А. А. Максуров

Юридическая технология обеспечения безопасности и защиты персональных данных в сети Интернет

Монография

ebooks@prospekt.org

Информация о книге

УДК 34:004.056.5

ББК 67:32.973.202-018.2

М17

Изображение на обложке foxaon1987 / Shutterstock.com

Автор:

Максуров А. А., профессор, преподаватель Школы права Университета Парижа (Сорбонна), независимый российский и европейский исследователь, автор более 700 работ, лауреат российских и международных премий в области юриспруденции, специалист в сфере международного информационного права, теории государства и права.

В работе рассматриваются проблемные вопросы построения юридической технологии защиты персональных данных в глобальном информационном пространстве. Исследованы стратегия, техника, тактика, ресурсы, формы и действия субъектов права в части обеспечения безопасности личной информации в сети Интернет. Сделан подробный анализ международного и европейского права, а также зарубежного законодательства в данной сфере.

Законодательство приведено по состоянию на 19 сентября 2024 г.

Для широкого круга читателей, включая юристов и специалистов в области информационной безопасности.

УДК 34:004.056.5

ББК 67:32.973.202-018.2

© Максуров А. А., 2024

© ООО «Проспект», 2024

ВВЕДЕНИЕ

В современных условиях непростой макроэкономической ситуации, осложненной карантином в связи с пандемией коронавируса, вызвавшей в числе прочего и снижение уровня защиты частных прав при угрозе публичному интересу, явно наблюдается поиск участниками рынка условий стабильного гражданского оборота при растущей экономике. Сегодняшний мир находится в сложной ситуации. Налицо «сужение» экономики (Евросоюз, США, Китай), инфляционные (Германия) и другие неблагоприятные экономические процессы (Испания, Греция и др.), политическая нестабильность, рост социальной напряженности, обострение «узловых» – наиболее трудноразрешимых – проблем во всех сферах общественной жизни, ранее скрывавшихся за позитивными результатами экстенсивного роста. Видимо, мир ожидает длительная рецессия, не исключен и «новый виток» кризиса в ближайшие годы, что повлечет еще большие политико-социальные и, не исключено, значимые геополитические изменения.

В этой связи мы видим сегодня отдельные разнонаправленные тенденции.

Прежде всего, значительная часть населения, так или иначе проявляющая экономическую активность, ищет пути повышения эффективности предпринимательской и связанной с ней человеческой деятельности в условиях общей социальной неопределенности и нестабильности. Участники гражданского оборота не могут быть удовлетворены сложившейся практикой реализации субъективных гражданских прав и ищут новых (или более широких прежних) путей наиболее выгодного вложения капитала, создания «подушки безопасности» для кризисных ситуаций и т. п. Сам оборот персональных данных в большей степени уже давно осуществляется в киберсреде и имеет глобальный характер.

Как это ни парадоксально, но именно в указанной ситуации защита персональных данных в глобальном информационном пространстве приобретает повышенное значение.

Очевидно, что защита персональных данных – исключение из действия принципов гражданского права, предусматривающих как равенство сторон отношений, так и свободу воли в определении способов и форм реализации своих субъективных гражданских прав, в том числе в глобальном пространстве. Право на получение и использование информации не только одно из «двигающих» современную цивилизацию социальных понятий в части производства и распределения, но и гарантия обеспечения демократических начал современного мира.

Поэтому назначение инструментов защиты персональных прав в киберсреде, прежде всего, социальное и уже во вторую очередь –экономическое. Они ограничивают «сильную» сторону гражданско-правовых отношений, предлагая минимально необходимую защиту «слабой» стороне – субъекту персональных данных. С этой точки зрения предоставление одной стороне гражданского оборота некоторых преимуществ не должно сводить на нет саму возможность реализации субъективных гражданских прав иными участниками отношений.

Соответственно, цели установления и правового регулирования механизма защиты персональных данных в сфере объективного гражданского права двойные. С одной стороны, предоставляя субъектам персональных данных права на защиту в тех или иных ситуациях, государство стремится предоставить несколько большую, чем в обычной ситуации, государственно-правовую защиту нуждающимся в ней индивидам. С другой стороны, наличие любых субъективных гражданских прав, включая права на защиту личной информации, не должно становиться тормозом для гражданского оборота, субъекты которого объективно и исторически всегда нуждаются в как можно более свободной реализации имеющихся у них правомочий в целях наиболее полного удовлетворения собственного имущественного интереса.

Таким образом, социальная направленность института защиты персональных данных не может сводить на нет экономическую активность субъектов права. Здесь должен быть выдержан тонкий «баланс сил», позволяющий «сильному» двигаться вперед, не нарушая жизненно важных интересов «слабого».

Вместе с тем в науке до настоящего времени не выработалось единой концепции защиты персональных данных. Сегодня отсутствует разделяемая большинством авторов дефиниция персональных данных, различным образом понимается сущность прав их субъектов и иных участников отношений в сфере оборота персональных данных, нет единства мнений относительно разновидностей как персональных данных, так и содержания прав на них. Отсутствуют исследования, посвященные структуре правоотношений по защите персональных данных. Не определены алгоритмы осуществления и защиты прав субъектов персональных данных.

Соответственно, данные проблемы требуют обстоятельного научного анализа.

В юридической литературе отсутствуют фундаментальные исследования по указанной проблеме. Отдельные аспекты установления и реализации преимущественных прав рассматривались исключительно в теории гражданского (в России – трудового) права, либо в локальных исследованиях конкретных разновидностей прав на личную информацию.

До настоящего времени в науке не сложилось общей концепции защиты персональных данных, не определена их терминология, не исследован и не закреплен категориальный аппарат, не описаны способы реализации субъективных прав в сфере оборота персональных данных и причины их законодательной регламентации, не установлены их место и роль в правовой системе общества, не исследовано содержание и пути повышения эффективности норм о защите персональных данных в глобальном информационном пространстве.

Существующие в науке взгляды по отдельным вопросам защиты персональных данных в глобальном информационном пространстве зачастую непоследовательны и противоречивы; они не принимают во внимание как глобальный характер передачи персональных данных в киберсреде, так и технологические аспекты механизма защиты такого рода. Некоторые аспекты данной проблемы исследовались в рамках отдельных направлений, как гражданского и трудового права, так и теории права, однако целостной концепции выработано также не было.

По нашему мнению, четко прослеживаются как минимум два направления научно-юридического познания: анализ и, иногда, критика достижений, которые стали стержневой основой настоящей работы.

Во-первых, это научные работы по проблематике категории защиты субъективных прав в советском гражданском праве. Базисными здесь будут работы М.М. Агаркова, Н.Г. Александрова, С.Н. Братуся, А.В. Венедиктова, Д.М. Генкина, О.С. Иоффе, В.Ф. Яковлева и других. Нельзя сказать, что указанные работы полностью «устарели» – по сути, в них предложены концептуальные подходы, до настоящего времени развиваемые российскими цивилистами. Большинство интересующих нас исследований этой группы источников так или иначе касались вопросов определения субъективного гражданского права на личную информацию как самостоятельного субъективного права, установления содержания такого права и других исходных вопросов концепции гражданских прав в сфере правовой охраны неприкосновенности личности.

Во-вторых, крайне значимыми оказались современные работы по теории права, теории гражданского права, проблематике гражданских правоотношений и правоотношений в целом, их субъектно-объектного состава и пр. В частности, это работы современных теоретиков права В.Н. Карташова, Н.И. Матузова, А.В. Малько, А.Г. Репьева и других. Указанные авторы в своих исследованиях рассматривают вопросы персональной информации, правоотношения по информационному правоотношению в целом, а также структур правоотношений, специфики субъективных прав в сфере оборота персональных данных и т. п. Здесь также значимыми оказались и современные труды по вопросам регламентации отдельных разновидностей прав на персональные данные.

Объект исследования – юридическая технология защиты персональных данных в глобальном информационном пространстве как системное образование. Предметом исследования является специфика защиты персональных данных в глобальном информационном пространстве, проблема качества и эффективности их правовой охраны, путей и способов повышения оптимальности правового регулирования их оборота в киберсреде. Для достижения поставленной цели предполагалось решение следующих задач:

• обобщение теоретических материалов, выявление уровня научной разработанности темы в общетеоретических и отраслевых исследованиях, уточнение и, по мере возможности, разрешение дискуссионных положений, определение некоторых методологических направлений для дальнейшего научного поиска;

• анализ и синтез философского и психологического, социологического и лингвистического, исторического и управленческого, юридического и иных подходов к изучению категории персональных данных в российском гражданском праве и за рубежом;

• рассмотрение основных признаков и характеристик персональных данных и их определение;

• уяснение особенностей оборота персональных данных в киберсреде;

• подробное изучение компонентов юридической технологии защиты персональных данных в глобальном информационном пространстве;

• исследование сущностных характеристик и наиболее проблемных аспектов оборота персональных данных в киберсреде;

• формулировка выводов и рекомендаций, направленных на создание общетеоретической концепции юридической технологии защиты персональных данных в глобальном информационном пространстве и совершенствование юридической практики (технологии) правовой охраны персональных данных в целом.

При работе над темой автор исходил из положений методологического плюрализма. На этой основе широко использовались общенаучные, частнонаучные и иные методы исследования – социологический, исторический, психологический, формально-логический, сравнительно-правовой и др.

Основной акцент при исследовании юридической технологии защиты персональных данных в глобальном информационном пространстве был сделан на четыре следующих способа анализа сложных систем.

Во-первых, это системный анализ и целостное описание персональных данных как самостоятельного явления правовой действительности и объекта правовой охраны (защиты). Во-вторых, функциональный анализ, позволивший рассмотреть их в системе правового регулирования. В-третьих, совокупность частнонаучных методов исследования, основным из которых выступили социологический и психологический, определившие основные параметры регламентации и реализации юридической технологии защиты персональных данных в глобальном информационном пространстве. В-четвертых, аксиологический, предоставивший возможность раскрыть действительную значимость технологии защиты прав на персональные данные, показать основные закономерности ее развития и совершенствования.

Теоретическую основу исследования составляют труды отечественных и зарубежных ученых, так или иначе затрагивающих вопросы, рассматриваемые в работе.

В частности, достоверность и научная аргументированность результатов исследования основываются на широком использовании общетеоретических и отраслевых юридических источников. Это работы М.М. Агаркова, Н.Г. Александрова, О.Е. Блинкова, С.Н. Братуся, А.В. Венедиктова, Д.М. Генкина, А.А. Глушецкого, Е.А. Глушковой, О.С. Иоффе, В.П. Камышанского, В.Н. Карташова, М.Л. Ковалевой, Л.В. Кузнецовой, Н.И. Матузова, А.В. Малько, А.Г. Репьева, Е.А. Ходаревой, В.Ф. Яковлева и других.

Нормативно-правовую и эмпирическую базу исследования составили российское и зарубежное законодательства, опубликованные и неопубликованные материалы юридической практики и т. п.

Работа является первым комплексным исследованием в этой сфере с позиций «технологического» подхода в юриспруденции, в результате которого создана единая концепция юридической технологии защиты персональных данных в глобальном информационном пространстве как системного образования.

В частности, в работе впервые предложено собственное определение данного правового феномена, выявлены его сущностные признаки, позволяющие отграничить его от близких по смыслу явлений, а также судить о его месте и роли среди других разновидностей объектов правовой охраны. Проведено глубокое исследование видов персональных данных, предложены новые, ранее не выделявшиеся в науке виды. В ходе анализа содержания юридической технологии защиты персональных данных в глобальном информационном пространстве поэлементно обозначены и подробно рассмотрены ее компоненты. Показана специфика оборота и охраны в киберсреде отдельных, наиболее значимых разновидностей персональных данных. Предложены способы устранения недостатков правового регулирования и повышения эффективности норм, устанавливающих механизм правовой охраны персональных данных в глобальном информационном пространстве с позиций правотворческой, правосистематизационной, интерпретационной, правоприменительной разновидностей юридической практики.

Помимо выводов, указанных в заключении, обратим внимание на следующие фундаментальные положения, к которым пришел автор.

1. По результатам исследования нами предложено доктринальное авторское определение персональных данных, под которыми мы предлагаем понимать неразрывно связанные с конкретной личностью сведения о ней, предполагающие ее идентификацию или способствующие ее идентификации, раскрытие которых реально или потенциально может принести вред правам и (или) охраняемым законом интересам этого лица или иных лиц, то есть причиняет ущерб в реальной действительности или создает угрозу причинения вреда.

2. Исследование проблематики правовой охраны и защиты личной информации (персональных данных) сегодня перспективно в форме юридической технологии, полностью не подменяющей информационные, кибернетические и иные технические методы и приемы защиты такого рода информации, но предполагающие их наполнение правовым содержанием.

В результате юридическую технологию охраны и защиты личной информации (персональных данных) можно определить как объективно необходимую, основанную на соответствующих принципах, планах и прогнозах (стратегии) систему мыслительных и внешнеактуализированных юридических и фактических действий и операций компетентных и уполномоченных ими органов, связанную с наиболее эффективной правовой охраной и защитой личной информации, в ходе которой наиболее оптимально используются необходимые ресурсы (людские, материальные, финансовые, трудовые и т. п.), средства (техника), приемы, способы, методы и правила (тактика), процессуальные формы (стадии, производства, режимы, иные устойчивые формы обращения персональных данных) и конкретные виды контроля (надзора) за соблюдением прав субъектов персональной информации с одновременной возможностью получения общественно-полезных результатов.

Нами предложена структура данной юридической технологии, к элементам которой мы относим: а) систему соответствующих средств (юридическую технику); б) систему приемов, способов и методов оптимальной юридической деятельности, т. е. тактику; в) научно обоснованные принципы, долгосрочные планы, прогнозы и методы деятельности (юридическую стратегию); г) сами действия и операции по сбору, обработке и «обращению» (хранению, передаче, предоставлению и т. п.) персональных данных; д) процессуальные формы указанной деятельности (юридические стадии, производства и режимы); е) показатели, характеризующие качество и эффективность такого рода юридической деятельности, а также временные, финансовые и иные затраты на эту деятельность; ж) соответствующие виды, формы, средства и методы контроля (надзора) за законностью, качеством и эффективностью принимаемых юридических решений (актов) в сфере правовой охраны и защиты персональных данных.

