Какие персональные данные ограничены для свободного распространения

Какие персональные данные ограничены для свободного распространения

(введена Федеральным законом от 30.12.2020 N 519-ФЗ)

1. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

2. В случае раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия, предусмотренного настоящей статьей, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.

3. В случае, если персональные данные оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.

4. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения.

5. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных не установил запреты и условия на обработку персональных данных, предусмотренные частью 9 настоящей статьи, или если в предоставленном субъектом персональных данных таком согласии не указаны категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты в соответствии с частью 9 настоящей статьи, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без передачи (распространения, предоставления, доступа) и возможности осуществления иных действий с персональными данными неограниченному кругу лиц.

6. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено оператору:

2) с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.

7. Правила использования информационной системы уполномоченного органа по защите прав субъектов персональных данных, в том числе порядок взаимодействия субъекта персональных данных с оператором, определяются уполномоченным органом по защите прав субъектов персональных данных.

8. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

9. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ оператора в установлении субъектом персональных данных запретов и условий, предусмотренных настоящей статьей, не допускается.

10. Оператор обязан в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.

11. Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.

12. Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только оператором, которому оно направлено.

13. Действие согласия субъекта персональных данных на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается с момента поступления оператору требования, указанного в части 12 настоящей статьи.

14. Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения положений настоящей статьи или обратиться с таким требованием в суд. Данное лицо обязано прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу.

15. Требования настоящей статьи не применяются в случае обработки персональных данных в целях выполнения возложенных законодательством Российской Федерации на государственные органы, муниципальные органы, а также на подведомственные таким органам организации функций, полномочий и обязанностей.

Персональные данные

Персональные данные или личностные данные — это данные о сведениях, относящиеся к прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных), которые могут быть предоставлены другим лицам.

Анализ судебной практики показывает, что к персональным данным относятся фамилия, имя, отчество, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация, при которой возможно идентифицировать конкретное лицо.

За нарушение законодательства о персональных данных введено четыре вида ответственности: дисциплинарная, материальная, административная и уголовная.

Что такое распространение персональных данных

Это распространение персональных данных — действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.

Виды персональных данных — ПД

Общедоступные

Это информация, полученная из публичных источников информации: справочников, социальных сетей, различных каталогов, сети интернет.

Общие

Это самая обширная категория, в нее включается почти вся личная информация:

• ФИО;
• паспортные данные;
• ИНН;
• семейное положение;
• образование;
• адрес;
• номера телефонов и др.

Обезличенные

Любые ПД становятся обезличенными, если в результате каких-либо действий определить их принадлежность конкретному человеку становится невозможным. Самый яркий пример использования таких ПД – статистика и разнообразные отчеты.

Специальные

К этому виду ПД относят информацию, касающуюся:

• судимостей;
• расовой и национальной принадлежности;
• вероисповедания;
• политических взглядов;
• религиозных и философских убеждений;
• интимной жизни;
• состояния здоровья.

В отличие от общих данных, в законе приведен исчерпывающий перечень специальных ПД. Для этой информации закон устанавливает особые правила сбора, хранения и обработки.

Биометрические

К этому виду относятся все сведения о биологических или физиологических особенностях человека. Это могут быть:

• рост;
• группа крови;
• вес;
• отпечатки пальцев;
• результаты некоторых анализов;
• иногда фото и видео информация.

Важно, что информация становится биометрическими ПД только в том случае, когда, основываясь на ней, становится возможным установление личности человека.

Виды персональных данных по видам и целям обработки

Для каждой группы ПД имеются особенности и нюансы, касающиеся их использования. Рассмотрим ограничения, установленные законом, развернуто для каждой категории информации.

Общедоступные

Владелец ПД имеет право размещать информацию о себе в публичных источниках и исключать ее оттуда. И если собственный аккаунт в социальной сети можно удалить самостоятельно, то чтобы убрать номер телефона из справочника потребуется письменный запрос. Кроме того, прежде, чем включить информацию о человеке в справочник, составляющая его компания обязана получить письменное согласие.

