Корпоративная ценность информационной приватности

VisualGeneration / Фотобанк Фотодженика

1

Введение

Внедрение принципов информационной приватности в систему корпоративных ценностей организации является неотъемлемой частью становления современного предпринимательства, в рамках которого персональные данные смогли приобрести статус "новой нефти" и объем государственного контроля (надзора) в отношении которых продолжает ежегодно увеличиваться.

По своему содержанию информационная приватность представляет собой состояние, в пределах которого человек (субъект персональных данных) вправе самостоятельно определять правовую судьбу своих персональных данных и любой иной информации о себе, позволяя решать вопросы о сборе, использовании и передаче такой информации.

Она позволяет субъекту персональных данных определить конкретные границы своей конфиденциальности (например, ограничивая передачу персональных данных третьим лицами), установить условия допустимости использования его персональных данных (например, устанавливая запрет на нежелательную рассылку спам-сообщений), а также реализовать иные права в целях недопущения эксплуатации своего личного пространства.

Сама же потребность человека в приватности предопределена его естественным (природным) состоянием, неотъемлемо стремящимся к сохранению и недопущению несанкционированного перехода личных границ, в связи с чем постепенное внедрение принципов информационной приватности внутри организации отвечает интересам уважительной и профессиональной коммуникации.

В свою очередь, под корпоративными ценностями следует понимать концептуальные, этические и управленческие ориентации, которые организации декларируют, продвигают и применяют на практике в качестве публичных обязательств перед всеми заинтересованными сторонами¹.

Информационная приватность хоть и не должна являться фундаментальной корпоративной ценностью, однако ее соблюдение будет свидетельствовать о корректности оператора в вопросах соблюдения прав и законных интересов субъектов персональных данных.

ПОЛЕЗНО
Курс по интеллектуальной собственности в цифровой экономике: новации в законодательстве.
Ознакомиться

Кроме того, информационная приватность не может потеснить или исключить соблюдение иных корпоративных ценностей вроде надежности, ответственности, открытости или нацеленности на партнерство и результат, поскольку она во многом является производной от указанных ценностей и свидетельствует о развитии в организации убеждений и ориентаций, связанных с заботой о конституционном праве человека на неприкосновенность частной жизни и стремлении обеспечить для него должный уровень комфорта и безопасности за конфиденциальность личной информации.

Даниэль Солоув в начале 2000-х утверждал, что фрагменты личной информации приобрели новую ценность благодаря достижениям в области сбора и использования данных, формируя новую цифровую биографию человека на основе любых его мельчайших действий, и составленную в коллективных компьютерных сетях мира².

Способность формировать подобные базы данных в коммерческих или маркетинговых целях требует грамотного подхода к достижению баланса между целью извлечения прибыли и сохранением права человека на информационную приватность, достижение которого прямо зависит от уровня развития корпоративной культуры внутри организации.

Предполагается, что чем выше ожидаемая прибыль или больше вложенные инвестиции, тем чувствительнее потребность оператора в понимании того, что его деятельность соответствует законодательству и способствует увеличению количества клиентов и партнеров.

В настоящей работе корпоративная ценность информационной приватности определяется не как формальная необходимость соблюдения законодательства в области персональных данных, а как составная часть корпоративной культуры и этической составляющей в отношениях между организациями и заинтересованными лицами.

Так, причинение оператором ущерба информационной приватности может не только разрушить границы конфиденциальности, но и погубить доверие, которое прежде всего остального необходимо для сохранения долгосрочных отношений.

Например, доверие клиентов может быть представлено ростом использования сайтов, предназначенных для электронной коммерции, увеличением количества онлайн-транзакций или числа загрузок мобильных приложений, а также увеличением числа положительных отзывов от клиентов, являющихся показателем деловой репутации и стоимости бизнеса³.

Стоит отметить, что субъекты персональных данных оправданно остерегаются раскрывать персональные данные операторам, о надежности которых им ничего неизвестно, или которые сами осуществляют передачу персональных данных иным незнакомым операторам.

Кроме того, в настоящее время нежелание общаться с субъектами (которые также часто являются клиентами, спонсорами и избирателями оператора) и обоюдное избегание вступления в отношения составляют корневое противоречие культуры приватности⁴.

Множество операторов пренебрегает целью построения с субъектами персональных данных доверительных отношений на основании того, что, по их мнению, реализация подобной программы может повлечь перенасыщение лишней работы и (или) потребовать неоправданных финансовых расходов.

Однако такой подход нельзя назвать прагматичным хотя бы потому, что суммы штрафов за ненадлежащую реализацию прав субъектов персональных данных постоянно увеличиваются и могут повлечь для оператора более высокий финансовый ущерб за свое невежество.

Например, в 2021 г. максимальный порог штрафа за ненадлежащую реализацию права на доступ к персональным данным для юридических лиц был увеличен с 40 000 тысяч рублей до 80 000 рублей.

При таких обстоятельствах, государственной (публичной) задачей следует считать создание надлежащих условий для самостоятельного взаимодействия оператора и субъекта персональных данных, а при невозможности такового – создание и поддержание эффективного механизма защиты прав и законных интересов субъектов персональных данных.

