Законодательные основы

Все процедуры, касающиеся обработки персональных данных (ПД), указаны в Федеральном законе Российской Федерации «О персональных данных» от 27 июля 2006 года. В законодательном акте N 152-ФЗ четко сказано, что к личной информации относятся любые ведомости, которые прямо или косвенно относятся к физическому лицу, иными словами, принадлежат субъекту (подробнее о том, какая информация относится к ПД, читайте , а в этой статье вы найдете примеры персональных данных).

Статья 19 Гражданского кодекса Российской Федерации сообщает, что ФИО определяет гражданина. С приобретением имени, фамилии и отчества гражданин получает и осуществляет права и обязанности под своим именем. В законе говорится о том, что ФИО принадлежит человеку, поэтому, если вернуться к определению из ФЗ «О персональных данных», такая информация должна являться персональной со всеми юридическими последствиями и нюансами при ее распространении и обработке.

В то же время Роскомнадзор, регулирующий информационную деятельность в сети интернет, отмечает, что размещение на веб-страницах всемирной паутины фамилии, имени и отчества без каких либо дополнительных пояснений, не считается обработкой ПД физического лица. Роскомнадзор указывает на еще одну важную характеристику конфиденциальных ведомостей – они должны давать возможность выяснить личность гражданина.

Важно! Распространение персональных данных возможно только после разрешения на обработку субъектом и владельцем ПД.

Являются ли персональными данными?

Фамилия

Роскомнадзор разъясняет, что фамилия физического лица считается его персональными сведениями. Однако не позволяет однозначно назвать субъекта. Есть более и менее распространенные фамилии, так что публикация фамилии гражданина Российской Федерации может в разной степени сократить выборку тех, кому оно гипотетически принадлежит.

Персональные данные в РФ неоднородны, они делятся на четыре категории, и для каждой характерны свои особенности. Если по персональной информации невозможно определить гражданина, которому они принадлежат, ведомости считаются обезличенными. Сведения такого рода хранятся по всем правилам, на бумажных или электронных носителях. Однако субъект персональных сведений не сможет доказать, что распространением ему был нанесен ущерб.

Имя

Имя принадлежит человеку, считается его личной информацией, ПД, однако максимально обезличенными. Без уточняющих данных выяснить, кому принадлежит имя, невозможно. Более того, зная имя человека, третье лицо не будет иметь возможность установить дополнительные ведомости.

Отчество

Отчество человека принадлежит физическому лицу, является его персональными сведениями. Входит в категорию обезличенных ведомостей. Под ними понимаются данные, не дающие возможность установить к какому человеку они относятся или что-то еще о нем.

Обезличенные сведения также хранятся в недоступных для третьих лиц местах.

ФИО вместе

Является ли ФИО в целом персональными данными, согласно разъяснениям Роскомнадзора? Да. В Федеральном законе России «О Персональных данных» говорится, что под вышеназванную категорию ведомостей попадает любая информация, принадлежащая физическому лицу. Все ФИО вместе является персональными ведомостями более высокого приоритета, чем указанное отдельно имя или отчество.

В зависимости от конкретных обстоятельств сведения могут иметь более высокий или низкий приоритет. Например, на отдельно взятом предприятии распространение ФИО даст возможность идентифицировать человека, в пределах большого населенного пункта – информация лишь сократит выборку, а если ФИО опубликовано без всякой дополнительной информации, то такие данные станут обезличенными, ведь идентификация не состоится.

Определение понятия «персональные данные» (Буркова А.Ю.)

Основным законом, регулирующим отношения, связанные с обработкой персональных данных, является Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных» (далее — Закон).

Согласно статье 3 Закона персональные данные — «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)».
Из этого определения следует, что под термин «персональные данные» подпадает любая информация о физическом лице.
Такое широкое определение влечет за собой множество вопросов:
— Означает ли это, что даже фамилия лица без его имени и отчества подлежит защите на основании Закона?
— Или все-таки Закон защищает только совокупность данных, позволяющих идентифицировать конкретное физическое лицо?
— Можно ли внутренними документами организации сузить определение персональных данных по сравнению с тем, как это дано в Законе?
— Существуют ли случаи, когда персональные данные можно все же раскрывать?

Что входит в определение «персональные данные»?