Общие

Согласие может оформляться отдельным документом или являться частью договора. Важно, что, например, онлайн-заявка на кредит становится недействительной при отсутствии согласия на обработку ПД. Обезличенные Таковыми должны становиться все ПД, когда цель их обработки достигнута или утрачена необходимость достижения цели. При невозможности обезличивания ПД должны быть уничтожены.

Специальные

Ст. 10 Закона гласит, что обработка таких ПД допускается в строго определенных случаях. Это возможно если:

1. Имеется письменное согласие владельца ПД.
2. Владелец ПД сделал их общедоступными.
3. Это необходимо для защиты жизни ли здоровья владельца ПД или других лиц, а получение согласия невозможно.
4. Данные обрабатываются в медицинских целях лицом, обязанным соблюдать врачебную тайну.
5. Информация обрабатывается общественным или религиозным объединением, членом которого является владелец ПД.
6. Однако при этом запрещено распространение ПД.
7. Осуществляется обязательное страхование.
8. Это требуется для осуществления правосудия или противодействия терроризму.

Отдельно стоит упомянуть о судимости. Такая информация может обрабатываться только при наличии Федерального закона, который определяет необходимость такой обработки. Просто письменного согласия тут недостаточно.

Биометрические

Помимо письменного согласия владельца нормативные документы требуют соблюдать специальную процедуру хранения такой информации вне информационной системы (Постановление Правительства РФ от 06.07.2008 N 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»).

Что такое личная информация

Личная информация — это ваши имя и фамилия, паспортные данные (номер, серия, копия паспорта), пароли для доступа к различным сервисам и электронным кошелькам. Также личной информацией стоит считать:

• номер вашего телефона,
• номера телефонов ваших родственников,
• ваш домашний адрес,
• ваш возраст и дату рождения,
• ваше место работы — если вы работаете, и номер школы и класса — если вы учитесь,
• любые другие данные, с помощью которых можно разыскать вас или ваших родственников.

Например: паспортные данные, финансовые ведомости, медицинские карты, год рождения (для женщин), биометрия, другая идентификационная информация личного характера.

Защита данных на предприятии

Защита персональной информации может обеспечиваться несколькими источниками права:

• Первым источником защиты является ТК РФ, в котором закреплены гарантии, нормы, правила регуляции обмена и открытой публикации материалов работника.
• Вторым источником является система организационно-правовых отношений, устав предприятия, политика конфиденциальности, общепринятая в данной трудовой сфере.
• Третьим фактором служит право на защиту личной информации, гарантированное Конституцией РФ каждому её гражданину.

Обмен информацией возникает на протяжении всего рабочего процесса:

• между работодателем и сотрудником, между сотрудниками, а так же между третьими лицами. Высший приоритет в урегулировании конфликтных ситуаций имеет Трудовой Кодекс Российской Федерации, за ним идут уставо-правовые нормы организации, а потом уже право на защиту, гарантированное Конституцией РФ.

Работодатель не может просто так требовать от сотрудника предоставить информацию. Оглашению подлежат лишь та информация, которая необходима для заключения трудового договора, оформления нормативных документов, возможного урегулирования конфликтных и спорных ситуаций, коллективного или корпоративного договора с третьими лицами (согласно тексту ст. 22 ТК РФ).

Предохранительные меры

1. Ограниченный доступ к хранилищам и архивам материалов.
2. Верификация запрашивающего лица перед предоставлением информации.
3. Ознакомительный формат предоставления сведений.
4. Санкции и штрафы за нарушения правил.

1. Криптография и шифрование данных.
2. Создание отдельных серверов и каналов связи.
3. Уничтожение неактуальных материалов.
4. Экранировка помещений и устройств, для защиты от взлома.

Защиту персональной информации работник может реализовать через:

• Свободное бесплатное обращение к документам, где фигурируют его личные материалы. Работник может потребовать копию любого нормативного документа.
• Требование по отношению к работодателю, заключающееся в удалении или изменении персональных данных, либо их части.
• Путём обжалования процедуры подачи, обработки и публикации сведений, организацией.