3. Субъекты обеспечения безопасности и защиты личной информации в глобальном информационном пространстве – это граждане – «источники» (носители) персональных данных, а также компетентные государственные или иные уполномоченные на то органы, негосударственные организации, участвующие в процессе обеспечения безопасности и защиты личной информации в глобальном информационном пространстве в целях повышения общей эффективности правового воздействия.

В целях единообразного понимания указанного термина полагаем возможным предложить норму международного права, в соответствии с которой субъект персональных данных может быть определен как физическое лицо, идентификация которого возможна благодаря «находящимся в обороте» персональным данным.

В науке открытым остается вопрос, можно ли распространять категорию «персональные данные» и на юридических лиц. Нами приведены дополнительные, ранее отсутствовавшие в науке аргументы против такого расширенного толкования, основанные на современных теориях юридического лица и в связи с задачами создания такого коллективного субъекта права.

4. В ходе исследования мы установили, что отсутствует согласованность в части соотношения статусов субъектов правоотношений в сфере оборота персональных данных не только положений многих национальных правовых систем с нормами международного права, но и непосредственно между нормами международного права. Эти соображения позволяют нам прийти к выводу о необходимости унификации норм международного права в части правовых статусов субъектов отношений в области оборота и защиты персональных данных. Схема такого рода унификации, ее категориальный и понятийный аппарат, предложены нами в работе.

Поскольку пока еще процесс унификации международно-правовых норм не начат, в современных условиях подлежат разработке алгоритмы применения международных норм права в соответствии с национальными правовыми системами в части установления объема прав и обязанностей субъектов отношений в сфере защиты персональных данных. Мы полагаем возможным установить базовый алгоритм правоприменения, состоящий не менее чем из трех последовательных этапов, описанный нами в работе.

5. Правовое отношение в сфере оборота, охраны и защиты персональных данных – это комплексное правоотношение. Оно включает в себя два отдельных правоотношения – регулятивное и охранительное. В рамках регулятивного правоотношения их объектом (объект правового регулирования, объект юридической технологии) выступают общественные отношения в сфере оборота персональных данных. В охранительных правоотношениях в качестве объекта защиты можно выделить субъективные права и охраняемые законом интересы субъектов и участников правоотношений в области оборота персональных данных.

С указанных позиций нами уточнено содержание персональных данных как объекта правовой охраны.

В частности, возможно уточнение генетических данных как предмета защиты путем указания на те персональные генетические данные, которые могут быть использованы для однозначной идентификации. Защите должны подлежать лишь отдельные элементы, предполагающие идентификацию.

В отношении биометрических данных нами установлено, что здесь следует вести речь не только о некоем «целом» (как, например, об «изображении лица»), но и об отдельных параметрах (строение человеческого уха) или о формулах (расстояние между глазами и пр.). Данный вопрос на практике вполне может быть решен путем расширительного толкования указанных норм.

Мы предлагаем дополнить перечень персональных данных, однозначно идентифицирующих личность, в числе прочего, и персональной подписью лица, значение которой, ввиду распространенности в юридической практике случаев ее удачной подделки и изменчивости подписи на протяжении жизни человека, сегодня снижено, однако признаком уникальности подпись все-таки обладает, поскольку в ней совмещаются графическая (способ и манера выполнения записи) и вербальная (написание конкретных букв и буквенных сочетаний) составляющие.

По нашему мнению, и искусственно созданные самим же субъектом персональных данных идентификационные параметры должны быть предметом защиты, как и любые иные персональные данные (аккаунт в социальной сети).

В целом, в работе приведены и критически оценены наиболее значимые классификации персональных данных, в том числе предложены новые классификации, ранее не предлагавшиеся другими авторами.

6. Мы можем определить действия в сфере оборота, правовой охраны и защиты персональных данных как выраженные вовне, нацеленные на наиболее полную защиту прав и охраняемых законом интересов субъектов персональных данных, непосредственно преобразующие социальную действительность и влекущие повышение эффективности и качества защиты указанных прав и интересов, акты субъектов и участников правоотношений, служащие первоосновой соответствующей разновидности юридической технологии.

Операция в сфере оборота, правовой охраны и защиты персональных данных представляет собой сложную совокупность соответствующих действий, всегда взаимосвязанных и взаимозависимых, объединенных общей локальной целью, достижение которой необходимо для следования к реализации общего замысла, системой решения в той или иной мере узкой, обособленной задачи в рамках данного юридико-технологического процесса.

7. Мы полагаем практически важным вопрос формализации согласия субъекта персональных данных на их сбор в части степени свободы волеизъявления, когда принуждение как таковое отсутствует, однако лицо находится в таком неблагоприятном (в том числе, кабальном) положении вследствие стечения обстоятельств, что не может не дать такого рода согласие. В этом смысле полагаем, что определение «согласия», предложенное в п. 11 ст. 4 Регламента Европейского Парламента и Совета 2016/679 (а также в соответствующих нормах иных международных актов), должно быть дополнено указанием на выражение согласия в «обычных» для личности условиях. Конкретным же будет лишь согласие, данное определенному лицу, на определенные действия, связанные с обработкой персональных данных, в определенный период времени, с названными целями и т. п.

По нашему мнению, отношения в указанной сфере схожи с двусторонней сделкой, когда у субъекта персональных данных после предоставления им согласия на их обработку возникают соответствующие права (право доступа, право знать о «судьбе» своих персональных данных, их получателях и т. п.), а у контроллера и процессора – обязанности по обороту персональных данных в соответствии с законом. Согласие субъекта как бы «запускает» такого рода отношение, предоставляя субъекту последующие права и возлагая обязанности на иных участников данного правоотношения.

В указанной связи мы предлагаем включить в международные нормативно-правовые акты институт признания согласия недействительным (оспоримым или ничтожным) примерно по следующей схеме:

«Статья 1. Оспоримость и ничтожность согласия на обработку персональных данных.

1. Согласие субъекта персональных данных на их обработку может быть недействительным по основаниям, установленным законом, в силу признания его таковым судом (оспоримость согласия) либо независимо от такого признания (ничтожность согласия).

2. Требование о признании оспоримого согласия на обработку персональных данных недействительным может быть предъявлено субъектом персональных данных или иным лицом, указанным в законе.

В этом случае согласие на обработку персональных данных может быть признано недействительным, если оно нарушает права или охраняемые законом интересы лица, оспаривающего согласие, либо влечет неблагоприятные для лица последствия.

В случаях, когда в соответствии с законом согласие на обработку персональных данных оспаривается в интересах третьих лиц, оно может быть признано недействительным, если нарушает права или охраняемые законом интересы таких третьих лиц.

Сторона, из поведения которой явствует ее воля и далее действовать с учетом согласия, данного субъектом персональных данных, не вправе оспаривать согласие по основанию, о котором эта сторона знала или должна была знать при проявлении ее воли.

3. Требование о применении последствий недействительности ничтожного согласия на обработку персональных данных вправе предъявить сторона соответствующих отношений, а в предусмотренных законом случаях также иное лицо.

Требование о признании недействительным ничтожного согласия на обработку персональных данных может быть удовлетворено, если лицо, предъявляющее такое требование, имеет охраняемый законом интерес в признании этого согласия недействительным.

4. Суд вправе применить последствия недействительности ничтожного согласия на обработку персональных данных по своей инициативе, если это необходимо для защиты публичных интересов, и в иных предусмотренных законом случаях.

Статья 2. Общие последствия признания согласия недействительным.

1. Признанное недействительным согласие не влечет юридических последствий, за исключением тех, которые связаны с его недействительностью, и недействительно с момента его получения.

Лицо, которое знало или должно было знать об основаниях недействительности согласия, после признания согласия недействительным не считается действовавшим добросовестно.

Статья 3. Недействительность согласия на обработку персональных данных, полученного с нарушением закона.

Согласие на обработку персональных данных, полученное с нарушением закона, ничтожно.

Статья 4. Недействительность согласия на обработку персональных данных, полученного с целью, противной основам правопорядка или нравственности.

Согласие на обработку персональных данных, полученное с целью, заведомо противной основам правопорядка или нравственности, ничтожно.

Статья 5. Недействительность согласия на обработку персональных данных гражданина, признанным недееспособным.

1. Ничтожно согласие на обработку персональных данных гражданина, признанного недееспособным вследствие психического расстройства.

Другая сторона обязана, кроме того, возместить субъекту персональных данных любой понесенный им реальный ущерб, если эта сторона знала или должна была знать о недееспособности другой стороны.

2. В интересах гражданина, признанного недееспособным вследствие психического расстройства, данное им согласие на обработку персональных данных может быть по требованию его опекуна признано судом действительным, если оно совершено к выгоде этого гражданина.

Статья 6. Недействительность согласия на обработку персональных данных несовершеннолетнего, не достигшего четырнадцати лет.

Ничтожно согласие на обработку персональных данных несовершеннолетнего, не достигшего четырнадцати лет (малолетнего).

Статья 7. Недействительность согласия на обработку персональных данных гражданина, не способного понимать значение своих действий или руководить ими

1. Согласие на обработку персональных данных гражданина, хотя и дееспособного, но находившимся в этот момент в таком состоянии, когда он не был способен понимать значение своих действий или руководить ими, может быть признано судом недействительным по иску самого субъекта персональных данных либо иных лиц, чьи права или охраняемые законом интересы нарушены в его результате.

2. Согласие на обработку персональных данных гражданина, впоследствии признанного недееспособным, может быть признано судом недействительным по иску его опекуна, если доказано, что в этот момент гражданин не был способен понимать значение своих действий или руководить ими.

Согласие на обработку персональных данных гражданина, впоследствии ограниченного в дееспособности вследствие психического расстройства, может быть признано судом недействительным по иску его попечителя, если доказано, что в тот момент гражданин не был способен понимать значение своих действий или руководить ими, и сторона, получавшая его согласие, знала или должна была знать об этом.

Статья 8. Недействительность согласия на обработку персональных данных гражданина сделки, выданного под влиянием существенного заблуждения.

1. Согласие на обработку персональных данных, выданное под влиянием заблуждения, может быть признано судом недействительным по иску субъекта персональных данных, действовавшего под влиянием заблуждения, если заблуждение было настолько существенным, что субъект персональных данных, разумно и объективно оценивая ситуацию, его не выдал бы, если бы знал о действительном положении дел.

2. При наличии условий, предусмотренных пунктом 1 настоящей статьи, заблуждение предполагается достаточно существенным, в частности, если:

1) субъект персональных данных допустил очевидные оговорку, описку, опечатку и т. п.;

2) субъект персональных данных заблуждается в отношении предмета отношений, в рамках которых выдано согласие на обработку персональных данных, в частности таких его качеств, которые в обороте рассматриваются как существенные;

3) субъект персональных данных заблуждается в отношении природы выданного им согласия на обработку персональных данных;

4) субъект персональных данных заблуждается в отношении лица, которому он дал согласие на обработку персональных данных;

5) субъект персональных данных заблуждается в отношении обстоятельства, которое он упоминает в своем волеизъявлении или из наличия которого он с очевидностью для получателя согласия на обработку персональных данных исходит, выдавая его.

3. Заблуждение относительно мотивов выдачи согласия на обработку персональных данных не является достаточно существенным для признания его недействительным.

4. Согласие на обработку персональных данных не может быть признано недействительным по основаниям, предусмотренным настоящей статьей, если другая сторона не возражает на сохранение силы согласия на обработку персональных данных на тех условиях, из представления о которых исходил субъект персональных данных, действовавший под влиянием заблуждения. В таком случае суд, отказывая в признании согласия на обработку персональных данных недействительным, указывает в своем решении эти условия действительности согласия на обработку персональных данных.

5. Суд может отказать в признании согласия на обработку персональных данных недействительным, если заблуждение, под влиянием которого действовал субъект персональных данных, было таким, что его не могло бы распознать лицо, действующее с обычной осмотрительностью и с учетом содержания отношений, сопутствующих обстоятельств и особенностей сторон.

6. Получившее согласие на обработку персональных данных лицо обязано возместить субъекту персональных данных причиненный ему вследствие этого реальный ущерб, за исключением случаев, когда субъект персональных данных знал или должен был знать о наличии заблуждения, в том числе если заблуждение возникло вследствие зависящих от него обстоятельств.

Статья 9. Недействительность согласия на обработку персональных данных, выданного под влиянием обмана, насилия, угрозы или неблагоприятных обстоятельств.

1. Согласие на обработку персональных данных, выданное под влиянием насилия или угрозы, может быть признано судом недействительным по иску потерпевшего.

2. Согласие на обработку персональных данных, выданное под влиянием обмана, может быть признано судом недействительным по иску потерпевшего.

Обманом считается также намеренное умолчание об обстоятельствах, о которых получатель согласия должен был сообщить при той добросовестности, какая от него требовалась по условиям оборота.

Согласие на обработку персональных данных, выданное под влиянием обмана потерпевшего третьим лицом, может быть признано недействительным по иску потерпевшего при условии, что получатель согласия знал или должен были знать об обмане. Считается, в частности, что получатель согласия знал об обмане, если виновное в обмане третье лицо являлось его представителем или работником либо содействовало ему в получении согласия.

3. Согласие на обработку персональных данных на крайне невыгодных условиях, которое лицо было вынуждено выдать вследствие стечения тяжелых обстоятельств, чем получатель согласия воспользовался (кабальная сделка), может быть признано судом недействительным по иску потерпевшего.

4. Если согласие на обработку персональных данных признано недействительным по одному из оснований, указанных в пп. 1 – 3 настоящей статьи, применяются последствия недействительности сделки, установленные ст. 1. Кроме того, убытки, причиненные потерпевшему, возмещаются ему получателем согласия.

Статья 10. Последствия недействительности согласия на обработку персональных данных в части.

Недействительность согласия на обработку персональных данных в части не влечет недействительности других самостоятельных договоренностей о согласии, если можно предположить, что в целом согласие на обработку персональных данных было бы выдано и без включения недействительной его части.

Статья 11. Сроки исковой давности по недействительному согласию на обработку персональных данных.

Срок исковой давности по требованиям о применении последствий недействительности согласия на обработку персональных данных составляет три года. Течение срока исковой давности по указанным требованиям начинается со дня, когда согласие на обработку персональных данных было выдано.

Статья 12. Доказывание по делу о признании недействительным согласия на обработку персональных данных

1. Если иное не установлено процессуальным законом, законность и правомерность получения согласия на обработку персональных данных должны доказываться лицом, получившим такое согласие (получателем согласия).