Статья 19 Гражданского кодекса Российской Федерации закрепляет, что гражданин приобретает и осуществляет права и обязанности под своим именем, включающим фамилию и собственно имя, а также отчество, если иное не вытекает из закона или национального обычая.
В случаях и в порядке, предусмотренных законом, гражданин может использовать псевдоним (вымышленное имя).
Немногочисленная судебная практика, существующая относительно определения персональных данных, на этом основании делает вывод, что если одновременно указываются фамилия, имя и отчество, то это сочетание представляет собой персональные данные.
Например, в деле Апелляционного определения СК по гражданским делам Московского городского суда от 6 сентября 2012 г. по делу N 11-17136 было указано, что «ссылка ответчика на то обстоятельство, что фамилия, имя и отчество не являются персональными данными, не может быть принята во внимание как противоречащая действующему законодательству, так как, исходя из положений п. 1 ст. 3 ФЗ от 27 июля 2006 г. N 152-ФЗ «О персональных данных», персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)».
Вместе с тем встают следующие вопросы: фамилия, или имя и фамилия, или имя и отчество являются ли сами по себе персональными данными? Подпадают ли они под защиту Закона?
Судебная практика здесь делает важное заключение: эти данные будут подлежать защите Закона как персональные данные, только если они сами по себе помогают идентифицировать конкретное лицо.
Достаточно ли указание имени и отчества?
В деле, рассмотренном в Определении СК по гражданским делам Приморского краевого суда от 9 сентября 2013 г. по делу N 33-7063, суд отметил, что «в совокупности имя, отчество, улица и номер дома не позволяют достоверно установить, о каком именно человеке идет речь на страницах форума». «Разрешая заявленные требования, суд пришел к обоснованному выводу об отказе в удовлетворении исковых требований, поскольку сведения, размещенные в Интернете по ссылке… не являются персональными данными истца, так как не содержат персонифицированных и детализированных данных, позволяющих определить в отношении какой квартиры, какого населенного пункта идет речь, а также отсутствует указание на фамилию, что не позволяет идентифицировать лицо, о котором идет речь».
Таким образом, раскрытие чужого имени и отчества лица не является нарушением Закона, если только эти имена не уникальны.
В своем Обзоре обращений граждан за II квартал 2012 года Управление Роскомнадзора по Республике Карелия рассмотрело вопрос, являются ли фамилия и инициалы гражданина персональными данными <1>.
———————————
<1> http://10.rkn.gov.ru/queries/lookup/people_2kv_2012/p1/

По результатам рассмотрения Управление Роскомнадзора указало следующее: «Фамилия и инициалы гражданина — это, несомненно, персональные данные субъекта. Однако без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных невозможно. ФИО (фамилия, имя, отчество) наряду со многими другими способами используются для идентификации отдельного человека среди других. По своей природе это составной ключ, идентификатор, основанный на комбинациях трех параметров фамилии, имени и отчества, на самом деле не идентифицирующий человека однозначно, а лишь сильно сокращающий выборку из тех, кому они могут принадлежать.
Характер сведений, опубликованных в статье, не позволяет определить пол человека, его имя и отчество. Фамилия гражданки С. не является уникальной и довольно распространена».
На этом основании Управление Роскомнадзора не обнаружило в действиях редакции газеты признаков нарушения установленного законом порядка использования или распространения информации о гражданах (персональных данных).
Таким образом, указание фамилии человека с инициалами не является нарушением Закона, если только фамилия не является уникальной.
Тот же подход был использован, например, в Федеральном законе от 22 декабря 2008 г. N 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации». Статья 15 этого Закона закрепляет, что «при размещении в сети Интернет текстов судебных актов, вынесенных судами общей юрисдикции, за исключением текстов судебных актов, подлежащих в соответствии с законом опубликованию, в целях обеспечения безопасности участников судебного процесса из указанных актов исключаются персональные данные, кроме фамилий и инициалов. Вместо исключенных персональных данных используются инициалы, псевдонимы или другие обозначения, не позволяющие идентифицировать участников судебного процесса».
В Постановлении Восемнадцатого арбитражного апелляционного суда от 24 сентября 2014 г. N 18АП-10690/14 содержался следующий юридический анализ, посвященный вопросам идентификации человека:
«Квитанция, свидетельствующая о направлении письма «ИП Петрушеву» (г. Миасс), по мнению апелляционной инстанции, не может подтверждать факт исполнения заявителем процессуальной обязанности о направлении заявления кредитору, чье требование первым было признано судом обоснованным, предпринимателю В.В. Патрушеву, поскольку не отражает необходимых индивидуальных признаков фамилии последнего и не позволяет идентифицировать получателя, исходя из буквенного обозначения фамилии как кредитора в деле о банкротстве».
«Квитанция с указанием в качестве адресата получателя «Лукьянов», по мнению апелляционной инстанции, не может подтверждать факт исполнения заявителем процессуальной обязанности о направлении заявления ответчику — Лукьяновой Ларисе Викторовне, поскольку не отражает необходимых индивидуальных признаков фамилии ответчика и не позволяет идентифицировать получателя, исходя из буквенного обозначения фамилии, указанной в мужском роде, а не в женском, и без указания инициалов (имени, отчества, что могло бы указывать на соблюдение требований), учитывая, что должником в деле выступает Лукьянов, утративший статус индивидуального предпринимателя в связи с принятием решения о признании его банкротом».
К сожалению, не удалось найти судебных решений о том, подлежит ли охране по Закону сочетание имени и фамилии человека. Однако считаем, что вышеуказанный судебный подход должен продолжать использоваться: только если данные позволяют идентифицировать человека, они подлежат защите по Закону.
Таким образом, фамилия или сочетание фамилии и имени скорей всего не будет подлежать охране по Закону, за исключением случаев, когда они настолько уникальные, что позволяют идентифицировать человека.
Интересен вопрос об адресе электронной почты физического лица — является ли электронный адрес персональным данным?
Например, Приказ Федеральной службы по финансовому мониторингу от 21 января 2014 г. N 10 «Об утверждении Положения об обработке и защите персональных данных в Федеральной службе по финансовому мониторингу» или комментарий Т.А. Кухаренко «Комментарий к Федеральному закону от 27 июля 2006 г. N 152-ФЗ «О персональных данных» (СПС «Гарант», 2012) считают, что адрес электронной почты физического лица является персональным данным.
Однако, скорей всего, адрес электронной почты лица будет только тогда защищаться Законом, когда позволяет сам по себе идентифицировать конкретное физическое лицо.
В случае с работниками раскрытие и обработка информации об адресе электронной почты будут возможны, если соответствующее право работодателя было включено в трудовой договор или будут основания полагать, что обработка персональных данных необходима для исполнения договора, стороной которого является работник, или на любом ином основании, как это установлено в статье 6 Закона.
К персональным данным судебная практика также относит: год, месяц, дату и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы <2>, информацию о количестве принадлежащих лицу акций <3> и т.д.
———————————
<2> Определение Санкт-Петербургского городского суда от 26 марта 2013 г. N 33-3815/13, Апелляционное определение Московского городского суда от 28 января 2014 N 33-5461/14, Апелляционное определение СК по гражданским делам Саратовского областного суда от 29 января 2013 г. по делу N 33-500.
<3> Постановление Третьего арбитражного апелляционного суда от 4 октября 2011 г. N 03АП-3752/11.

