Правомочия субъектов персональных данных в рамках концепции владения персональными данными

Природа персональных данных такова, что субъект персональных данных является их первоначальным источником. Некоторые виды личных данных, согласно закону, являются неотчуждаемым нематериальным благом субъекта [1]. Будет справедливо говорить о том, что фактически он ими владеет как первоначальный источник личной информации и постоянный ее носитель. В отдельных случаях, предусмотренных законом, когда согласие не является основанием и условием обработки персональных данных, тем не менее, принадлежность персональных данных субъекту сохраняется, он по-прежнему их носитель, фактический владелец.

Поскольку информация не материальна, то и владение персональными данными отличается от владения материальными объектами, хотя словосочетание «владеть информацией» стало обще употребляемым и интуитивно понятным. В Федеральном законе от 27.07.2006 N 152-ФЗ «О персональных данных», далее по тексту - Закон о персональных данных) нет термина «владение» в отношении персональных данных, законодатель использует производное от слова «относимость». То есть, персональные данные в терминологии законодателя «относятся» к субъекту. Но это отношение, по нашему мнению, следует обозначить более содержательно.

В основе европейской модели защиты персональных данных, которая была использована при разработке российского Закона о персональных данных, по мнению зарубежных исследователей, лежит концепция владения данными в качестве законного права [2, c.542]. Она, в свою очередь, базируется на практике США в области информационного обмена. Напомним, что еще в 1973 году в США был предложен Кодекс добросовестной информационной практики, включавший пять основных принципов:

1) запрет на секретные системы хранения персональных данных; 2) физическое лицо должно иметь возможность узнать, какая относящаяся к нему информация была собрана и как она используется; 3) физическое лицо должно быть в состоянии предотвратить использование относящейся к нему информации не для тех целей, для которых она была собрана; 4) физическое лицо должно иметь возможность исправить или дополнить запись идентифицирующей информации о нем; 5) организация, обрабатывающая данные, должна гарантировать надежность данных и принимать разумные меры предосторожности для предотвращения неправильного использования данных [3, c.513].

Почти все эти принципы нашли свое отражение в нормах Регламента Европейского Парламента и Совета Европейского Союза 2016/679 от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС (Общий Регламент о защите персональных данных) (General Data Protection Regulation), далее по тексту - GDPR), а также Закона о персональных данных.

В начале 1990-х годов в США увеличился объем прямого маркетинга по телефону и через почту. В связи с этим долгое время здесь активно проводились академические исследования и велись дебаты о проблемах утраты физическими лицами контроля над личными данными, о фактическом превращении личной информации в товар (коммерциализация персональных данных) и о создании более совершенной системы защиты данных через введение режима собственности на персональные данные. Главным аргументом против введения режима собственности было мнение, что конфиденциальность информации является общественным благом, несовместимым с режимом права собственности, которое способствует развитию рыночного обмена [3, c.513].

В период разработки проекта GDPR европейские ученые и юристы - практики обращались к опыту американских юристов и изучали их подходы, аргументы «за» и «против» введения режима собственности на персональные данные, несмотря на то, что правовая система США имеет свои особенности, в том числе то, что собственность в ЕС отличается от понимания собственности в США, и что соотнесение института собственности в континентальном праве с титулами англо-американского права невозможно [4].

В 2012-2013 годах в Европе проводились конференции и семинары, посвященные вопросам рынков данных и экономической ценности персональных данных. Сторонники закрепления права собственности на персональные данные настаивали на развитии идеи о рассмотрении персональных данных как предмета собственности и утверждали, что возможность создания режима защиты данных без решения вопроса о правах собственности на персональные данные является иллюзией, без права собственности на персональные данные позиция субъекта личных данных по отношению к информационной индустрии останется слабой и потому акцент в обсуждении должен быть сделан на проблему структурирования права собственности таким образом, чтобы это «было экономически обоснованно и уважало права личности» [5]. К числу заслуживающих внимание аргументов, по нашему мнению, относится аргумент, высказанный исследователем Н. Пуртовой в статье 2016 года, но актуальный и в настоящее время.

