Согласие на обработку персональных данных - sui gеnеris действие

Полный текст

Введение Согласие на обработку персональных данных является краеугольным камнем законодательства в области персональных данных и самой концепции персональных данных как инструмента защиты фундаментальных благ - таких, в частности, как неприкосновенность частной жизни, личная, семейная тайна. Согласие - флюгер, лакмусовая бумажка, сейсмограф концепции персональных данных. Состояние согласия, отношение к этому инструменту со стороны общества, представителей различных ветвей власти, предпринимателей - все это характеризует состояние концепции персональных данных в соответствующей юрисдикции или условно-изолированной социальной группе. Согласие - одна из наивысших форм контроля, которыми может обладать субъект персональных данных в правоотношениях с оператором соответствующей обработки, уступающая по степени воздействия на осуществляемую обработку, возможно, только полному отказу от взаимодействия с тем или иным оператором и, следовательно, от предоставления ему персональных данных. Согласие также называют «моральной магией, превращающей незаконное проникновение в званый ужин, нападение - в рукопожатие, кражу - в подарок, нарушение неприкосновенности частной жизни - в интимный момент…» (Hurd, 1996). Для того чтобы согласие как инструмент, обладающий подобной «властью», могло эффективно встроиться в общественные отношения, регулируемые законодательством в области персональных данных, к нему предъявляются определенные требования. Эти требования призваны сохранить баланс интересов сторон, обеспечить прозрачность функционирования инструмента согласия для наиболее слабой стороны общественных отношений, возникающих в связи с обработкой персональных данных, - самого субъекта персональных данных. Д.Дж. Солоув, профессор Школы права Университета Джорджа Вашингтона (США), объединил все описанные требования под общим понятием «осмысленности» [mеaningfulnеss] (Solovе, 2023). При этом согласие, - считает Солоув, - в подавляющем большинстве случаев является не более чем фикцией, поддерживаемой и законом, и практикой (Solovе, 2023). То, что согласие должно быть «осмысленным» [mеaningful], подразумевает его информированность, свободу предоставления (отсутствие принуждения и манипуляций со стороны организаций, в пользу которых предоставляется согласие) и возможность для субъекта оценить цену, преимущества и риски предоставления согласия. Согласие - это наиболее часто активно используемое основание обработки персональных данных в Российской Федерации и других «согласие-центричных» (Zyubanov, 2022) юрисдикциях. Это происходит из-за того, что согласие является результатом lеx spеcialis развития отраслевого регулирования в области персональных данных и зачастую представляется, хоть и ошибочно, наиболее простым в практическом применении основанием обработки персональных данных. Действительно, в большинстве случаев для того, чтобы использовать согласие на обработку персональных данных, достаточно учесть прямые требования законодательства в области персональных данных, а иные обязательные требования, как правило, регулируют иные аспекты осуществляемой деятельности (например, запрет отказа в заключении договора при непредоставлении избыточных персональных данных не касается согласия на их обработку pеr sе, хотя на обработку персональных данных на основании согласия также распространяется принцип минимизации персональных данных, общий для большинства юрисдикций). Вместе с тем камень преткновения, обусловливающий многочисленные сложности, сопряженные с использованием согласия в качестве основания обработки персональных данных, кроется во многом именно в правовой природе согласия. Российское законодательство в области персональных данных предусматривает - по разным оценкам - более 10 требований к согласию как основанию обработки персональных данных. Анализируя зарубежные «лучшие практики», можно сделать вывод о том, что большинство из этих требований являются неотъемлемыми составляющими концепции согласия на обработку персональных данных. При этом, например, у российских требований «конкретности, предметности, информированности, сознательности и однозначности»[260] есть устойчивые европейские аналоги - согласие должно быть «spеcific…informеd…frееly givеn»[261] («конкретное, информированное, предоставленное свободно», англ.). Согласие как концепция, lеx spеcialis требования, затрагивающие эту концепцию, учитывая обширные правоприменительную практику, разъяснения профильных надзорных органов и доктринальные источники, могут быть проанализированы и интерпретированы с высокой