2

Типология ущерба в отношении автономии человека

Рассматривая информационную приватность как состояние, в пределах которого субъект персональных данных вправе самостоятельно определять правовую судьбу своих персональных данных и любой иной информации о себе, принципы информационной приватности предлагается рассмотреть сквозь призму недопущения ущерба автономии человека.

Даниэль Солоув и Даниэль Цитрон выделили следующие виды ущерба в отношении автономии человека:

• принуждение – ущемление свободы действий или выбора человека;
• манипулирование – чрезмерное влияние на поведение или принятие решений;
• ненадлежащее информирование – непредоставление достаточной информации для принятия решений;
• сорванные ожидания – совершение действий, подрывающих выбор человека;
• отсутствие контроля – невозможность сделать значимый выбор в отношении своей информации или предотвратить ее использование;
• сдерживающие (охлаждающие) эффекты – препятствование участию человека в законной деятельности⁶.

2.1. Принуждение может выражаться в открытом и недопустимом давлении оператора на субъекта персональных данных.

Принуждение прямо нарушает конституционное право человека на неприкосновенность частной жизни и подрывает установленные Федеральным законом "О персональных данных"⁷ принципы законной и справедливой обработки персональных данных, несоблюдение которых свидетельствует о безосновательности такой обработки (см. ст. 5, 6).

Так, несанкционированный переход личных границ человек может воспринять как акт агрессии, который в зависимости от его индивидуальных психологических особенностей побуждает либо впасть в состояние стресса и тревожности, либо войти в отрытый конфликт с оператором.

Согласие на обработку персональных данных, полученное по результатам физического, психологического или иного недопустимого давления оператора на субъекта персональных данных, следует считать недействительным, поскольку такое согласие было получено вопреки принципам предоставления такого согласия свободно, своей волей и в своем интересе (см. ч. 1 ст. 9 Федерального закона "О персональных данных").

В том числе, согласно европейскому подходу следует считать недопустимым принуждение субъекта персональных данных к представлению дополнительных персональных данных, не являющихся необходимыми для основной цели обработки персональных данных, поскольку такое принуждение прямо ограничивает его выбор и препятствует свободному согласию⁸.

Например, недопустимо принуждение субъекта персональных данных к предоставлению согласия на обработку персональных данных под угрозой отказа в получении им государственной (муниципальной) услуги в случае непредоставления такого согласия (см. Кассационное определение судебной коллегии по административным делам Верховного Суда Российской Федерации от 22 января 2020 г. по делу № 5-КА19-56).

Стоит отметить, что положениями Федерального закона "О внесении изменения в ст. 14.8 Кодекса Российской Федерации об административных правонарушениях"⁹ КоАП РФ¹⁰ был дополнен новым составом административного правонарушения, согласно которому отказ в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если предоставление персональных данных является обязательным в соответствии с федеральными законами и принятыми в соответствии с ними иными нормативными правовыми актами или непосредственно связано с исполнением договора с потребителем, является нарушением прав потребителя (см. ч. 7 ст. 14.8).

Проще говоря, отказ оператора (продавца) продать товар по факту непредставления субъектом персональных данных согласия на обработку персональных данных, например, в онлайн-магазине, следует считать недопустимым, поскольку отсутствие такого согласия не исключает возможность обработки персональных данных согласно п. 5 ч. 1 ст. 6 Федерального закона "О персональных данных".

Тенденцию законодателя, связанную с недопущением избыточного сбора согласий на обработку персональных данных, следует считать оправданной, поскольку она исключает множество неоправданных случаев завладения объемным количеством персональных данных.

Таким образом, допущение такой практики, как принуждение к предоставлению персональных данных, абсолютно недопустимо, и помимо разрыва доверительных отношений с субъектом персональных данных может повлечь привлечение оператора к юридической ответственности.

2.2. Манипулирование может выражаться в скрытом психологическом влиянии, направленном на обход принятия субъектом персональных данных самостоятельного и осознанного решения в отношении своих персональных данных.

Манипулирование выражается в определенном воздействии на возможность человека принять самостоятельное и осознанное решение на основе собственных предпочтений, подчиняя его влиянию третьей стороны и даже не оставляя в его памяти какой-либо мысли о том, что он мог совершить собственный выбор не своей волей и не в своем интересе.

Исследования в области когнитивной и поведенческой психологии указывают на предсказуемые случаи систематического иррационального поведения людей – признаки, которыми впоследствии могут злоупотреблять субъекты манипулирования¹¹.

Применительно к сфере обработки персональных данных, как правило, субъектами манипулирования выступают владельцы сайтов в сети "Интернет" или иных информационных ресурсов, использующие современные аналитические алгоритмы обработки информации (метрические программы) как в маркетинговых целях, связанных продвижением товаров, работ и услуг, так и в целях политической агитации, направленной на продвижение политических программ, привлечение волонтеров и повышение популярности политических партий и их кандидатов.

Предметной "базой" для возможной манипуляции выступают цифровые следы, которые могут быть признаны в качестве персональных данных, и которые пользователи сети "Интернет" постоянно и неумышленно оставляют в информационном пространстве.