2. Процессуальным законом могут быть предусмотрены случаи, когда субъект персональных данных вправе получить предварительный судебный запрет на дальнейшую обработку персональных данных, включая их передачу, до рассмотрения дела по существу».

8. По нашему мнению, с учетом возложения бремени доказывания законности и правомерности получения согласия, а также самого факта его получения на его получателя, согласие может быть и устным. Соответственно, такого рода положение должно найти отражение в нормах международного права. Например, п. 11 ст. 4 Регламента Европейского Парламента и Совета 2016/679, предлагающий дефиницию согласия на обработку персональных данных, должен быть дополнен предложением:

«Форма согласия не имеет значения с учетом того, что законность и правомерность его получения, а также сам факт согласия, подлежит доказыванию его получателем либо иным заинтересованным лицом. Согласие “по умолчанию” не допускается».

9. Присутствующий в международной правоприменительной практике алгоритм рассмотрения вопроса о допустимости самой обработки персональных данных, к сожалению, основан не на нормах международного права, прямо регулирующих вопросы оборота личной информации, а на широком судебном толковании положений иного, имеющего более общий характер акта – Европейской конвенции о защите прав человека и основных свобод.

В связи с указанным обстоятельством, предлагаем отразить в нормах международного права следующий механизм судебной проверки:

«Статья Х. Судебная проверка законности обработки персональных данных, полученных при отсутствии согласия их субъекта.

Осуществляя проверку законности обработки персональных данных в отношении конкретного лица, не давшего согласия на их обработку, суд предварительно определяет, предусмотрено ли принуждение к предоставлению личной информации национальным законом.

Норма национального права, предусматривающая правомерность таких действий, должна быть совместима с принципом верховенства права в данном конкретном случае.

Суд также проверяет, насколько указанные нормы, предусматривающие принудительную обработку персональных данных, являются необходимыми в демократическом обществе».

10. Вопросы хранения персональных данных граждан конкретных стран тесно связаны с требованием отдельных государств об их локализации, в том числе в виде хранения этих сведений в виде информационных баз «на территории» данного государства, гражданами которого и являются субъекты персональных данных.

В работе приведена критика такого рода государственно-правового подхода. Вопросы локализации касаются, скорее, взаимоотношений операторов персональных данных с конкретным государством в лице его контролирующих и надзорных органов, а также их должностных лиц, они представляются нам несколько надуманными, так как даже при трансграничной передаче персональных данных безусловное исполнение требований о локализации невозможно.

11. По нашему мнению, сам по себе термин «трансграничная передача персональных данных» в современном глобальном информационном мире уже не отвечает реалиям сегодняшнего дня. С отдельными оговорками он возможен и допустим только в ситуациях, когда сведения, содержащие личную информацию, непосредственно адресованы прямо поименованному в законе «иностранному субъекту». В таких условиях трансграничная передача не представляет собой передачу персональных данных в глобальном информационном пространстве по основаниям, указанным нами в работе.

12. Юридическую технику правовой охраны и защиты персональных данных в киберсреде можно определить как систему общесоциальных, специально-юридических, технических и иных средств и правил применения данных средств, с помощью которой субъекты и участники данной юридической деятельности осуществляют действия и операции по правовой охране и защите персональных данных в целях получения общественно и индивидуально полезных результатов. Под средствами юридической технологии правовой охраны и защиты персональных данных будут предметы, явления или процессы, которые обеспечивают достижение цели – безопасного и законного оборота персональных данных, охраны прав субъектов персональных данных, защиты персональных данных от несанкционированного доступа к ним.

В работе подробно описаны наиболее значимые элементы юридической техники правовой охраны персональных данных в киберсреде.

13. По нашему мнению, подробная регламентация в международно-правовых документах системы, полномочий и деятельности административных органов будет вмешательством во внутренние дела государства и вряд ли может быть применена на практике, тем более что и с точки технологии государственного управления данный вопрос не может быть унифицирован. Вместе с тем отдельные принципы деятельности таких органов власти, механизм их взаимодействия с заявителем и способы реагирования на нарушения прав на личную информацию вполне могут быть предусмотрены именно международным правом в качестве руководящего ориентира для национальных законодателей. Примеры такого рода приведены в работе.

14. Одной из проблемных точек международного права в части защиты персональных данных является вопрос эффективности судебного механизма защиты субъектами персональных данных своих прав. По сути, такого рода механизм не предусмотрен международными нормативными актами и отдается на усмотрение национальному праву. Подобное регулирование в полноценном объеме в виде норм международного права вряд ли возможно – это нарушало бы внутренний суверенитет национальных правительств. Однако в международных правовых актах вполне могут быть отражены основные принципы построения указанного национального законодательства, требования к внутренним правопорядкам. Нами предложен модельный алгоритм решения указанного вопроса.

Так, по нашему мнению, вполне возможно распространить на практику защиты персональных данных по аналогии общий подход механизма о защите прав потребителей в части презумпций, бремени доказывания, вопросов подсудности, широты возможных к постановке требований и т. п.

15. Важным компонентом юридической технологии правовой охраны и защиты персональных данных выступает стратегия такого рода деятельности. По нашему мнению, в составе стратегии в качестве самостоятельных компонентов можно выделить научно обоснованные принципы, долгосрочные планы, прогнозы и методы деятельности, подробно исследованные нами в работе.

В частности, в целях высокой эффективности технологии правовой охраны и защиты персональных данных исключительно важно неукоснительное соблюдение ее принципов на всех стадиях (этапах) правотворческого, правоприменительного и любого иного юридического процесса.

Мы предлагаем понимать под принципами юридической технологии правовой охраны и защиты персональных данных обусловленные экономическими, политическими, духовными и иными факторами фундаментальные идеи (идеалы) и исходные нормативно-руководящие начала (требования, императивы), которые отражают природу, особенности и назначение данной разновидности юридической технологии в правовой системе общества, обеспечивают высокое качество и эффективность деятельности всех субъектов права по охране и защите персональных данных, прав и охраняемых законом интересов их субъектов, а также участников соответствующих отношений.

Впервые в науке нами предложены классификации таких принципов, а также их логические взаимосвязи.

16. Реализация юридической технологии правовой охраны и защиты персональных данных невозможна без соответствующих ресурсов. Мы предлагаем определять ресурсообеспеченность юридической технологии правовой охраны и защиты персональных данных как совокупность используемых (пригодных к использованию) субъектами и участниками юридической деятельности научных, юридических, финансовых, организационных, трудовых, информационных, технических и любых иных средств (источников, фондов), необходимых для осуществления действий и операций по наиболее эффективной и качественной правовой охране и защите персональных данных в целях получения индивидуально и общественно полезных результатов.

Теоретическое и практическое значение исследования определяется его актуальностью, новизной, четко сформулированными выводами и положениями.

В теоретическом плане основные положения работы позволяют по-новому подойти к понятию и сущности, структурам, функциям, эффективности, ценности, месту и роли правовой охраны персональных данных в глобальном информационном пространстве. Предложены новые правовые конструкции и определения правовых феноменов, изучены ранее неисследованные структуры правовых явлений, предложены новые функции данного правового явления и новые принципы защиты указанного объекта правовой охраны, выявлены негативные черты в обширном массиве правового материала, приведена ранее не публиковавшаяся правоприменительная практика.

Материалы работы дополняют и развивают многие разделы не только гражданского и информационного права, но и общей теории права и государства, отраслевых юридических наук и международного права. Они позволяют привлечь внимание к наиболее важным и перспективным направлениям научных исследований, будут полезными при написании монографий, других научных работ учеными-юристами всех специальностей, представителями психологии, социологии, управленческих и иных общественных наук.

Практическая значимость работы состоит в том, что содержащиеся в ней выводы и предложения могут быть использованы в целях повышения качества и эффективности правового регулирования вопросов защиты персональных данных в киберсреде, для более совершенного нормативно-правового моделирования охраны указанных объектов и оценки эффективности устанавливающих порядок, способов и пределов их защиты, улучшения норм субъектами правотворчества, в процессе систематизации, толкования и реализации правовых актов. Основные положения исследования являются важной базой для повышения эффективности реализации субъектами права собственных неимущественных интересов и, на основе этого, более полного удовлетворения общесоциальных, групповых и индивидуальных потребностей.

Исследование способствует также повышению уровня правосознания и правовой культуры всех субъектов гражданского и информационного права.

Дидактическое значение данного исследования заключается в том, что его результаты могут быть использованы при проведении учебных занятий по гражданскому и информационному праву, общей теории права и государства, смежным с гражданским и информационным правом отраслевым юридическим дисциплинам и международному праву, при написании студентами рефератов, докладов, курсовых и дипломных работ. Особое значение указанные материалы приобретают при изучении таких общетеоретических тем, как «Понятие права», «Функции права», «Система права», «Эффективность права», «Правотворчество», «Систематизация права», «Толкование права», «Реализация права», «Юридическая ответственность», «Субъективные права», «Виды гражданских прав», «Принципы права», «Правовая культура», «Правосознание» и др.

Глава 1. ЗАЩИТА ПЕРСОНАЛЬНОЙ ИНФОРМАЦИИ КАК РЕАЛИЗАЦИЯ ПРИНЦИПА НЕПРИКОСНОВЕННОСТИ ЛИЧНОЙ (ЧАСТНОЙ) ЖИЗНИ

1.1. Понятие личной (персональной) информации как объекта правоохраны в международном праве и национальных правопорядках

«Персональные данные» (лат. personal data) – термин, используемый в национальном законодательстве и международном праве, одновременно обозначающий и группу правоотношений, и объект защиты.

Одной из важнейших предпосылок возникновения института персональных данных в условиях информационного общества служит естественная потребность каждого индивида защитить неприкосновенность своей частной жизни и самостоятельно регулировать процессы движения информации личного характера, а также иметь возможности контролировать ее распространение¹.

В то же время вопросы защиты личной информации следует рассматривать шире, нежели вопросы юридических средств охраны частной жизни; речь идет в каком-то смысле о чем-то большем – о взаимоотношениях индивида и общества. Любой человек, являясь частью социума, не может быть единственным и безусловным обладателем информации о самом себе². Персонификация личности представляет собой необходимый и исходный элемент ее социализации в государстве, является важнейшей предпосылкой для включения личности в социальные контакты³. По сути, три фактора в совокупности – все более возрастающая потребность государства в полной и достоверной информации об индивиде, потребность самой личности в неприкосновенности ее частной жизни в условиях интеграции и глобализации, а также широкое развитие и распространение информационных технологий – привели к современному пониманию информации о личности.

Совершенствование информационных технологий и потребности современного общества делают необходимой автоматизированную обработку значительных по объему массивов персональных данных. Формируемые государственными органами и коммерческими организациями базы персональных данных становятся специфическим предметом преступных посягательств в сфере информационной безопасности личности⁴.

Очевидно и то обстоятельство, что с развитием информационно-телекоммуникационных технологий в современной повседневной жизни субъектам необходимо помнить о защите своей личной информации, в частности о защите и сохранении конфиденциальности своих персональных данных⁵. С появлением новых, электронных сервисов, несомненно, положительно влияющих на повседневную жизнь человека, возникает необходимость сохранения и поддержания тонкого баланса публичных и частных интересов⁶.

В любом случае специфика правового режима персональных данных обусловлена совокупностью интересов субъекта персональных данных в части защиты сведений о себе, с одной стороны, и в части получения данных сведений, которые могут затрагивать интересы третьих лиц, – с другой⁷. В разрешении данных спорных ситуаций определяющее значение имеют правовые позиции конституционной юрисдикции в национальных правопорядках. При этом следует учесть, что общественные отношения, регулируемые правовым институтом защиты персональных данных, хотя и относятся к информационной сфере, однако имеют конституционно-правовую основу и связаны с обеспечением права личности на неприкосновенность частной жизни и смежных с ним прав в условиях развития технологий автоматизированной обработки информации. Это подчеркивает их правозащитный характер⁸.

Современный законодатель (как в национальных правопорядках, так и на международном уровне) и юридическая наука оперируют различными понятиями относительно личной информации как объекта правовой охраны (защиты). В употреблении такие термины как «личная информация», «частная информация», «информация частного порядка», «информация о личности», «персональная информация», «персональные данные», «личные данные» и т. п. Очевидно, что такое разнообразие терминов вряд ли может способствовать качеству правового регулирования, поэтому в данном вопросе следует разобраться подробно.

При первом приближении мы видим, что парные понятия «личная информация» и «персональная информация», «личные данные» и «персональные данные» близки и даже тождественные.

В частности, с точки зрения этимологии, личное – это все то, что связано с частной⁹, интимной жизнью какого-либо лица¹⁰, принадлежащее данному лицу (личности)¹¹, затрагивающее интересы отдельного лица¹² и т. п., по сути, личное «противостоит» общественному¹³. Информация же – это сведения, сообщения или данные о чем-либо или ком-либо¹⁴.

Соответственно, личную (персональную, если речь идет о персоне) информацию в контексте нашей работы изначально можно определить как информацию о какой-либо личности или даже совокупность сведений о личности.

Защита такого рода личной информации тесно связана с принципом неприкосновенности личности, который предусматривает и определенную автономию личности как от государства, так и от общества. В числе прочего, эта автономия выражается и в отсутствии у третьих лиц сведений о личности и результатах ее текущей жизнедеятельности в той части, в которой вступающая в социальные контакты личность стремится избежать всеобщего информирования (информирования неопределенного круга лиц) как о результатах, так и о самом факте указанных социальных контактов¹⁵.

Вместе с тем очевидно, что не всякая информация о личности может быть предметом правовой охраны. Человек – социальное существо, контактируя с другими людьми, он неминуемо оставляет некоторые «следы» в социуме и «полная» защита любой личной информации попросту невозможна. Если же все-таки теоретически и допустить такого рода возможность, то многие социальные связи попросту не будут существовать, и общественные отношения будут нарушены, а общество «распадется» на неограниченное число автономных индивидов.

По этим причинам право и призвано искать и находить некий «компромисс» между личным и общественным интересом, защищая права личности на неприкосновенность информации о частной жизни только лишь в сфере, минимально препятствующей дальнейшему развитию общества и его институтов, в том числе и государства. Этот компромисс в определенной мере и выражен институтом личной информации или персональных (личных) данных.

Правовое регулирование в исследуемой области в части определения содержательных характеристик такого явления, как «персональные данные», далеко от единства.