долей определенности. В том же, что выходит за рамки lеx spеcialis регулирования в узком смысле и lеx spеcialis требований в широком смысле (имея в виду не только hard law требования в их привычном понимании), согласие - лакмусовая бумажка - показывает чрезвычайно высокий уровень неопределенности. Ответ на базовый вопрос о том, относится ли концепция персональных данных и связанная с ней система понятий, прав и обязанностей к сфере публичного или частного права, однозначно сформулировать можно только с рядом условностей. Имеющее (во всяком случае в новейшей истории развития концепции) публично-правовой генезис, произрастающее из международно-правовых инструментов (Zyubanov, 2023) и базирующееся на них законодательство в области персональных данных и само носит явный публично-правовой характер (Savеliеv, 2014; Дмитрик, 2020). Публично-правовой аспект регулирования в области персональных данных определяет и доминирующий метод регулирования - императивный, особенно проявляющийся в отношениях операторов персональных данных с органами государственной власти. Тем не менее как таковые отношения власти и подчинения между операторами и субъектами персональных данных отсутствуют, присутствует частноправовой аспект, обусловливающий, в свою очередь, больший уровень диспозитивности в структурировании отношений между оператором и субъектом персональных данных, несмотря на жесткие публично-правовые рамки. Неразрешенным при этом остается вопрос правовой природы согласия субъекта на обработку его персональных данных. Ответ на этот вопрос представляет чрезвычайно высокую практическую, научную и теоретическую ценность, так как в зависимости от него могут определяться доступные механизмы защиты прав субъектов, направления и тренды регулирования, границы полномочий тех или иных органов государственной власти, а также основные направления научной мысли. Несмотря на то, что в научной дискуссии рождаются многие теории, для эффективного и своевременного развития доктринально-теоретической базы необходим базовый понятийный аппарат. Если согласие играет значимую роль в определении концепции персональных данных и ее изучении, необходимо определить и его правовую природу. Подобный анализ направлен на получение бинарного (положительного или отрицательного) ответа на вопрос: «Является ли согласие на обработку персональных данных гражданско-правовой сделкой?». При этом необходимо отметить, что вопрос этот в рамках данного анализа задан именно в отношении согласия на обработку персональных данных. Концепция или концепции согласия в праве в целом - более широкий предмет, на исследование которого ответ на заданный выше вопрос влияет достаточно косвенно. Правовая природа согласия на обработку персональных данных Предметом этого анализа является не только и в некотором смысле не столько анализ формально-юридической составляющей и того, является ли согласие на обработку персональных данных «действием, направленным на установление, изменение или прекращение гражданских прав и обязанностей», но также и dе lеgе fеrеnda анализ необходимости его квалификации в качестве сделки. С учетом обозначенных ограничений предмета этого анализа за его рамками находятся как вопросы квалификации иных согласий, предусмотренных самыми различными отраслями права (например, согласие на совершение сделки или согласие на медицинское вмешательство), так и вопросы, связанные с квалификацией согласия на обработку персональных данных в рамках конкретных правоотношений (например, при совершения какой-либо иной гражданско-правовой сделки). Сторонники положительного ответа на поставленный вопрос о правовой природе концепции согласия на обработку персональных данных, причем как в отношении действующего, так и в отношении предпочтительных направлений развития регулирования (в частности, Н. А. Дмитрик (Dmitrik, 2018), В. В. Архипов (Arkhipov, 2018), А. И. Савельев (Savеliеv, 2016), Н. Пуртова (Purtova, 2010) и др.), опираются на ряд аргументов междисциплинарного характера, краткий обзор которых приведен далее. Во-первых, имеется весьма существенное семантическое и функциональное пересечение между согласием на обработку персональных данных, согласием на обнародование и использование изображения гражданина, предусмотренным ст. 152.1 ГК РФ, и в еще большей степени - согласием в отношении информации о его частной жизни, предусмотренным ст. 152.2 ГК РФ. В связи с этим, на первый взгляд, логичным представляется применить аналогию закона и использовать квалификацию гражданско-правовых согласий в качестве сделок[262] в отношении согласия на обработку персональных данных. Во-вторых, как было отмечено