Защита персональных данных: обзор последних нововведений

nadiabormotova / Depositphotos.com

Повсеместная цифровизация обоснованно поднимает вопрос о защите персональных данных граждан. В связи с этим все чаще пользователи сталкиваются с несанкционированным распространением их персональных данных в различных сферах, напоминает председатель Комиссии Общественной палаты РФ по развитию информационного сообщества, СМИ и массовых коммуникаций Рифат Сабитов в ходе круглого стола "Россияне – хозяева своих персональных данных", организованным Общественной Палатой РФ. С целью предотвращения нелегальной обработки персональных данных принимаются законодательные и подзаконные акты, правомочные усилить их защиту, – с каждым годом частота их появления увеличивается, что говорит о заинтересованности государственных органов урегулировать данный вопрос. Разберемся, какие нововведения, регулирующие оборот персональных данных, появились за последнее время, а также выясним мнение экспертного сообщества по вопросам уровня защиты персональных данных на государственном уровне.

Доверие граждан по вопросу защиты персональных данных – что говорит статистика

На данный момент от обработки персональных данных и применения информационных ресурсов зависит глобальный процесс цифровизации в России – от развития цифровой экономики до создания комфортных государственных сервисов, заметил руководитель рабочей группы ОП РФ по законодательству в сфере интернет-технологий и цифровизации Вадим Виноградов. Эксперт заметил, что персональные данные должны быть защищены именно со стороны государства. Действительно, результаты статистических исследований демонстрируют низкий уровень уверенности граждан в том, что они самостоятельно способны защитить свои персональные данные – так, например, в исследовании Института статистических исследований и экономики знаний НИУ ВШЭ количество таких граждан составляет более 50%¹. Как следует из результатов опроса, 81% респондентов согласились с тем, что они могут положиться на государство в вопросе защиты своих персональных данных. При этом более трети россиян (37%) не осведомлены о том, в каких целях могут быть использованы их персональные данные, как следует из совместного исследования ВЦИОМ и Ассоциации больших данныха². По данным этого опроса, большинство респондентов чувствуют свою незащищенность от краж или утечек персональных данных – 48% уверены в том, что их данные скорее не защищены, в то время как 26% выразили мнение об абсолютном отсутствии соответствующей защиты. Как отметил директор Регионального общественного центра интернет-технологий (РОЦИТ) Рустам Сагдатулин, проведенные исследования отношения граждан к регулированию в сфере персональных данных показало, что пользователи одобряют меры по регулированию интернет-пространства, а также поддерживают меры по противодействию мошенничеству и обеспечению сохранности их личных данных.

Новое в регулировании защиты персональных данных

Как утверждает заместитель руководителя Роскомнадзора Вагнер Милош, появление новых законодательных инициатив в первую очередь связано со стремлением усилить защиту прав граждан – субъектов персональных данных. Одним из наиболее важных нововведений в этом году стало принятие поправок в закон о персональных данных в части общедоступных данных. Напомним, 1 марта вступили в силу изменения в Федеральный закон от 27 июля 2006 г. № 152-ФЗ "О персональных данных" (далее – Закон № 152-ФЗ). Ранее ГАРАНТ.РУ писал – появились нормы, регламентирующие новый порядок удаления персональных данных из общего доступа. Теперь субъект персональных данных может обратиться к любому оператору персональных данных с требованием удалить их из общего доступа без дополнительных условий доказывания факта неправомерной обработки его персональных данных.

1 сентября вступил в силу Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 24 февраля 2021 г. № 18 "Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения". Документ регламентирует содержание согласия, а именно – перечень сведений о субъекте персональных данных (Ф.И.О. и контактную информацию) и об операторе (включая сведения об информационных ресурсах, с помощью которых будет осуществляться действия с персональными данными). Также согласие должно содержать цели обработки персональных данных, категории и перечень персональных данных, на обработку которых дается согласие или устанавливаются запреты со стороны субъекта персональных данных. При этом согласие должно содержать условия, при которых данные могут передаваться оператором. Новое согласие также должно включать срок действия.