В частности, несмотря на все попытки международно-правовой и региональной унификации, в национальных правопорядках наблюдается некоторое не всегда оправданное разнообразие мнений по указанному вопросу.

Например, согласно закону Великобритании Data Protection Act 1998 (Закон о защите данных 1998 г.)¹⁶ – одному из первых европейских наиболее значимых актов в исследуемой области – персональными данными можно назвать любые данные, которые могут быть использованы для идентификации живого человека. Последующие редакции Акта о защите данных Великобритании 1998 г. предполагают, что персональные данные – это «любая информация, которая относится к живому физическому лицу, когда оно может быть идентифицировано: (a) на основании такой информации и (b) на основании такой информации, а также другой информации, находящейся в распоряжении или способной оказаться в распоряжении оператора»¹⁷.

При этом анонимные или агрегированные данные в меньшей степени регулируются Законом, при условии, что анонимизация или агрегирование не производились обратимым образом. С точки зрения британского законодателя людей можно идентифицировать различными способами, включая их имя и адрес, номер телефона или адрес электронной почты.

Именно такой подход и был положен в основу регионального европейского законодательства – законодательства Евросоюза, о чем мы поговорим ниже. Здесь же продолжим рассмотрение дефиниций «персональных данных», характерных для законодательства стран Европы.

Еще более «древний» европейский акт – Закон Франции от 6 января 1978 г. 78-17 «Об обработке данных, файлах и свободах»¹⁸. Закон неоднократно изменялся в целях приведения в соответствие с актами Евросоюза в указанной сфере, а в 2018 г. был существенно редактирован¹⁹. Тем не менее, его нормы вполне применимы и сегодня, хотя понимание «персональных данных» в законе несколько уже «общеевропейского» понимания. Таковыми, в частности, закон предлагает считать любую информацию относительно физического лица, которое идентифицировано или может быть идентифицировано, прямо или косвенно, со ссылкой на идентификационный номер или на один или несколько присущих ему элементов. При этом упоминается и обработка этих сведений физическим или юридическим лицом как составная часть объекта регулирования.

В Германии действует Федеральный закон «О защите данных»²⁰, который в п. 1 раздела 46 ч. 3 включает в себя одно из «общеевропейских» определений персональных данных, под которыми закон понимает всю информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу (субъекту данных). Считается идентифицируемым физическое лицо, которое прямо или косвенно, в частности, путем присвоения идентификатора, такого как имя, идентификационный номер, данные о местоположении, онлайн-идентификатор или одна или несколько специальных характеристик, которые выражают физические, физиологические, генетическую, психологическую, экономическую, культурную или социальную идентичность этого человека, может быть идентифицирована.

Авторы отмечают, что в немецкой правовой системе персональные данные защищаются законом не как таковые, а постольку, поскольку связаны с защитой четырех основных прав: права на информационное самоопределение; права на обеспечение целостности и конфиденциальности информационно-технологических систем (IT-право); права на тайну переписки, почтовых отправлений и телекоммуникаций; права на неприкосновенность жилища²¹. Гарантии реализации этих прав предусмотрены в нормах Основного Закона ФРГ, то есть являются конституционными. Персональные данные здесь выступают дополнительным предметом защиты²².

В Греции, в дополнение к GDPR, был принят Закон от 29 августа 2019 г.²³ 4624/2019, в подп. «а» п. 1 ст. 44, по сути, отражены положения европейского акта и указано, что «личные данные» означают любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу («субъект данных»), личность которого может быть установлена, прямо или косвенно, в частности, путем ссылки на, например, имя и т. п.

В Дании дополнительно к актам Евросоюза действует Закон от 23 мая 2018 г.²⁴ № 502, отсылающий в части определения персональных данных к праву Евросоюза, однако предполагающий разделение информации личного характера (вся она требует защиты) на «обычные данные» (обычная защита) и «конфиденциальные данные» (аналог персональных данных; данные, нуждающиеся в особой защите). Особая защита требуется постольку, поскольку случайное или незаконное уничтожение, потеря, изменение, несанкционированное раскрытие таких конфиденциальных данных или доступ к ним могут привести к физическим, материальным или иным убыткам для субъекта данных.

Пункт 1 ст. 3 Закона Исландии «О защите личных данных и обработке личных данных» от 27 июня 2018 г.²⁵ № 90/2018 ссылается на применение в целях определения понятий Регламента 2016/679 Европейского парламента и Совета от 27 апреля 2016 г. о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных. Тем не менее в п. 2 и 3 ст. 3 Закона предлагается несколько иное понимание: в п. 2 ст. 3 Закона указывается на понятие личной информации как объекта правоохраны во взаимосвязи с различным пониманием свойства идентифицируемости, а в п. 3 ст. 3 Закона предлагается примерный закрытый перечень конфиденциальной личной информации как особого объекта правоохраны.

В Испании действует Органический закон от 5 декабря 2018 г. 3/2018 «О защите личных данных и гарантии цифровых прав»²⁶, которым, с одной стороны, при определении содержательных характеристик персональных данных отдается приоритет европейскому праву, а с другой стороны, меняется объем понятия «персональные данные» сравнительно с «общеевропейским» правопониманием. Согласно закону к персональным данным относится любая информация о конкретном человеке, которая отождествлена или может быть отождествлена с ним, в том числе и видео- и аудиоматериалы²⁷.

Интересно, что в испанском Законе о защите персональных данных прямо указано в качестве цели правоохраны на обеспечение чести, личной и семейной неприкосновенности частной жизни граждан, полноту осуществления гражданами своих прав.

В п. 2 ст. 1 Закона Кипра от 16 октября 2018 г. № 125 (I) «О защите физических лиц при обработке персональных данных и свободном перемещении таких данных» повторяется дефиниция европейского законодателя, хотя, если обратиться к тексту закона, объем этого понятия несколько сужается.

В Швеции предусмотрен целый ряд законов, которые регулируют обработку персональных данных в разных сферах, например: Закон о видеонаблюдении (Kamerabevakningslag [2018: 1200]), Закон о кредитной информации (Kreditupplysningslagen [1973: 1173]), Закон о взыскании долга (Inkassolagen [1974: 182]), Закон о свободе мнения (Yttrandefrihetsgrundlag [1991: 1469]), Закон о маркетинге (Marknadsföringslag [2008: 486]), Закон о данных пациента (Patientdatalag [2008: 355]), Закон об электронных коммуникациях (Lag [2003: 389] om elektronisk kommunikation), однако основными «начальными» актами для определения понятийного аппарата являются такие акты, как Закон о защите данных (2018: 218)²⁸ и Регламент о защите данных (2018: 219)²⁹. Несмотря на название, Закон является дополнением к Регламенту, а не наоборот, как могло бы показаться на первый взгляд. И Закон, и Регламент восприняли региональное определение персональных данных, принятое в Евросоюзе, однако в ряде случаев (например, в части персональных данных умерших лиц, персональных данных для целей архивного дела и т. п.) объем указанного понятия также был уточнен (чаще – сужен).

Обратимся за пределы Европы.

В 1972 г. в США была создана Комиссия по изучению влияния компьютерных технологий на приватность, по результатам отчета которой принят Билль о правах в компьютерную эпоху, получивший название «Кодекс справедливого использования информации»³⁰. Именно данный акт и лег в основу дальнейшего национального правового регулирования.

Вообще же в США основное «бремя» регулирования указанных вопросов ложится на штаты. Среди наиболее характерных примеров указанных правовых актов приведем Акт Калифорнии о защите неприкосновенности частной жизни потребителей 2018 г. (California Consumer Privacy Act – CCPA), который применяется с 1 января 2020 г. и интересен тем, что согласно его ст. 1798.140(o)(1) персональная информация – это информация, которая идентифицирует конкретного потребителя или конкретное домохозяйство, относится к ним, описывает их, способна быть ассоциированной с ними или может разумным образом быть связана с ними прямо или косвенно

Необходимо обратить внимание и на эволюцию во взглядах американского законодателя, который отказался от общей конструкции «любая информация, относящаяся к лицу» (§ 552a Акта о неприкосновенности частной жизни 1974 г.)³¹ в пользу перечисления на уровне нормативного регулирования конкретных сведений, совокупность которых образует персональные данные в той или иной сфере³².

По сути, такой подход является основным для североамериканского законодателя.

Нечто схожее мы наблюдаем и в Канаде. Несмотря на множественность и практику принятия законодательства о защите персональных данных относительно нужд конкретных секторов национальной экономики, основным актом в Канаде остается Personal Information Protection and Electronic Documents Act, SC 2000 (Закон «О защите личной информации и электронных документах»)³³, который определяет личную информацию, подлежащую защите, как любую информацию об идентифицируемом человеке, однако одновременно предусматривает различные правовые режимы в отношении деловой (коммерческой), медицинской и иной информации, предоставляя в отдельных случаях дополнительную правовую защиту.

В ч. 4 Гражданского Кодекса КНР, вступившего в силу 1 января 2021 г., под «персональной информацией» понимается информация, фиксируемая в электронной или иной форме, которая позволяет идентифицировать определенное физическое лицо на автономной основе или в совокупности с другой информацией, включая ФИО, дату рождения, номер документа, удостоверяющего личность, биометрическую информацию, адрес, телефон, адрес электронной почты, информацию о состоянии здоровья и месте нахождения. Законодатели намеренно связали понятия «право на частную жизнь» и «персональная информация». В Гражданском кодексе закреплен принцип, согласно которому положения об обеспечении конфиденциальности применяются к «частной информации» в рамках персональных данных; при отсутствии данных положений действуют нормы о защите персональной информации³⁴.

Авторы отмечают, что уровень контроля за персональными данными в Китае довольно высок. В 2005 г. появилась «Государственная стратегия по развитию информатизации в период 2006–2020 гг.», в которой был разработан целый комплекс мер для обеспечения информационной безопасности³⁵; фактически программа реализована. Изначально персональные данные с точки зрения китайского законодателя – достаточно широкое по объему понятие, включающее в себя, например, сведения о приобретенных железнодорожных билетах (в том числе, после поездки), факт любых обращений в государственные органы, покупки в магазинах (отдельно по категориям товаров, например, алкоголя, дорогостоящих продуктов и т. п.)³⁶.

Между тем, указанное обстоятельство связано не столько с желанием властей предоставить надлежащую правовую защиту гражданам, сколько с так называемой «системой социального рейтинга», предполагающей жесткий контроль государства за социальной активностью граждан³⁷.

В марте 2018 г. главный орган стандартизации Китая – Национальный технический комитет по стандартизации информационной безопасности Китая (TC260) – выпустил государственный стандарт «Спецификация безопасности личной информации», охватывающий сбор, хранение, использование, обмен, передачу и раскрытие личной информации интернет-пользователей КНР. Этот стандарт является органичным дополнением к вышеупомянутому закону о кибербезопасности и позволяет использовать в указанных целях технологию блокчейн. Мы видим, что Китай, по-прежнему отдающий приоритет вмешательству государства в частную жизнь своих граждан, тем не менее многое может перенять и из европейского опыта: условия согласия пользователей, «право на забвение», формулирование политики конфиденциальности бизнеса, и т. д.

Двадцать девятого апреля 2021 г. Китай опубликовал второй проект Закона о защите личной информации, в котором в части объема понятия «персональные данные» воспринят широкий, европейский подход, предполагающий считать персональными данными различные виды информации, относящейся к любым идентифицированным или идентифицируемым физическим лицам, зарегистрированным электронным или другим способом, и означает, например, полное имя лица, дату рождения, пол, адрес, резюме, отпечаток пальца, идентификационный номер и т. д.³⁸, однако это не обязательно связано с созданием эффективного механизма защиты субъективных прав в сфере персональных данных, что следует из анализа самого законопроекта³⁹.

На основании подп. 29 п. 3 ст. 1 Закона Индии «О защите персональных данных» (Personal Data Protection Bill, 2018)⁴⁰, персональные данные – это данные или относящиеся к физическому лицу сведения, которое можно прямо или косвенно идентифицировать с учетом любой характеристики, признака, атрибута или любой другой особенности личности такого физического лица, или любой комбинации таких признаков, или любой комбинации таких признаков с любой другой информацией.

В Японии 1 апреля 2005 г. вступил в силу Закон «О защите персональной информации». Право на защиту персональных данных здесь является неотъемлемой частью права на неприкосновенность частной жизни, которое гарантируется японской Конституцией (1947 г.), а сами персональные данные определяются весьма широко с указанием, однако, на персонификацию (идентификацию) как условие их защиты.

Безусловно, необходимое внимание должно быть уделено и национальным правопорядкам государств из состава бывшего СССР. Здесь, прежде всего, разумеется, нельзя обойти стороной позицию российского законодателя.

В силу п. 1 ст. 3 Федерального закона «О персональных данных» от 27 июля 2006 г. № 152-ФЗ персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

В Казахстане вопросы защиты персональных данных в сети Интернет прямо увязаны с кибербезопасностью. Концепцию кибербезопасности Республики Казахстан («Киберщит Казахстана»)⁴¹ можно рассматривать в качестве типичного и достаточно удачного примера модели обеспечения информационной безопасности в странах СНГ. Защита персональных данных указывается в качестве особой, самостоятельной задачи (цели) государственных органов и других субъектов по обеспечению информационной безопасности в области информатизации. Разработчики Концепции увязывают такого рода деятельность также с исполнением норм Закона Республики Казахстан «О национальной безопасности» и Закона Республики Казахстан «О персональных данных и их защите». В п. 2 ст. 1 Закона Республики Казахстан от 21 мая 2013 г. № 94-V «О персональных данных и их защите» (с изменениями и дополнениями по состоянию на 2 января 2021 г.)⁴² определено, что персональные данные – сведения, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.

На основании ст. 2 Закона Украины «О защите персональных данных» от 1 июня 2010 г. № 2297-VI⁴³ персональные данные – сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано. В п. 1 ст. 3 Закона Республики Армения «О защите личных данных» от 18 мая 2015 г. № ЗР-49⁴⁴ определено, что личные данные – любое относящееся к физическому лицу сведение, которое дает возможность или может дать возможность прямо или косвенно идентифицировать личность лица. В ст. 1 Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных»⁴⁵ также указано, что персональные данные – любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано. В п. «а» ст. 2 Закона Грузии «О защите персональных данных» от 28 декабря 2011 г.⁴⁶ № 5669-რს под персональными данными предлагается понимать любую информацию, связанную с идентифицированным или идентифицируемым физическим лицом. Лицо является идентифицируемым, когда возможно его идентифицировать прямо или косвенно, в частности, по идентификационному номеру или характерным физическим, физиологическим, психологическим, экономическим, культурным либо социальным признакам.