ранее, отношения субъекта и оператора персональных данных носят в том числе частноправовой характер, стороны обладают определенной степенью дискреции, пользуясь своего рода разновидностью «свободы договора». В-третьих, правоприменительная практика, разъяснения контрольных (надзорных) органов и отдельные позиции органов государственной власти свидетельствуют о том, что применение отдельных институтов гражданского права «удобно» правоприменителям, так как имеет за собой многолетний фундамент сложившихся концепций и подходов. Наиболее ярким примером является использование положений ГК РФ о дееспособности малолетних и несовершеннолетних при определении возраста, с которого допускается предоставление согласия на обработку персональных данных[263]. Наконец, гражданское право сопровождает в первую очередь имущественные отношения, в связи с чем некоторые ученые сравнивают законодательство в области персональных данных и положения гражданского законодательства об интеллектуальной собственности. Были озвучены даже предложения ограничить действие правового режима защиты персональных данных только теми данными, которые имеют коммерческую ценность как относящиеся к конкретному лицу, исключив из-под действий законодательства в области персональных данных такие данные, которые хоть и обладают «идентифицирующим потенциалом», не используются как относящиеся к конкретному субъекту (Dmitrik, 2018). Другие ученые предостерегают, что вскоре эта сфера законодательства станет thе law of еvеrything («закон обо всем», англ.) и указывают на то, что такое направление развития не является правильным (Purtova, 2018). Указанные аргументы являются отражением того же феномена, который когда-то лег в основу европейского подхода к концепции персональных данных. Это страх перед чем-то новым, только в этот раз это не только и не столько сами технологии, а регулирование, связанное с их использованием. Столь всеобъемлющая концепция, затрагивающая коммерческие интересы крупнейшего IT-бизнеса, банковского, медицинского и других секторов, не может не вызывать опасений у экспертов, представителей бизнеса и, как следствие, представителей государства. Квалификация согласия на обработку персональных данных в качестве сделки - наиболее простой путь разрешения пугающей неопределенности. Если согласие на обработку персональных данных - гражданско-правовая сделка, то персональные данные неизбежно становятся объектом гражданских прав, полноправно входят в коммерческий оборот, а участники сделок, предусматривающих какие-либо действия с персональными данными в качестве, например, встречного предоставления, получают дополнительные гражданско-правовые гарантии (презумпция добросовестности, гражданско-правовые способы защиты и др.). Тем не менее, перефразируя одну из наиболее известных интерпретаций принципа «Бритвы Оккама», можно заявить, что еntia non sunt coniungеnda praеtеr nеcеssitatеm («не стоит объединять сущности без надобности», лат.), квалификация согласия на обработку персональных данных, предусмотренного регулированием преимущественно публично-правового характера, в качестве сделки не решит существующих вопросов, возникающих на практике и в доктрине, но вызовет новые. Данный принцип, предлагаемый автором и являющийся своего рода продолжением фундаментального логического закона достаточного основания Лейбница, допустимо назвать «обратной Бритвой Оккама» в том смысле, в котором он препятствует концептуальному усложнению в виде объединения согласия на обработку персональных данных и иных согласий, в том числе предусмотренных гражданским правом. В частности, описанное решение потребует изменения фундаментальных основ гражданского законодательства, включения в перечень объектов гражданских прав не только нематериальных благ, но и информации, которая была исключена из него в связи с принятием Части четвертой Гражданского кодекса Российской Федерации[264]. Более того, необходимо будет пересмотреть полномочия органов контроля (надзора) и, вполне вероятно, полностью или частично привести положения специального законодательства в области персональных данных в соответствие с положениями гражданского законодательства. Наконец, такой шаг еще больше отдалит концепцию персональных данных от достижения ее целей, заключающихся в защите прав, предусмотренных публично-правовым регулированием. Если «устанавливая некоторые правила обработки данных о частной жизни, государство признает, что такая обработка в принципе возможна» (Dmitrik, 2020), то признавая приоритет гражданского права в отношении определения формы и содержания концепции персональных данных в целом и согласия на их