В п. 3 постановления Правительства РФ от 23.09.2020 N 1526 указан состав информации, подлежащей хранению организатором распространения информации в сети Интернет. Относятся ли эти сведения к категории персональных данных клиентов оператора связи? При направлении запроса должны ли правоохранительные органы предварительно получать судебную санкцию?

1. Согласно ч. 1 ст.10.1 Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (далее - Закон N 149-ФЗ) организатором распространения информации в сети Интернет (далее - Организатор) является лицо, осуществляющее деятельность по обеспечению функционирования информационных систем и (или) программ для электронных вычислительных машин, которые предназначены и (или) используются для приема, передачи, доставки и (или) обработки электронных сообщений пользователей сети Интернет.
На Организатора возлагается обязанность по хранению на территории Российской Федерации информации о фактах приема, передачи, доставки и (или) обработки голосовой информации, письменного текста, изображений, звуков, видео- или иных электронных сообщений пользователей сети Интернет и информации об этих пользователях в течение одного года с момента окончания осуществления таких действий, а также текстовых сообщений пользователей сети Интернет, голосовой информации, изображений, звуков, видео-, иных электронных сообщений пользователей сети Интернет до шести месяцев с момента окончания их приема, передачи, доставки и (или) обработки (ч. 3 ст. 10.1 Закона N 149-ФЗ). Данную информацию Организатор обязан предоставлять уполномоченным государственным органам, осуществляющим оперативно-разыскную деятельность или обеспечение безопасности РФ*(1), в случаях, установленных федеральными законами*(2).
Состав информации, подлежащей хранению Организатором при обеспечении функционирования коммуникационного интернет-сервиса, приведен в п. 3 Правил хранения организаторами распространения информации в информационно-телекоммуникационной сети Интернет информации о фактах приема, передачи, доставки и (или) обработки голосовой информации, письменного текста, изображений, звуков, видео- или иных электронных сообщений пользователей информационно-телекоммуникационной сети "Интернет" и информации об этих пользователях и предоставления ее уполномоченным государственным органам, осуществляющим оперативно-разыскную деятельность или обеспечение безопасности Российской Федерации, утвержденных постановлением Правительства РФ от 23 сентября 2020 г. N 1526 (далее - Правила).
При этом персональными данными в контексте Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) является любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 Закона N 152-ФЗ). По сути, это всевозможные сведения, с помощью которых можно определить (идентифицировать) субъекта персональных данных, что в полной мере согласуется с положениями ст. 2 Конвенции о защите физических лиц при автоматизированной обработке персональных данных, принятой Советом Европы 28.01.1981. То есть правовой защите подлежит лишь та информация о человеке, которая позволяет его персонифицировать. Как видим, Закон N 152-ФЗ определяет персональные данные достаточно широко, поэтому какого-либо перечня сведений, относящихся к персональным данным субъекта, не существует.
Суды к персональным данным относят фамилию, имя, отчество, год, месяц, дату и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы (смотрите определения Курганского облсуда от 07 сентября 2017 г. по делу N 33-2984/2017, Санкт-Петербургского горсуда от 26 марта 2013 г. N 33-3815/13, Московского горсуда от 28 января 2014 г. N 33-5461/14, Саратовского облсуда от 29 января 2013 г. по делу N 33-500) и др.
Однако надлежит учитывать, что не всякий из этих элементов подпадает под защиту Закона N 152-ФЗ, а только те из них, которые в отдельности или в совокупности достоверно указывают на конкретное определяемое лицо.