Автор мартовских поправок в отношении общедоступных персональных данных, депутат Госдумы Антон Горелкин, объяснил, что основной смысл нововведений состоял в том, чтобы дать гражданам возможность принимать решение о том, какую информацию о себе и на каких условиях следует предоставить интернет-платформам. По мнению депутата, до принятия поправок возникали сложности с удалением персональных данных с сайтов и агрегаторов. По его словам, платформы использовали персональные данные интернет-пользователей для дальнейшей монетизации, что представляло собой выгодный бизнес.

Принятие новых законов позволяет расширить возможности граждан предпринимать самостоятельные действия по регулированию оборота их персональных данных, считает Вагнер Милош. Теперь граждане могут требовать от операторов персональных данных восстановления своих прав только по причине того, что данные относятся к субъектам, без соблюдения дополнительных условий. При этом такие требования могут удовлетворяться быстрее, чем раньше. Выражая позицию Роскомнадзора эксперт заметил, что новые законодательные инициативы перекладывают бремя доказывания о правомерности или неправомерности обработки персональных данных с субъекта на оператора. При этом оператор обязан прекратить их передачу (то есть распространение, предоставление и доступ) в течение трех рабочих дней с момента получения требования субъекта персональных данных.

По мнению первого заместителя председателя Комитета Совета Федерации по конституционному законодательству и государственному строительству Ирины Рукавшиниковой на данный момент рано подводить итоги об эффективности нововведений, должно пройти время для оценки их применения. Однако уже можно сделать промежуточные выводы о том, что на практике граждане все-таки сталкиваются с проблемными ситуациями. Эксперт приводит в пример ситуацию, при которой пользователь обращается к интернет-платформе с требованием удалить персональные данные. При этом в лучшем случае между ними происходит спор по переписке, в результате которого выясняется, что платформа не считает персональными данными определенную личную информацию о гражданине. А чаще всего платформы не отвечают на запросы пользователей. Фактически, на такое обращение пользователь получает отказ, с которым обращается в Роскомнадзор, у которого, по мнению эксперта, недостаточно полномочий пресечь нарушение и прекратить распространение персональных данных. В связи с этим субъект персональных данных должен обращаться в суд за защитой своих прав. Иными словами, регламентированная законом о персональных данных процедура на практике не оказывается такой эффективной, резюмировала Ирина Рукавшиникова.

С коллегой согласен другой эксперт, Александр Журавлев, председатель Комиссии по правовому обеспечению цифровой экономики Московского отделения Ассоциации юристов России. Он отмечает, что регламентируемые в законе способы защиты прав граждан – обращение к Роскомнадзору или в суд (взыскание морального ущерба или убытков) – не являются эффективными. Так, взыскание морального вреда является достаточно сложным по доказыванию процессом, так как для этого нужно делать медицинские справки и освидетельствования, объясняет эксперт. Размер компенсаций составляет от 5 тыс. до 15 тыс. руб. Взыскание убытков за счет необходимости доказывать причинно-следственную связь между действиями или бездействием оператора, нарушением прав субъектов персональных данных – на сегодняшний день эта процедура представляется практически невозможной, уверен Александр Журавлев. Таким образом из-за сложности доказывания и отсутствие дополнительных возможностей, которые помогали бы субъекту персональных данных защищать свои права, случаев обращения в суд за взысканием убытков нет.

Среди новых инициатив также можно выделить подготовленный 2 сентября Министерством цифрового развития, связи и массовых коммуникаций РФ проект приказа, который размещен на портале проектов нормативных правовых актов для общественного обсуждения, которое окончится 16 сентября³. Он регламентирует порядок уничтожения персональных данных, полученных в результате обезличивания, субъектом экспериментального правового режима (ЭПР) в сфере цифровых инноваций в случае прекращения статуса субъекта ЭПР. Согласно документу, такие персональные данные должны быть заблокированы в срок не позднее окончания рабочего дня, следующего за днем прекращения статуса субъекта ЭПР, а затем уничтожены в срок до 7 рабочих дней. При этом факт уничтожения должен быть зафиксирован и передан Роскомнадзору, ФСБ и уполномоченному лицу (разъяснений в отношении данного субъекта в документе не предоставляется).

