ОБРАБОТКА ТРЕТЬИМИ ЛИЦАМИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПОЛЬЗОВАТЕЛЕЙ СОЦИАЛЬНЫХ СЕТЕЙ
Наивные пользователи полагают, что к персональным данным (ПД), которые они размещают в социальных сетях, относятся только ФИО, сведения об образовании, месте работы и т.д. (которые, к слову, указывают далеко не все пользователи сети), а также загружаемые ими фотографии. Как же они ошибаются…
На самом деле объем информации, которую вы, сами того не подозревая, предоставляете (в процессе пользования социальными сетями) третьим лицам, оказывается намного больше и включает в себя, в том числе, сведения о ваших интересах, благосостоянии, круге общения, а также иную информацию, которую можно получить путем анализа данных пользовательских аккаунтов.
Все бы ничего, но другие лица время от времени пользуются вашими персональными данными в своих целях – вспомните, например, таргетированную рекламу, т.е. рекламу, основанную на ваших поисковых запросах. В принципе, она носит безобидный характер… но что вы скажете, если злоумышленники в результате обработки персональных данных взломают ваш аккаунт или, скажем, похитят денежные средства с карты пользователя? Вот то-то же!
В связи с этим особую актуальность приобретает вопрос законности обработки третьими лицами персональных данных, получаемых на основе анализа пользовательских аккаунтов в различных социальных сетях. Можно ли собирать ПД из открытых источников, анализировать, делать на их основе какие-то выводы, формировать базы данных (либо пополнять уже существующие базы новыми данными)? Попробуем во всем этом разобраться!
Начнем, пожалуй, с анализа соответствующих норм закона.
1) Федеральный закон от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»:
– к общедоступной информации относятся общеизвестные сведения и иная информация, доступ к которой не ограничен (ч. 1 ст. 7);
– информация, размещаемая ее обладателями в сети интернет в формате, допускающем автоматизированную обработку без предварительных изменений человеком в целях повторного ее использования, является общедоступной информацией, размещаемой в форме открытых данных (ч. 4 ст. 7);
– общедоступная информация может использоваться любыми лицами по их усмотрению при соблюдении установленных федеральными законами ограничений в отношении распространения такой информации (ч. 2 ст. 7).
2) Федеральный закон от 27.07.2006 г. № 152-ФЗ «О персональных данных»:
– в целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных (ч. 1 ст. 8);
– оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных, сделанных субъектом персональных данных общедоступными (п. 4 ч. 2 ст. 22).
Апеллируя к вышеуказанным нормам права, лица, обрабатывающие ПД в открытых источниках, доказывают свою правоту – впрочем, суды с ними, как оказалось, не согласны, подтверждением чему может послужить дело № А40-5250/17-144-51, рассмотренное арбитражным судом города Москвы, которое дошло аж до Верховного Суда РФ. Давайте его проанализируем!
Из материалов дела следовало, что по результатам плановой выездной проверки одного из бюро кредитных историй Роскомнадзором были выявлены нарушения в части соответствия деятельности по обработке персональных данных требованиям законодательства. Суть данных нарушений заключалась в следующем:
- финансовая организация не представила уведомление в уполномоченный орган об использовании сервисов Double Data Social Link и Double Data Social Attributes, которые передавали этой организации данные физических лиц, в том числе потенциальных клиентов, из открытых источников информации (ч. 1 ст. 22 Закона о персональных данных);
- у бюро кредитных историй отсутствовало согласие пользователей на обработку их персональных данных, содержащихся в открытых источниках: в социальных сетях и на интернет-порталах (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ).
Бюро оказалось несогласным с этими нарушениями и попыталось оспорить предписание надзорного органа в судебном порядке.
