Защита и сохранение персональных данных в современных условиях
В статье рассмотрен актуальный вопрос, связанный с незаконным распространением персональных данных граждан, что в последующем обуславливает совершение дистанционных и IT-преступлений, приобретающих все более массовый и неконтролируемый характер в Российской Федерации. Проведен анализ нормативных правовых актов, регламентирующих сферу отношений в области охраны персональных данных граждан, на основании которого автор приходит к выводу о недостаточном уровне развития российского законодательства в обозначенной области. Кроме того, предложены пути решения очерченной проблематики, приведена аргументация и сформулированы выводы по совершенствованию правового механизма охраны персональных данных, что, по мнению автора, будет способствовать предотвращению несанкционированного сбора и незаконного их распространения.
Ключевые слова: персональные данные, незаконное распространение, дистанционные преступления, IT-преступления, ст. 183 УК РФ, информационная безопасность, механизм, противодействие, нормативные правовые акты, законодательство, уголовная ответственность.
The article reviews a relevant issue associated with illegal distribution of personal data of citizens, which then gives rise to remote and cyber crimes that acquire a more mass and uncontrolled nature in the Russian Federation. The paper analyzes regulations that govern the sphere of relations that concern protection of personal data of citizens; based on this analysis, the author concludes that the level of development of Russian laws in the indicated sphere is insufficient. Besides, the publication offers solutions of the raised problems, lists grounds and words proposals for improvement of the legal mechanism of protection of personal data, which, as the author believes, will facilitate prevention of unauthorized collection and illegal distribution of personal data.
Key words: personal data, illegal distribution, remote crimes, cyber crimes, Art. 183 of the Criminal Code of the Russian Federation, information security, mechanism, combating, regulations, legislation, criminal liability.
Опираясь на фундаментальный государственно-правовой базис - Стратегию национальной безопасности РФ, утвержденную Указом Президента РФ от 2 июля 2021 г. N 400 <1>, где в числе национальных интересов нашего государства определена задача по защите граждан от противоправных посягательств, а среди ведущих приоритетов - информационная безопасность и научно-технологическое развитие, можно утверждать, что одной из основных подзадач с точки зрения российской правовой системы является охрана персональных данных граждан правовыми средствами, а одной из актуальных межотраслевых проблем - незаконное их распространение без ведома и согласия физического лица.
--------------------------------
<1> Указ Президента Российской Федерации от 2 июля 2021 г. N 400 "О Стратегии национальной безопасности РФ" // СЗ РФ. 2021. N 27 (ч. II). Ст. 5351.
В России наблюдается колоссальный рост утечек персональных данных. Так, за отчетный период в 2023 г. в 40 раз увеличилось количество утечек персональных данных по сравнению с 2021 г. <2>. Указанное свидетельствует о том, что действующее правовое регулирование в рассматриваемой сфере, к сожалению, является недостаточно совершенным и требующим научного осмысления.
--------------------------------
<2> Утечка персональных данных: громкие скандалы, кого оштрафовали в прошлом году и как будут наказывать в 2024? // РосКо.
Нормативно-правовая база, регламентирующая сферу охраны персональных данных в российском законодательстве, весьма скромная, но в то же время достаточно усложненная. В соответствии со ст. 7 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" <3> операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено Федеральным законом. Следует отметить, что основополагающая обязанность субъектов, имеющих доступ к персональным данным, связанная с нераскрытием этой информации, закреплена на федеральном уровне. Термин "не раскрывать" следует трактовать в расширительном аспекте и подразумевать любые формы отчуждения данной информации, в том числе путем ее распространения.
--------------------------------
<3> Федеральный закон от 27 июля 2006 г. N 152-ФЗ (ред. от 08.08.2024) "О персональных данных" //.
Как правильно отмечено В.И. Солдатовой, значение указанного Закона состоит в том, что он является основой правового регулирования сбора, обработки и использования персональных данных. Вместе с тем возникающие сегодня проблемы защиты персональных данных обусловлены недостаточной правовой регламентацией данных отношений <4>.
--------------------------------
<4> Солдатова В.И. Защита персональных данных в условиях применения цифровых технологий // Lex Russica (Русский закон). 2020. N 2. С. 33 - 43.
Согласно п. 1 ст. 857 Гражданского кодекса РФ <5> банк гарантирует тайну банковского счета и банковского вклада, операций по счету и сведений о клиенте. Однако важно, что какой-либо закрепленный перечень сведений о клиенте в законодательстве отсутствует, в связи с чем возникает много вопросов, касающихся содержательной стороны указанных сведений.
--------------------------------
<5> Гражданский кодекс Российской Федерации (часть вторая) от 26 января 1996 г. N 14-ФЗ (ред. 24.07.2023).
В прямой корреляции с ГК РФ необходимо выделить Закон РФ от 2 декабря 1990 г. N 395-1 "О банках и банковской деятельности" <6>, в положениях которого отведена ведущая роль ст. 26, посвященной банковской тайне. Указанная статья гласит, что кредитные организации гарантируют банковскую тайну об операциях, счетах и вкладах своих клиентов и корреспондентов, в том числе об иных сведениях о клиентах, прямо не указывая и не конкретизируя содержание указанных сведений по аналогии с гражданским законодательством.
--------------------------------
<6> Федеральный закон от 2 декабря 1990 г. N 395-1 (ред. от 08.08.2024) "О банках и банковской деятельности".
