Журнал "Директор по безопасности" Сентябрь 2020

ПРАВО Категории персональных данных АЛЕКСАНДР БЫЧКОВ, начальник юридического отдела ЗАО «ТГК «Салют» Одним из наиболее непростых практических вопросов, связанных с обработкой персональных данных, является перечень информации, которая может быть к ним отнесена. В п. 1 ст. 3 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) предусмотрено, что персональные данные представляют собой любую информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Как видно из приведенного определения, закон не содержит исчерпывающего перечня сведений, которые входят в круг персональных данных, соответственно в каждом конкретном случае необходимо определить, может ли та или иная информация быть отнесена к конкретному лицу, для чего можно обратиться к материалам судебной практики. Так, например, к числу персональных данных относятся ФИО физического лица, поскольку они позволяют его идентифицировать среди остальной массы людей, поэтому без согласия человека обработка таких персональных данных не допускается. В частности, банки не могут распространять платежные карты с открытыми данными клиентов, а управляющие компании рассылать в открытом виде платежные документы, поскольку в таком случае персональные данные людей не защищены от случайного к ним доступа со стороны третьих лиц (Апелляционное определение Самарского областного суда от 17.10.2019 г. № 33-12118/2019). Помимо ФИО к числу персональных данных физического лица также относится и конкретный адрес его проживания, включающий город, улицу, номера дома и квартиры, а вот неполный адрес без указания определенной квартиры уже не позволяет установить конкретного субъекта персональных данных. В многоквартирном доме находится несколько квартир, поэтому такой общий адрес нельзя соотнести с конкретным человеком. Типичным нарушением со стороны управляющей компании, под управлением которой находится жилой дом, является размещение на входной двери, ведущей в подъезд, на стендах и в иных местах, открытых для всеобщего доступа, информации о наличии задолженности по оплате электроэнергии и коммунальных платежей в отношении конкретных граждан с указанием номеров их квартир. Указанные сведения относятся к частной жизни конкретных лиц, поэтому их разглашение будет считаться нарушением, что дает пострадавшему лицу право требовать взыскания денежной компенсации морального вреда на основании ст. 151 ГК РФ (Решение Московского районного суда г. Калининграда от 19.04.2017 г. по делу № 2-688/2017). Некоторые особо восприимчивые граждане в такой ситуации могут вообще посчитать, что информация о наличии у них задолженности является оскорбительной и задевает их честь, достоинство и доброе имя. Однако, порочащий характер сведений должен выражаться в оскорбительных высказываниях, а не в фиксации долга, здесь нарушение состоит только в разглашении персональных данных (Апелляционное определение Саратовского областного суда от 23.07.2019 г. по делу № 33-5366). Здесь стоит отметить, что судебная практика по вопросу отнесения номеров квартир к числу персональных данных не является единообразной, есть примеры случаев, когда суды полагали возможным указание номеров квартир с информацией о наличии задолженности. Так, в одном деле суд указал на то, что не будет считаться нарушением размещение информации о наличии задолженности по оплате электроэнергии и коммунальных услуг с перечнем соответствующих квартир, но без указания таких персональных данных, как ФИО (Апелляционное определение Свердловского областного суда от 19.09.2019 г. по делу № 33-15137/2019). Очевидно, что жители многоквартирного дома, проживающие в конкретном подъезде, скорее всего знают друг друга в лицо и по имени, поэтому они не всегда, но в определенных случаях могут соотнести данные о номере квартиры со своими соседями, что позволяет рассматривать номер квартиры как персональные данные конкретных лиц. В качестве персональных данных можно рассматривать сведения, которых достаточно для установления личности При таких обстоятельствах однозначный вывод о том, что размещение информации о наличии задолженности на стенде подъезда многоквартирного дома с указанием конкретных номеров квартир может рассматриваться как нарушение законодательства о защите персональных данных. Иным образом будет обстоять дело в случае, когда на информационном стенде вывешивается не объявление, а индивидуальное обращение к конкретному лицу по вопросу, предоставляющему определенную значимость. Например, в одном деле гражданин при входе в подъезд своего жилого дома неожиданно для себя увидел требовательную надпись о том, что ему надлежит вернуть аннулированную доверенность конкретному человеку. Гражданин полагал, что вывешивание такого объявления нарушает требования законодательства по защите персональных данных. Однако суд его требования не поддержал, отметив, что само по себе размещение информации не является обработкой персональных данных и не требует получения разрешения (Апелляционное определение Волгоградского областного суда от 09.01.2019 г. по делу № 