и дополнительные, включаемые в общие, и физиологические, физические, поведенческие, включаемые в биометрические.
Не так давно в нашей стране господствовало мнение, что IP-адрес не обладает статусом персональных данных. Сторонники данной точки зрения ссылались на ограниченную возможность IP-адреса идентифицировать не физическое лицо, а только подключенное к сети устройство и его местонахождение. Однако в судебной практике все чаще появляются инциденты, когда судами постановляется относить IP-адрес к персональным данным. И все же российские суды, в отличие от европейских, не столь категоричны в данном вопросе. На наш взгляд, представляется очевидным, что уникальный сетевой адрес узла в компьютерной сети, предназначенный для нахождения, передачи и получения информации от одного компьютера к другому, каковым является IP-адрес, позволяет в преобладающем большинстве случаев идентифицировать не только устройство, но и круг пользователей, а также их взаимосвязь, если пользователи выходили в сеть с одного IP-адреса.
Отметим, что представленная дефиниция не единожды вызывала протестную реакцию в научно-правовых исследованиях. Например, А.С. Исаев и Е.А. Хлюпина отмечают подчеркнутую законом однородность понятий "биологические" и "физиологические" данные, но, между тем физиологические данные представляют собой часть биологических. При этом они ссылаются на определение биологии, под которой подразумевается система наук, изучающих живых существ и их взаимодействие с объектами живой и неживой природы. Одной из наук этой системы как раз и является физиология. На наш взгляд, имеется рациональное зерно в представленном мнении. Кроме того, авторы предлагают включить в эту группу и поведенческие особенности человека на том основании, что посредством продвинутых технологий уже сегодня легко можно идентифицировать человека, например, по походке, голосу и т.д.
На основании вышесказанного биометрические данные можно типологизировать следующим образом. К физиологическим персональным данным относим те, за которыми признается высокий уровень устойчивости (неизменяемости) и уникальности - дактилоскопическая, геномная информация, сведения о группе крови, строении сетчатки глаза и т.д. Именно эти и подобные им данные позволяют с высокой точностью определить их принадлежность к конкретному человеку. В подгруппу физических персональных данных включаем характеристики человека, описывающие облик и антропометрию, имеющие меньшую идентификационную ценность по причине слабой уникальности и высокой изменчивости во времени: рост, возраст, вес, цвет волос, пирсинг и др. <6>
--------------------------------
<6> Мираев А.Г. Понятие персональных данных в Российской Федерации и Европейском союзе // Юридическая наука. 2019. N 5.
На наш взгляд, представленный подход к пониманию биометрических персональных данных следует признать в наибольшей мере содержательным и созвучным текущему уровню прогресса науки и технологий.
Что же касается защиты персональных данных, то само ее определение основано на законодательных принципах защиты, которые определены Федеральным законом "О персональных данных" и положениями GDPR (Общий/Генеральный регламент по защите персональных данных) <7>.
--------------------------------
<7> Общий регламент Европейского союза о защите персональных данных (GDPR): Регламент ЕС 2016/679 от 27 апреля 2016 г. о защите физических лиц в связи с обработкой персональных данных и о свободном движении таких данных // Европейский парламент.
Рассмотрим их более подробно.
Принцип законности обработки персональных данных. Статья 5 GDPR начинается с того, что персональные данные должны обрабатываться законно, справедливо и прозрачно по отношению к субъекту данных. Принцип законности в значительной степени говорит сам за себя. Обработка персональных данных должна происходить законным образом и, следовательно, иметь правовую основу, которая делает обработку законной. Законность должна толковаться строго: должен быть закон, разрешающий обработку. Действительно, есть случаи, когда существуют другие законы, кроме GDPR, в Европейском союзе или в государстве-члене, которые требуют обработки персональных данных. Более того, иногда существенных правовых оснований для законной обработки персональных данных недостаточно. В качестве примера: хотя согласие является одним из правовых оснований для обработки персональных данных, в некоторых случаях требуется, чтобы оно было явно выражено <8>.
--------------------------------
<8> Рузаева Е.М. Трудовые обязанности как элемент правового статуса работника: Монография. М.: Русайнс, 2018. С. 160.
В ст. 6 GDPR дополнительно определены ключевые элементы законности, и по всему тексту правила определены для конкретных типов персональных данных, действий по обработке, для последствий, прав, обязательств и административных штрафов в случае незаконной обработки.
Также предусматривается возможность маневра для государств-членов для определения своих правил, в частности в отношении обработки конфиденциальных данных и уточнения условий, при которых обработка персональных данных считается законной.
Справедливость (честность). Указанный принцип по-прежнему является частью того условия, что персональные данные должны обрабатываться законно, справедливо и прозрачно в соответствии со ст. 5 GDPR. Честность означает, что должен существовать справедливый баланс между личными данными, которые обрабатывают организации, а также причинами, по которым они обрабатывают их, и тем, что они сказали, обещали и описали <9>.
--------------------------------
<9> Баринова Е.В. Правовой режим персональных данных // Научное сообщество студентов: междисциплинарные исследования: Сб. ст. по матер. XI Межд. студ. науч.-практ. конф. Новосибирск, 2016. N 8 (11). С. 788 - 793.