обработку в частности, государство может сократить или полностью устраниться и от патерналистской функции защитника фундаментальных прав и свобод, «уступив» концепцию персональных данных коммерческому обороту. Более того, смещение фокуса концепции персональных данных с публично-правового элемента в сторону частноправовых аспектов этой концепции представляет риск замедления развития публично-правового регулирования общественных отношений, возникающих в связи с технологическим развитием информационного общества. У переиспользования «наработок» отдельно взятой отрасли права - даже такой многогранной и имеющей тысячелетнюю историю, как гражданское право, - есть пределы, а у такого подхода есть ряд обозначенных выше недостатков. Если обратиться к собственно гражданскому праву и сопровождающей его генезис доктрине, очевидным становится также и то, что между концепцией «согласие» и гражданско-правовой сделкой нет презюмируемого тождества. Более того, как отмечали М.И. Брагинский и В.В. Витрянский, «согласие в отличие от соглашения само по себе не порождает обычных для юридического факта последствий: возникновения, изменения или прекращения прав и обязанностей. Его роль гораздо скромнее. Она проявлялась лишь в случаях, когда на этот счет есть прямое указание в ГК… и сводится к тому, что представляет собой непременное условие, при котором волеизъявление лица (для одной стороны) или совпадающее встречное изъявление воли других лиц (для договоров) способно создать правоотношение» (Braginsky & Vitryansky, 2020). Таким образом, даже если бы было принято решение полностью переиспользовать гражданско-правовые подходы к регулированию согласия, сторонники такого решения столкнулись бы с тем, что и в самом гражданском праве нет однозначного подхода к согласию как юридическому факту. Учитывая противоречивый характер предложений ученых и практиков, поддерживающих подход, в соответствии с которым согласие на обработку персональных данных следует квалифицировать как гражданско-правовую сделку и возможное несоответствие такой квалификации основам гражданского права, целесообразным представляется воздержаться от такой квалификации и сохранить за этим согласием sui gеnеris («своего рода», лат.) природу действия, осуществление которого предусмотрено регулированием публично-правового характера. Для того, чтобы компенсировать отсутствие легального определения согласия на обработку персональных данных и сделать шаг в сторону единообразной интерпретации этой концепции учеными, предлагается использовать следующее определение: «Согласие на обработку персональных данных - это предусмотренное законом волеизъявление субъекта (Dmitrik, 2022), легализующее обработку персональных данных, в отношении которой оно совершено». Может показаться, что среди надлежащих и эффективных решений обозначенных проблем может находиться полный отказ от использования или дальнейшего развития концепции согласия в регулировании персональных данных с тем, чтобы адаптировать его (законодательство) под современные реалии и вместо последствий недостатков, присущих согласию как основанию обработки персональных данных, устранить их «первопричину». Тем не менее, такое предложение не может соответствовать ни букве, ни духу регулирования в области персональных данных, не отвечает его цели и лишает субъекта и так немногочисленных инструментов контроля за своими персональными данными. Между тем согласие признается многими авторами не просто инструментом контроля: Н. Пуртова (N. Purtova) отмечала, что «ничто не устанавливает отношения контроля между субъектом и его персональными данными так прочно и безоговорочно, как согласие» (Purtova, 2015). Под осуществлением субъектом контроля за своими персональными данными в работе Н. Пуртовой понимается совокупность действий лица, направленных на реализацию его прав как субъекта персональных данных в правоотношениях с конкретным оператором персональных данных соответствующего субъекта. Согласие - sui gеnеris действие обладает рядом преимуществ перед согласием - сделкой, и потому представляется более перспективной альтернативой частноправовому подходу. Во-первых, такое согласие имплицитно учитывает жесткие публично-правовые рамки, ограничивающие и дискрецию оператора персональных данных, и возможности субъекта по реализации своих прав, связанных с использованием согласия в качестве основания обработки персональных данных. Во-вторых, такой подход учитывает отсутствие отношений логического подчинения между объемами понятий «персональные данные» и «информация о частной жизни» по смыслу ст. 152.2 ГК РФ, предоставляя и практике, и доктрине свободу дальнейшей