******************************************************************
Во время рассмотрения дела в суде первой инстанции в газете «Известия» была опубликована статья с заголовком ««Роскомнадзор запретил сбор данных пользователей «ВКонтакте»», авторы которой, ссылаясь на имеющееся в распоряжении редакции разъяснения Роскомнадзора, утверждали, что никто не вправе без согласия пользователя сети использовать выложенные им в открытый доступ персональные данные. Приведем выдержку из этой публикации: «В надзорном ведомстве рассказали, что по Федеральному закону «О персональных данных» допускается обработка персональных данных (ПД), доступ к которым предоставил сам их владелец. Но по ст. 6 того же закона обработка таких данных возможна только с согласия субъекта ПД. В соответствии с пунктом 5.12 пользовательского соглашения сети «ВКонтакте» пользователь дает согласие только на доступ к информации, которую он размещает на персональной странице, в том числе к своим персональным данным, пояснили в пресс-службе Роскомнадзора. Согласия на сбор, обработку и передачу третьим лицам пользователь не дает. В Роскомнадзоре пояснили, что при отсутствии волеизъявления гражданина его персональные данные не могут храниться, обрабатываться и передаваться».
Выход данной статьи оказался достаточно неожиданным по целому ряду оснований:
– во-первых, непонятно, почему надзорный орган вообще высказал свою позицию по вопросу, связанному с предметом продолжающегося судебного спора, когда даже решения суда еще нет (неужели сотрудники пресс-службы РКН не догадались, что мнение уполномоченного органа исполнительной власти по этому вопросу до завершения судебного разбирательства может повлиять на позицию суда по вышеупомянутому делу?);
– во-вторых, не до конца ясно, почему Роскомнадзор, несмотря на многократные публичные заявления об отсутствии у него полномочий по трактовке закона, фактически в рамках этой статьи в «Известиях» толковало нормы права, содержащиеся в законе о персональных данных;
– в-третьих, непонятен факт игнорирования ведомством пункта 5.8 пользовательского соглашения сети ВКонтакте, посвященного вопросу обработки ПД пользователей сети ВКонтакте (почему-то надзорный орган коснулся только пункта 5.12 данного соглашения, но не дал комментарий более значимому (в плане вопроса обработки ПД) пункту пользовательского соглашения).
******************************************************************
Арбитражный суд города Москвы признал предписание Роскомнадзора законным, отказав в удовлетворении заявленных требований (решение АС города Москвы от 5 мая 2017 года по делу № А40-5250/17-144-51). Суд указал в решении, что без письменного согласия субъекта персональных данных нельзя утверждать о предоставлении согласия именно указанным лицом. Кроме того, суд подчеркнул, что, если владелец сделал персональные данные общедоступными для всех, то они могут содержаться только в общедоступных источниках, каковыми социальные сети не являются» (а раз так, то и информация о лицах, размещенная в пользовательских аккаунтах, не может быть отнесена к общедоступной).
Девятый арбитражный апелляционный суд согласился с выводами нижестоящего суда, подчеркнув, что размещение персональных данных в социальных сетях не делает их автоматически общедоступными, следовательно, требуется согласие субъекта на обработку информации (постановление Девятого ААС от 27 июля 2017 года по делу № А40-5250/17).
Арбитражный суд Московского округа, а впоследствии – также и Верховный Суд РФ также не нашли оснований для отмены обжалуемых судебных актов (постановление Арбитражного суда Московского округа от 9 ноября 2017 года по делу № А40-5250/2017, Определение ВС РФ от 29 января 2018 года по делу № 305-КГ17-21291).
Какие же выводы можно сделать на основе вышеупомянутой информации? Обозначим ключевые положения:
1) социальные сети – это не общедоступные источники персональных данных;
2) ПД пользователей социальных сетей не делаются общедоступными путем их размещения в социальных сетях;
3) для того, чтобы обрабатывать пользовательские персональные данные, содержащиеся в социальных сетях, в том числе использовать их для пополнения готовых баз данных, необходимо получать прямое согласие владельцев ПД на такую обработку.
Несмотря на то, что судебный прецедент в России формально не признается источником права, фактически судьи, если имеются решения вышестоящих судов по аналогичным делам, стараются ориентироваться на них (поскольку понимают, что вынесение иного судебного акта может обернуться его отменой вышестоящей инстанцией) – в этом плане факт того, что описанное выше дело дошло до Верховного Суда РФ, который оставил в силе судебные акты, вынесенные нижестоящими судами, позволяет говорить о прецедентном характере решения АС города Москвы и его значимости для судебной практики по схожим делам.
Таким образом, вопросы правомерности обработки третьими лицами персональных данных пользователей социальных сетей являются достаточно нелегкими; следовательно, в случае возникновения спорной ситуации, связанной с такой обработкой, лучше всего обратиться к специалисту.