Аргумент основан на анализе таких элементов понятия «персональные данные», как «информация» и «относящиеся к физическому лицу», процессов идентификации и анонимизации, а также судебной практики Европейского суда по правам человека по вопросу толкования объема понятия «персональные данные». Ученый утверждает, что вследствие не четко сформулированного понимания информации, лежащего в основе понятия (то есть в документе дано широкое определение персональных данных), а также развития технологии повторной идентификации и увеличения объема информации, собираемой с помощью «умных» устройств и сред, оценивающих и влияющих на людей в режиме реального времени, можем прийти к тому, что любую информацию можно будет посчитать относимой к конкретному человеку. То есть почти все станет персональными данными. В такой ситуации «система правовой защиты, основанная на таком всеобъемлющем понятии и высокой интенсивности позитивных обязательств по соблюдению требований, не будет устойчивой в долгосрочной перспективе» [6].

Также необходимо отметить документ Европейского надзорного органа по защите данных (EDPS), Заключение 9/2016 «Мнение EDPS о системах управления персональной информацией» (Opinion 9/2016), выпущенное 20 октября 2016г., в котором надзорный орган заявлял в качестве целей своей деятельности: 1) преобразование системы, ориентированной на провайдера, в систему, ориентированную на человека, который может управлять своей онлайн-идентификацией и контролировать ее, и 2) способствование созданию более эффективных рынков персональных данных в интересах потребителей и бизнеса с помощью Систем управления персональной информацией (Personal Information Management Systems) [7]. То есть на этапе подготовки GDPR в Европе допускалась перспектива коммерциализации персональной информации.

Но в Европе, как и в США, режим права собственности на персональные данные в итоге не был распространен. Главной причиной такого решения европейские исследователи истории развития концепции персональных данных называют «нетрадиционный характер персональных данных как объекта прав собственности» [5, c.4]. Особенный характер определяется природой персональных данных. Они идентифицируют субъекта персональных данных и уже признаны общественным благом. Признание личных данных объектом собственности противоречило бы принципу неотчуждаемости права человека на неприкосновенность частной жизни. Природа персональных данных также создает сомнения в возможности отчуждения персональных данных, тогда как право на отчуждение имущества входит в право распоряжения имуществом, составляющее право собственности на имущество наряду с правом владения и правом использования. При передаче данных любому количеству лиц субъект персональных данных остается их владельцем и распорядителем. Поэтому, по мнению противников режима собственности на персональные данные, установление права собственности на личные данные в традиционном понимании невозможно.

Дополнительными аргументами против распространения режима собственности на персональные данные назывались следующие.

Первый аргумент: возникновение этических вопросов из-за тесной связи персональных данных с личностью субъекта. В юридической литературе уже высказана точка зрения, хотя и спорная, о том, что персональные данные конституируют личность человека, и право собственности и контроль над личными данными были бы сравнимы с рабовладением или торговлей людьми [2, c.546].

Второй аргумент: отсутствие четкой границы между персональными данными и не персональными данными, их зависимость от контекста и цели использования.

Не персональные данные, в отношении которых исследователи считают, что проблемы с коммерциализацией не должно возникнуть, включают в себя как данные, не связанные изначально с субъектом персональных данных, так и данные, прошедшие процедуру обезличивания.

Но дальнейшее развитие технологий привело к возникновению риска ре-идентификации, что означает, что в какой-то момент в массиве не персональных данных могут появиться персональные данные, которые являются предметом защиты в силу требования законодательства о защите персональных данных к обработчикам данных. Исследователи указывают на то, что анонимность личных данных никогда не бывает абсолютной [8, c.48]. Соответственно, выдвигаются предложения о полном отказе от разделения данных на персональные и не персональные данные, либо об отказе от существующего разграничения данных на эти две группы и введении новой классификации данных [9, c.1018].

Так же это порождает вопрос о соотношении положений о потенциальном праве собственности на личные данные с положениями существующего законодательства о защите данных, а также законодательства, касающегося информации ограниченного доступа.

Третий аргумент: отсутствие критериев первоначального присвоения права собственности на данные и неясность в том, кто будет обладать правом собственности на данные в период их обработки и оборота.

Несмотря на то, что источником персональных данных является субъект персональных данных, есть мнение, что собственником данных, являющихся предметом коммерциализации, должен стать сборщик/обработчик данных, на осно- вании того, что он инвестирует денежные средства в составление баз данных, в разработку инструментов по их «добыче» и обработке [3, c.515], и что именно сборщики/обработчики данных придают им ценность.