разработки и дальнейшего развития каждого из условно самостоятельных направлений. В-третьих, sui gеnеris согласие не противопоставляется согласию-сделке, а следует за траекторией развития гражданского законодательства Российской Федерации, более не признающего информацию pеr sе в качестве самостоятельного объекта гражданских прав. Таким образом, этот подход не требует незамедлительного внесения изменений в положения гражданского законодательства. В-четвертых, использование предлагаемого подхода не исключает возможности использования различных способов защиты нарушенных прав, а в отдельных случаях и прямо предусматривает использование гражданско-правовых способов защиты (например, в форме требования о компенсации морального вреда), снабжая субъекта дополнительным выбором инструментов и частично компенсируя его слабое положение по отношение к оператору. В-пятых, упомянутый тысячелетний опыт регулирования общественных отношений, которым обладает гражданское право, может и должен использоваться в качестве «лучшей практики» при разработке отдельных концепций регулирования в области персональных данных или даже применяться по аналогии. В-шестых, признание sui gеnеris природы согласия субъекта как основания обработки его персональных данных не обязательно ведет к снижению роли гражданского права в вопросах обеспечения - пусть и косвенного - прав субъектов персональных данных, ведь одним из оснований обработки является исполнение договора с субъектом персональных данных. Из этого следует, что вся полнота, весь разнообразный функционал многочисленных институтов и концепций гражданского права может и неизбежно должен найти свое место в структурировании правоотношений, связанных с персональными данными, но не распространяя свое действие на каждое из оснований обработки, а фокусируясь на тех основаниях, которые имеют заведомо гражданско-правовую природу, - таким основанием, в первую очередь, является исполнение договора с субъектом, так называемая contractual nеcеssity[265] («необходимость, обусловленная договором», англ.). Данная позиция разделяется и автором работы, в другом исследовании даже был заявлен тезис о том, что обработка персональных данных на основании договора - один из случаев, когда согласие не требуется и это не вызывает вопросов с точки зрения правомерности обработки этих данных ни у одной из сторон (Zyubanov, 2023). Наконец, поскольку согласие на обработку персональных данных является волеизъявлением, оно облекается в какое-либо действие в объективной реальности, в связи с чем само предоставление согласия на обработку персональных данных может содержать в себе элементы гражданско-правовой сделки при условии соблюдения требований гражданского законодательства (например, если возможно с разумной точностью установить стороны правоотношений). В этом случае, хотя само согласие по-прежнему не будет являться сделкой, действия по его предоставлению могут быть квалифицированы как направленные на совершение сделки. В указанном контексте и в зависимости от конкретных гражданско-правовых отношений, влекущих необходимость, зависящих от или иным образом связанных с предоставлением субъектом согласия на обработку персональных данных, согласие на обработку персональных данных может выступать, опираясь на теорию юридических фактов и вне зависимости от правомерности, в качестве юридического акта, «иного действия физического лица» по смыслу пп. 8 п. 1 ст. 8 Гражданского кодекса Российской Федерации, направленного, в частности, на возникновение, изменение или прекращение гражданско-правовых отношений. Необходимо отметить и то, что как любое действие, согласие на обработку персональных данных не существует «в вакууме», предстает и предоставляется в определенном контексте, который является не элементом согласия-волеизъявления pеr sе, но предпосылкой к его выражению (предоставлению). В связи с этим в данной работе автор рассматривает именно согласие на обработку персональных данных, по возможности изолируя концепцию от контекста предоставления согласия, и обратится к анализу контекста и требований к нему в дальнейших исследованиях. Исходя из приведенного выше, нельзя не повторить тезис автора, заявленный в более обширном исследовании, о том, что «решение проблем, возникающих… в связи с ограничением доступа к персональным данным и их дальнейшего использования, должно находиться в сфере законодательства в области персональных данных, а не обеспечиваться ограничительным толкованием его положений в целях обхода ограничений» (Zyubanov, 2023). Наконец, обеспечение обособленности концепции согласия на обработку персональных данных служит цели институционального обеспечения защиты персональных данных, которое, по мнению Э.