Можно продолжать цитировать национальное законодательство и далее, однако в этом вряд ли присутствует особая необходимость, поскольку основные выводы уже можно сделать.

Во-первых, единая терминология в части персональных данных как объекта правовой защиты отсутствует: нередко понятия «персональные данные», «личные данные (данные личного характера)», «конфиденциальные данные» и т. п. совпадают, однако такое единство наблюдается далеко не всегда. Наиболее часто все же предполагается такая градация: личные данные (данные личного характера) – наиболее широкое, родовое понятие, персональные данные – разновидность личных данных. Конфиденциальные данные – всегда данные личного характера; они могут быть персональными или же нет, но персональные данные всегда конфиденциальны в пределах, установленных позитивным правом.

По нашему мнению, как следствие, сегодня на международном правовом уровне единства терминологии также сложно достичь путем толкования норм национальных правопорядков, и во всех случаях даже при единообразном понимании термина придется обращаться к его содержательным характеристикам.

Во-вторых, персональные данные – это всегда конфиденциальные в силу закона и в установленных им пределах данные личного характера, защищаемые правом (обычно при условии возможности идентификации с конкретной личностью) или даже требующие особой защиты. Объем же понятия «персональные данные» – не одинаков, как различны их виды, структура и т. п., о чем подробнее поговорим ниже.

Вместе с тем, независимо от указанного объема понятия, в предлагаемых национальным законодательством дефинициях «персональных данных» обычно подчеркивается два момента: личный (в противовес публичности) характер персональных данных и их принадлежность конкретному лицу (идентифицируемость).

Свойство идентифицируемости (принадлежности сведений о лице конкретному субъекту), тем не менее, не может быть единственным, хотя и определяет многое.

В-третьих, право предоставляет защиту персональным данным не вследствие их каких-либо особых свойств, а по той прозаичной причине, что раскрытие персональных данных может принести вред.

С одной стороны, такой материально-правовой подход способствует лучшей реализации правом своих восстановительной и компенсационной функций (в том числе, в части юридической ответственности за разглашение данных личного характера). С другой стороны, очевидно, что свойство потенциального причинения вреда раскрытием персональной информации не может стать сущностным признаком самих персональных данных ввиду своего явно оценочного характера, а иное снизило бы уровень правовой защиты интересов в сфере персональной информации. Однако его субсидиарное применение вполне возможно и допустимо.

В международном праве понимание персональных данных как объекта правовой защиты также неоднозначно.

В частности, в ст. 2 Конвенции «О защите физических лиц в отношении автоматизированной обработки данных личного характера», принятой в Страсбурге 28 января 1981 г.⁴⁷, предложено достаточно широкое понимание категории «данные личного характера» (аналог понятия «персональные данные», свойственного для национальных правопорядков республик в составе бывшего СССР), – это любая информация о физическом лице, что в современных социально-правовых реалиях, как мы отмечали выше, вряд ли верно. В то же время Конвенция защищает только лишь ту информацию, содержащую личные данные, которая подверглась автоматизированной обработке, т. е. подход Конвенции не универсален.

Непосредственно, в п. «a» ст. 2 Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных персональные данные определены как любая информация об определенном или поддающемся определению физическом лице («субъекте данных»)»⁴⁸. По сути, в рамках Конвенции защищается информация, содержащаяся в так называемых «автоматизированных файлах данных», т. е. информация как результат автоматической обработки. К последней Конвенция относит такие приемы и операции как: 1) хранение данных; 2) осуществление логических и/или арифметических операций с этими данными; 3) изменение данных; 4) уничтожение данных; 5) поиск данных; 6) распространение данных.

Регламент Европейского Парламента и Совета 2016/679 «О защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных и отмене Директивы от 27 апреля 2016 г.⁴⁹ 95/46/EC (Общие правила защиты данных)» в п. 1 ст. 4 предусматривает, что «персональные данные» – любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу («субъект данных»); идентифицируемое физическое лицо – это лицо, которое может быть идентифицировано прямо или косвенно, в частности, посредством ссылки на идентификатор, такой как имя, фамилия, идентификационный номер, данные о местоположении, онлайн-идентификатор или один или несколько характерных для указанного лица физических, физиологических, генетических, духовных, экономических, культурных факторов, или ссылаясь на факторы социальной идентичности. Схожее определение повторяется в п. «а» ст. 2 Регламента № 45/2001 Европейского парламента и Совета Европейского союза «О защите физических лиц при обработке персональных данных, осуществляемой учреждениями и органами Сообщества, и о свободном обращении таких данных»⁵⁰.

«Персональные данные» в понимании Основных положений Организации по экономическому сотрудничеству и развитию (ОЭСР) о защите неприкосновенности частной жизни и международных обменов персональными данными от 23 сентября 1980 г.⁵¹, в отличие от предыдущего рассмотренного нами акта, означают любую информацию, относящуюся к индивидууму («субъекту данных»), чья личность либо известна, либо может быть установлена. В подп. «б» п. 1 ч. 1 Руководства (основные положения) по защите неприкосновенности частной жизни и трансграничной передаче персональных данных⁵² (также акт Организации по экономическому сотрудничеству и развитию) данное определение повторено.

Таким образом, в указанных выше случаях мы видим, что персональные данные (или информация личного характера) определяются в международных правовых актах непосредственно.

Вместе с тем здесь используется два подхода. В первом случае персональные данные определяются прямо как дефиниция объекта защиты. Во втором случае предлагается достаточно широкое понимание «личной информации» («информации о личности»), однако особым образом оговариваются случаи и ситуации, в которых данная информация защищается правом.

Имеет место и другая позиция.

Например, хотя в ч. 1 ст. 1 Соглашения об обеспечении информационной безопасности в рамках общих таможенных процессов в государствах – членах Евразийского экономического сообщества от 19 мая 2011 г.⁵³ и не содержится определения персональных данных, однако, во-первых, дано достаточно широкое понимание «информации» (как любых сведений о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления), а, во-вторых, сделан акцент на требовании о конфиденциальности информации, что позволяет, в рамках Соглашения, выработать близкое к указанным выше понимание категории информации личного характера. В целом же не исключается и применение определения понятия «персональные данные», представленного в ранее заключенных сторонами Соглашения двух- и многосторонних договоров в указанной сфере.

Соответственно, мы наблюдаем здесь следующий подход: в нормативных актах предусматривается лишь достаточно широкое «базовое» определение информации, а содержание категории «информация личного характера» конструируется правоприменителем искусственно – посредством применения тех или иных принципов и требований (в частности, принципа конфиденциальности и т. п.) к деятельности, связанной с обработкой информации. Субсидиарно не исключается в применении и межгосударственное договорное регулирование.

В ст. 2 Соглашения о сотрудничестве государств – участников Содружества Независимых Государств в области обеспечения информационной безопасности от 20 ноября 2013 г.⁵⁴ указано, что защищаемая информация – информация, подлежащая защите в соответствии с законодательством государств – участников СНГ и/или требованиями, установленными обладателем данной информации.

В данном случае уже налицо обращение для установления объема понятия «персональные данные» напрямую к национальным правопорядкам. Межгосударственное соглашение «уклоняется» от дефиниций, предлагая лишь механизм взаимодействия в связи с особым объектом правоохраны.

Таким образом, к признакам личной (персональной) информации доктрина и объективное право относят следующие признаки, которые, как мы полагаем, являются необходимыми и достаточными характеристиками персональных данных, позволяющими отграничивать их от смежных объектов правовой охраны.

Во-первых, это всегда сведения личного характера (данные о личности). То есть, эти данные должны тем или иным образом характеризовать личность. В принципе, не имеет значения степень освоения индивидом своей социальной сущности – речь идет о физическом лице любого уровня развития и социализации, причем как находящегося в «обычных» социальных условиях, так и вне общества. Неважным будет в указанном смысле и физическое либо психическое состояние такого лица.

В результате это любые сведения о личности, т. е. о лице, обладающем свойствами субъекта права.

При этом законодательство ряда стран допускает защиту личной информации об умерших людях именно как их персональных данных, о чем мы подробнее поговорим позже. По нашему мнению, теоретически не исключена и защита прав на личную информацию еще не родившегося лица (эмбриона).

В любом случае в рамках национальных правопорядков и международного права защищается два вида личной информации: идентифицирующие личность данные, изначально характеризующие те или иные свойства (стороны) правового статуса конкретной личности (пол, возраст и т. п.), и сведения об отдельных формах или актах ее социальной активности (заключение договора, поступление на работу, обращение за медицинской помощью и т. п.).

Эти сведения неотъемлемо присущи личности, они неотчуждаемы законным образом (имя, номер налогоплательщика и т. п.), могут быть врожденными (код ДНК, биометрическая информация в виде папиллярных узоров на пальцах рук или особенности сетчатки глаза и т. п.) или приобретенными (отдельные физические навыки или, напротив, недостатки), в том числе приобретенными в процессе социализации (пароль на портале электронных госуслуг и пр.) В то же время сведения такого рода могут обладать признаком повторяемости (можно найти иное лицо того же пола, с такой же фамилией и т. п.) или свойством изменчивости (возраст, рост, вес).

При создании дефинитивных конструкций персональных данных были предприняты отдельные попытки определения персональных данных по сфере подлежащей защите личной информации, однако, проведя анализ почти всего «наличного» законодательства о персональных данных, принятого в национальных правопорядках, М.В. Бундин справедливо отметил, что почти все предложенные определения характеризуют их как «любую информацию, которая может быть связана с индивидом или идентифицирована с ним», а следовательно, персональные данные могут охватывать практически все сферы жизни индивида⁵⁵ и не могут иметь в качестве сущностного признака указания на сферу своего существования.

Во всех случаях надо помнить, что такие сведения личного характера не всегда глубоко индивидуальны (как, например, данные о возрасте или поле лица), однако в своей идеальной совокупности также обладают свойством индивидуализировать конкретную личность. По сути, такого рода персональные данные позволяют отграничивать указанную личность от любой другой личности.

Сами по себе данные – это информация, поэтому к указанным данным и предъявляются все требования, обращенные правом к информации, хотя и с отдельными уточнениями, поскольку это все-таки информация особого характера, персонифицированная информация.

Во-вторых, несмотря на неотъемлемость и неотчуждаемость личных (персональных) данных, естественно-правовую природу принципа неприкосновенности личности, ее частной жизни, правовая защита предоставляется лишь отдельным конкретным данным о личности, определенным позитивным правом.

По своим внутренним качествам эти сведения таковы, что их раскрытие создает потенциальную угрозу причинения вреда указанному лицу или иным лицам, либо прямо причиняет им вред. Вред может принести не только их раскрытие неопределенному кругу лиц: персональные данные обладают также признаком потенциальной используемости третьими лицами в собственных целях, что чаще всего и бывает с противоправным использованием персональных данных на практике. То есть, использование персональных данных третьими лицами (угроза такого использования) зачастую (но не всегда) как раз и причиняет ущерб.

В-третьих, не каждое сведение о личности может быть защищено, в том числе и постольку, поскольку не каждое сведение может быть использовано третьим лицом (но не только по указанной причине). Защищаются сведения личного характера, так или иначе позволяющие идентифицировать конкретного субъекта как носителя данных личностных характеристик.

Признак возможности идентификации как бы «связывает» личный характер указанных сведений и возможность причинения ущерба их раскрытием. Логика здесь такова: персональные (личные) данные охраняются (защищаются) законом и государством по той причине, что их раскрытие потенциально способно причинить ущерб, однако лишь в случае идентификации – в той или иной степени достоверного отождествления конкретного лица с личностью, обладающей названными персональными характеристиками.

Кстати, одной из наиболее часто встречающихся на практике реальных целей противоправного использования чьих-либо персональных данных является попытка выдать себя за иное лицо (неправомерно идентифицировать себя с другим лицом) для получения какой-либо материальной или иной выгоды.

Вместе с тем, идентифицируемость нельзя абсолютизировать.

С точки зрения биологии и физиологии человеческих процессов сегодня только индивидуальный код ДНК может совершенно однозначно идентифицировать конкретное лицо. К этому виду информации близки папиллярные узоры на пальцах рук, строение человеческого уха, радужная оболочка глаза и иные биометрические данные, которые хоть и обладают уникальностью на практике, но могут и не быть таковыми в теории ввиду значительной численности населения земного шара и их потенциальной повторимости с той или иной степенью вероятности.

Не каждый признак, характерный для указанной личности и достаточно «редкий», а потому по идее пригодный для сравнения, может быть использован для целей идентификации. Например, у конкретного человека может быть известен точный вес его сердца (вплоть до грамма) или количество волос в пышной шевелюре, однако вряд ли такие сведения могут быть пригодны в большинстве случаев для надлежащей идентификации хотя бы вследствие технической сложности сверки сведений о личности с реальной личностью на практике.

В социальной сфере мы наблюдаем процесс наделения субъекта государством некими персонифицированными знаками или кодами, такими, например, как серия и номер паспорта, индивидуальный код налогоплательщика и т. п. Эти сведения, безусловно, относятся к персональным данным, но вряд ли их достаточно для идентификации конкретного лица во всех ситуациях хотя бы вследствие изменчивости иных характеристик субъекта, служащих «эталоном» для проверки принадлежности персональных данных (например, изменчивость внешности с возрастом), или сложности верифицируемости (вроде личной подписи человека, выполненной небрежно или в необычных условиях, что не позволит эксперту сделать соответствующий однозначный вывод).

Достаточно часто для практических целей идентификации необходима целая совокупность идентифицирующих личность признаков: как минимум, имя конкретного лица и иной его идентифицирующий признак (код).

Таким образом, нами выделена совокупность необходимых и достаточных признаков для определения понятия «персональные (личные) данные», под которыми мы предлагаем понимать неразрывно связанные с конкретной личностью сведения о ней, предполагающие ее идентификацию или способствующие ее идентификации, раскрытие которых реально или потенциально может принести вред правам и (или) охраняемым законом интересам этого лица или иных лиц, т. е. причиняет ущерб в реальной действительности или создает угрозу причинения вреда.

Основные нормативно-правовые подходы к защите личной информации в глобальном информационном пространстве и национальных правопорядках достаточно подробно изучены в литературе⁵⁶ и не в полной мере относятся к теме нашей работы. В работе мы предложили обзор наиболее значимых национальных и международных правовых актов в исследуемой сфере.