В частности, управление Роскомнадзора по Республике Карелия разъяснило, что фамилия и инициалы гражданина - это, несомненно, персональные данные субъекта. Однако без использования дополнительной информации определить их принадлежность конкретному субъекту невозможно. Фамилия, имя, отчество наряду со многими другими способами используются для идентификации отдельного человека среди других. По своей природе - это составной ключ, идентификатор, основанный на комбинациях трех параметров: фамилии, имени и отчества, на самом деле не идентифицирующий человека однозначно, а лишь сильно сокращающий выборку из тех, кому они могут принадлежать (смотрите Обзор обращений граждан в Управление Роскомнадзора по Республике Карелия за II квартал 2012 года). Схожий вывод содержится в определении Приморского краевого суда от 09 сентября 2013 г. по делу N 33-7063, в котором суд указал, что только имя и отчество гражданина само по себе не позволяют достоверно установить, о каком человеке идет речь, если, конечно, они не уникальны. Соответственно, эти сведения не являются персональными данными лица, т.к. не содержат персонифицированных и детализированных данных о нем и в отсутствие дополнительной информации не позволяют его идентифицировать.
Абонентский номер пользователя, на наш взгляд, к персональным данным субъекта относиться не может, поскольку сам по себе он однозначно определяет (идентифицирует) оконечный элемент сети связи или подключенную к сети подвижной связи абонентскую станцию (абонентское устройство) с установленным в ней (в нем) идентификационным модулем (п. 2 Правил оказания услуг телефонной связи, утвержденных постановлением Правительства РФ от 09 декабря 2014 г. N 1342). То есть будучи элементом сети связи, в отрыве от иной информации о физическом лице (фамилии, имени, отчестве, адресе проживания и др.) такой номер не позволяет идентифицировать конкретного субъекта персональных данных, а потому персональными данными в терминологии Закона N 152-ФЗ не является. Такого же мнения придерживаются и суды (смотрите решение Верхнепышминского городского суда Свердловской области от 18 августа 2017 г. по делу N 2-1628/2017, решение Черемушкинского районного суда г. Москвы от 11 октября 2017 г. по делу N 02-5330/2017, решение Фрунзенского районного суда г. Иваново Ивановской области от 27 января 2016 г. по делу N 2-340/2016, апелляционное определение СК по гражданским делам Алтайского краевого суда от 14 декабря 2016 г. по делу N 33-13389/2016). Полагаем, что и в совокупности с инициалами абонента номер телефона не приобретает свойства достоверного идентификатора.
По тем же причинам не является персональными данными и МАС-адрес устройства абонента без дополнительной информации о нем. Но когда MAC-адрес добавляется сведениями, например, о геолокации или cookies, то в совокупности эта информация является персональными данными (такое мнение было озвучено на публичном семинаре для операторов персональных данных: https://mediapravo.com/privacy/rkn-personal-data.html).
Адрес электронной почты гражданина, по мнению специалистов Роскомнадзора, относится к категории персональных данных, т.к. данный идентификатор уникален: он присваивается конкретному человеку и не может быть отнесен к другому. Даже без дополнительной информации такой идентификатор является персональными данными (из публичного семинара для операторов персональных данных: https://mediapravo.com/privacy/rkn-personal-data.html). На наш взгляд, подобное утверждение не бесспорно, потому что не всегда по адресу электронной почты можно определить его обладателя. Например, отдельные суды не склонны относить электронный адрес гражданина к его персональным данным (смотрите решение Заельцовского районного суда г. Новосибирска Новосибирской области от 27 июня 2018 г. по делу N 2-1770/2018, решение Свердловского районного суда г. Иркутска Иркутской области от 28 февраля 2018 г. по делу N 2-254/2018, определение Московского городского суда от 12 декабря 2016 г. N 33-42101/16).
Таким образом, отнесение той или иной информации к категории персональных данных зависит от того, можно ли с ее помощью определить (идентифицировать) конкретного человека или нет.
По общему правилу обработка персональных данных возможна при наличии согласия самого субъекта (п. 1 ч. 1 ст. 6, п. 1 ч. 2 ст. 10 Закона N 152-ФЗ). Статьей 7 Закона N 152-ФЗ установлен принцип конфиденциальности обрабатываемой информации, в силу которого операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Однако в отдельных случаях оператор вправе обрабатывать персональную информацию о гражданах и без такового. В частности, обработка персональных данных граждан будет считаться правомерной, если она осуществляется для достижения целей, предусмотренных законом, осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6 Закона N 152-ФЗ). Обратим внимание, что термин "законодательство РФ" подразумевает как федеральные законы, так и подзаконные нормативно-правовые акты.