Следующий принцип персональных данных - прозрачность. Этот принцип частично совпадает со многими элементами справедливости. Прозрачность означает объяснение причин, по которым организации обрабатывают отдельные личные данные.
Прозрачность требует, чтобы информация и общение с субъектом данных не просто происходили (что также является частью принципа прозрачности), но и осуществлялись таким образом, чтобы субъекты данных могли понять информацию, легко найти и получить доступ к ней. Кроме того, следует избегать использования длинных текстов, написанных на языке, понятном только юристам, поскольку информация должна быть краткой.
И, что не менее важно, принцип прозрачности также применяется к способам, которыми субъекты данных могут осуществлять свои права (поиск путей сделать это также должен быть легким).
Ограничение цели как принцип обработки данных. Каждая операция по обработке данных, относящаяся к персональным данным, имеет одну или несколько целей. Различные действия по обработке данных могут иметь одну цель. Основной принцип ограничения цели состоит из нескольких связанных с целью элементов:
1) при сборе персональных данных необходимо учитывать законность;
2) после сбора персональные данные, очевидно, не должны обрабатываться способом, несовместимым с целями;
3) когда персональные данные обрабатываются по конкретным причинам, например дальнейшей обработки в целях архивирования в общественных интересах, эта обработка не считается несовместимой с первоначальными целями.
Однако ограничение цели простирается дальше, чем эти три элемента. Логично, что личные данные не могут быть обработаны для каких-либо других целей, кроме тех, которые были озвучены субъекту данных во время их сбора. Не менее логично, что, если со временем цели меняются, это имеет последствия, за исключением упомянутых конкретных причин. Несмотря на исключения из принципа ограничения цели, здесь важны детали. Указанная явная и законная цель означает не только то, что цель должна быть, но и то, что цель должна быть ограничена.
В зависимости от объема и цели деятельности по обработке данных необходимо выбрать подходящее юридическое обоснование, но при этом не должны смешиваться различные цели с некоторыми исключениями. Самое главное, что конкретные цели, для которых обрабатываются персональные данные, должны быть явными, законными и определенными во время сбора персональных данных. Персональные данные должны быть адекватными, актуальными и ограниченными тем, что необходимо для целей, для которых они обрабатываются.
Принцип минимизации персональных данных. У любой организации, включая суды, есть цель обработки персональных данных, ей нужны персональные данные, которые служат этой цели, но сотрудники не могут выйти за рамки обработки данных, которые строго необходимы и актуальны. Адекватность и ограничение просто означают: не более того, что действительно необходимо. Принцип минимизации данных обязывает организации ограничивать себя минимальным количеством персональных данных, которые им необходимы в рамках обработки и ее целей <10>. В ст. 25 GDPR еще раз подчеркивается обязанность принимать соответствующие технические и организационные меры, пропорционально (в контексте защиты данных по конструкции и по умолчанию) реализации принципов защиты данных, в которых минимизация данных упоминается в качестве такого принципа.
--------------------------------
<10> Бессмертный И.А. Интеллектуальные системы: Учебник и практикум для среднего профессионального образования / И.А. Бессмертный, А.Б. Нугуманова, А.В. Платонов. М.: Юрайт, 2019. С. 243.
Точность как принцип обработки персональных данных. Точность имеет несколько значений и, конечно, несколько областей применения. Данный принцип используется в различных контекстах и, среди прочего, особо подчеркивается в контексте профилирования.
Суть принципа точности заключается в том, что:
1) персональные данные, которые обрабатываются, должны быть точными;
2) обработанные персональные данные должны храниться в данных, где это необходимо;
3) должны быть приняты меры для удаления или исправления без каких-либо задержек неточных персональных данных (с учетом целей процесса).
Таким образом, точность покрывает некоторые обязанности и действия со стороны контроллера (и (или) процессора) во время сбора и обработки с дополнительным акцентом на точности при нескольких обстоятельствах. Кроме того, точность также затрагивает основные права субъекта данных, такие как право на удаление и право на исправление. Точность также должна рассматриваться в контексте гигиены данных, управления данными и безопасности данных, в которых должны присутствовать механизмы точности, особенно механизмы исправления. Если субъект данных не согласен с точностью личных данных, касающихся его или ее, он или она может воспользоваться правом на ограничение обработки.
Таким образом, в заключение сказанного можно отметить, что вопрос защиты персональных данных с каждым годом становится все сложнее и актуальнее, и это лишний раз подчеркивает важность формирования и становления института защиты персональных данных в российской системе права. Можно вносить изменения в отдельные законы, связанные с увеличением штрафов за невыполнение их требований, можно блокировать сайты проштрафившихся организаций, но количество рассматриваемых в судах дел о нарушении законодательства в области персональных данных возрастает ежегодно примерно на 30%. И здесь возможно, на наш взгляд, предложить учесть опыт передовых стран в сфере формулирования персональных данных, т.е. в законодательстве Российской Федерации дать точные определения биологическим данным, персональным данным, обезличенным данным и т.п., а также систематизировать все существующие правовые элементы в единый законодательный акт, который бы регулировал вопросы накопления и использования персональных данных, обеспечения защиты при их обработке.