33-774/2019). Не нужно получать согласие на видеосъемку от владельца соседнего земельного участка, если он полностью или какая-либо его часть попадает в объектив установленной видеокамеры, используемой с целью безопасности, при условии, что угол обзора камеры охватывает информацию в объеме, не более чем доступно обычному наблюдателю. Если видеокамера установлена в целях личной безопасности владельца дома, то в таком случае нет оснований для вывода о нарушении права соседа на личную неприкосновенность и обработку его изображения (Апелляционное определение Верховного суда Рес-публики Коми от 04.02.2019 г. по делу № 33-640/2019). В судебной практике также отмечается, что полученные с видеокамеры изображения не становятся биометрическими персональными данными, поскольку при проведении съемки не устанавливаются личности попавших в ее объектив людей (Решение Таганрогского городского суда от 05.07.2019 г. по делу № 2-2843/19). Не требуется получения согласия граждан на использование персональных данных в ситуации, когда это происходит для обеспечения законности и правопорядка, защиты публичного интереса и в иных правомерных целях. Так, в одном деле гражданин судился со столичным управлением полиции, требуя признать незаконным использование технологии распознавания лиц при помощи видеокамер и специального технического оборудования. Гражданин, которому пришлась не по душе видеосъемка всех зевак, попавших в объектив видеокамер, требовал удалить свои биометрические данные из базы изображений, а также запретить в принципе административному ответчику использовать данную технологию на практике. Суд вполне ожидаемо не согласился с предъявленным иском, указав гражданину на то, что технология распознавания лиц не является запрещенным способом использования извлекаемой информации ее обладателем. Данная технология представляет собой комплекс видеоаналитических алгоритмов, позволяющих получать, обрабатывать, хранить и использовать извлекаемые изображения граждан. Процесс обработки извлекаемых данных и их сопоставление с имеющимися в базе правоохранительных органов изображениями полностью автоматизирован. При этом идентификация личности не происходит, в связи с чем обладатель не получает доступ к биометрическим данным и не осуществляет их обработку, что исключает необходимость получения согласия гражданина на проведение видеосъемки. Такой подход соответствует п. 2 ст. 12 Закону № 152-ФЗ и не нарушает разумный баланс интересов граждан и государства (Апелляционное определение Московского городского суда от 30.01.2020 г. по делу № 33а-707/2020, 2а-577/2019). Как видно из приведенных примеров, не требуется получения согласия на обработку персональных данных при осуществлении видеосъемки в тех случаях, когда она ведется с правомерной целью и не направлена исключительно на фиксацию фактов из чужой жизни. Таким образом, соображения личной безопасности владельца видеокамеры должны составлять единственный интерес в получении информации, извлекаемой с ее помощью. В состав персональных данных гражданина также входят год, дата, месяц и место его рождения, адрес, семейное и имущественное положение, социальный статус, уровень образования, размер доходов, профессия или род занятий 1 , а также иная информация, посредством которой можно идентифицировать конкретное физическое лицо. В качестве персональных данных можно также рассматривать серию и номер паспорта гражданина, которые представляют собой уникальную комбинацию цифр, указываемых в основном документе, удостоверяющем его личность. У другого гражданина реквизиты основного документа, удостоверяющего личность, будут другими, поэтому реквизиты паспорта также могут быть отнесены к числу персональных данных. Как нам представляется, те или иные разрозненные сведения, рассматриваемые отдельно, а не в совокупности с иной информацией, которую можно не просто отнести к конкретному человеку, но именно на основе нее установить его личность, не могут считаться персональными данными. Например, наша столица является местом рождения большого количества людей, равно как и такие параметры, как профессия или род занятий, дата рождения, семейное положение и иные сведения. Еще раз подчеркнем, что в качестве персональных данных можно рассматривать лишь такие сведения, которые не просто относятся к конкретному лицу, но которых при этом достаточно для того, чтобы установить его личность. По этой причине многие суды не рассматривают в качестве персональных данных человека номер его телефона, представляющий собой комбинацию цифр, структурированных в определенной последовательности (Решение Октябрьского районного суда г. Белгорода от 12.09.2019 г. № 12-393/2019). Такой подход основан на том, что сам по себе телефонный номер без привязки его к определенному абоненту на основании договора об оказании услуг связи не позволяет установить его личность. Добавим сюда и такой немаловажный аспект, как наличие у оператора связи права выставить на продажу SIM-карту абонента, который в течение длительного периода времени не использует тот или иной номер. При взгляде на тот