• Акт уничтожения переносных носителей ПД.
• Акт классификации носителей ПД.
• Акт о итога проведения верификации исправности систем и средств защиты ПД.

• Инструкция к действиям оператора базы ПД.
• Инструкция по обеспечению информационной безопасности. Инструкция пользователя при манипуляциях с ПД.

Письма и запросы:

• Запрос на изменение, удаление, модификацию содержимого ячейки базы ПД.
• Извещение о прекращении действия оператора баз ПД.
• Ответ на запрос получения или обработки информации. Приказы: Генеральный приказ о работе базы ПД.
• Приказ о назначении администрации и персонала базы ПД.
• Приказ об охране информации в ячейках базы данных.
• Приказ о проверке классификации ячеек БД.

Этапы защиты данных

В организации

Как реализовать на предприятии:

• Разработка проекта алгоритма обработки персональных сведений.
• Разработка системы согласия и отказа на обработку личных материалов.
• Разработка проекта уведомительных сообщений о включении личных материалов в общий поток.
• Проектирование структуры, обязующейся сохранять информацию с ограниченным доступом.
• Издательство приказа о введении материалов работников предприятия в базу данных.
• Приказом определяется порядок и способ обработки и передачи информации, выполняется назначение ответственных, обозначаются санкции и штрафы за нарушение устава.
• Внесение изменений или дополнений в трудовые и должностные инструкции работников, которые ответственны за хранение, предоставление и обработку личных сведений.

На сайте интернет-магазина

Пользовательское соглашение на сайте интернет-магазина, где указаны:

1. общие условия использования ресурсом;
2. факторы ответственности владельца организации;
3. Как происходит защита прав на сайте, чем она гарантирована.

Разрешение на рассылку пользователям разного рода уведомлений, порядок оспаривания конфликтных ситуаций.

Соглашение пользователя – это договор интеграции, который принимается субъектом без претензий, целиком. Соглашение пользователя заранее регулирует возможные конфликтные случаи, связанные с объемом услуг и порядком их предоставления.

Публичная оферта на дистанционный оборот товаров, предоставление услуг. Здесь изложены условия и очередность оформления договора торговли через Интернет.

Политика анонимности. Она определяет алгоритм обработки ПДН в связи с оформление договора на пользование сайтом, исходя из соглашения пользователя и договора купли-продажи.

В медицинских учреждениях

Правила и требования такие:

1. Подтверждение согласия на обработку персональных материалов оператором, а также обозначение цели данной обработки.
2. Способы и методы обработки личных материалов, применяющиеся оператором.
3. Сведения о лицах, которые получат доступ к личным сведениям.
4. Перечень обрабатываемых личных сведений и источник их получения.
5. Сроки обработки личных сведений, в т. ч. сроки их хранения.
6. Сведения о юридических последствия для субъекта, которые может повлечь за собой обработка его материалов.
7. Разъяснения последствий в случае его отказа в предоставлении своих персональных сведений тогда, когда это установлено в качестве обязанности гражданина федеральным законом.

Таковы правила для медицинских учреждений.

Публикуем обзор статьи, как только она выходит. Отдельно информируем о важных изменениях закона.

Присылаем статьи пару раз в месяц. Подписываясь, вы соглашаетесь с политикой конфиденциальности.

Как защитить личные данные в интернете — 10 способов

Нежелательные звонки «участкового», кредиты, которые вы не оформляли, спам в SMS — всё это последствия кражи ваших личных данных. Как обеспечить их сохранность и зачем ваше имя, телефон или почта могут кому-то потребоваться? Давайте разбираться, зачем нужна защита персональных данных в интернете.

Для начала: что такое личные данные

Личные, или персональные, данные — это любая информация, которая прямо или косвенно относится к человеку. Пример персональных данных — фамилия, имя и отчество пользователя, дата его рождения, домашний адрес, e-mail, номер телефона, фото и ссылки на профили в соцсетях.

Мы делимся информацией о себе, когда заказываем одежду и продукты, ищем вторую половинку или смотрим кино онлайн. Благодаря данным, которые собирают сайты, пользователям не приходится каждый раз заново вводить номер телефона или искать музыку под настроение. А вот в руках злоумышленника личные данные начинают работать против нас.