Вместе с тем судебная практика и здесь подчеркивает, что не каждый из этих элементов сам по себе подпадает под защиту Закона, а только если они в отдельности или в совокупности помогают идентифицировать конкретное лицо <4>.
———————————
<4> Определение Санкт-Петербургского городского суда от 26 марта 2013 г. N 33-3815/13, Апелляционное определение Московского городского суда от 28 января 2014 N 33-5461/14.

Действительно, если, например, зарплата человека составляет 25000 рублей, сама по себе эта сумма не может защищаться на основании Закона, однако вместе с именем, отчеством и фамилией человека такая информация уже будет персональным данным, регулируемым Законом.
Соответственно, если набор данных не позволяет идентифицировать конкретное лицо, то ни о каком нарушении персональных данных не может идти речь.
Например, согласно материалам Определения Санкт-Петербургского городского суда от 26 марта 2013 г. N 33-3815/13 ЖСК провело собрание, на котором председатель ЖСК высказал следующее: «Ж (ЖСК) — Не платит квартплату там, где прописан, <…> тысяч долга имеет, значит, и так далее». Суд отметил, что председатель не указывал «персонифицированных и детализированных данных, позволяющих определить, о задолженности кого, по какому платежу и в отношении какой квартиры идет речь». Председателем ЖСК «не называлось ни адреса места проживания лица («…не платит квартплату там, где прописан…»), ни наименования управляющей компании, перед которой у лица имеется задолженность, ни периоды возникновения задолженности». На этом основании суд сделал вывод, что факт распространения персональных данных отсутствует.
Суды также иногда в этом вопросе опираются на Указ Президента РФ от 6 марта 1997 г. N 188 «Об утверждении перечня сведений конфиденциального характера», который относит к перечню сведений конфиденциального характера «сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях» <5>.
———————————
<5> Определение СК по гражданским делам Верховного Суда РФ от 12 мая 2010 г. N 49-В10-5.

Сужение определения во внутренних документах

Законом не предусмотрена возможность сужения понятия «персональные данные» по сравнению с тем, как это дано в Законе.
Это означает, что все попытки принятия компаниями внутренних документов, объясняющих, что является персональными данными и что не является персональными данными, тщетны. Государственный проверяющий орган может не согласиться с таким ограничительным толкованием, что в результате может вылиться в наложении ответственности на компанию.