Так, изучая действия пользователя информационного ресурса, его поведенческие и эмоциональные реакции, затраченное на использование такого ресурса время, а также иные оставленные цифровые следы, аналитические алгоритмы обработки информации производят учет предпочтений такого пользователя для последующего формирования в его мышлении самых различных иррациональных мотивов, например, в приобретении предлагаемого рекламным виджетом товара или в принятии участия в общественно-политическом событии.

Важно учесть, что обработка персональных данных в вышеуказанных целях считается недопустимой до получения предварительного согласия субъекта персональных данных (см. ч. 1 ст. 15 Федерального закона "О персональных данных"), что к сожалению, часто игнорируется как отечественными, так и иностранными распространителями рекламы.

Даже способы включения или выключения сенсорного экрана мобильного телефона и прохождение интервала между таковыми могут быть использованы для выявления определенного эмоционального поведения¹².

Например, в настоящее время признаются в качестве персональных данных cookie-файлы (см. Определение Московского городского суда от 10 ноября 2016 г. по делу № 33-38783/2016), а также IP-адреса, используемые в совокупности с иными данными (см. Постановление Девятого арбитражного апелляционного суда от 23 мая 2016 г. № 09АП-17574/2016).

В свою очередь, объективная заинтересованность оператора в извлечении прибыли от использования таргетинговой рекламы или иного воздействия на пользователей информационного ресурса побуждает его огородить себя от соблюдения законодательства в области персональных данных, например, отказываясь признавать cookie-файлы в качестве персональных данных или полагая, что он не является оператором, осуществляющим обработку персональных данных, поскольку он не имеет каких-либо установочных сведений о таких пользователях.

В том числе, также встречаются случаи недопустимого указания в тексте пользовательского соглашения информационного ресурса условия об отказе пользователя такого ресурса от своего права на требование о прекращении обработки его персональных данных в целях выдачи рекламы (см. Апелляционное определение Новосибирского областного суда от 20 марта 2018 г. по делу № 33-2679/2018).

При таких обстоятельствах обработка любого оставленного пользователем информационного ресурса цифрового следа должна иметь обязательное правовое основание в соответствии с положениями ст. 5 и 6 Федерального закона "О персональных данных".

Несмотря на то что манипулирование фактически не направлено на причинение субъекту персональных данных какого-либо вреда, допущение указанной практики может быть им расценено как элемент его личной эксплуатации и деструктивно отразиться на сложившихся отношениях.

2.3. Ненадлежащее информирование может выражаться в непредоставлении субъекту персональных данных достаточной информации, которая необходима для принятия им осознанного решения в отношении своих персональных данных.

Ненадлежащее информирование является самым частым случаем нарушения автономии человека, поскольку в подавляющем числе случаев оператор в момент или до начала обработки персональных данных не предпринимает каких-либо мер, направленных на предоставление субъекту персональных данных достаточной информации о его правах и порядке обработки персональных данных.

Например, трудно представить, чтобы отечественный оператор при очном контакте со своими работниками, партнерами или клиентами решил самостоятельно разъяснить их права и порядок обработки персональных данных в момент или до подписания согласия на обработку персональных данных.

Образуя потенциально опасную для субъекта персональных данных неосведомленность в отношении своих персональных данных, ненадлежащее информирование возможно назвать наибольшим камнем преткновения на пути к внедрению принципов информационной приватности и построению прозрачной обработки персональных данных.

В настоящий момент принцип прозрачной обработки персональных данных не находит своего отражения в числе принципов отечественного законодательства в области персональных данных, однако в соответствии с европейским подходом он заключается в том, что субъект персональных данных должен заранее иметь возможность определить конкретный объем и последствия обработки его персональных данных и не должен быть застигнут врасплох на последующих этапах обработки его персональных данных¹³.

Так, стоит отметить положения ч. 1 ст. 18 Федерального закона "О персональных данных", согласно которым оператор обязан предоставить субъекту персональных данных информацию о его правах и порядке обработки персональных данных только в том случае, если об этом его попросил сам субъект персональных данных.

Вместе с тем, положениями ст. 13 GDPR¹⁴ установлено, что оператор обязан предоставить субъекту персональных данных такую информацию в любом случае и вне зависимости от его просьбы, что обеспечивает большую прозрачность в отношениях между указанными сторонами и должно быть учтено отечественным законодателем.

Прежде всего, надлежащее информирование необходимо при сборе согласий на обработку персональных данных, содержание которого должно соответствовать признаку информированности вне зависимости от того, собирается ли такое согласие в письменной или иной форме (см. ч. 1 ст. 9 Федерального закона "О персональных данных").

Например, отсутствие в письменной форме согласия на обработку персональных данных сведений о составе обработки персональных данных свидетельствует о неполноте такого согласия и нарушении прав субъекта персональных данных (см. Постановление Семнадцатого арбитражного апелляционного суда от 10 июня 2015 г. по делу № 17АП-5329/2015-АК).

Помимо того, что субъект персональных данных может не получить информации о его правах и порядке обработки персональных данных при непосредственном контакте с оператором, особой проблемой является игнорирование отечественными операторами положений ч. 3 ст. 18 Федерального закона "О персональных данных", касающихся обязанности оператора проинформировать субъекта персональных данных о факте получения им персональных данных такого субъекта от третьих лиц.