Как собирают и используют персональные данные в интернете

Один из наиболее распространенных способов сбора персональных данных в интернете — cookie, или «печеньки», — фрагменты текста, в которых хранится информация о посещении пользователем сайта. Благодаря файлам cookie электронный ресурс запоминает и анализирует действия пользователя, подстраиваясь под него при последующем посещении.

Например, если вы положили приглянувшиеся товары в корзину онлайн-магазина, но решили отложить оплату, то магазин может сделать так, что при следующем посещении сайта — через час или через неделю — товары по-прежнему будут в вашей корзине. Именно благодаря cookie сайт запоминает, на каком языке вы потребляете информацию, автоматически вводит ваши данные (например, имя и адрес электронной почты) в специальные поля, показывает вам потенциально интересную рекламу.

На некоторых сайтах для сбора личных данных пользователей применяют анкеты. Так, интернет-магазин попросит вас ввести почтовый адрес, адрес электронной почты и номер телефона, а на сайте знакомств вы укажете пол и возраст, расскажете о хобби.

Предоставляя сайтам эти данные, мы обеспечиваем себе комфортное использование интернет-ресурсов. Сайты, в свою очередь, получают возможность показывать нам наиболее эффективную, таргетированную рекламу и понимать свою аудиторию лучше.

Несмотря на взаимовыгодность предоставления личной информации, пользователю важно уметь защищать свои персональные данные.

Чем опасна кража личных данных

Из-за хакерских атак на организации личные данные могут оказаться у мошенников. В зависимости от полученных данных (логин, паспортные данные или личные фото) мошенники могут использовать их несколькими способами:

• оформить на имя жертвы кредит;
• «повесить» долги или оформить фирму-однодневку;
• совершить незаконные сделки с недвижимостью;
• подобрать или перехватить пароль от вашего банковского приложения;
• вывести средства с банковского счета;
• открыть на ваше имя электронный счет, который впоследствии может быть использован, например, для покупки или продажи запрещенных товаров;
• зарегистрироваться в онлайн-казино или на сайте знакомств;
• шантажировать;
• совершать мошеннические действия от вашего лица;
• надоедать звонками и письмами в попытках навязать свои услуги.

Популярным среди мошенников способом использовать личные данные является фишинг. Мошенникам достаточно знать ваш телефон или адрес электронной почты, чтобы начать присылать вам персонализированные письма с вредоносным кодом или ссылки на ресурсы, зараженные вирусом. Причем зачастую это делается с поддельных адресов от лица известной компании или кого-то из знакомых жертвы.