Подводя итоги собственного анализа приведенных выше и национальных нормативных правовых актов в контексте имеющихся международных руководящих норм и документов, отметим, что в отсутствие единого структурного подхода к вопросам правового регулирования обеспечения кибербезопасности в сфере работы с персональными данными в мире сегодня наблюдается два основных подхода к системному регулированию в указанной области.

Во-первых, в ряде развитых государств (США, Канада, страны Европы) в качестве основного законодательства в этой связи выступает именно законодательство о персональных данных, которое включает в себя значительные массивы норм, разрешающих вопросы именно защиты персональных данных в киберсреде, либо по этому поводу существуют отдельные нормативные правовые акты.

Указанный инструментарий правового регулирования дополняется иным законодательством (иногда возникшим даже ранее законодательства о персональных данных), например, законодательством о контрактах, о противодействии киберпреступности (в виде уголовных материальных и процессуальных норм) и т. п. Это законодательство имеет либо особый (вопросы уголовного права), либо субсидиарный характер по отношению к нормам о защите персональных данных в киберсреде.

Распространены доктрины информационной безопасности, которые имеют, в первую очередь, технологический характер и служат основой для принятия мер по защите персональной информации в различных наиболее актуальных сферах общественной жизни (в военной сфере, в области обеспечения информационной безопасности объектов жизнеобеспечения и т. п.).

Также для первого подхода характерна постепенная географическая унификация указанных норм, например, в виде актов Евросоюза для стран Европы.

Условно указанный подход можно назвать «персональным», так как именно личные данные как объект правовой защиты здесь рассматриваются в качестве приоритета.

Во-вторых, в России и других республиках, ранее входивших в состав СССР, а также в ряде азиатских стран предполагается наличие сформированного института законодательства о персональных данных, где вопросы защиты персональной информации в киберсреде решаются достаточно фрагментарно с отсылкой к законодательству об информации и защите информации. Это законодательство выступает в качестве законодательства специального и применяется не субсидиарно, а, в первую очередь, при возникновении нерешенных вопросов защиты личной информации в законодательстве о персональных данных.

Данный подход, скорее, можно обозначить как «информационный», так как в приоритете здесь находится именно тот или иной вид личной информации.

В указанном случае также имеются доктрины, однако они выступают в виде концепций, программ и иных ориентиров, в первую очередь, для дальнейшей правотворческой деятельности в этом направлении.

Региональные акты (вроде конвенций по странам СНГ, тех или иных соглашений в рамках ШОС и т. п.) более разрешают вопросы взаимодействия между национальными правопорядками, хотя последующая унификация в качестве цели таких актов также не исключается.

Различия между первым и вторым подходами обусловлены многими факторами, среди которых основными, по нашему мнению, выступают историко-правовая традиция приоритетности естественных либо позитивных прав, а также сам путь формирования соответствующего законодательства.

В частности, не секрет, что в связи с наиболее ранним распространением информационных технологий в развитых странах первоначально там возникли значимые массивы норм о компьютерной и иной информационной безопасности, а также о защите персональных данных. Эти массивы законодательства были фактически сформированы уже к концу 1970-х гг.

В странах, придерживающихся второго подхода, лишь в начале 1990-х гг. стало развиваться законодательство об информации и ее защите, а уже позднее – законодательство о персональных данных.

При этом «корни» законодательства о персональных данных также различны: для государств «персонального» подхода это гражданское законодательство (в том числе, в части рекламы и иных компонентов маркетингового комплекса), а для национальных правопорядков «информационного» подхода это, видимо, все-таки сфера трудового права в части персональных данных работников.

Особенно интересным и показательным в этой связи представляется подход российского законодателя, для которого характерны два алгоритма правовой регламентации, несвойственные для иных правопорядков.

В первую очередь, следует вести речь о создании механизма получения информации с учетом защищенности персональных данных и иной информации применительно к конкретному виду сведений в рамках конкретной «информационной вертикали». Здесь приоритетным является законодательство об информационном обеспечении в конкретной сфере.

Во втором случае, устанавливается приоритетность тех или иных целей, а вопросы защиты персональных данных имеют субсидиарный характер и решаются попутно.

Мы видим, что в обеих ситуациях законодатель, предоставляя алгоритмы правомерных действий в информационной среде, по сути обходится без применения непосредственно законодательства о персональных данных.

В результате можно утверждать, что принятый в ряде государств «информационный» подход к формированию системы защиты личной информации не в полной мере соответствует нормам международного права. Он постулирует в качестве приоритета защиту главным образом не частного, а государственного (публичного) интереса, одновременно не обладает необходимой универсальностью. В ряде случаев нормативные акты в исследуемой сфере неконкретны и декларативны. Отмеченный подход характеризуется отсутствием процессуальных и процедурных норм в целях своей реализации. Как правило, законодатель в указанных национальных правопорядках не устанавливает персональные данные в виде особого предмета правовой охраны.

Вместе с тем нельзя не указать, что такого рода подход отличается разработанностью отдельных норм и институтов. Он представляет собой относительно стройную систему инструментов правового регулирования, начиная с концепций и заканчивая проблематикой защиты личной информации в конкретной среде, и разрешает многие вопросы взаимодействия в сфере защиты персональной информации между субъектами публичного права.

В итоге, на основании имеющегося нормативного материала, симбиоз «персонального» и «информационного» подходов в современных условиях вряд ли возможен.

Тем не менее мы полагаем, что возможна унификация понятия «персональные данные» в международном праве. Такого рода унификация может быть осуществлена в виде минимального «набора» признаков, имманентно присущих «персональным данным» как категории, описанных нами выше. Непосредственно в международно-правовом акте, предусматривающем защиту (охрану) персональных данных в глобальном информационном пространстве, вполне возможно указать, что персональные (личные) данные – это способствующие идентификации личности сведения о ней, раскрытие которых причиняет вред или создает угрозу его причинения.

Подводя некоторые итоги, отметим, что принцип неприкосновенности личности – один из основополагающих принципов современного права. Данный принцип – комплексный, состоящий из нескольких взаимосвязанных принципов, среди которых можно выделить в качестве самостоятельного фундаментального правового начала и принцип охраны (тайны) частной жизни.

Защита персональных данных как особого объекта права связана, с одной стороны, с реализацией общих принципов права, направленных на защиту личности как относительно автономного субъекта социума, в том числе такого принципа, как принцип неприкосновенности (охраны) частной жизни, а с другой стороны – с необходимостью повысить гарантии стабильности и правопорядка в виде защиты той или иной информации от новых угроз как «предзащиты» для права собственности, прав субъектов договорных отношений, таких категорий как честь, достоинство и деловая репутация, и т. п.

Изначально правовая охрана личной информации предоставлялась национальным законодательством. Впоследствии необходимость защиты персональных данных получила значение международно-правового императива. Указанное обстоятельство было вызвано в совокупности двумя причинами. Во-первых, это было связано с общей тенденцией и стремлением к предоставлению международным правом тех гарантий для реализации личности, что приняты в развитых в этом отношении национальных правопорядках, широкому кругу лиц независимо от их принадлежности к той или иной государственно-правовой системе. Во-вторых, это было вызвано объективной необходимостью, поскольку обработка, передача, хранение и другие операции с персональными данными приобрели трансграничный характер.

Соответственно, можно с большой долей уверенности предполагать, что и в будущем часть вопросов правового регулирования «оборота» персональных данных объективно будет решена в национальных правопорядках, тогда как другую (фундаментальную) часть можно будет урегулировать на уровне международного права с последующей рекомендательной имплементацией этих норм в национальные и региональные правовые системы.

Мы выделили три необходимых и достаточных для отграничения от смежных правовых явлений признака персональных данных как объекта правоохраны, к которым относятся: личный характер таких данных, угроза причинения вреда в случае их раскрытия, а также возможность идентификации личности; предложили их подробные характеристики и показали взаимосвязи.

По результатам исследования нами предложено доктринальное авторское определение персональных данных, под которыми мы предлагаем понимать неразрывно связанные с конкретной личностью сведения о ней, предполагающие ее идентификацию или способствующие ее идентификации, раскрытие которых реально или потенциально может принести вред правам и (или) охраняемым законом интересам этого лица или иных лиц, т. е. причиняет ущерб в реальной действительности или создает угрозу причинения вреда.

Вместе с тем в процессе создания норм международного права, пригодных к дальнейшему отражению в национальных правовых системах, допустимо некоторое упрощение указанного определения, в соответствии с которым персональные (личные) данные – это способствующие идентификации личности сведения о ней, раскрытие которых причиняет вред или создает угрозу его причинения.

1.2. Юридическая природа технологии защиты личной информации

В современной правовой доктрине повышенное внимание уделяется вопросам претворения правовых норм в жизнь, что многими авторами связывается с вопросами юридической техники и технологии⁵⁷, хотя не всегда присутствует желательное единство научных позиций даже по поводу самих понятий юридической техники и технологии, их взаимосвязей и соотношения⁵⁸. Распространено, например, мнение о том, что юридическую технику можно рассматривать как систему средств, правил и приемов той или иной юридической деятельности и, одновременно, как часть юридической технологии⁵⁹. Другие авторы понимают под техникой совокупность только лишь средств (относя способы к тактике), но также предполагают любую разновидность юридической техники частью юридической технологии⁶⁰.

Нет в науке и определенности с понятием самой юридической технологии⁶¹, а также в отношении ее содержательных характеристик⁶², что в определенной мере связано с многогранностью и многозначностью этого понятия.

Этимологически технология чаще всего рассматривается как система каких-либо методов, реализуемых в процессе производства продукции»⁶³, система особых, объединенных в одно целое производственных операций⁶⁴. С точки зрения философии технология (в числе прочего) – это сфера деятельности человека вместе с совокупностью знаний, обеспечивающих ее, либо общая характеристика деятельности, типичной для того или иного социума⁶⁵.

С точки зрения исторического генезиса указанного понятия, оно вошло в научный оборот в начале XIX в. и предполагало систему знаний, показывающую способы, которыми разнообразные произведения природы обрабатываются, приготавливаются и делаются товарами⁶⁶. Подробный анализ исторического понимания «технологии» с позиций юриспруденции уже присутствует в литературе⁶⁷.

В настоящее время в юридической науке и смежных общественных дисциплинах подробно исследованы избирательная и политическая технологии⁶⁸, экономико-правовая технология⁶⁹, координационная технология⁷⁰ и иные разновидности юридических технологий.

В развитых государствах давно уже рассматривается проблематика экономико-правовых и информационно-правовых технологий как средства защиты информации⁷¹. В качестве особой современной технологии в указанной сфере можно рассматривать и технологию блокчейн⁷². Распространены информационно-правовые технологии, включающие проблематику защиты персональных данных, например, в банковском секторе⁷³.

В настоящее время распространена позиция, которая предполагает защиту персональной информации, в том числе в глобальном информационном пространстве, главным образом с помощью информационно-коммуникационных технологий. По сути, речь идет о совокупности технологических процессов, реализованных на базе программно-технических средств, информационных и кадровых ресурсов, интегрированных для поиска, сбора, создания, обработки, хранения, распространения информации и предоставления продуктов и услуг для удовлетворения информационных потребностей⁷⁴, хотя отдельными исследователями и подчеркивается в этой связи взаимосвязь двух аспектов – научного (системы научных положений и рекомендаций на их основе) и практического (использование технических средств в процессе целенаправленной деятельности по поиску, сбору, хранению, обработке, предоставлению и распространению персональной информации)⁷⁵. Схожим образом исследуемую дефиницию толкуют составители словарей, энциклопедий, другой справочной литературы по теории информации⁷⁶, а также национальные правопорядки отдельных стран⁷⁷.

Примерно так же информационная технология в интересующей нас сфере понимается и ЮНЕСКО, где в определении технологии, однако, присутствует не только «строго технологический», но и организационный, научный, управленческий и любые иные аспекты⁷⁸.

Между тем анализ научных достижений в указанной сфере позволяет прийти к выводу о некоей универсальности термина «технология». В этой связи особенно значимо то обстоятельство, что технология защиты персональных данных в глобальном информационном пространстве не может быть просто совокупностью технических приемов и средств, это понятие более социальное. Данная технология социальна уже в силу самого понятия личной информации, противопоставления личного и общественного в данной конкретной ситуации. Недаром современные авторы считают социальную технологию сегодня средством разрешения имеющихся в обществе проблем⁷⁹.

Технология правовой охраны и защиты персональных данных имеет не только некое «техническое», но и сугубо социальное значение. Такая технология может рассматриваться как эффективный способ организации и упорядочения целесообразной практической деятельности в сфере «обращения» персональных данных⁸⁰ как совокупность способов целевой деятельности, направленной на обеспечение гарантий интересов личности и общества при «работе» с персональными данными⁸¹, как способа выражения интереса при обеспечении доступа к личной информации⁸².

В науке верно отмечается, что такого рода социальная технология должна быть полноценно урегулирована нормами права: именно в таком случае она приобретает не просто организационный, но и управленческий характер⁸³, становясь, таким образом, управленческой технологией как разновидностью технологии социальной.

В свою очередь и управленческая технология может подразделяться на виды, одним из которых можно считать и технологию управления процессами получения и использования информации личного характера⁸⁴, в том числе с точки зрения субъектов сбора и обработки персональных данных, их полномочий и взаимосвязей и т. п.⁸⁵

В литературе указывается, что уже само по себе решение социальных проблем (а проблема обеспечения охраны личной информации как раз и является таковой) – это комплексная задача, стоящая перед различными отраслями человеческих знаний, в том числе перед юриспруденцией⁸⁶. Специфика самой социальной технологии предполагает построение системы методов и средств решения социальных проблем, включающих в себя комплексные решения, в том числе и юридического характера⁸⁷.

Вместе с тем понятие технологии в праве далеко не однозначно.

Хотя авторы обычно отмечают системность самой юридической технологии⁸⁸ и ее взаимосвязь с другими видами социальных технологий (включая информационную)⁸⁹, однако на практике, в частности, в судейской среде, под технологией понимается применение ее компонентов, например, принципов, правовых норм⁹⁰, методов и способов⁹¹, иного «набора инструментов», способных обеспечить рационализацию той или иной разновидности юридической деятельности⁹² и т. п. Подробный обзор имеющихся научных позиций сегодня сделан В.Н. Карташовым и С.В. Бахваловым⁹³.