Несмотря на то что имеющиеся основания для освобождения от вышеуказанной обязанности (см. ч. 4 ст. 18 Федерального закона "О персональных данных") покрывают большинство случаев передачи персональных данных, например, при осуществлении такой передачи на основании федерального закона или в рамках исполнения договора, к сожалению, случаи безосновательной передачи персональных данных остаются многочисленными и не подлежат уменьшению.

Кроме того, сегодня, когда утечки персональных данных происходят регулярно и влекут безосновательное завладение объемными массивами персональных данных со стороны третьих лиц и без ведома на то субъектов персональных данных, эта проблема требует особого внимания со стороны государственных органов.

В зависимости от контекста взаимодействия, донесение до субъекта персональных данных информации о его правах и порядке обработки персональных данных может осуществляться письменно (например, посредством указания такой информации в тексте согласия на обработку персональных данных), устно (например, посредством донесения такой информации при очном или телефонном разговоре) или при электронном взаимодействии (например, посредством реализации виджета о правах и порядке обработки персональных данных).

Способами надлежащего информирования могут выступать грамотная словесная коммуникация, свободное раскрытие информации, постоянная обратная связь, реализация легкодоступных элементов взаимодействия на информационном ресурсе, а также иные способы для достижения ясного, конструктивного и доверительного диалога между оператором и субъектом персональных данных.

В соответствии с европейским подходом, предоставляемая субъектам персональных данных информация должна быть краткой, прозрачной, понятной и легкодоступной, а также изложена с использованием ясного и простого языка (см. ст. 12 GDPR).

К сожалению, несмотря на то что действующая редакция ч. 1 ст. 9 Федерального закона "О персональных данных" предусматривает, что согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным, вряд ли она не должна быть воспринята отечественными операторами в качестве стимула к составлению ясных и простых текстов таких согласий.

Субъектам персональных данных свойственно противится детальному изучению сложной для понимания информации, которая зачастую написана юристами и по характеру изложения предназначена для них же, что, как правило, влечет автоматическое и легкомысленное подписание таким субъектом согласия на обработку персональных данных и (или) согласия с положениями политики приватности.

Правильный подход в данном случае – чтобы оператор во время взаимодействия с заинтересованными лицами в оффлайн- или онлайн-пространстве мог поэкспериментировать с применением различных инструментов надлежащего информирования, определяя чувствительные точки разрушения личных границ и исследуя рефлекторное поведение субъектов персональных данных для последующего определения наиболее комфортного для большинства таких субъектов порядка взаимодействия.

В целях недопущения ущерба автономии человека необходимо реализовать многоуровневую систему информирования на каждом этапе обработки персональных данных, в рамках которой первоначально субъект персональных данных получает наиболее важную информацию об их обработке, а затем – детализированную, что особенно актуально при первоначальном контакте.

Так, при заполнении электронных форм сбора персональных данных на сайте оператора в сети "Интернет" примером многоуровневой системы информирования будет являться реализация гиперссылки на размещенную в открытом доступе политику приватности:

см. https://lk.hse.ru/registration (дата обращения: 1 ноября 2023 г.)	см. https://lift-bf.ru (дата обращения: 1 ноября 2023 г.)

Таким образом, построение коммуникации посредством реализации инструментов надлежащего информирования подчеркивает добросовестность деятельности оператора в вопросах обработки персональных данных и позволяет субъектам персональных данных сделать легкий и осознанный выбор о вступлении в контакт с таким оператором без опасения за возможное нарушение границ конфиденциальности.

В свою очередь, допущение обратной практики может указывать на отсутствие в системе корпоративных ценностей организации стремления к открытой, уважительной и профессиональной коммуникации, что явно не вызовет симпатии со стороны заинтересованных лиц.

2.4. Сорванные ожидания могут возникнуть при нарушении оператором своих обещаний в отношении обработки персональных данных, в том числе в случае нарушения им обязательных требований законодательства в области персональных данных.

Сорванные ожидания свидетельствуют об отходе оператора от заявленной им цели или правового основания обработки персональных данных, вследствие чего его незаконное действие (бездействие) может повлечь существенный вред автономии человека из-за утраты им чувства комфорта и безопасности за сохранность своих персональные данных.

Например, в контексте обмена информацией между друзьями существуют ожидаемые принципы передачи информации, а именно: обмен личной информацией обычно происходит на добровольной основе, и существуют определенные доверительные ожидания относительно того, как эта информация будет или не будет использована¹⁵.

Аналогичные принципы также применимы к сфере обработки персональных данных, в рамках которой презюмируются добросовестность деятельности оператора в вопросах соблюдения обязательных требований законодательства в области персональных данных и недопущения ущерба разумным ожиданиям субъектов персональных данных.

Как правило, ожидания субъекта персональных данных исходят из содержания согласия на обработку персональных данных или политики приватности, либо основываются на обязательных требованиях законодательства в области персональных данных, которые должны быть учтены в процессе обработки в императивном порядке.

