В данной статье рассматривается проблемный вопрос российского законодательства — какую информацию относить к персональным данным. Для решения которого автор предлагает использовать трёхэтапный тест, позволяющий понять, какую информацию можно считать персональными данными.
Ключевые слова: персональные данные, оператор персональных данных, обработчик персональных данных.
This article discusses the problematic issue of Russian legislation — what information should be attributed to personal data. To solve which, the author suggests using a three-stage test that allows you to understand what information can be considered personal data.
Keywords: personal data, operator of personal data, processor of personal data.
Вопрос о том, что считать персональными данными, является наиболее актуальным для соответствующей области законодательства: от ответа на него зависит, будут ли применяться нормы этого законодательства к операциям, связанным с той или иной информацией.
Согласно пункту 1 ст. 3 Закона о персональных данных [1] персональные данные — это любая информация, относящаяся к прямо или косвенно определённому, или определяемому физическому лицу (субъекту персональных данных). В действительной же, на практике возникает нередко возникают сложности с толкованием данного определения, в связи с его широтой и абстрактностью. Во множестве случаев определение, данное законодателем, не позволяет точно понять является ли персональными данными та или иная информация: фамилия, имя, отчество; адрес; номер телефона; номер банковской карты; поисковый запрос в сети Интернет; чек о покупке в магазине; марка и модель автомобиля; список любимых фильмов; переписка в социальных сетях и т. д.
Необходимо отметить, что указанное выше определение не является изобретением отечественного законодателя. Оно основывается на дефиниции, которая содержится в статье 2 Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных [2] (далее — Конвенция) и относит к персональным данным «любую информацию об определённом или поддающемся определению физическом лице («субъект данных»)».
Подведомственными структурами Европейского союза по защите персональных данных был подготовлен ряд масштабных разъяснений, которые были призваны помочь разобраться с тем какую информацию можно отнести к персональным данным, а какую — нет. К этим документам можно отнести, например, Мнение рабочей группы по защите данных от 20 июня 2007 г. № 4/2007 о концепции персональных данных [3], а также Руководство английского уполномоченного органа по защите персональных данных (ICO) «Что такое персональные данные?» [4]. Однако, несмотря на наличие таких подробных и масштабных документов, к сожалению, в них не содержаться простые на практике критерии, с помощью которых можно было бы отличить персональные данные от другой информации, относящейся к физическим лицам.
На сегодняшний день, отечественный законодатель не дал подобных разъяснений, призванных облегчить правоприменителям задачу в отнесении различного рода информации к персональным данным.
Российские учёные выделили два подхода к определению персональных данных: узкий и широкий. Основываясь на узком подходе, для обеспечения определённости правовых норм персональными данными необходимо признавать лишь те данные, которые сами по себе позволяют определить физическое лицо (серия и номер паспорта, СНИЛС, ИНН и т. д.) [5]. Широкий подход предполагает, что для обеспечения защиты прав и свобод физических лиц к персональным данным необходимо относить также и те данные, которые позволяют определить физическое лицо хотя и не сами по себе, но в совокупности с другими данными. Широкий подход выглядит наиболее предпочтительным, ввиду того что он обеспечивает защиту прав и свобод физических лиц учитывая современное развитие информационных технологий, не противоречит Конвенции и соответствует Закону о персональных данных, а также находит одобрение в лице наиболее развитых иностранных правовых системах, в первую очередь европейской.
В то же время, российскими правоприменителями высказываются разнообразные версии касательно вопроса о том, что можно расценивать как персональные данные. Так, например, в одних случаях судами признаётся, что адрес человека является персональными данными, а в других нет. Также существуют различные мнения касательно относимости номера телефона к персональным данным. Так, например Верховный суд Российской Федерации относит его к персональным данным, однако в то же время на сайте территориального органа Роскомнадзора была опубликована информация, из которой следует что номер телефона не является персональными данными.
На основании вышеизложенного, предполагаю следующий трёхэтапный тест, ответив на вопросы которого, можно определить является ли та или иная информация персональными данными:
1) содержатся ли в информации сведения о конкретном человеке? Если нет, то эту информацию нельзя считать персональными данными. Если же эти сведения имеются, то переходим к следующему этапу;
2) можно ли исходя из этой информации понять о каком именно человеке идёт речь? Если да, то это персональные данные. Если же нет, необходимо перейти к третьему этапу;
3) если добавить к уже имеющейся информации новые сведения, которые можно где-то получить, можно ли понять о каком человеке идёт речь? Если ответ — да, то эту информацию можно отнести к персональным данным, если нет, то персональными данными она не является.
Отвечая на вопросы теста, вы должны руководствоваться здравым смыслом. Если же появились сомнения, стоит считать информацию персональными данными.
Абсолютно очевидно, что предложенный мною тест не решает проблему неопределённости понятия персональных данных и ответы на его вопросы могут быть не совсем однозначными. Однако, этот тест может служить некой памяткой и помочь при решении конкретных практических задач.
Литература:
- Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» // СЗ РФ. — 31.07.2006. — № 31 (1 ч.). — ст. 3451
- Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data Strasbourg, 28.I.1981 [Электронный ресурс]. — Режим доступа: URL: http://conventions.coe.int/Treaty/en/Treaties/Html/108.htm (дата обращения: 20.05.2022)
- Opinion 4/2007 on the concept of personal data by Article 29 Data Protection Working Party // [Электронный ресурс]. — Режим доступа: URL: https://ec.europa.eu/justice/article- 29/documentation/opinion- recommendation/files/2007/wp136_en.pdf (дата обращения: 20.05.2022)
- ICO. What is personal data? // [Электронный ресурс]. — Режим доступа: URL: https://ico.org.uk/for- organisations/guide- to- data- protection/guide- to- the- general-data-protection-regulation-gdpr/key-definitions/what-is-personal-data/ (дата обращения: 20.05.2022)
- «Федеральный закон «О персональных данных»: Научно-практический комментарий» (постатейный) (выпуск 11) (под ред. А. А. Приезжевой) // «Библиотечка «Российской газеты», 20156. Постановление Девятого арбитражного апелляционного суда от 11 февраля 2020 г. по делу № А40–275719/2019 // [Электронный ресурс]. — Режим доступа: URL: https://sudact.ru/arbitral/doc/O4I6vX92x5N/ (дата обращения: 20.05.2022)