Сравнив вышеуказанные нормативные правовые акты, приходим к выводу, что в обоих случаях можно говорить об одних и тех же сведениях о клиенте без какой-либо конкретизации в законе. Поэтому признание факта той или иной информации о клиентах посредством отнесения ее к категории "иных сведений" будет исключительно решаться теми субъектами, на которых возложена обязанность гарантировать ее охрану и безопасность. Получается любопытная ситуация: если гражданину по каким-то причинам стало известно о том, что какая-то часть его личных данных оказалась вопреки его воле незаконно распространенной, то он, обратившись с соответствующей претензией в кредитную организацию о восстановлении нарушенных прав и возмещении компенсации, может получить мотивированный отказ со ссылкой на то, что те данные, которые были распространены, не относятся к категории "иных сведений о клиенте", поскольку нормативно закрепленный перечень просто отсутствует. В связи с этим получается законодательной фикцией положение п. 3 ст. 857 ГК РФ, устанавливающее ответственность банка при разглашении сведений, составляющих банковскую тайну.
С учетом действующего приоритета норм Гражданского кодекса РФ перед другими законами, содержащими нормы гражданского права, такая неоправданная свобода банков, безусловно, противоречит законным интересам граждан-клиентов. Банковское регулирование в рамках актов Банка России не заостряет на данной известной коллизии свое внимание, и это не случайно, так как, если считать все сведения о клиенте банковской тайной, банк не будет иметь возможности использовать их свободно для своей аналитики и дальнейшего продвижения банковских услуг коммерческого и некоммерческого характера, которое происходит с привлечением третьих лиц.
Федеральный закон от 27 июня 2011 г. N 161-ФЗ "О национальной платежной системе" также играет немаловажную роль в защите персональных данных. Статья 26 указанного Закона закрепляет положение об обеспечении банковской тайны в платежной системе со стороны операторов по переводу денежных средств, платежных систем, услуг платежной инфраструктуры и банковских платежных агентов (субагентов), которые обязаны гарантировать банковскую тайну.
На данный момент ответить на вопросы, касающиеся утечки персональных данных, а также предусмотренной ответственности и возможных путей ее предотвращения, затруднительно, поскольку утечка персональных данных, как правило, сопряжена с деятельностью криминального элемента, связанной с незаконным приобретением и распространением персональных данных как с целью осуществления дистанционных краж с банковских счетов их владельцев (путем обмана или без него), так и путем совершения преступлений в финансово-кредитной сфере (например, незаконное оформление кредита с последующим хищением денежных средств).
Уголовный закон РФ предусматривает несколько правовых норм, направленных на защиту персональных данных. Одна из них - "Нарушение неприкосновенности частной жизни" (ст. 137 УК РФ) - устанавливает уголовную ответственность за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну <7>. Другая норма - "Незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну" (ч. 2 ст. 183 УК РФ). При этом первая норма имеет ограниченный спектр правовых возможностей, связанных с регламентацией и защитой сферы охраны персональных данных, ограничиваясь только личной и семейной тайной. Статья 183 УК РФ является именно той необходимой нормой, которая предусматривает ответственность за незаконный сбор и распространение персональных данных.
--------------------------------
<7> Уголовный кодекс Российской Федерации от 13 июня 1996 г. N 63-ФЗ (ред. от 23.11.2024).
Несомненно, распространение персональных данных граждан преобладает в различных сферах деятельности, преимущественно в банковской и налоговой сферах, в информационно-телекоммуникационной сфере (мобильные операторы сотовой связи), т.е. в тех сферах, которые наиболее подвержены преступному воздействию. В этом аспекте наиболее точно отмечено А.А. Бережновым, что в современном информационном обществе вопросы защиты персональных данных имеют междисциплинарный характер <8>. Соответственно, правовая регламентация общественных отношений в указанных сферах наиболее актуальна. Также необходимо учитывать, что ст. 183 УК РФ является бланкетной нормой, для уяснения содержания которой необходимо обратиться к иным нормативным правовым актам, о которых мы указывали выше, но применительно к нашему вопросу наблюдается пробел в законодательстве.
--------------------------------
<8> Бережнов А.А. Проблемы защиты персональных данных работников на современном этапе // Трудовое право в России и за рубежом. 2024. N 3. С. 25 - 28.
Существующий на данный момент правовой подход - привлечение к уголовной ответственности лиц, которые незаконно получили и распространили персональные данные, - себя не оправдал. Это связано с тем, что назначаемые судом наказания являются гуманными и редко связаны с лишением свободы на определенный срок, ограничиваясь условным осуждением, а в большинстве случаев следует прекращение уголовного дела за примирением сторон либо ограничивается назначением штрафа. При этом стоит отметить, что все преступления в рассматриваемых сферах совершаются лицом, занимающим соответствующую должность, позволяющую беспрепятственно осуществить доступ к базе данных клиентов и последующую передачу подконтрольных данных. Посредством дальнейшего их распространения совершаются преимущественно дистанционные преступления, вследствие чего потерпевшими по уголовным делам остаются физические лица, персональные данные которых были распространены. При этом граждане-клиенты даже не предполагают о том, что главной предпосылкой совершения в отношении их преступления является передача их персональных данных преступному элементу.
Кроме того, к механизму противодействия бесконтрольному распространению персональных данных необходимо также отнести правовую корректировку федерального законодательства. Необходимо продумать такой механизм охраны данных, который бы исключил несанкционированное вмешательство в клиентскую базу третьих лиц. Нам представляется, что таковым нормативным актом должен выступать Федеральный закон "О персональных данных". В указанном Законе необходимо предусмотреть положение, которое касалось бы именно вопроса аккумулирования (накопления) персональных данных на определенном сервере, исключающем доступ к копированию и последующей передаче непосредственно субъектами (кредитными и иными организациями). Обязанность по ведению и накоплению данных следует возложить на федеральный орган исполнительной власти РФ, в частности на Министерство цифрового развития, связи и массовых коммуникаций РФ.