Можно сказать, что любое проявление сорванных ожиданий следует считать незаконной (безосновательной) обработкой персональных данных, предполагающей возможность привлечения оператора к административной ответственности в соответствии с положениями ч. 1 ст. 13.11 КоАП РФ.

Кроме того, сорванные ожидания могут являться следствием ненадлежащего информирования, поскольку в результате непредставления субъекту персональных данных достаточной информации о порядке их обработки его персональных данных либо предоставлении такой информации на сложном для понимания языке, субъект персональных данных не смог позаботится о возможных рисках нарушения информационной приватности.

Оптимальный подход здесь состоит в том, чтобы оператор заботился о разумных ожиданиях субъекта персональных данных и стремился сохранить с ним взаимное доверие, осознавая, что риск потери своей репутации является большим ущербом, чем выплата административного штрафа.

Наиболее ярким примером сорванных ожиданий следует считать нарушение требования о конфиденциальности персональных данных, которое может проявляться как в несанкционированной передаче персональных данных третьим лицам (см. Определение судебной коллегии по гражданским делам Верховного Суда Российской Федерации от 1 августа 2017 г. по делу № 78-КГ17-45), так и при допущении случайной утечки персональных данных (см. Решение Замоскворецкого районного суда города Москвы от 16 июня 2023 г. по делу № 12-2028/22).

Так, при несанкционированном раскрытии персональных данных человек может одновременно испытать тревожность – за ощущение собственной уязвимости, панику – за возможное попадание персональных данных в руки злоумышленников, стыд – за прилюдное раскрытие чувствительных сведений о его частной жизни и агрессию – за нарушение установленных личных границ.

В связи с этим сорванные ожидания могут повлечь не только разрыв отношений между оператором и субъектом персональных данных и (или) утрату взаимного доверия, но и обязать оператора возместить субъекту персональных данных моральный вред, который им был причинен в результате незаконной обработки персональных данных (см. ч. 2 ст. 17 Федерального закона "О персональных данных").

2.5. Отсутствие контроля может выражаться в непредоставлении субъекту персональных данных возможности повлиять на порядок обработки его персональных данных.

Отсутствие контроля подразумевает нарушение принципа прозрачной обработки персональных данных и влечет фактическую невозможность субъекта персональных данных свободно реализовать предусмотренные за ним права в отношении своих персональных данных.

Важно помнить, что природа человека стремится к автономному разрешению вопросов об открытости и закрытости информации о своей частной жизни, а следовательно, потеря такого контроля может существенно нарушить его состояние свободы и душевного спокойствия.

В таком случае постановка в качестве корпоративной ценности доступности и права контроля за процессами обработки персональных данных способна указать на эмпатию оператора к естественной потребности человека в уединении и самоконтроле.

Обязанность оператора предоставить субъекту персональных данных право контроля за процессами обработки персональных данных является продолжением его обязанности обеспечить надлежащее информирование, поскольку если надлежащее информирование защищает автономию субъекта персональных данных до его вступления в контакт с оператором, то предоставление контроля направлено на поддержание его автономии внутри сложившихся отношений.

Законодательство в области персональных данных не стоит на месте и характеризуется постоянным увеличением количества прав субъектов персональных данных, в числе главных из которых необходимо выделить: 1) право на доступ к персональным данным, 2) право на ограничение обработки персональных данных и 3) право на прекращение обработки персональных данных.

Важно, чтобы система взаимодействия оператора и субъекта персональных данных была разработана и реализована таким образом, чтобы такие права могли быть воплощены оператором свободно и без допущения лишней волокиты.

Однако следует помнить, что оператор также имеет свои гарантии, например, позволяющие ему продолжить обработку персональных данных при наличии оснований, указанных в п. 2 - 11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Федерального закона "О персональных данных (см. ч. 2 ст. 9)".

Так, не может являться основанием для прекращения обработки персональных данных отзыв согласия на обработку своих персональных данных в том случае, если субъект персональных данных несет бремя выплаты задолженности по кредитному договору с оператором (см. Апелляционное определение Санкт-Петербургского городского суда от 22 июня 2021 г. по делу № 33-4873/2021).

При этом, в отличие от согласия на обработку персональных данных, отзыв согласия на обработку персональных данных не имеет установленной формы и порядка его направления оператору, что также является пробелом отечественного законодательства в области персональных данных.

Например, некоторые операторы реализуют легкодоступный механизм предоставления согласия на обработку персональных данных, для получения которого необходимо заполнить простую электронную форму сбора персональных данных, одновременно создавая сложный механизм отзыва такого согласия, в рамках которого оператор указывает на необходимость направления такого отзыва заказным письмом, в том числе с приложением большего количества персональных данных.

Подобная проблема часто возникает с коллекторскими агентствами, необдуманная или незаконная регистрация на информационных ресурсах которых может повлечь процедуру "обратной идентификации" в целях аннулирования регистрации на их информационных ресурсах.

Однако европейский законодатель разрешает такую проблему конкретным положением, согласно которому "отозвать согласие должно быть так же легко, как и его предоставить" (см. п. 3 ст. 7 GDPR), которое следует также важно учесть при последующем внесении изменений в Федеральный закон "О персональных данных".