Проблема соблюдения требования о локализации

Одной из наиболее актуальных проблем в области соблюдения закона о персональных данных является невыполнение требований о локализации. Напомним, что в соответствии с законом при обработке персональных данных оператор обязан использовать базы данных, находящиеся на территории России (в соответствии с ч. 5 ст. 18 Федерального закона "О персональных данных"). В особенности это касается крупных интернет-компаний, в отношении которых за последнее полугодие число административных протоколов, составленных Роскомнадзором, увеличилось – такие заявления периодически появляются в СМИ. Так, например, 26 августа Таганский районный суд Москвы оштрафовал WhatsApp (принадлежит Facebook Inc) за нарушение требования о локализации (в соответствии с ч. 8 ст. 13.11 КоАП РФ), а также Facebook (Facebook Inc) и Twitter (Twitter Inc) за повторные нарушения (в соответствии с ч. 9 ст. 13.11 КоАП РФ)⁴

Необходимость наличия требования о локализации персональных данных Вагнер Милош объясняет тем, что интернет-площадки являются одними из крупнейших операторов персональных данных. Эксперт напомнил, что крупные операторы персональных данных, ведущие свою деятельность в Интернете, зачастую не исполняют такое требование и не платят штрафы. Он считает, что основная проблема заключается в том, что размеры штрафов, предусмотренные КоАП РФ, не представляются значительными для транснациональных компаний. Напомним, что невыполнение юридическими лицами требования о локализации влечет наложение штрафа в размере от 1 млн до 6 млн руб. (ч. 8 ст. 13.11 КоАП РФ), при повторном нарушении – от 16 млн до 18 млн руб. (ч. 9 ст. 13.11 КоАП РФ). Милош Вагнер считает, что сложившая ситуация может выступить направлением для дальнейшего изменения законодательства, например, для корректировки размера штрафа в соответствии с размером компаний. С экспертом согласен Александр Журавлев: он напомнил, что в сравнении с другими правопорядками, в России такие штрафы за подобные правонарушения значительно ниже штрафов, применяемых во многих странах мира.

Какие проблемы не охватывает текущее законодательное регулирование?

Представители государственных органов обратили внимание, что значительную часть актуальных проблемных моментов нововведения все еще не охватывают. По мнению Ирины Рукавшиниковой, одним из наиболее важных для обсуждения вопросов является требование чрезмерного количества персональных данных, которые не нужны для оказания определенной услуги. Так, например, для того, чтобы взять велосипед на прокат в Москве требуется предъявить не только номер банковской карты, но и скан паспорта. Эксперт считает такие требования избыточными. Действительно, такие требования могут нарушать один из принципов обработки персональных данных, согласно которому содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки (ч. 5 ст. 3 закона о персональных данных). Законом определено, что обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. При этом при отказе предоставлять требуемые оператором персональные данные субъекту отказывают в предоставлении услуги. Ирина Рукавшиникова считает, что избежать данную проблему поможет законодательное ограничение для запрета неправомерного и необоснованного сбора персональных данных, когда это не обусловлено характером деятельности или услуг оператора.

_____________________________

¹ С текстом исследования и материалами к нему можно ознакомиться на официальном сайте Института статистических исследований и экономики знаний НИУ ВШЭ.
² С текстом исследования и материалами к нему можно ознакомиться на официальном сайте ВЦИОМ.
³ С текстом проекта постановления Минцифры РФ "Об утверждении порядка уничтожения персональных данных, полученных в результате обезличивания, субъектом экспериментального правового режима в сфере цифровых инноваций в случае прекращения статуса субъекта экспериментального правового режима" и материалами к нему можно ознакомиться на федеральном портале проектов нормативных правовых актов (ID: 01/02/09-21/00119927).
⁴ С новостью можно ознакомиться на официальном сайте Роскомнадзора.