Теория права информационной приватности: классификация правоотношений

Для цитирования:

Себякина Е.П. Теория права информационной приватности: классификация правоотношений//Журнал Суда по интеллектуальным правам. Июнь 2024. N 2 (44). С. 127-144.
DOI: 10.58741/23134852_2024_2_7

Sebiakina E.P. The theory of informational privacy law: classification of legal relationships//Zhurnal Suda po intellektual'nym pravam. June 2024. N 2 (44). Pp. 127-144. (In Russ.).
DOI: 10.58741/23134852_2024_2_7

Введение

В современной российской и иностранной юридической литературе широко признается, что право на неприкосновенность частной жизни представляет собой комплексное — зонтичное понятие, объединяющее под собой различные субъективные права и институты1. Автор намеревается выявить причины такого разнообразия, применив концепцию правоотношений к анализу права на информационную приватность. Насколько автору известно, до сих пор ни одно из существующих исследований не рассматривало право на информационную приватность с этой точки зрения и не классифицировало правоотношения в этой сфере на основе известных теории права критериев. Вероятно, это объясняется неопределенностью доктринальной позиции относительно того, относится ли право информационной приватности к частному или публичному праву, а также — могут ли концепции или методы исследования гражданского права быть заимствованы и применены к исследованию этого права. В данной статье автор попытается ответить на вопрос, относится ли право информационной приватности к частному или публичному праву.

Категория правоотношения представляет собой научную абстракцию и инструмент правового исследования, широко используемый в рамках цивилистической доктрины. Автор поставит понятие правоотношения в центр своих дальнейших изысканий в области теории права информационной приватности. Практическая сфера приватности представляет собой множество различных правовых отношений между субъектами, операторами, обработчиками персональных данных, надзорными органами и другими участниками. Целью данной статьи является их классификация и типологизация с использованием категории правоотношений. Исследование правового явления через правоотношение имеет большое преимущество перед нормативным и институциональным анализом, поскольку позволяет лучше визуализировать реальную ситуацию в свете юридических фактов, позволяет увидеть все элементы, функционирующие как система, оценить связи между сторонами, увидеть динамику отношений и найти правильное решение практической задачи или судебного кейса. Основным подходом в данной работе является междисциплинарный подход, предполагающий обогащение знаний и методологии общей теории права информационной приватности за счет методологии теории гражданского права. Основным методом научного исследования, который автор заимствует из теории гражданского права, является метод классификации, то есть упорядочивания множества явлений и процессов путем разделения их на устойчивые виды. Любая степень классификации представляет собой более продвинутую стадию после сбора совокупности разрозненных знаний. Взяв за основу достижения теории гражданского права в области классификации правоотношений, автор применяет некоторые основания классификации к правоотношениям в сфере информационной приватности и, разделив их на устойчивые виды, дает им свое толкование, демонстрирует их систему, выделяет закономерности их существования и проводит параллели между некоторыми институтами гражданского права и права приватности. Стройная система правоотношений в теории права информационной приватности поможет в дальнейшем правильно классифицировать вновь возникающие правоотношения, понимать их характеристики и предвидеть динамику. Классификация правоотношений в сфере информационной приватности — ключ к пониманию причин комплексности и многоликости концепции приватности.

Рассматривая информационную приватность как динамичную систему правоотношений, автор попытается ответить на многие практические и теоретические вопросы, в частности: 1) почему субъект персональных данных не имеет права требовать обработки своих данных; 2) обязан ли субъект персональных данных предоставлять оператору достоверные персональные данные; 3) почему оператор не может в одностороннем порядке «отменить» согласие субъекта персональных данных; 4) можно ли привлечь оператора ответственности за нарушение политики на сайте, и к какой; 5) какова юридическая природа уведомления субъекта об обработке; 6) почему работодатель не всегда несет ответственность за утечку своих данных; 7) какова юридическая природа согласия на обработку персональных данных; 8) почему обработка на основании согласия не может прекратиться расторжением договора; 9) чем опасно согласие, полученное «на всякий случай»; 10) право информационной приватности — частное или публичное?

Автор даст ответы в тексте статьи, выделив их курсивом, под нумерацией, соответствующей номерам вопросов в предыдущем абзаце.

Информационная приватность — что это?

Что же такое право на информационную приватность, как оно соотносится с правом на неприкосновенность частной жизни, каково его место в классификации личных прав и что является его объектом?

Зачатки права на неприкосновенность частной жизни, из которого в ходе исторического развития произросло право на информационную приватность, были известны еще со времен древних памятников права, например: клевета в своде законов царя Хаммурапи (1750-е гг. до н.э.), Уголовном законе ханьского Китая (120 г. до н.э.) и законах XII таблиц (V в. до н.э.), защита телесной неприкосновенности, чести и достоинства в Русской Правде (начиная с 1016 г.), клевета и оскорбление в Церковном Уставе князя Ярослава (XII-XVII вв.).2

В Соборном Уложении царя Алексея Романова 1649 г. появляется первое указание на необходимость защиты личной и семейной тайны в ходе отправления правосудия. С этого момента российская правовая система начинает придавать особое значение личной информации и ее защите в процессуальном и уголовном праве. Уголовное Уложение 1903 г. закрепило запрет на вмешательство в личную и семейную жизнь при отправлении правосудия. До Октябрьской революции 1917 г. такая правовая категория, как частная жизнь, уже основательно закрепилась в законодательстве и подлежала защите. Тогда будущее право на неприкосновенность частной жизни уже разделилось на тайну церковных обрядов, личную и семейную тайну, служебную тайну.