До начала осуществления деятельности, связанной с обработкой персональных данных, руководствуясь концепцией проектирования приватности ("Privacy by Design") оператору следует заранее позаботится о реализации легкодоступных интерфейсов контроля за процессами обработки персональных данных, а также электронных форм разрешения запросов или требований таких субъектов (например, при разработке мобильного приложения или сайта в сети "Интернет").

Так, во время нахождения субъекта персональных данных на сайте оператора в сети "Интернет", примером реализации интерфейса контроля за процессами обработки персональных данных будет являться предоставление возможности выбрать объем собираемых cookie-файлов:

см. https://www.privacyculture.com (дата обращения: 1 ноября 2023 г.)	см. https://www.purevpn.com (дата обращения: 1 ноября 2023 г.)

Кроме того, реализация подобных интерфейсов позволяет оператору исключить вред автономии, связанный манипулированием и ненадлежащим информированием (см. выше).

Как уже указывалось, потребность в контроле является неотъемлемой частью природы человека, стремящейся к автономному разрешению вопросов о порядке обработки информации, составляющей его частной жизнь и (или) персональные данные.

В связи с этим предоставление субъектам персональных данных разумного доступа к контролю за процессами их обработки можно назвать наилучшей практикой демонстрации уважительного отношения оператора к естественной потребности человека к контролю за оборотом его личной информации.

2.6. Сдерживающие (охлаждающие) эффекты могут выражаться в недопустимом воспрепятствовании или торможении реализации гражданских прав и свобод человека.

Сдерживающие эффекты относятся к одним из наиболее негативных явлений современного мира благодаря практически неограниченной возможности злоумышленников (взломщиков) и государственных органов безопасности отслеживать и архивировать объемные массивы информации о действиях пользователей сети "Интернет".

Понимая возможные негативные последствия несанкционированной обработки сведений о частной жизни пользователя сети "Интернет", такие пользователи вынуждены ограничивать себя в праве свободного раскрытия своей информации и выражения личного мнения в открытом доступе.

Как следствие, указанное ограничение прямо подрывает автономию человека на реализацию предусмотренных за ним таких гражданских свобод, как свобода слова, свобода убеждений, свобода поиска идей, а также право на участие в политической и религиозной деятельности¹⁶, что может повлечь либо переход пользователя сети "Интернет" в анонимное пространство, либо существенную корректировку своего поведения.

Применительно к сфере обработки персональных данных некоторые субъекты персональных данных оправданно остерегаются оставлять свои цифровые следы в сети "Интернет", допуская возможность их неправомерного отслеживания и архивации третьими лицами.

Предполагается, что чем обширнее и "чувствительнее" оставляемые в сети "Интернет" персональные данные (например, биометрические или специальные категории), тем больше внутреннее опасение субъекта персональных данных за их возможную незаконную обработку.

Даниэль Цитрон в качестве примера сдерживающего эффекта приводит ситуацию, связанную с недопустимой передачей приложением для гей-знакомств "Grindr" данных о ВИЧ-статусе его подписчиков в адрес аналитических компаний.

Факт допущения такой передачи впоследствии вызвал объективное возмущение подписчиков мобильного приложения и понимание рискованности раскрытия подобной информации приложениям для знакомств, поскольку в последующем работодатели или иные лица смогут узнать информацию об их ВИЧ-статусе и использовать ее против них¹⁷.

Сдерживающим эффектом также следует считать ситуацию, при которой пользователи сети "Интернет" в принципе избегают регистрации в социальных сетях в целях недопущения какой-либо обработки их персональных данных третьими лицами.

Например, действия ООО "Дабл" по извлечению и последующему использованию информационных элементов из базы данных пользователей социальной сети "ВКонтакте" с использованием программ для ЭВМ в целях формирования базы данных кредитоспособности заемщиков, являющихся пользователями социальной сети "ВКонтакте", без ведома на то администрации и пользователей социальной сети "ВКонтакте", были признаны нарушением исключительных прав ООО "В Контакте" (см. Постановление Суда по интеллектуальным правам от 23 сентября 2023 г. по делу № А40-18827/2017).

Несмотря на то что предмет такого спора не затрагивал вопросов восстановления прав и законных интересов субъектов персональных данных, его итоговое решение следует считать отвечающим интересам субъектов персональных данных, поскольку оно указывает на недопустимость отслеживания и архивации персональных данных пользователей информационных ресурсов в целях, которые несовместимы с целями раскрытия персональных данных самими пользователями информационного ресурса (см. ч. 4 ст. 5 Федерального закона "О персональных данных).

Стоит отметить, что сдерживающие эффекты могут сопутствовать любой обработке персональных данных, включая неавтоматизированную.

В таких случаях оператору следует продемонстрировать свою надежность посредством установления строгого запрета на использование персональных данных в целях, не связанных с основной целью обработки персональных данных, в том числе со стороны третьих лиц.

Допущение же обратной практики сможет негативно отразится на желании субъекта персональных данных свободно и без чувства опасения делиться своей личной информацией с таким оператором.