Здесь также возникает вопрос о том, может ли у персональных данных быть несколько собственников. Потенциально возможен конфликт интересов и возникновение риска блокирования использования данных.

Четвертый аргумент: контроль над персональными данными как контроль собственника, не являющегося субъектом персональных данных, во-первых, противоречит принципу неотъемлемости основных прав человека, и, во-вторых, невозможен в полном объеме вследствие существования законодательства о защите персональных данных.

Пятый аргумент: контроль над персональными данными в полном объеме невозможен и для субъекта персональных данных в случаях, когда сбор данных осуществляется в системе «Интернет вещей» (Internet of Things (IoT)), в которой объекты физического мира могут быть подключены к Интернету с помощью датчиков [10, c.718]. Система «Интернет вещей» уже включает в себя разные стороны повседневной жизни, например, «умное» здравоохранение, «умный» транспорт, «умный» образ жизни, «умные» дома, «умные» города. Приобретая, к примеру, «умный» телевизор, субъект персональных данных подписывает лицензионное соглашение и приобретает право пользования программой, которая делает устройство «умным». Для эффективной работы программа собирает данные о субъекте, обрабатывает их и направляет их производителю «умного» устройства. Субъект никак не может контролировать данный процесс. Помимо того, что производители «умных» устройств могут создавать любое количество копий данных, есть также проблема с обеспечением защиты от взломов этих устройств с целью кражи данных. Как считают эксперты, “Все, что подключено к Интернету, может быть взломано. Все подключается к Интернету. [Таким образом,] все становится уязвимым [...]” и вопрос заключается не столько в том, будет ли что-то взломано, сколько в том, когда это произойдет [10, c.719].

Шестой аргумент: Неясность с объемом правомочий собственника и определением того, на какие виды данных возможно распространить право собственности, а на какие недопустимо. Седьмой аргумент: высказано опасение, что предоставление права собственности на персональные данные может привести к искажениям на рынке, связанным с неравными возможностями на переговорах между физическим лицами - субъектами персональных данных и крупными компаниями - поставщики товаров и услуг, которые могут диктовать условия для использования желаемого товар/ услуги. Кроме того, право собственности может препятствовать созданию новых продуктов и услуг, основанных на данных [11].

Восьмой аргумент: отсутствие у государства технологических решений и механизмов для защиты потенциального права собственности на персональные данные.

Соблюдение режима собственности должно быть обеспечено институциональной структурой, разработанным механизмом защиты. Например, системой регистрации прав. Так, для защиты права собственности на недвижимое имущество государством создается реестр прав на недвижимое имущество, для защиты прав на товарный знак – реестр товарных знаков. Разработка механизма защиты права собственности на персональные данные осложняется из-за таких особых свойств персональных данных, как необходимость их агрегирования и простота их передачи.

Высказываются сомнения, что публичные реестры, которые связывают данные с субъектом персональных данных, могут защитить персональные данные [12], существует риск того, что записи в публичных реестрах будут скорее способствовать раскрытию личных данных, вследствие, например, хакерских атак или мошеннических действий.

В тексте GDPR нет понятий «собственность», «владелец» и «владение персональными данными». Но понятие «владелец» используется, правда без раскрытия значения, в более поздних документах, например в документах EDPS (European Data Protection Supervisor) - независимого надзорного органа ЕС, осуществляющего мониторинг и обеспечение соблюдения европейскими институтами и органами права на неприкосновенность частной жизни и защиту данных при обработке персональных данных [13].

Что касается российского законодательства, то собственником признается только субъект вещного права на имущество, а в отношении других объектов применяется категория «правообладатель». В системе российского гражданского права владение выполняет функцию отражения фактического положения дел [4].

В российском законодательстве есть понятие «обладатель информации» и его дефиницию дает статья 2 Закона «Об информации, информационных технологиях и о защите информации» (далее по тексту - Закон об информации): это создатель информации или лицо, получившее ее на основании закона или в договорном порядке [14]. Им может быть не только физическое лицо, юридическое лицо, но и РФ, субъект РФ, муниципальное образование. В данном законе описание правомочий обладателя осуществляется через понятие «доступ»: «разрешать или ограничивать доступ к информации, определять порядок и условия такого доступа». То есть, обладатель информации может разрешать или ограничивать получение информации и ее использование. В связи с особенностями полномочий обладателя информации в практике Конституционного суда РФ рассматривалось дело, в котором суд проводил анализ понятия «обладатель информации» и его полномочий через аналогию с категориями «собственник» и «титульный владелец» с учетом специфики информации как объекта взаимоотношений [15].