Десять способов защитить персональные данные

1. Меняйте пароли и избегайте слабых комбинаций. Это стандартная рекомендация, ведь подбор пароля — несложная операция, с которой справляются даже неопытные хакеры. Регулярно меняйте пароли от своих аккаунтов в соцсетях и почтовых ящиков, старайтесь не использовать один и тот же пароль для разных сервисов. При создании пароля важно использовать сильные комбинации. Так, подобрать пароль SemenPetrov_96 несложно. А вот son_sVoe9o.otza выглядит более надежным — в нем нет имени или года рождения владельца, зато используются слова на двух языках, а цифра и заглавная буква стоят в случайных местах.
2. Заведите дополнительный почтовый ящик. Практически все сайты — магазины, газеты и журналы, социальные сети — запрашивают при регистрации электронную почту. Заведите специальный адрес, который будете указывать в таких случаях. Пусть вашу основную почту знают только коллеги и близкие. Так у вас меньше шансов стать жертвой фишинга или спам-рассылки, а у мошенников — узнать и взломать вашу почту с ценной информацией.
3. При покупках в интернете пользуйтесь банковской картой с небольшим объемом средств. Ваш любимый онлайн-магазин в любой момент может подвергнуться хакерской атаке, да и никто из нас не застрахован от случайного попадания на сайт-зеркало — мошеннический интернет-ресурс, который в точности повторяет интерфейс популярного сайта. Если данные вашей карты все же окажутся в руках мошенника, гораздо проще принять потерю небольшой суммы денег, чем всех ваших накоплений. Для платежей в интернете можно оформить виртуальную банковскую карту — это гораздо быстрее. Для защиты от списаний средств мошенниками настройте также максимальную сумму покупок. Такое ограничение позволит выиграть время и вовремя заблокировать карту.
4. Читайте политику конфиденциальности. Звучит скучно, но в этом документе сайт рассказывает, какие данные собирает, как хранит и использует их. Часто ссылку на политику конфиденциальности можно найти в нижней части страницы или в чекбоксе рядом с формой сбора данных. По закону сайты должны получить согласие пользователя на обработку персональных данных, а потому вас, скорее всего, попросят поставить галочку в доказательство того, что вы ознакомились с политикой.
5. Закройте свои аккаунты в соцсетях и включите двухфакторную аутентификацию. Лучший способ защиты персональных данных в интернете — вовсе не загружать их в сеть. Но если все же очень хочется, то делитесь новостями и фотографиями только с друзьями. По вашему контенту мошенники могут отследить, например, когда вас нет дома или где хранятся ценные вещи. Внимательно читая посты, легко узнать имя первой учительницы или кличку любимого питомца — ответы на популярные контрольные вопросы. Двухфакторная аутентификация же позволит дополнительно защитить аккаунт — при входе в него система не только запросит логин и пароль, но и отправит вам на телефон или e-mail проверочный код.
6. Не выкладывайте в соцсетях фотографии документов. Кажется, всем известно, что показывать незнакомцам свои паспортные данные опасно. Но потенциальная угроза содержится в любом документе, даже в авиабилете — с помощью указанного на билете кода бронирования можно узнать информацию о вас и вашем полете, а затем и получить доступ к паспортным данным, электронной почте и номеру телефона, изменить настройки бронирования и даже снять вас с рейса.
7. Не используйте Wi-Fi в общественных местах. Нередко мошенники создают сети, которые маскируют под обычный открытый Wi-Fi кафе, метро или любого другого общественного места. Их цель — перехватить логины и пароли (например, от приложения мобильного банка) подключившегося через их сеть пользователя. При этом даже проверенная общественная сеть несет в себе угрозу, так как имеет очень низкую степень защиты от хакеров.
8. Не принимайте cookie-файлы автоматически. В большинстве своем cookie безопасны для пользователя. Но существуют и такие, которые угрожают конфиденциальности данных. Перед тем как согласиться на использование сайтом cookie, самостоятельно выберите те данные, которые он сможет сохранить. Обычно ссылка на меню настроек зашита в уведомление об использовании cookie, которое появляется на сайте автоматически.
9. Внимательно относитесь к сообщениямс гиперссылками. Часто мошенники отправляют на почту потенциальной жертвы заманчивые «спецпредложения» или уведомления о неожиданном большом выигрыше. Акции якобы действуют ограниченное время, а приз нужно забрать очень срочно. Так вас побуждают перейти по указанной в сообщении ссылке как можно скорее. Ссылка в письме мошенников, как правило, ведет на сайт-зеркало магазина или образовательной платформы, где вас попросят ввести данные банковской карты. А чем быстрее, как нам кажется, нужно сделать это, тем менее мы бдительны и тем легче попадаемся на уловку. Будьте внимательными к адресу ссылок — адрес сайта-зеркала может отличаться от настоящего всего одним символом, который легко не заметить. Трезво оценивайте подобные сообщения; если вам предлагают сказочную выгоду — это точно мошенники.
10. Проверяйте личный компьютер на наличие вирусов. Нередко хакеры устанавливают на компьютеры пользователей программы-вымогатели, блокирующие экран, и требуют выкуп за данные жертвы. Чаще всего оплата не помогает разблокировать устройство, и утерянными оказываются и данные, и деньги. Антивирус позволит заблаговременно обнаружить такие программы и держать в сохранности персональные данные.