Собственный анализ имеющихся точек зрения приводит нас к мысли, что многие предлагаемые авторами дефиниции имеют слишком абстрактный, общий характер, мало внимания оказывается не только имманентным признакам конкретных юридических технологий, но и таким их компонентам как результаты, правоотношения и пр.⁹⁴

В свою очередь, мы предлагаем рассматривать юридическую технологию в сфере охраны и защиты персональных данных в качестве полноценной разновидности юридической технологии. Мы определяем ее как объективно необходимую, основанную на соответствующих принципах, планах и прогнозах (стратегии) систему мыслительных и внешне актуализированных юридических и фактических действий и операций компетентных и уполномоченных ими органов, связанную с наиболее эффективной правовой охраной и защитой личной информации, в ходе которой наиболее оптимально используются необходимые ресурсы (людские, материальные, финансовые, трудовые и т. п.), средства (техника), приемы, способы, методы и правила (тактика), процессуальные формы (стадии, производства, режимы, иные устойчивые формы обращения персональных данных) и конкретные виды контроля (надзора) за соблюдением прав субъектов персональной информации с одновременной возможностью получения общественно-полезных результатов.

Юридической технологии в сфере правовой охраны и защиты персональных данных присущи, в первую очередь, признаки, которые имманентно присущи любой юридической технологии, и, во вторую очередь, признаки, свойственные именно для данного типа юридической технологии.

Во-первых, юридическая технология в сфере охраны и защиты персональных данных, наверное, в наибольшей степени, чем другие разновидности юридических технологий, восприняла в себя черты, характерные для таких разновидностей социальной технологии, как управленческая и информационная. Налицо объективная необходимость ее существования в силу ряда причин.

Во-вторых, речь должна идти не только о юридических, но и о фактических действиях и операциях, причем не только компетентных органов, но и иных уполномоченных ими на то субъектов (делегированное законодательство в сфере защиты персональных данных). В этой связи мы настаиваем на включении в определение данной юридической технологии указания на получение общественно-полезных результатов как на ее конечную цель.

В-третьих, юридическая технология правовой охраны персональных данных тесно связана с особенностями персональных данных в киберпространстве: с одной стороны, на юридическую технологию реализации и защиты прав на персональные данные оказывает значительное влияние специфика такого рода объекта правоохраны, с другой стороны, юридическая технология во многом определяет алгоритмы реализации прав на персональные данные, механизм их защиты и пр., что неминуемо сказывается на содержательных характеристиках самих личных данных, хотя не меняет и не может изменить выделенных нами выше трех сущностных свойств, имманентно присущих персональным данным.

Вообще персональные данные в глобальном информационном пространстве (киберсреде) отличаются от «обычных» как формой, так и в отдельных случаях содержанием.

На первый взгляд, очевидно, что любые персональные данные в глобальной информационной среде могут существовать исключительно в электронной форме, форме электронного документа.

Разумеется, есть идентифицирующие конкретную личность сведения, которые вообще могут существовать только в электронном виде (аккаунты в соцсетях, сделки и иные услуги в электронном виде, письменные обращения граждан на сайтах органов государственной власти, биометрическая или генетическая информация и т. п.). Некоторые персональные данные могут быть как на электронных носителях, так и в иной физической среде.

Личные данные «автоматически» попадают в глобальное пространство (реально или потенциально) с того самого момента, как только они появляются на носителе (в источнике, в форме), доступ к которому возможен из сети Интернет.

Интернет является пока еще мало изученной правовой средой. С одной стороны, интернет-среда влияет на персональные данные по форме и содержанию, их переработку, передачу и т. п., с другой – сами личные данные требуют для своей защиты особую технологию, которая реализуется путем соединений в сети Интернет.

Некоторых из отмеченных положений мы кратко касались выше, другие будут исследованы и доказаны нами в дальнейшем.

С информационно-технической точки зрения Интернет – это глобальное межсетевое компьютерное информационное пространство, априори не имеющее каких-либо границ, конечного числа пользователей, четких организационных элементов, с постоянно развивающимися и видоизменяющимися техническими характеристиками (архитектурой). Однако право оперирует другими понятиями – субъектно-объектными, поскольку само право – всегда та или иная юридическая интерпретация отношения чего или кого-либо к чему или кому-либо, то есть ценно рассматривать Интернет не сам по себе, а в контексте общественных отношений, где он может выступать либо субъектом, либо объектом.

С точки зрения теории права, концептов гражданского права в любых национальных правопорядках Интернет не может считаться субъектом права, о чем уже отмечалось в литературе по информационному праву⁹⁵ и в общей доктрине⁹⁶. Вместе с тем Интернет все же обладает определенными признаками институциональности, организованности: он создавался людьми и не может функционировать (пока, по крайней мере) совершенно без их участия, а использовать ресурсы Интернета можно лишь вступив в определенные отношения с провайдером, т. е. «подключившись» к Интернету.

Отдельные авторы указывают, что именно на Интернет направлены действия субъектов (клиентов, пользователей, провайдеров и т. д.)⁹⁷. Однако по сути «…Интернет не является физическим объектом, обладающим материальными характеристиками. Это самостоятельно действующий набор протоколов передачи данных (правила, которым следуют компьютеры и программы при обмене информацией), принятый многими телекоммуникационными сетями»⁹⁸. То есть, здесь главное назначение Интернета – не наличие информационного массива, а наличие возможности им пользоваться: мы же не признаем всю информацию, содержащуюся в книгах, объектом права! Та или иная информация, содержащаяся в Интернете, безусловно будет объектом правоотношений и является таковым на практике, но не сам Интернет как информационный массив.

Таким образом, Интернет не может выступать ни в качестве объекта, ни в качестве субъекта права. Ныне он приобрел новые качественные и количественные характеристики, не является ни субъектом, ни объектом права, а представляет собой новое жизненное пространство, в рамках которого и должно осуществляться правовое регулирование общественных отношений в будущем.

Здесь можно говорить также и о приобретении субъектами правоотношений новых, ранее не присущих субъектам права свойств и характеристик. Среди них мы видим анонимность субъекта Интернет-отношений. С точки зрения этимологии, анонимный – без указания имени того, кто пишет, сообщает о чем-либо, без подписи, а аноним – автор, скрывший свое имя⁹⁹. Анонимный – безымянный, без указания имени (фамилии)¹⁰⁰. В нашем случае анонимность выражается в том, что любое лицо может без собственной идентификации (в данном случае мы понимаем здесь «открытия своего имени иным лицам») получать и передавать информацию по сети Интернет.

Н.А. Дмитрик, исследуя проблемы осуществления субъективных гражданских прав с использованием сети Интернет, пишет, что «термин “идентификация пользователей” подходит лучше, чем “анонимность”: субъект может указать свое имя (наименование), однако сложно проверить его достоверность и проследить, действительно ли действия совершаются одним и тем же лицом, или же под одним идентификатором действуют несколько лиц»¹⁰¹. Далее он указывает, что анонимные сделки не являются нарушением гражданского законодательства, приводя следующий довод: «никто не отказывается, например, подать товар покупателю в магазине на том основании, что покупатель не представился»¹⁰².

Нам представляется, что здесь допущено смешение понятий, а вышеприведенный пример в данном случае некорректен.

Дело в том, что вопросы индивидуализации субъекта Интернет-отношений следует рассматривать поэтапно: сначала «анонимность», потом «персонализация» (т. е. идентификация в виртуальном мире под псевдонимом), а затем уже, если и этого не достаточно для реализации прав и обязанностей, защиты прав, и идентификация в собственном смысле, т. е. отождествление участника Интернет-отношений («лица в сети») с конкретным участником гражданского оборота (гражданином Ивановым, ООО «Космос» и т. п.) в реальном мире.

Иначе получается, что автор необоснованно смешивает понятия «аноним» и «псевдоним», которые, однако, различает даже обычное право. Что же касается «анонимных сделок», то представляется, что здесь автор не прав, поскольку для данной сделки (приведенной им в примере) просто не требуется идентификации, но, осуществляя продажу, продавец на основании личного опыта устанавливает, возможно ли совершить куплю-продажу с малолетним (в части его дееспособности), можно ли продать спиртное или табак лицу, совершеннолетие которого четко не прослеживается, не говоря уже о сделках с предметами, ограниченными в обороте (оружие и т. п.), либо имеющими иной режим (например, речь можно вести о необходимости нотариального согласия супруга на отчуждение недвижимости и т. д.).

Вторым сущностным признаком субъекта Интернет-права является его персонализация либо отсутствие персонализации.

В случае персонализации субъект Интернет-права (уже имеющийся!) обозначает себя в Интернет-сообществе, индивидуализирует себя, выделяя из «анонимной толпы». Словари указывают, что персона – это особа, личность, человек, лицо, а персональный – индивидуальный, касающийся только одной личности¹⁰³, касающийся только одного лица, относящийся только к одному лицу¹⁰⁴. Регистрация доменного имени, присвоение ника, регистрация адреса электронной почты и т. п. – это и есть персонализация.

Третьим возможным признаком субъекта Интернет-права является его идентифицируемость с конкретным физическим или юридическим лицом. По существу, идентификация – это отождествление, приравнивание или уподобление¹⁰⁵, а идентифицировать – установить совпадение, идентичность (тождественность, полную совпадаемость)¹⁰⁶.

Теоретически, конечно, идентификация возможна почти в любом случае (например, через компьютер, с которого осуществлен выход в сеть и т. п.), но такого рода идентификация находится уже за пределами Интернет-права и характерна для обычного права (например, уголовного, уголовно-процессуального в случае поиска преступника и т. п.), и для нас это является несущественным, тем более что в этом нет и необходимости.

Идентифицируемость необходима субъекту для перехода к обычному правовому регулированию (например, фактическое получение имущества по сделкам, заключенным в сети Интернет), для повышения статуса персонифицированного субъекта в сети Интернет (в частности, это «официальность» серверов и сайтов органов власти), в других подобных целях или без таковых.

Таким образом, основными свойствами субъектов Интернет-права является только анонимность и, лишь по желанию самого субъекта, последующие персонализация или идентификация¹⁰⁷, которые в Интернет-праве понимаются более широким образом, чем в праве «обычном». Отмеченное обстоятельство оказывает влияние и на суть персональных данных пользователей сети Интернет.

Таким образом, Интернет как глобальное информационное пространство по своим сущностным характеристикам уже изначально способен влиять на содержание категории «персональные данные» и проблематику их оборота.

Вместе с тем, вряд ли можно согласиться с авторами, указывающими, что «бурное развитие информационных технологий привело к появлению информации, содержащей данные о конкретном лице»¹⁰⁸: такие подлежащие защите закона сведения рассматривались в качестве объекта права и ранее.

Вместе с тем нельзя не отметить, что понятия персональных данных (personal data), информации, позволяющей установить личность (personally identifiable information), и подобные им действительно возникли в различных правовых системах во второй половине XX в. в связи с появлением информационно-телекоммуникационных технологий, прежде всего сети Интернет. Таким образом, именно следствием развития информационных технологий стал беспрецедентный по объему оборот персональных данных в сети Интернет. В этой связи актуальным как раз и стал механизм самоконтроля граждан за размещением сведений о них в информационных системах глобальной сети, а также передачей такого рода информации¹⁰⁹.

Таким образом, необходимость использования баз данных вызвана потребностями современного общества. Среди очевидных преимуществ цифровой формы представления информации называются «возможность быстрого поиска необходимых сведений с использованием технологии гипертекстовых ссылок, позволяющих мгновенно переходить к интересующим разделам; легкость актуализации и предоставления неограниченному числу лиц посредством сети Интернет, что обусловливает востребованность баз персональных данных и эффективное их применение во многих областях общественной жизни»¹¹⁰.

В этой связи проблема правового регулирования оборота персональных данных на современном этапе становится одной из системных проблем правового регулирования отношений в Интернет-сфере¹¹¹. Здесь авторы отмечают, что сложность регулирования оборота персональных данных в сети Интернет изначально обусловлена факторами, определяющими социальное, экономическое, культурное и правовое значение глобальной сети: объемом, скоростью, доступностью, простотой и глобальностью оборота информации¹¹². По меткому выражению одного из авторов, здесь, по сути, речь идет о создании «естественного барьера» личного пространства физического лица¹¹³. Верно и то, что с экономической точки зрения неавтоматизированная обработка персональных данных была нецелесообразна. Ранее она осуществлялась преимущественно государственными органами (например, правоохранительными), а возможность легкого и доступного публичного распространения таких данных отсутствовала. Однако начиная с «эпохи Web 2.0», когда многие интернет-сервисы стали интерактивными площадками для оборота пользовательского контента, ситуация изменилась¹¹⁴.

Здесь существуют и относительно объективные сложности, присущие именно обороту персональных данных в глобальном информационном пространстве.

Прежде всего, согласимся с авторами, полагающими, что развитие сферы IT-технологий идет опережающими темпами по отношению к инструментам правового регулирования¹¹⁵. Право обычно «консервативно» и в ряде случаев (а здесь налицо именно такая ситуация) регулирование неизбежно будет отставать от научно-технического прогресса.

Помимо трансграничной передачи персональных данных, вопросы применимого права возникают также и в иных случаях обработки персональных данных, осложненной иностранным элементом. Зачастую обработка персональных данных осуществляется российским или иностранным обработчиком с использованием облачных технологий – «средств распределенной обработки, хранения и передачи данных посредством Интернета»¹¹⁶.

Одновременно стремительное развитие информационно-телекоммуникационных технологий порождает новые виды данных. Еще недавно было сложно представить, что технологии, связанные с использованием геолокационных данных, распознаванием личности по голосу, и другие подобные достижения цифровой эпохи станут частью обыденной реальности. Законодательство и практика правоприменения в области персональных данных должны совершенствоваться с учетом необходимости поддержания баланса между частными и публичными интересами, защиты прав граждан (в очередной раз подчеркнем, что задачей в этом случае является именно защита личной информации в смысле неприкосновенности частной жизни, а не защита любых иных прав и интересов, например, права собственности, инструментами законодательства о защите персональных данных)¹¹⁷.

Все указанное также позволяет говорить об особенностях юридической технологии охраны и защиты персональных данных в сети Интернет.

