Верховный Суд РФ разъяснил, что споры о защите персональных данных граждан рассматриваются судами общей юрисдикции в порядке гражданского судопроизводства, а не по правилам административного судопроизводства, и подать такой иск можно по месту жительства истца, а не только по месту нахождения ответчика. Одновременно с этим суды последовательно применяют механизм гражданско-правовой ответственности операторов персональных данных: за незаконную обработку, разглашение или утечку данных гражданин вправе требовать компенсации морального вреда, а бремя доказывания правомерности своих действий закон возлагает на самого оператора. Ниже приведен подробный разбор правовых норм, исключений и практических вариантов.
Что такое персональные данные и кто признается оператором
Согласно п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», персональными данными признается любая информация, прямо или косвенно относящаяся к определенному или определяемому физическому лицу (субъекту персональных данных). Это не только фамилия, имя, отчество и паспортные данные, но и адрес, номер телефона, сведения о состоянии здоровья, семейном положении, доходах, а в ряде случаев — фотография, IP-адрес и данные геолокации, если они позволяют идентифицировать конкретного человека. При этом суды исходят из того, что квалификация сведений как персональных данных зависит не от формального перечня, а от реальной возможности идентификации субъекта именно с их помощью — этот вопрос подлежит установлению судом в каждом конкретном деле, а не презюмируется автоматически.
Оператором персональных данных в силу п. 2 ст. 3 Закона № 152-ФЗ является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки, состав данных и действия с ними. Оператором может быть интернет-магазин, собирающий данные покупателей, управляющая организация МКД, ведущая реестр собственников, работодатель в отношении данных сотрудников, медицинская организация, банк, страховая компания и любое иное лицо, которое фактически определяет, зачем и как обрабатываются персональные данные конкретного человека. Статус оператора не зависит от того, включена ли организация в реестр Роскомнадзора: обязанность соблюдать требования Закона № 152-ФЗ возникает с момента начала обработки данных, а не с момента уведомления регулятора.
Основания обработки персональных данных: когда нужно согласие, а когда — нет
Общее правило ст. 6 Закона № 152-ФЗ состоит в том, что обработка персональных данных допускается только с согласия субъекта, за исключением случаев, прямо перечисленных в законе. Согласие должно быть конкретным, информированным и сознательным; по общему правилу оно дается в письменной форме, а для отдельных категорий данных (специальных, в том числе о состоянии здоровья, национальности, политических взглядах) — только в письменной форме с соблюдением дополнительных требований ст. 10 Закона № 152-ФЗ. Оператор не вправе требовать от гражданина предоставления данных сверх тех, что необходимы для достижения заявленной цели обработки, и не вправе обрабатывать данные в целях, не совпадающих с целью, ради которой было получено согласие.
Закон предусматривает исчерпывающий перечень случаев, когда согласие субъекта не требуется: обработка необходима для исполнения договора, стороной которого является субъект данных; обработка осуществляется в целях исполнения полномочий органов власти или в целях, предусмотренных законом (например, для целей правосудия, исполнения судебного акта); данные сделаны общедоступными самим субъектом или по его просьбе; обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта, если получить его согласие невозможно, а также ряд иных оснований по ст. 6 Закона № 152-ФЗ. Именно вокруг границ этого перечня и разворачивается большинство судебных споров: организации нередко пытаются обосновать обработку данных без согласия ссылкой на «законный интерес» или «публичную доступность», хотя закон таких общих оснований не содержит — суды применяют перечень ст. 6 Закона № 152-ФЗ ограничительно.
Показательна в этом отношении практика по спорам о передаче данных граждан ресурсоснабжающим и жилищно-коммунальным организациям без их согласия: суды исходят из того, что организации сферы ЖКХ не относятся к числу субъектов, имеющих законное право на получение сведений о зарегистрированных в жилых помещениях гражданах из баз данных органов внутренних дел без согласия этих граждан, а значит, такая передача данных является незаконной обработкой персональных данных. Аналогичным образом суды оценивают ситуации, когда банк передает персональные данные заемщика третьему лицу — например, коллекторскому агентству или иной организации по агентскому договору — без получения отдельного согласия заемщика: такая передача признается нарушением ст. 6 и ст. 9 Закона № 152-ФЗ и служит основанием для взыскания компенсации морального вреда.
Права субъекта персональных данных: доступ, уточнение, блокирование, удаление
Статья 14 Закона № 152-ФЗ закрепляет за субъектом персональных данных право на получение от оператора информации, касающейся обработки его персональных данных, включая правовые основания и цели обработки, применяемые способы обработки, сведения о лицах, которым данные передаются, срок обработки и хранения данных. Оператор обязан безвозмездно предоставить эту информацию субъекту либо его представителю при обращении или в течение тридцати дней с даты получения запроса, если иное не установлено законом. Отказ или необоснованное затягивание с предоставлением такой информации сам по себе может стать основанием для обращения субъекта в суд или к регулятору.