Что делать, если личные данные все же украли

Если вы обнаружили в интернете свои логины и пароли, в первую очередь необходимо сменить их. В случае попадания в сеть данных банковской карты нужно оперативно заблокировать ее, позвонив в банк. Причем сделать это следует не только при утечке CVV-кода, но даже если кому-либо стал известен номер вашей карты.

Если в открытом доступе оказалось ваше имя или номер телефона, необходимо связаться с администрацией ресурса, на котором они опубликованы, или владельцем ресурса, разместившего ваши данные. Ссылайтесь в подобных ситуациях на нормы Федерального закона № 152-ФЗ «О персональных данных». Именно он запрещает использование личных данных человека без его разрешения. Помните, что если ваши данные не будут удалены, то вы можете обратиться в суд согласно статье 24 этого закона.

Если ваши данные появляются в результатах выдачи, обратитесь в техподдержку поисковика или заполните специальную форму «Сообщить о нарушении». Такая есть, например, у «Яндекса» и Google.

Если вы не знаете, кто распространяет ваши персональные данные, не можете связаться с нарушителем или получили отказ на просьбу удалить информацию о вас из сети, обратитесь в прокуратуру или Роскомнадзор.

«Общедоступная информация», «открытые данные» и «персональные данные, разрешенные субъектом для распространения» – что это такое и как они между собой связаны?

Закон.Ру – официально зарегистрированное СМИ. Ссылка на настоящую статью будет выглядеть следующим образом: Рожкова М.А. «Общедоступная информация», «открытые данные» и «персональные данные, разрешенные субъектом для распространения» – что это такое и как они между собой связаны? [Электронный ресурс] // Закон.ру. 2021. 13 января. URL: https://zakon.ru/blog/2021/1/13/obschedostupnaya_informaciya_otkrytye_dannye_i_personalnye_dannye_razreshennye_subektom_dlya_raspros

Довольно часто в публикациях и выступлениях употребляется выражение «открытый доступ» применительно к информации. Насколько это верно?

В международном контексте термин «открытый доступ» (англ. open access) впервые был употреблен в 2002 году на конференции Будапештской инициативы открытого доступа[1] (англ. The Budapest Open Access Initiative, BOAI) – общественной инициативы, устанавливающей принципы открытого доступа к научно-исследовательским работам (в форме книг, статей, диссертаций и проч.). В рамках этой инициативы «открытый доступ» определен так: «…открытые для всех публикации в Интернете, которые можно читать, разгружать, копировать, распространять, распечатывать, находить или присоединять к полным текстам соответствующих статей, использовать для составления указателей, вводить их как данные в программное обеспечение или использовать для других законных целей при отсутствии финансовых, правовых и технических преград, за исключением тех, которые регулируют доступ к собственно Интернету. Единственным ограничением на воспроизводство и распространение публикаций и единственным условием копирайта в этой области должно быть право автора контролировать целостность своей работы и обязательные ссылки на его имя при использовании работы и ее цитировании»[2]. Кратко говоря, открытый доступ толкуется как свободный, ничем не ограничиваемый доступ в сети Интернет к научно-исследовательским публикациям, подразумевающий возможность любого их использования, но исключающий внесение изменений в эти работы и предусматривающий обязательное указание автора при цитировании и ином использовании.

Сегодня выражение «открытый доступ» широко применятся в отношении данных. Но нельзя забывать и о существовании легальных терминов.

В ч. 1 ст. 7 Закона об информации упоминается «общедоступная информация», под которой понимаются «общеизвестные сведения и иная информация, доступ к которой не ограничен». Разумеется, этим понятием охватывается и информация, размещенная в открытом доступе в сети Интернет. Комментируя эту норму, А.И. Савельев подчеркивает: «По сути, Закон вводит тем самым презумпцию открытости информации: общедоступной является любая информация, кроме той, к которой ограничен доступ. Отнесение информации к категории общедоступной в самом общем виде означает, что любое лицо без указания причин и целей может получать такую информацию и использовать по своему усмотрению, с соблюдением установленных федеральным законом ограничений на ее распространение»[3]. Иными словами, п. 2 ст. 7 Закона об информации для всех видов общедоступной информации – закон не предусматривает изъятий – установлен общий правовой режим: в отношении такой информации разрешен любой способ использования, ограничивается только ее распространение – оно должно осуществляться в соответствии с требованиями соответствующего федерального законодательства.