3

Заключение

Следует учесть, что рассмотренная типология ущерба в отношении автономии человека не может являться исчерпывающей, а поведенческие реакции субъектов персональных данных будут зависеть от различных контекстных факторов, например, его возраста, социального положения, уровня правосознания и степени знакомства с оператором.

Вместе с тем реализация внутри организации мер по недопущению ущерба автономии человека и внедрению принципов информационной приватности внутри организации на основе таких рекомендаций способна создать комфортное и привлекательное пространство, способствующее свободному, спокойному, безопасному и доверительному общению между оператором и субъектом персональных данных.

Для минимизации рисков нарушения обязательных требований законодательства в области персональных данных оператору следует помнить о следующих этических составляющих:

• недопущение избыточного сбора персональных данных (оператору следует минимизировать собираемые персональные данные, оставляя только те, которые действительно необходимы для достижения цели обработки персональных данных);
• недопущение избыточного сбора согласий на обработку персональных данных (оператору следует помнить, что чаще всего обработка персональных данных носит сопутствующий к основному правоотношению характер, не допуская информационной усталости субъектов персональных данных от перенасыщения подписываемых ими экземпляров таких согласий);
• недопущение бессрочной обработки персональных данных (оператору следует указывать конкретный срок обработки персональных данных и хранить персональные данные до тех пор, пока это необходимо);
• недопущение угроз безопасности персональных данных (оператору следует провести грамотную правовую, организационную и техническую работу по обеспечению высокого уровня защиты информационных систем персональных данных (ИСПДн)).

Чтобы соблюдение принципов информационной приватности стало конкурентным преимуществом, корпоративная стратегия оператора должна выходить за рамки соблюдения законодательства в области персональных данных и учитывать наилучшие мировые практики применения этических составляющих в отношениях с заинтересованными лицами.

Сотрудники организации должны понимать, что соблюдение принципов информационной приватности является важным фактором повышения уровня корпоративной репутации организации, в связи с чем соблюдение таких принципов не должно представлять раздражающую или факультативную нагрузку для такой организации.

Несмотря на отсутствие административной ответственности за непроведение мероприятий внутреннего контроля и (или) аудита соответствия обработки персональных данных, а также оценки вреда, который может быть причинен субъектам персональных данных (см. ч. 1 ст. 18.1 Федерального закона "О персональных данных), оператору следует учесть, что непроведение таких мероприятий может повлечь для него серьезные риски, включая несанкционированные утечки корпоративной и иной "чувствительной" информации.

Отсюда следует, что корпоративная ценность информационной приватности состоит в том, что она содействует минимизации рисков нарушения обязательных требований законодательства в области персональных данных, поддерживает развитие доверительных отношений с заинтересованными лицами, а также положительно влияет на уровень корпоративной репутации организации, способствуя ее конкурентному продвижению.

Принципиальным моментом развития института информационной приватности является понимание того, что повышение прибыли организации от использования персональных данных не должно оправдывать эксплуатацию личного пространства человека.

Правильной государственной (публичной) задачей будет являться повсеместное поощрение конструктивных и успешных корпоративных практик, выходящих за рамки формального отношения к соблюдению законодательства в области персональных данных.

На основе указанных в настоящей работе пробелов правового регулирования в целях повышения эффективности защиты прав и законных интересов субъектов персональных данных предлагается:

• рассмотреть вопрос о предоставлении субъекту персональных данных возможности отозвать свое согласие на обработку персональных данных тем же способом, которым оно было предоставлено оператору (реализация такого предложения возможна посредством дополнения положений ч. 2 ст. 9 Федерального закона "О персональных данных");
• рассмотреть вопрос о введении административной ответственности за несоблюдение оператором обязанности проинформировать субъекта персональных данных о факте получения им персональных данных такого субъекта от третьих лиц (реализация такого предложения возможна посредством дополнения положений ч. 4 ст. 13.11 КоАП РФ).