- Право на уточнение персональных данных — если субъект полагает, что данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, он вправе требовать от оператора их уточнения, блокирования или уничтожения;
- Право на отзыв согласия на обработку персональных данных в любое время, если иное прямо не предусмотрено федеральным законом или условиями договора;
- Право требовать прекращения обработки персональных данных, осуществляемой оператором в целях продвижения товаров, работ, услуг на рынке (прямой маркетинг), без необходимости обоснования такого требования и без оплаты;
- Право на обжалование действий или бездействия оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) либо непосредственно в суд, если субъект считает, что оператор осуществляет обработку его персональных данных с нарушением требований Закона № 152-ФЗ;
- Право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке (ст. 17 Закона № 152-ФЗ).
Важно учитывать, что реализация права на удаление или блокирование данных не является безусловной: если обработка данных осуществляется на законных основаниях, предусмотренных ст. 6 Закона № 152-ФЗ (например, для исполнения договора или в силу прямого указания закона), оператор вправе отказать в удалении данных до истечения срока, на который они правомерно обрабатываются или хранятся, в том числе в силу требований бухгалтерского, налогового или архивного законодательства.
Ответственность оператора за нарушение законодательства о персональных данных
За нарушение установленного законом порядка сбора, хранения, использования или распространения персональных данных граждан оператор несет административную ответственность по ст. 13.11 КоАП РФ. Эта статья содержит несколько самостоятельных составов: обработка персональных данных без согласия субъекта или с нарушением требований к содержанию согласия (ч. 1); обработка данных без письменного согласия в случаях, когда оно обязательно (ч. 2); невыполнение оператором обязанности по опубликованию или обеспечению доступа к политике обработки персональных данных (ч. 2.1); невыполнение обязанности по предоставлению субъекту запрошенной информации об обработке его данных (ч. 4); неисполнение оператором обязанности по уточнению, блокированию или уничтожению неправомерно полученных или обрабатываемых данных (ч. 5); а также невыполнение оператором при обработке персональных данных обязанности по обезличиванию персональных данных либо по соблюдению установленных требований или норм по обеспечению безопасности персональных данных при их обработке (ч. 8 — состав, связанный с утечками данных, с повышенными санкциями для юридических лиц). Дела по ст. 13.11 КоАП РФ рассматривает Роскомнадзор как уполномоченный орган по контролю и надзору в сфере персональных данных.
Наряду с административной ответственностью оператора закон допускает гражданско-правовую ответственность перед конкретным субъектом персональных данных. В силу ст. 151 ГК РФ, если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. Размер компенсации морального вреда определяется судом с учетом требований разумности и справедливости, степени вины нарушителя и иных заслуживающих внимания обстоятельств, а также характера причиненных потерпевшему физических и нравственных страданий — это прямо следует из ст. 151 и ст. 1101 ГК РФ. Право на неприкосновенность частной жизни, личную и семейную тайну прямо отнесено законом к нематериальным благам (ст. 150 ГК РФ), поэтому незаконное распространение или утечка персональных данных гражданина рассматривается судами как посягательство на эти блага и самостоятельное основание для взыскания компенсации морального вреда — отдельного доказывания имущественного ущерба для этого не требуется, хотя истец обязан обосновать связь между нарушением и характером причиненных ему страданий.
Судебная практика последних лет подтверждает применимость этого механизма к делам об утечках персональных данных из информационных систем операторов (интернет-магазинов, онлайн-сервисов, финансовых организаций): факт неправомерного доступа третьих лиц к персональным данным гражданина и их последующего размещения в открытом доступе сам по себе расценивается судами как нарушение личных неимущественных прав, дающее основание для взыскания компенсации морального вреда, размер которой определяется индивидуально по каждому делу.
Порядок обращения в суд: куда подавать иск и что доказывать сторонам
Важное процессуальное разъяснение содержится в определении Судебной коллегии по гражданским делам Верховного Суда РФ от 02.09.2020 № 58-КГ20-2. Верховный Суд РФ рассмотрел спор, в котором Роскомнадзор в защиту прав гражданина обратился в суд с иском к иностранной компании, распространявшей в интернете его персональные данные без согласия, а нижестоящий суд отказал в принятии иска, посчитав заявленные требования административными и подлежащими рассмотрению в порядке административного судопроизводства. Верховный Суд РФ указал, что иски о защите прав субъекта персональных данных, в том числе о признании обработки данных незаконной, об обязании прекратить обработку и об ограничении доступа к информации, подлежат рассмотрению в порядке гражданского судопроизводства, поскольку возникший спор носит гражданско-правовой характер и связан с защитой личных неимущественных прав гражданина, а не с оспариванием решений, действий или бездействия органов власти. Суд также подтвердил право Роскомнадзора обращаться в суд в защиту прав субъектов персональных данных, включая неопределенный круг лиц, и представлять их интересы в процессе.