Исключения из регулирования Закона

Не все использование персональных данных подпадает под регулирование Закона. Согласно статье 1 Закона действие Закона не распространяется на отношения, возникающие при:
— обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных.
При этом не стоит путать этот пункт с правом члена семьи получить информацию от третьих лиц о другом члене семьи.
Например, в Апелляционном определении СК по гражданским делам Санкт-Петербургского городского суда от 15 июля 2013 г. по делу N 33-10329/13 один из членов семьи пытался получить информацию про другого члена семьи в государственных органах. Суд указал, что «доводы апелляционной жалобы заявителя о том, что жилищные права военнослужащего, включая право на предоставление информации, распространяются и на членов семьи военнослужащего, судебная коллегия полагает несостоятельными, поскольку в силу положений статьи 29 Конституции Российской Федерации право на получение информации является личным субъективным правом лица, и соответственно, права членов семьи военнослужащего, которые являются производными от прав самого военнослужащего, не могут быть тождественными личному субъективному праву военнослужащего как личности»;
— организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации;
— обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну;
— предоставлении уполномоченными органами информации о деятельности судов в Российской Федерации в соответствии с Федеральным законом от 22 декабря 2008 года N 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации».
Дополнительно по статье 6 Закона обработка персональных данных без согласия субъекта персональных данных может осуществляться в следующих случаях:
— обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
— обработка персональных данных необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
— обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года N 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;
— обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, в том числе в случае реализации оператором своего права на уступку прав (требований) по такому договору, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
— обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
— обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
— обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;
— обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 Закона, при условии обязательного обезличивания персональных данных;
— осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе;
— осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
Основываясь на вышеизложенном, можно сделать следующие выводы относительно определения понятия «персональные данные»:
— определение понятия «персональные данные» невозможно ограничить/сузить внутренними документами компании;
— персональные данные будут подлежать защите по Закону, только если они позволяют идентифицировать конкретного человека;
— определенные исключения из защиты, предоставляемой Законом, прямо предусмотрены самим Законом.

Список литературы

1. Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных».
2. Федеральный закон от 27 июля 2010 года N 210-ФЗ «Об организации предоставления государственных и муниципальных услуг».
3. Указ Президента РФ от 6 марта 1997 г. N 188 «Об утверждении перечня сведений конфиденциального характера».
4. Апелляционное определение СК по гражданским делам Московского городского суда от 6 сентября 2012 г. по делу N 11-17136.
5. Апелляционное определение СК по гражданским делам Санкт-Петербургского городского суда от 15 июля 2013 г. по делу N 33-10329/13.
6. Определение Санкт-Петербургского городского суда от 26 марта 2013 г. N 33-3815/13.
7. Постановление Восемнадцатого арбитражного апелляционного суда от 24 сентября 2014 г. N 18АП-10690/14.

Чиновники разъяснили, что не является персональными данными

Роскомнадзор прокомментировал некоторые вопросы, касающиеся отнесения фото- и видеоизображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенностей их обработки.

Роскомнадзор прокомментировал некоторые вопросы, касающиеся отнесения фото- и видеоизображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенностей их обработки.

В соответствии с Федеральным законом «О персональных данных» к биометрическим персональным данным относятся сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных, пишет .

В этой связи , что не является биометрическими персональными данными фотографическое изображение, содержащиеся в личном деле работника, а также подпись лица, наличие которой в различных договорных отношениях является обязательным требованием, и почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы.

Не являются биометрическим персональными данными рентгеновские или флюорографические снимки, характеризующие физиологические и биологические особенности человека, и находящиеся в истории болезни (медицинской карте) пациента (бумажной или электронной), поскольку они не используются оператором (медицинским учреждением) для установления личности пациента. Но в случае их передачи по запросу субъектов оперативно-розыскной деятельности, органов следствия и дознания в рамках проводимых ими мероприятий указанные сведения становятся биометрическими персональными данными, поскольку используются операторами — органами следствия и дознания в целях установления личности конкретного лица.

Аналогично с материалами видеосъемки в публичных местах и на охраняемой территории. До передачи их для установления личности снятого человека они не являются биометрическим персональными данными, обработка которых регулируется общими положениями Федерального закона «О персональных данных», поскольку не используются оператором (владельцем видеокамеры или лицом, организовавшим ее эксплуатацию) для установления личности. Однако указанные материалы, используемые органами, осуществляющими оперативно-розыскную деятельность, дознание и следствие в рамках проводимых мероприятий, являются биометрическими персональными данными, в случае, если целью их обработки является установление личности конкретного физического лица.