Используемое понятие «обладатель информации» не может иметь то значение понятия «владелец» (только физическое лицо), о котором шла речь выше, в концепции владения данными, принятой в ЕС, хотя перечисленные в Законе об информации полномочия обладателя информации схожи с полномочиями «владельца» информации. Но есть существенное замечание относительно такого действия обладателя информации, как разрешать или ограничивать доступ к информации. В Законе о персональных данных содержание такого действия, как «доступ», раскрывается в другом контексте: право субъекта требовать от оператора совершения перечисленных в законе действий в интересах субъекта (уточнение данных, блокирование или уничтожение). Субъект персональных данных является не просто «обладателем информации», а первоначальным ее владельцем, и он, прежде всего, должен иметь право разрешать или ограничивать доступ к своим данным. А уже после этого, в процессе обработки данных оператором, он получает особый доступ к обрабатываемым данным.

Интересно, что в других, более поздних, российских правовых актах слово «владелец» и словосочетание «владелец персональных данных» можно встретить. Так, в п.9 статьи 10 Федерального закона от 23 декабря 2003 г. N 177-ФЗ «О страховании вкладов в банках Российской Федерации» (с изменениями и дополнениями) указано, что Агентство по страхованию вкладов в целях проведения идентификации вкладчика в случае представления им в электронной форме заявления о выплате возмещения по вкладам получает из единой системы идентификации и аутентификации (при наличии согласия владельца соответствующих персональных данных, выраженного в единой системе идентификации и аутентификации) определенные в законе сведения [16]. Можно назвать еще ряд российских нормативных документов, принятых в последние годы, где словосочетание «владелец персональных данных» используется, но без раскрытия значения.

Несмотря на отсутствие в законах положений о права собственности на персональные данные, субъект персональных данных, тем не менее, имел и имеет возможность распоряжаться своими данными за плату и даже создавать их по заказу.

Речь идет о личных данных для научных исследований, в частности, в медицинской сфере, которые получили легитимность с 1964 года, после принятия Всемирной медицинской ассоциацией Хельсинской декларации об этических принципах медицинских исследований с участием людей [17].

Прежде чем лекарственные препараты поступают в продажу, проводятся клинические исследования. Участники таких исследований получают за это вознаграждение (добровольцы), либо компенсацию расходов на транспорт, питание, проживания (добровольцы-пациенты) [18].

При отборе у участников запрашивают персональные данные, участники подписывают информированное согласие на участие в клинических исследованиях и информационный листок, в котором указываются название компании-спонсора и организации, которая проводит исследование в России, данные о процедурах и ожидаемом риске.

Помимо общих персональных данных, участник предоставляет физиологические данные, например, общий и биохимический анализ крови, которые относятся к категории «Специальные». Поскольку для исследователей интерес представляют непредвиденные нежелательные реакции, о которых не сообщалось на доклинических стадиях, то в процессе исследования участник дополнительно предоставляет физиологические данные. Таким образом, участник медицинских исследований лекарственных средств фактически осуществляет продажу своих динамических персональных данных за определенную цену. Юридически это оформляется письменным согласием и информационным листком.

По примеру того, как некоторые ученыецивилисты говорят об информации в широком смысле и информации как товаре [19], о персональных данных тоже, на наш взгляд, можно говорить как о персональных данных в широком смысле и о персональных данных как товаре, за который субъект персональных данных может получить вознаграждение.

В настоящее время отмечается рост информационных и правоприменительных издержек, связанных с соблюдением требований законодательства о защите персональных данных, увеличение ценности персональных данных и возрастание доли использования способов негосударственного регулирования в сфере использования информации, в частности, облачных решений [20]. В результате, концепция владения персональными данными не может уже считаться достаточно эффективной для работы существующего механизма защиты данных с точки зрения интересов субъекта персональных данных, в том числе имущественных, и должны быть рассмотрены дополняющие ее или альтернативные концепции правового режима распоряжения субъектами своими персональными данными.