или иной номер телефона мы видим просто комбинацию цифр, пусть и уникальную, но все-таки это не что иное, как набор цифр, расположенных в определенной последовательности. Даже при звонке на телефонный номер не всегда можно установить конкретного человека, поскольку абонент может представиться чужим или вымышленным именем, не представиться вообще, отказавшись говорить, либо вместо него может ответить другой человек. В определенный момент времени телефонный номер может находиться в распоряжении самого владельца, а затем он может потерять телефонный аппарат или перестать использовать сам номер, что приведет к его продаже другому абоненту, и это не говоря уже об обычной практике оформления телефонных номеров абонентами на себя для дальнейшей передачи в пользование своим родственникам. Кстати, оформленный на юридическое лицо корпоративный телефонный номер в принципе не относится к персональным данным, на что обращено внимание в Письме Минкомсвязи России от 07.07.2017 г. № П11-15054-ОГ «О разъяснении норм федерального законодательства». Важно учитывать, что в судебной практике есть и иной подход по рассматриваемому вопросу (Кассационное определение Восьмого кассационного суда общей юрисдикции от 27.02.2020 г. № 88А-4529/2020). Суды, занимающие такой подход,как правило, не входят в обсуждение вопроса, а просто констатируют отнесение телефонного номера к числу сперсональных данных. К примеру, в п. 18 Обзора судебной практики по делам, связанным с защитой прав потребителей финансовых услуг, утв. Президиумом Верховного суда РФ 27.09.2017 г., рассмотрена ситуация, когда банк допустил нарушение, передав коллекторскому агентству адрес проживания и номер телефона, являющиеся персональными данными. В самом законе понятие персональных данных сформулировано в общем виде и нет исчерпывающего перечня соответствующих сведений. Например, ФИО традиционно являются персональными данными, что ни у кого не вызывает сомнений, однако с аналогичным ФИО не только в мире, но и в стране, городе или даже районе могут проживать другие люди. Однофамильцы могут проживать в одной квартире, которая им принадлежит на праве общей долевой собственности или по договору социального найма. Совершенно точно к числу персональных данных может быть отнесена целая совокупность сведений, относящаяся к определенному лицу и позволяющая установить его личность. Так, в вышеприведенном примере, где банк незаконно передал коллекторскому агентству номер телефона и адрес проживания, можно увидеть, что эта совокупность данных позволяет установить определенное лицо, то время как взятый в отдельности телефонный номер этой задачи не решает. На наш взгляд, отсутствие единообразия в судебной практике, как минимум, не позволяет привлекать к ответственности участников гражданского оборота за использование телефонных номеров, которые без указания на их владельцев представляют собой обезличенную информацию, если только это не сопровождается определенными нарушениями. Например, спам-рассылка на телефонные номера владельцев, не дававших согласия на получение рекламных сообщений, является нарушением законодательства о рекламе, и именно за такое правонарушение виновное лицо подлежит привлечению к установленной законом ответственности, а не за использование телефонного номера как такового. К числу персональных данных гражданина суды относят его сетевые идентификаторы (IP-адрес, файлы cookie и др.), которые позволяют квалифицировать определенным образом его поведение в Интернете и делать адресные маркетинговые предложения с целью продвижения товаров, работ и услуг. К таким выводам пришел Девятый арбитражный апелляционный суд в Постановлении от 23.05.2016 г. № 09АП-17574/2016, признав законным привлечение одного оператора из так называемой «Большой тройки» к административной ответственности за нарушение законодательства о защите персональных данных. Оператор по договору продавал своим партнерам сведения об абонентах, включающие поисковые запросы, интернет – адреса веб-страниц, посещаемых абонентами, тематику информации, размещенной на посещаемых интернет-ресурсах, IP-адрес абонента, достаточной для формирования его рекламного профиля, необходимого для предоставления ему адресной рекламной информации. Таким образом, информация, получаемая партнерами от оператора связи, позволяла прямо или косвенно косвенно идентифицировать пользователя как определенное физическое лицо. Согласно п. 1 ст. 53 Федерального закона от 07.07.2003 г. № 126 -ФЗ «О связи» к сведениям об абонентах относятся фамилия, имя, отчество или псевдоним абонента- гражданина, наименование (фирменное наименование) абонента - юридического лица, фамилия, имя, отчество руководителя и работников этого юридического лица, а также адрес абонента или адрес установки оконечного оборудования, абонентские номера и другие данные, позволяющие идентифицировать абонента или его оконечное оборудование, сведения баз данных систем расчета за оказанные услуги связи, в том числе о соединениях, трафике и платежах абонента.

Журнал "Директор по безопасности" Сентябрь 2020 | Page 20