Учитывая, что обязанность Организатора предоставлять уполномоченным государственным органам информацию, перечисленную в п. 3 Правил, прямо предписана законом, то согласия субъекта персональных данных на такую передачу не требуется (п. 2 ч. 1 ст. 6 Закона N 152-ФЗ, ч. 3 ст. 10.1 Закона N 149-ФЗ, пп. 6 9 Правил).
2. Конституцией РФ провозглашено право каждого на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, ограничение этого права допускается только на основании судебного решения (ч. 2 ст. 23 Конституции РФ). Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются (ч. 1 ст. 24 Конституции РФ).
При этом согласно ч. 3 ст. 55 Конституции РФ права и свободы человека и гражданина могут быть ограничены федеральным законом только в той мере, в какой это необходимо в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.
Следовательно, получение судебного решения необходимо в случае ограничения гарантированного конституционного права на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Аналогичное требование закреплено в ст. 13 УПК РФ и ст. 8 Федерального закона от 12 августа 1995 г. N 144-ФЗ "Об оперативно-розыскной деятельности" (далее - Закон N 144-ФЗ).
В определении Конституционным Судом РФ от 02 октября 2003 года N 345-О указано, что информацией, составляющей охраняемую Конституцией РФ и действующими законами тайну телефонных переговоров, считаются любые сведения, передаваемые, сохраняемые и устанавливаемые с помощью телефонной аппаратуры, включая данные о входящих и исходящих сигналах соединения телефонных аппаратов конкретных пользователей связи (детализация переговоров), а для доступа к указанным сведениям органам, осуществляющим оперативно-разыскную деятельность, необходимо получение судебного решения.
Таким образом, ограничение конституционного права на тайну связи допускается только на основании судебного акта и исключительно при осуществлении органами, осуществляющими оперативно-разыскную деятельность или обеспечение безопасности Российской Федерации, своих функций.
Частью 1 ст. 53 Федерального закона от 7 июля 2003 г. N 126-ФЗ "О связи" (далее - Закон N 126-ФЗ) предусмотрено, что к информации ограниченного доступа, подлежащей защите в соответствии с законодательством РФ, закон относит также сведения об абонентах и оказываемых им услугах связи, ставшие известными операторам связи в силу исполнения договора об оказании услуг связи.
К сведениям об абонентах относятся фамилия, имя, отчество или псевдоним абонента-гражданина, наименование (фирменное наименование) абонента - юридического лица, фамилия, имя, отчество руководителя и работников этого юридического лица, а также адрес абонента или адрес установки оконечного оборудования, абонентские номера и другие данные, позволяющие идентифицировать абонента или его оконечное оборудование, в том числе идентификатор пользовательского оборудования (оконечного оборудования), сведения баз данных систем расчета за оказанные услуги связи, в том числе о соединениях, трафике и платежах абонента.
Предоставление третьим лицам сведений об абонентах-гражданах может осуществляться только с их согласия, за исключением случаев, предусмотренных настоящим Федеральным законом и другими федеральными законами.
При этом, как установлено в ч. 1.1 ст. 64 Закона N 126-ФЗ, операторы связи обязаны предоставлять уполномоченным государственным органам, осуществляющим оперативно-разыскную деятельность или обеспечение безопасности Российской Федерации, указанную информацию, информацию о пользователях услугами связи и об оказанных им услугах связи и иную информацию, необходимую для выполнения возложенных на эти органы задач, в случаях, установленных федеральными законами.
В п. 14 постановления Пленума Верховного Суда РФ от 31 октября 1995 г. N 8 "О некоторых вопросах применения судами Конституции Российской Федерации при осуществлении правосудия" разъяснено, что проведение оперативно-разыскных мероприятий, ограничивающих конституционные права граждан, может иметь место лишь при наличии у органов, осуществляющих оперативно-разыскную деятельность, информации о признаках подготавливаемого, совершаемого или совершенного противоправного деяния, по которому производство предварительного следствия обязательно; о лицах, подготавливающих, совершающих или совершивших противоправное деяние, по которому производство предварительного следствия обязательно; о событиях или действиях, создающих угрозу государственной, военной, экономической или экологической безопасности Российской Федерации.