Частным случаем изложенного правила является закрепленное в абз. 2 п. 1 ст. 152.2 ГК РФ положение, согласно которому в ситуации, когда информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле, не будет признаваться нарушением сбор, хранение, распространение и иное использование такой информации без согласия этого гражданина. То есть здесь федеральное законодательство закрепляет правило о допустимости распространения обозначенной общедоступной информации без согласия субъекта данных.

Сказанное позволяет утверждать, что размещение информации в открытом доступе в сети Интернет автоматически переводит ее в разряд общедоступной. И как следствие: такая информация подпадает под соответствующие положения Закона об информации, а в части ее распространения – под специальное законодательство.

Таким образом, применительно к персональным данным в контексте п. 2 ст. 7 Закона об информации можно говорить о том, что, как и любая иная информация, ставшие общедоступными персональные данные допускают их свободное использование, за исключением распространения – в отношении распространения продолжает действовать правило ст. 9 Закона о персональных данных об обязательности получения согласия субъекта персональных данных. Важно заметить, что такой вывод применим для ситуаций наличия легального свободного доступа к персональным данным, а не в случаях, например, утечек персональных данных в результате хакерских атак.

В развитие сказанного представляется уместным прокомментировать ст. 8 Закона о персональных данных, которую нередко трактуют в том ключе, что общедоступные персональные данные – это только те данные, которые включены в прямо указанные в данной статье источники (справочники, адресные книги). Отсюда делается вывод, что персональные данные, размещенные в открытом доступе в сети Интернет, общедоступными не являются, так как они взяты из источника, не поименованного в ст. 8 Закона о персональных данных. Это находит прямое подтверждение и в судебной практике: «…персональные данные, сделанные общедоступными субъектом персональных данных могут содержаться только в общедоступных источниках персональных данных… информация о субъекте (в том числе персональные данные), содержащиеся в социальных сетях (в сети Интернет), не может быть отнесена к персональным данным, сделанным субъектом общедоступными, поскольку социальные сети не являются источником общедоступных персональных данных применительно к положению ст. 8 Закона»[4].

Возражая против такого толкования ст. 8 Закона о персональных данных, следует заметить, что в этой статье говорится о возможности создания общедоступных источников персональных данных (в целях информационного обеспечения). При этом формулировка статьи вовсе не исключает иных общедоступных источников персональных данных кроме прямо названных, а в условиях цифровой трансформации точно не позволяет ограничивать эти источники только справочниками и адресными книгами.

Хорошей иллюстрацией последнему утверждению являются положения, введенные в 2013 году в ст. 7 Закона об информации и касающиеся «общедоступной информации, размещаемой в форме открытых данных».

Вообще идея открытых данных (англ. open data) состоит в том, что некоторые данные должны быть предоставлены (доступны) каждому для любого использования без платы и без каких-либо механизмов контроля, в том числе со стороны правообладателей авторских произведений и патентов[5]. И одной из наиболее значимых разновидностей открытых данных признаются открытые правительственные данные (англ. open government data, OGD) – открытые данные, создаваемые правительственными учреждениями (для России это, например, открытые данные Минфина России[6], МВД России[7], Росстата[8] и др.). Но правительственные сайты – это лишь один из источников этих данных[9]. Открытые данные могут публиковаться на различных информационных ресурсах сети Интернет: в частности, открытые научные данные (англ. open science data) или открытые исследовательские данные (англ. open research data) размещаются на сайтах университетов и исследовательских организаций или специально создаваемых сайтах[10].

Изложенное позволяет заключить, что «общедоступная информация, размещаемая в форме открытых данных» является разновидностью общедоступных данных, которую из прочих общедоступных данных выделяет то, что она размещена в сети Интернет в формате, допускающем автоматизированную обработку без предварительных изменений человеком в целях повторного ее использования (ч. 4 ст. 7 Закона об информации). Важно заметить, что на эти данные распространяется общий режим общедоступной информации (с некоторыми уточнениями, предусмотренными в ч. 5 и 6 ст. 7 Закона об информации)[11].