Из этого разъяснения следует несколько практических выводов для граждан. Во-первых, иск о защите персональных данных (включая требования о признании обработки незаконной, о прекращении обработки, об уничтожении данных, о взыскании компенсации морального вреда) предъявляется в районный суд по общим правилам подсудности, установленным ст. 28 ГПК РФ, при этом закон о защите прав потребителей и общие процессуальные нормы допускают предъявление ряда таких исков по месту жительства истца, если спор возникает из отношений, на которые распространяется законодательство о защите прав потребителей (например, между гражданином и оператором-организацией, оказывающей ему услуги). Во-вторых, обязательный досудебный претензионный порядок для таких споров законом не установлен, хотя обращение к оператору с требованием об уточнении, блокировании или удалении данных, а также жалоба в Роскомнадзор до подачи иска нередко укрепляют доказательственную базу истца.
Что касается распределения бремени доказывания, оно строится на общих началах ст. 56 ГПК РФ с учетом специфики законодательства о персональных данных. Истец (субъект персональных данных) должен доказать сам факт обработки его персональных данных конкретным ответчиком, а также факт причинения ему нравственных или физических страданий в связи с этой обработкой (утечкой, распространением, использованием данных без согласия) и их характер. При этом бремя доказывания правомерности обработки персональных данных — наличия согласия субъекта либо иного законного основания по ст. 6 Закона № 152-ФЗ, соблюдения требований к содержанию, форме и целям обработки, а также принятия необходимых организационных и технических мер по защите данных от неправомерного доступа — лежит на операторе как на лице, привлекаемом к ответственности и обладающем всей документацией об обработке данных. Оператор, который не может представить суду согласие субъекта или иное законное основание обработки, а также доказательства принятия достаточных мер защиты информации, несет риск неблагоприятных последствий такого недоказывания в виде удовлетворения иска.
Роль Роскомнадзора в досудебном урегулировании споров
Роскомнадзор является уполномоченным органом по защите прав субъектов персональных данных в силу ст. 23 Закона № 152-ФЗ и осуществляет государственный контроль и надзор за соответствием обработки персональных данных требованиям закона. Гражданин вправе, но не обязан, до обращения в суд подать жалобу в Роскомнадзор на действия оператора; ведомство рассматривает такие обращения, проводит проверки (в том числе внеплановые по жалобам граждан), вправе выдавать операторам предписания об устранении выявленных нарушений, требовать уточнения, блокирования или уничтожения неправомерно обрабатываемых данных, а также привлекать оператора к административной ответственности по ст. 13.11 КоАП РФ.
Вынесенное Роскомнадзором предписание или постановление о привлечении оператора к административной ответственности само по себе не заменяет судебного порядка защиты гражданско-правовых требований гражданина (о компенсации морального вреда, о возмещении убытков), но служит существенным доказательством при последующем обращении в суд: акт проверки Роскомнадзора, фиксирующий факт нарушения, снимает с истца часть бремени доказывания противоправности действий оператора и облегчает доказывание факта нарушения при рассмотрении гражданского иска. Кроме того, как отмечено выше, Роскомнадзор вправе самостоятельно предъявлять в суд иски в защиту прав субъектов персональных данных, в том числе неопределенного круга лиц, что особенно значимо в ситуациях массовых утечек данных, когда индивидуальное обращение каждого пострадавшего гражданина в суд затруднительно.
Краткая сводка: как защитить персональные данные в суде
Персональные данные — любая информация, позволяющая идентифицировать гражданина, а оператором признается любое лицо, определяющее цели и способы их обработки (п. 1, 2 ст. 3 Закона № 152-ФЗ). Обработка данных по общему правилу требует согласия субъекта, кроме исчерпывающего перечня случаев из ст. 6 Закона № 152-ФЗ, который суды толкуют ограничительно. Субъект данных вправе получать информацию об обработке, требовать уточнения, блокирования, удаления данных и прекращения обработки в целях прямого маркетинга (ст. 14 Закона № 152-ФЗ). За нарушения оператор отвечает административно по ст. 13.11 КоАП РФ (штрафы вплоть до нескольких миллионов рублей для юридических лиц по составам, связанным с утечками) и гражданско-правовым порядком — компенсацией морального вреда по ст. 151, 1101 ГК РФ. Определение СКГД ВС РФ от 02.09.2020 № 58-КГ20-2 подтвердило, что споры о защите персональных данных рассматриваются в порядке гражданского, а не административного судопроизводства, а Роскомнадзор вправе представлять интересы граждан в суде. Бремя доказывания законности обработки данных лежит на операторе, а не на пострадавшем гражданине.
Таким образом, при незаконной обработке, разглашении или утечке персональных данных гражданин вправе требовать от оператора прекращения нарушения и компенсации морального вреда в порядке гражданского судопроизводства, а обязанность доказать законность своих действий и достаточность принятых мер защиты информации закон возлагает на самого оператора.
С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».
Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.
Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:
Доверьте нам решение своей проблемы
Наша главная цель — помощь клиентам в решении существующих проблем и их профилактика в будущем.
Оставьте заявку на консультацию, чтобы убедиться в этом лично!
Мы работаем по всей России. Укажите Ваш город в комментарии