Как следует из положений ст. 63 Закона N 126-ФЗ, ограничение права на тайну переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений, передаваемых по сетям электросвязи и сетям почтовой связи, допускается только в случаях, предусмотренных федеральными законами. Операторы связи обязаны обеспечить соблюдение тайны связи. Ознакомление лиц, не являющихся уполномоченными работниками оператора связи, с информацией и документальной корреспонденцией, передаваемыми по сетям электросвязи и сетям почтовой связи, осуществляются только на основании решения суда, за исключением случаев, установленных федеральными законами.
При этом положения действующего законодательства о сохранении тайны телефонных переговоров, почтовых, телеграфных и иных сообщений, требующие особой гарантии в виде судебного разрешения на доступ третьих лиц (в том числе органов, осуществляющих оперативно-разыскную деятельность, органов предварительного расследования и суда) к передаваемой информации, не распространяются на сведения о зарегистрированных пользователях услугами связи (абонентах), обязанность предоставления которых операторами связи органам, осуществляющим оперативно-разыскную деятельность, предусмотрена федеральным законодательством, в том числе п. 4 ч. 1 ст. 13 Федерального закона от 07 февраля 2011 г. N 3-ФЗ "О полиции", ст. 15 Федерального закона от 12 августа 1995 г. N 144-ФЗ "Об оперативно-розыскной деятельности".
Так, например, в решении Октябрьского районного суда г. Самары Самарской области от 24 сентября 2015 г. по делу N 2-5354/2015 указано, что идентификация пользователя информационно-телекоммуникационной сети "Интернет" через установление его персональных данных по статическому IP-адресу, назначаемого оператором связи и постоянно закрепленного за оконечным пользовательским оборудованием при заключении договора об оказание и услуг доступа к сети Интернет (при использовании статического IP-адреса все подключения пользователя всегда идентифицируются этим IP-адресом в сети связи) по своим правовым последствиям не может отличаться от случаев, когда IP-адрес назначается оператором связи пользовательскому оборудованию автоматически, на период подключения данного устройства (период сессии) к сети Интернет (динамический IP-адрес).
В указанных случаях, предоставляя органам, осуществляющим оперативно-разыскную деятельность, данные об абоненте по его IP-адресу (статическому либо динамическому), оператор связи лишь представляет информацию о пользователе услуг связи, не вторгаясь при этом в охраняемую Конституцией РФ и действующими на территории РФ законами тайну связи (смотрите также постановление Седьмого кассационного суда общей юрисдикции от 17 июня 2022 г. по делу N 16-2977/2022).

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Амирова Лариса

Ответ прошел контроль качества

3 августа 2022 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг. 

------------------------------------------------------------------------
*(1) Правила взаимодействия Организаторов с уполномоченными государственными органами, осуществляющими оперативно-разыскную деятельность или обеспечение безопасности РФ, утверждены постановлением Правительства РФ от 31 июля 2014 г. N 743.
*(2) Правом осуществлять оперативно-разыскную деятельность наделены оперативные подразделения органов внутренних дел РФ; органов ФСБ; федерального органа исполнительной власти в области государственной охраны; таможенных органов РФ; службы внешней разведки РФ; федеральной службы исполнения наказаний (ст. 13 Федерального закона от 12 августа 1995 г. N 144-ФЗ "Об оперативно-розыскной деятельности). Конкретный перечень оперативных подразделений, правомочных осуществлять оперативно-разыскную деятельность, их полномочия, структуру и организацию работы, определяют руководители указанных органов (смотрите, например, Перечень оперативных подразделений системы МВД России, правомочных осуществлять оперативно-разыскную деятельность, утвержденный приказом МВД РФ от 19 июня 2012 г. N 608).