Может ли информация, относимая к числу персональных данных, попасть в состав открытых данных? Учитывая широту «охвата» легальной дефиниции понятия «персональные данные» и с учетом концепции персональных данных[12] можно предположить, что это вовсе не исключено. Вследствие сказанного закономерным будет вывод о том, что персональные данные могут становиться общедоступными посредством сети Интернет. Поэтому утверждение, согласно которому к числу источников общедоступных персональных данных относятся только справочники и адресные книги, является явно архаичным.

Неточным надо признать и вывод о том, что в условиях, когда персональные данные размещены в открытом доступе в сети Интернет самим субъектом этих данных, необходимо еще и его согласие на обработку / использование этих данных третьими лицами. Правда, в судебной практике это заключение основывается и на совершенно неверной посылке: «По смыслу Закона о персональных данных, размещение персональных данных в указанных открытых источниках, не делает их автоматически общедоступными. Следовательно, не допускается обработка таких данных без согласия субъекта»[13].

Обосновывая несогласие с таким заключением, надо обратить внимание на п. 4 ч. 2 ст. 22 Закона о персональных данных, согласно которому оператор осуществляет без уведомления уполномоченного органа обработку «персональных данных, сделанных субъектом персональных данных общедоступными», то есть закон прямо выводит такие данные из-под общего правила. Это дает основание говорить о том, что, если субъект персональных данных сам разместил эти данные в открытом доступе, они автоматически становятся общедоступными со всеми вытекающими отсюда последствиями. Эту позицию подтверждает Роскомнадзор, который на вопрос «В каких случаях для обработки персональных данных не требуется согласия субъекта персональных данных?» отвечает, что такое согласие не требуется, если «осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее – персональные данные, сделанные общедоступными субъектом персональных данных)» (п. 10[14]). Другое дело, что исходя из смысла в совокупности п. 2 ст. 7 Закона об информации и ст. 9 Закона о персональных данных в отношении распространения общедоступных персональных данных требуется получение согласия субъекта этих данных, о чем говорилось выше.

Важно заметить, что рассматриваемый случай размещения самим субъектом данных своих персональных данных в открытом доступе в сети Интернет удостоился специального внимания и в новейшем законодательстве.

Федеральным законом от 30.12.2020 № 519-ФЗ (далее – Закон № 519-ФЗ) в Закон о персональных данных введено понятие «персональные данные, разрешенные субъектом персональных данных для распространения», а также новая статья, посвященная особенностям обработки таких персональных данных (ст. 10.1)[15]. Примечательно, что к числу «персональных данных, разрешенных субъектом персональных данных для распространения» по смыслу п. 1.1 ст. 3 и ч. 1 ст. 10.1 Закона о персональных данных) отнесены такие персональные данные, в отношении которых субъект этих данных дал самостоятельное согласие именно на распространение данных – новый закон требует оформлять его отдельно от иных согласий.

Ситуация, когда сам субъект данных делает свои персональные данные общедоступными (например, при размещении им своих персональных данных на собственной домашней странице в сети Интернет), не относится к числу «разрешенных субъектом персональных данных для распространения». То есть здесь продолжает действовать вышеназванное требование об обязательности получения третьими лицами согласия на распространение общедоступных персональных данных.

Это находит прямое подтверждение в Законе № 519-ФЗ. Во-первых, персональные данные, раскрытые неопределенному кругу лиц самим субъектом данных, не упоминаются в определении понятия «персональные данные, разрешенные субъектом персональных данных для распространения». Во-вторых, ч. 2 ст. 10.1 Закона о персональных данных прямо регламентирует ситуацию «раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия», устанавливая, что в этом случае обязанность предоставить доказательства законности распространения или иной обработки таких персональных данных возлагается на лиц, которые осуществляют их распространение или иную обработку.

Изложенное позволяет говорить о преждевременности громкого утверждения, что «понятия общедоступных персональных данных больше не будет»[16].