Технологию правовой охраны и защиты персональных данных можно считать системой как особой чертой материальной действительности¹¹⁸ и одновременно комплексом взаимосвязанных элементов. Эти элементы объединены в структуру, в рамках которой и устанавливается их взаимосвязь¹¹⁹, и как раз такого рода взаимосвязь придает всей системе необходимую целостность¹²⁰. Благодаря же структуре упорядочивается само содержание категории «юридическая технология по правовой охране и защите персональных данных»¹²¹. В любом случае речь идет о целостном единстве компонентов системы¹²², при том, что любая деятельность, которая как раз и опосредуется технологией, может быть представлена через особый набор действий и операций, а также последовательностью их осуществления¹²³.

То же самое можно сказать и о юридической технологии правовой охраны и защиты персональных данных, структуру которой можно определить как такое ее строение, расположение основных элементов и связей, которое обеспечивает ее целостность, сохранение основных свойств и функций при воздействии на нее тех или иных факторов общественной жизни.

При рассмотрении структуры данной разновидности юридической технологии следует иметь в виду, что одни связи и элементы могут быть несущественными и ситуативными, другие же, напротив, будут иметь закономерный характер и быть особо значимыми, т. е. можно говорить об изначальной неодинаковой ценности элементов структуры. В то же время, несмотря на свой различный «вес», элементы всегда определяют сам характер связи внутри системы, т. е. природа, расположение, количество, значимость и другие свойства элементов обусловливают способ (структуру) их взаимосвязи. В каком-то смысле элементы выступают материальным носителем связей и отношений, составляющих структуру системы. Поэтому в связи с целями данного исследования нас в большей мере и интересует не структура рассматриваемой юридической технологии как таковая, а сами элементы и их взаимосвязи.

Принципиально можно отметить, что в содержании предложенных авторами определений юридической технологии в какой-то степени можно усмотреть и ее структуру как набор взаимосвязанных элементов. Поэтому вслед за специалистами в указанной сфере¹²⁴ мы включаем в состав юридической технологии правовой охраны и защиты персональных данных: а) систему соответствующих средств (юридическую технику); б) систему приемов, способов и методов оптимальной юридической деятельности, т. е. тактику; в) научно обоснованные принципы, долгосрочные планы, прогнозы и методы деятельности (юридическую стратегию); г) сами действия и операции по сбору, обработке и «обращению» (хранению, передаче, предоставлению и т. п.) персональных данных; д) процессуальные формы указанной деятельности (юридические стадии, производства и режимы); е) показатели, характеризующие качество и эффективность такого рода юридической деятельности, а также временные, финансовые и иные затраты на эту деятельность; ж) соответствующие виды, формы, средства и методы контроля (надзора) за законностью, качеством и эффективностью принимаемых юридических решений (актов) в сфере правовой охраны и защиты персональных данных.

Подводя итоги, отметим, что исследование проблематики правовой охраны и защиты личной информации (персональных данных) сегодня перспективно в форме юридической технологии, полностью не подменяющей информационные, кибернетические и иные технические методы и приемы защиты такого рода информации, но предполагающие их наполнение правовым содержанием.

В результате юридическую технологию охраны и защиты личной информации (персональных данных) можно определить как объективно необходимую, основанную на соответствующих принципах, планах и прогнозах (стратегии) систему мыслительных и внешнеактуализированных юридических и фактических действий и операций компетентных и уполномоченных ими органов, связанную с наиболее эффективной правовой охраной и защитой личной информации, в ходе которой наиболее оптимально используются необходимые ресурсы (людские, материальные, финансовые, трудовые и т. п.), средства (техника), приемы, способы, методы и правила (тактика), процессуальные формы (стадии, производства, режимы, иные устойчивые формы обращения персональных данных) и конкретные виды контроля (надзора) за соблюдением прав субъектов персональной информации с одновременной возможностью получения общественно-полезных результатов.

Нами предложена структура данной юридической технологии, к элементам которой мы относим юридическую технику, тактику, стратегию, действия и операции субъектов указанных отношений, процессуальные формы указанной деятельности, показатели, характеризующие ее качество и эффективность, затрачиваемые ресурсы, контроль (надзор) в данной сфере.

1.3. Методология исследования проблематики правовой охраны персональных данных в глобальном информационном пространстве

Происходящие в современном мире глобальные изменения предполагают и новые вызовы для национальных правовых систем и системы международного права. В условиях негативной для большинства стран макроэкономической ситуации, осложненной карантином в связи с пандемией коронавируса, военными и иными внешнеполитическими рисками, налицо снижение уровня защиты частных прав при угрозе публичному интересу.

Принципиально права субъектов персональных данных вполне могут быть «принесены в жертву» государственным и общественным интересам, понимаемым сегодня как нельзя более широко, нежели ранее. Такие угрозы в настоящее время совершенно реальны, а развитие же института международно-правовых гарантий в указанной сфере явно застопорилось.

По указанной причине особое значение приобретает как категория юридической технологии обеспечения безопасности и защиты персональных данных в сети Интернет в целом, так и отдельные особо значимые элементы этой технологии, такие как стратегия и тактика защиты личной информации, правовая техника защиты (средства защиты), действия субъектов и участников данной разновидности юридической технологии и их результаты.

В науке до настоящего времени не сложилось общей концепции защиты персональных данных, не определена их терминология, не исследован и не закреплен категориальный аппарат, не описаны способы реализации субъективных прав в сфере оборота персональных данных и причины их законодательной регламентации, не установлены их место и роль в правовой системе общества, не исследовано содержание и пути повышения эффективности норм о защите персональных данных в глобальном информационном пространстве. Существующие в науке взгляды по отдельным вопросам защиты персональных данных в глобальном информационном пространстве зачастую непоследовательны и противоречивы; они не принимают во внимание как глобальный характер передачи персональных данных в киберсреде, так и технологические аспекты механизма защиты такого рода. Некоторые аспекты данной проблемы исследовались в рамках отдельных направлений как гражданского и трудового права, так и теории права, однако целостной концепции выработано также не было.

Соответственно, данные проблемы уже сами по себе требуют обстоятельного научного анализа.

Вопросы же полноценного исследования в данной области неминуемо упираются в проблематику методологии таких исследований, поскольку лишь избрав верную методологию научного поиска, возможно прийти к достоверным и научно обоснованным результатам, которые, в свою очередь, будучи отражены в международных нормативных актах, обеспечат эффективное правовое регулирования в названной сфере и правовую защиту личности.

Вместе с тем доктринальное единство в интересующей нас области отсутствует. Как мы увидим ниже, авторами используются различные подходы к исследованию, которые различаются вследствие различия позиций в избранной методологии творческого поиска, однако фундаментальные исследования по указанной проблеме отсутствуют, хотя отдельные аспекты методологии исследования вопросов защиты прав на персональные данные в глобальном информационном пространстве и рассматривались в доктрине, но исключительно в теории гражданского (в России – трудового) права, либо в локальных исследованиях конкретных разновидностей прав на личную информацию.

Представляется, что исследование вопросов правового регулирования защиты персональных данных в глобальном информационном пространстве должно быть основано на методологическом плюрализме и быть методологически комплексным, так как только таким образом достигается наибольшая научная обоснованность полученных результатов.

В качестве первоначальной основы исследования мы исходим из того, что в доктрине зачастую используются различные методы и приемы исследования, позволяющие рассматривать различные аспекты проблематики юридической технологии защиты личной информации в сети Интернет. С одной стороны, результаты применения этих методов дополняют друг друга и позволяют с разных сторон изучить предмет, однако, с другой стороны, применяемые методы нуждаются во взаимной верификации, ранжировании по степени достоверности получаемых результатов, удобства и экономичности их использования.

Материалом данного исследования выступают труды отечественных и зарубежных ученых, так или иначе затрагивающих вопросы, рассматриваемые в книге. В частности, достоверность и научная аргументированность результатов исследования основываются на широком использовании общетеоретических и отраслевых юридических источников.

Кроме того, исследовательскую основу составили национальное законодательство, опубликованные и неопубликованные материалы юридической практики и т. п.

Поставленная нами проблема была изучена посредством, во-первых, анализа имеющегося методологического материала в отношении проблематики защиты прав субъектов персональных данных в сети Интернет, и, во-вторых, на основе имеющегося материала юридической доктрины в части методологической основы самой юридической технологии защиты личной информации в глобальной информационной сети.

Необходимо отметить некоторое однообразие научных позиций по поводу методов и приемов исследования вопросов правовой защиты персональных данных в сети Интернет с одновременной приверженностью представителей научного сообщества к узкому кругу элементов методологии исследования института персональных данных.

Прежде всего отметим, что большинство авторов в вопросах методологии правовых исследований оборота персональных данных, в том числе в сети Интернет, исходят, во-первых, из общей методологической установки на правовые исследования, обусловленной конкретной правовой семьей, и, во-вторых, из той модели права на личную информацию, которая принята в национальной правовой доктрине и национальном законодательстве.

В частности, представители англо-американской правовой семьи традиционно большее внимание уделяют судебному праву, однако обобщение практики национальных судов¹²⁵, в том числе судов конституционной юрисдикции¹²⁶, Европейского Суда по правам человека¹²⁷, свойственно и для представителей романо-германской правовой семьи. В условиях недостаточного объема подлежащего исследованию «судебного материала» юристы романо-германской правовой семьи уделяют повышенное внимание методу обобщения юридической практики внесудебных органов¹²⁸, в том числе органов контроля и надзора¹²⁹.

Часть авторов вопросы защиты персональных данных вообще относят исключительно к техническим (технологическим) методам и приемам, которые лишь опосредуются правом. К такому выводу, например, приходят американские ученые с опорой на достаточно развитую правовую доктрину¹³⁰, но это характерно и для представителей правовой доктрины континентальной Европы¹³¹.

Здесь существуют и мнения авторов, стоящих на позициях агностицизма, так как рост удельного веса современных технологий обработки персональных данных (Big Data), «глубинного анализа данных» (Data Mining) сводит на нет возможность личности хоть каким-то практически реальным образом контролировать информацию о самой себе¹³².

Вообще, в системе континентального права крайне распространены методы формальной логики (в первую очередь, дедукции и индукции). Формально-логический метод подразумевает, например, анализ существующего¹³³ и будущего европейского законодательства¹³⁴, иного национального законодательства, причем в части будущих правовых норм (проектов) допускаются и основы правового моделирования¹³⁵.

Формально логический метод тесно связан с определением понятий, выявлением сущностных признаков отдельных правовых конструкций и т. п.¹³⁶, и в этом смысле он очень зависит, во-первых, от национальной правовой доктрины и, во-вторых, от особенностей национального правопорядка.

Например, присутствует мнение, что само законодательство о защите личной информации – это лишь следствие восприятия позитивным правом естественного права человека на защиту (неприкосновенность) частной жизни¹³⁷. Иногда даже вопрос доступа к персональной информации увязывается с общим правом на свободу личности и соотношении с ним права на информационное самоопределение и IT-права¹³⁸. Такое право даже признается самостоятельным конституционным правом, пусть и не сформулированным прямо¹³⁹, в том числе существующим в виде общепризнанного концепта¹⁴⁰. Позитивное правовое регулирование защиты персональных данных понимается как реализация метода восполнения пробела в осуществлении естественного права¹⁴¹, а методы исследования правовой охраны частной жизни и правового регулирования защиты персональных данных при их обороте, по сути, одинаковы¹⁴², хотя часть авторов и считает их различными ввиду разницы в объеме сфер, охраняемых правом¹⁴³, вследствие самой неопределенности в понятии «персональные данные»¹⁴⁴ и по иным заслуживающим внимания причинам¹⁴⁵.

Таким образом, формально-логический метод исследования объективно превалирует в рамках романо-германской правовой семьи¹⁴⁶, хотя новые исследования ученых континентальной Европы и ближе к позициям представителей англо-американской правовой семьи, основное внимание, как известно, уделяющим прецедентному (судебному) праву¹⁴⁷.

Для представителей развивающихся правопорядков (например, республик из состава бывшего СССР, государств Восточной Европы) широко распространено применение метода сравнительного правоведения в отношении правового регулирования оборота личной информации в киберсреде¹⁴⁸.

Лишь очень узкий круг исследователей использует не совсем традиционные, например, этические методы изучения проблем правового регулирования оборота персональных данных в сети Интернет¹⁴⁹.

В то же время, несмотря на кажущееся многообразие методов, для них характерны, во-первых, отсутствие единых методологических подходов к исследованию, во-вторых, лишь фрагментарное использование метода системного анализа, и, в-третьих, наблюдается недооценка комплексного подхода к исследованию проблем правового регулирования оборота персональных данных в киберсреде.

По нашему мнению, сегодня четко прослеживаются как минимум два направления научно-юридического познания: анализ и, иногда, критика достижений, которые могут стать основой методологии такого исследования.

Во-первых, это научные работы по проблематике категории защиты субъективных прав в гражданском праве, например, работы авторов советского периода. Нельзя сказать, что указанные работы полностью «устарели» – по сути, в них предложены концептуальные подходы, до настоящего времени развиваемые современными цивилистами. Большинство интересующих нас исследований этой группы источников так или иначе касались вопросов определения субъективного гражданского права на личную информацию как самостоятельного субъективного права, установления содержания такого права и других исходных вопросов концепции гражданских прав в сфере правовой охраны неприкосновенности личности.

Во-вторых, крайне значимыми могут оказаться современные работы по теории права, теории гражданского права, проблематике гражданских правоотношений и правоотношений в целом, их субъектно-объектного состава и пр., в которых рассматриваются вопросы персональной информации, правоотношения по информационному правоотношению в целом, а также структур правоотношений, специфики субъективных прав в сфере оборота персональных данных и т. п. Здесь также значимыми будут и современные труды по вопросам регламентации отдельных разновидностей прав на персональные данные.

Необходимо отметить, что как в философской, так и в юридической литературе до настоящего времени встречаются различные, существенно отличающиеся друг от друга суждения относительно того, что же подразумевается под методологией науки вообще и под методологией изучения правовых явлений в частности.

Мы полагаем, что существует определенный эмпирический (фактические данные, правовые акты и другие официальные документы) и теоретический (результаты уже проведенных исследований, отраженных в научных трудах) материал, составляющий методологическую основу. При этом методология выступает в качестве определенного инструментария (техника), т. е. совокупности средств (общесоциальных, технических, специально-юридических и т. п.) познания правовых явлений. Одновременно методология включает в себя принципы, правила, приемы, способы умелого и грамотного использования соответствующего базового (эмпирического и теоретического)