В. Талапиной, является перспективным и в определенной мере неизбежным направлением развития российского законодательства (Talapina, 2018). Заключение Проведенный анализ продемонстрировал - и в этом нет сомнений ни с практической, ни с научной, теоретической точек зрения, - что концепция согласия не только в законодательстве в области персональных данных, но и в гражданском праве, и в праве в целом является многогранной, неоднозначной и едва ли может быть приведена к «общему знаменателю» в угоду регулирования отдельных правоотношений. Несмотря на концептуальные проблемы согласия как основания обработки персональных данных, российское законодательство предусматривает возможность его использования именно в этом качестве. Решение описанных проблем лежит в дальнейшем совершенствовании регулирования в области персональных данных и в продвижении «лучших практик» и культуры работы с данными, включая персональные данные, в обществе. Согласие - это инструмент, который предназначен для осуществления субъектом контроля за своими персональными данными, в связи с чем предположить его избыточность как основания обработки было бы весьма наивно. Согласие на обработку персональных данных, ввиду своей специфики как с точки зрения правоотношений, регулируемых законодательством в области персональных данных, так и с точки зрения механики функционирования этого инструмента, имеющего основной целью обеспечение прав субъектов персональных данных, имеет двойственную природу, частно- и публично-правовые аспекты. Частноправовая природа выражается в горизонтальном характере отношений оператора и субъекта персональных данных, определенном уровне дискреции каждой из сторон в отношении структурирования правоотношений. Публично-правовая природа выражается в обширном корпусе императивных ограничений, установленных на уровне федерального законодательства и сокращающих свободу усмотрения сторон правоотношений, связанных с обработкой персональных данных, а также в цели регулирования, выражающейся, в частности, в обеспечении права на неприкосновенность частной жизни, личную и семейную тайну в соответствии с положениями Конституции Российской Федерации и ряда международно-правовых договоров. Оптимальным подходом для дальнейшего развития концепции согласия на обработку персональных данных в частности и регулирования в области персональных данных в целом, как в практической, так и в научной, теоретической, доктринальной плоскостях, является, по нашему мнению, признание sui gеnеris природы согласий как действия, осуществление которого предусмотрено регулированием публично-правового (или преимущественно публично-правового) характера. Данный подход позволит согласию на обработку персональных данных сохранить концептуальную специфику, гибкость и независимость дальнейшего развития, не лишая ни законодателя, ни научное сообщество возможности применять те или иные подходы, сформировавшиеся к отдельным видам согласий, предусмотренных, в частности, гражданским правом, по аналогии. Более того, данный подход не противоречит устоявшейся теории юридических фактов, допуская квалификацию согласия на обработку персональных в качестве юридического факта, исходя из содержания конкретных правоотношений гражданско-правового характера. Согласие на обработку персональных данных - не сделка, но действия по его предоставлению могут являться юридическим фактом в гражданско-правовых отношениях, в таком подходе отсутствует противопоставление, так как он затрагивает две параллельно существующих системы правоотношений, а в нашем анализе центральным является вопрос о правовой природе концепции согласия на обработку персональных данных как таковой. Так же, как классическая «Бритва Оккама» оберегает практику и науку от возникновения не имеющих права на существование концепций, паразитирующих на многолетних и даже многовековых трудах поколений ученых, предлагаемая автором «обратная Бритва Оккама», предполагающая недопустимость концептуального усложнения через объединение существующих сущностей без объективной необходимости, может и должна оберегать едва возникающие, но имеющие колоссальный потенциал концепции и институты, включая концепцию согласия на обработку персональных данных.

Об авторах

Кирилл Алексеевич Зюбанов

Национальный исследовательский университет «Высшая школа экономики»

Автор, ответственный за переписку.
Email: kazyubanov@hse.ru
ORCID iD: 0000-0002-6752-0516

аспирант Аспирантской школы по праву

109028, Российская Федерация, г. Москва, Большой Трехсвятительский переулок, д. 3

Список литературы