_____________________________

¹ Ahmed Taher. Do Corporate Values Have Value // Future Business Journal, 2023. P. 2. URL: https://clck.ru/36TALG (дата обращения 1 ноября 2023 г.).
² Daniel J. Solove. Privacy and Power: Computer Databases and Metaphors for Information Privacy // Stanford Law Review, 2001. P. 1393-1395. URL: https://clck.ru/36ZtxQ (дата обращения 1 ноября 2023 г.).
³ Muhammad Asif Qureshi. Building a Privacy Culture // Information System Audit and Control Association (ISACA), 2020. URL: https://clck.ru/36TCKa (дата обращения 1 ноября 2023 г.).
⁴ Елена Себякина. Коммуникативная недостаточность культуры приватности // Russian Privacy Professionals Association (RPPA), 2020. URL: https://clck.ru/36TD6w (дата обращения 1 ноября 2023 г.).
⁵ Федеральный закон от 24 февраля 2021 г. № 19-ФЗ "О внесении изменений в Кодекс Российской Федерации об административных правонарушениях" // СПС "ГАРАНТ". URL: https://clck.ru/36Zv87 (дата обращения: 1 ноября 2023 г.).
⁶ Daniel J. Solove, Danielle Keats Citron. Privacy Harms // Boston University Law Review, 2021. P. 845-855. URL: https://clck.ru/36TJBp (дата обращения 1 ноября 2023 г.).
⁷ Федеральный закон от 27 июля 2006 г. № 152-ФЗ "О персональных данных" // СПС "ГАРАНТ". URL: https://clck.ru/34U2Kr (дата обращения: 1 ноября 2023 г.).
⁸ Guidelines 05/2020 on consent under Regulation 2016/679. Adopted on 4 May 2020 // European Data Protection Board (EDPB). P. 10. URL: https://clck.ru/36UNar (дата обращения: 1 ноября 2023 г.)..
⁹ Федеральный закон от 28 мая 2022 г. № 145-ФЗ "О внесении изменения в статью 14.8 Кодекса Российской Федерации об административных правонарушениях" // СПС "ГАРАНТ". URL: https://clck.ru/34Urik (дата обращения: 1 ноября 2023 г.).
¹⁰ Кодекс Российской Федерации об административных правонарушениях от 30 декабря 2001 г. № 195-ФЗ // СПС "ГАРАНТ". URL: https://clck.ru/34UV4b (дата обращения: 1 ноября 2023 г.).
¹¹ Tal Zarsky. Privacy and Manipulation in the Digital Age // Theoretical Inquires in Law, 2019. P. 169. URL: https://clck.ru/36Ud7r (дата обращения 1 ноября 2023 г.).
¹² Xiao Zhang and others. MoodExplorer: Towards Compound Emotion Detection via Smartphone Sensing // ACM Digital Library, 2018. Article 176. P. 12. URL: https://clck.ru/36ZxRg (дата обращения 1 ноября 2023 г.).
¹³ Guidelines on Transparency under Regulation 2016/679. Adopted on 11 April 2018 // European Comission (EC). P. 7. URL: https://clck.ru/36VPew (дата обращения: 1 ноября 2023 г.).
¹⁴ Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (GDPR) // Publications Office of the EU. URL: https://clck.ru/34U2FN (дата обращения: 1 ноября 2023 г.).
¹⁵ Mark Burdon. Digital Data Collection and Information Privacy Law // Cambridge Intellectual Property and Information Law, 2020. P. 124. URL: https://clck.ru/36aLTV (дата обращения 1 ноября 2023 г.).
¹⁶ Daniel J. Solove. The First Amendment as Criminal Procedure // New York University Law Review, 2007. P. 142-143. URL: https://clck.ru/36b9xi (дата обращения 1 ноября 2023 г.).
¹⁷ Danielle Keats Citron. A New Compact for Sexual Privacy // William & Mary Law Review, 2020. P. 19.20. URL: https://clck.ru/36bEPQ (дата обращения 1 ноября 2023 г.).

Список литературы 

1. Ahmed Taher. Do Corporate Values Have Value // Future Business Journal, 2023. P. 2. URL: https://clck.ru/36TALG (дата обращения 1 ноября 2023 г.).
2. aniel J. Solove. Privacy and Power: Computer Databases and Metaphors for Information Privacy // Stanford Law Review, 2001. P. 1393-1395. URL: https://clck.ru/36ZtxQ (дата обращения 1 ноября 2023 г.).
3. Muhammad Asif Qureshi. Building a Privacy Culture // Information System Audit and Control Association (ISACA), 2020. URL: (дата обращения 1 ноября 2023 г.).
4. Елена Себякина. Коммуникативная недостаточность культуры приватности // Russian Privacy Professionals Association (RPPA), 2020. URL: https://clck.ru/36TD6w (дата обращения 1 ноября 2023 г.).
5. Daniel J. Solove, Danielle Keats Citron. Privacy Harms // Boston University Law Review, 2021. P. 845-855. URL: https://clck.ru/36TJBp (дата обращения 1 ноября 2023 г.).
6. Tal Zarsky. Privacy and Manipulation in the Digital Age // Theoretical Inquires in Law, 2019. P. 169. URL: https://clck.ru/36Ud7r (дата обращения 1 ноября 2023 г.).
7. Xiao Zhang and others. MoodExplorer: Towards Compound Emotion Detection via Smartphone Sensing // ACM Digital Library, 2018. Article 176. P. 12. URL: https://clck.ru/36ZxRg (дата обращения 1 ноября 2023 г.).
8. Daniel J. Solove, Danielle Keats Citron. Privacy Harms // Boston University Law Review, 2021. P. 845-855. URL: https://clck.ru/36TJBp (дата обращения 1 ноября 2023 г.).
9. Daniel J. Solove, Danielle Keats Citron. Privacy Harms // Boston University Law Review, 2021. P. 845-855. URL: https://clck.ru/36TJBp (дата обращения 1 ноября 2023 г.).
10. Daniel J. Solove, Danielle Keats Citron. Privacy Harms // Boston University Law Review, 2021. P. 845-855. URL: https://clck.ru/36TJBp (дата обращения 1 ноября 2023 г.).

Е.В. Матвеев,
магистр права,
Самарский национальный исследовательский университет
им. академика С.П. Королева (г. Самара),
ведущий специалист-эксперт отдела контроля и надзора
за соблюдением законодательства в сфере персональных данных
Управления Роскомнадзора по Самарской области

Источник: Журнал Суда по интеллектуальным правам