Советские Конституции 1918, 1924, 1925 гг. по понятным причинам не регулировали право на неприкосновенность частной жизни, однако Конституция СССР от 5 декабря 1936 г. впервые за советское время декларировала широкий перечень личных прав и свобод. Конституция РСФСР 21 января 1937 г. закрепила неприкосновенность личности (ст. 127), неприкосновенность жилища и тайну переписки (ст. 128). Конституция СССР 1977 г. вводит институт личной жизни, гарантирует неприкосновенность личности, жилища, а также охрану личной жизни, тайны переписки, телефонных переговоров и телеграфных сообщений (ст. 54-56). 21 апреля 1992 г. была принята новая редакция Конституции РСФСР 1978 г., которая использовала более широкий термин — «частная жизнь», вместо «личная жизнь».

Действующая Конституция РФ3 в ч. 1 ст. 23 закрепила естественное право на неприкосновенность частной жизни, которое раскрывается через иные конституционные права: право на личную и семейную тайну; тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений; неприкосновенности личности и жилища; право на защиту чести и доброго имени; право ознакомления с документами и материалами, непосредственно затрагивающими права и свободы личности; и др. Сюда же относятся права на профессиональную и иные тайны: врачебная, адвокатская, коммерческая, банковская, а также тайны усыновления, исповеди и др.

Указанные права являются своеобразными правомочиями обобщающего универсального по своему характеру права на неприкосновенность частной жизни и одновременно служат условиями (гарантиями) его реализации, охраны и защиты наряду с иными гарантиями этого права, непосредственно установленными ч. 1 ст. 24 Конституции РФ (запрет сбора, хранения, использования и распространения информации о частной жизни лица без его согласия)4.

Право на приватность является одним из видов личных прав, входящих в состав права на неприкосновенность частной жизни. Согласно пункту 2 ст. 17 Конституции РФ, право на неприкосновенность частной жизни, личную и семейную тайну  неотчуждаемо и принадлежит каждому от рождения. Это естественные и абсолютные права, которые государственная власть не может даровать или отчуждать. Являясь видом права на неприкосновенность частной жизни, право на приватность относится также к категории личных прав на нематериальные блага, неотделимые от личности.

Право на приватность — это право на социальные условия существования индивидуализации субъекта как средоточия определенной личной сферы, нуждающейся в сохранении конфиденциальности5. В зависимости от направления такой личной сферы исследователи выделяют семь типов приватности6: телесная приватность, приватность поведения и действий, коммуникационная приватность, приватность данных и изображений (далее по тексту — информационная приватность), приватность мыслей и чувств, приватность передвижений и пространства, а также приватность групп и ассоциаций. Эти семь типов приватности взаимопересекаются, но в исследовательских целях рассматриваются по отдельности. Настоящая статья будет посвящена выявлению правоотношений именно в сфере информационной приватности.

Когда мы говорим о праве на информационную приватность, то имеем ввиду право человека самостоятельно устанавливать режим комфортного доступа и обработки сведений о себе и своей деятельности. Таким образом, объектом права на информационную приватность является состояние неизвестности сведений о себе и своей деятельности, установленное и поддерживаемое самим субъектом права.

Именно в этом состоит личное благо информационной приватности для каждого человека: автономно решать, какие сведения о нем должны оставаться неизвестными никому, ограниченно известными или стать публичными. Вот почему так важно обеспечить контроль человека над степенью неизвестности сведений о себе и своей деятельности, особенно учитывая, что это естественное неотчуждаемое право, принадлежащее каждому от рождения.

Именно право на информационную приватность является предметом регулирования Федерального закона № 152-ФЗ «О персональных данных» от 27 июля 2006 г.7 (далее по тексту — Закон), который призван обеспечивать защиту прав и свобод человека и гражданина при обработке его персональных данных. Хотя право на информационную приватность прямо не указано в Конституции РФ, перечисление в Основном законе прав и свобод не должно толковаться как отрицание или умаление других общепризнанных прав и свобод человека и гражданина (согласно ч. 1 ст. 55 Конституции РФ).

Классификация правоотношений в сфере информационной приватности

Абсолютные и относительные правоотношения

В зависимости от степени определенности участников общая теория права и гражданское право, в частности, выделяют абсолютные и относительные правоотношения. В абсолютных правоотношениях определено только управомоченное лицо, носитель права, которому противостоят все остальные как неопределенные обязанные лица.

Так отношения, урегулированные ст. 23 и 24 Конституции РФ, могут быть отнесены к абсолютным: все лица должны воздерживаться от разглашения персональных данных субъекта, кроме случаев, когда он сам распорядился об ином. Обязанность не нарушать приватность конкретного субъекта лежит на всех физических и юридических лицах.

Особенностью абсолютных правоотношений в сфере информационной приватности является то, что все противостоящие субъекту неопределенные обязанные лица должны воздерживаться от совершения действий, нарушающих право субъекта персональных данных самостоятельно устанавливать режим комфортного доступа к своим данным8.

В то же время важно отметить, что субъективное право на информационную приватность не является абсолютным. Это право ограничивается рядом других субъективных прав и публичных интересов: свободой распространения информации и свободой массовой информации (ст. 29 Конституции РФ), целями защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства (ч. 3 ст. 55 Конституции РФ). Таким образом, хотя право на информационную приватность является объектом абсолютных правоотношений, само по себе оно не является абсолютным правом.

Относительные правоотношения в сфере информационной приватности характеризуются тем, что все их стороны определены. Например, в правоотношении по обработке персональных данных при использовании сайта Госуслуг конкретному субъекту с одной стороны противостоит конкретный оператор, с другой — оператор портала, а также иные участники обработки9 и их представители10.

Мы знаем, что обработка персональных данных физическими лицами исключительно для личных и семейных нужд выведена из-под действия Закона в соответствии с п. 1 ч. 2 ст. 1 Закона. Тем не менее эти не урегулированные Законом отношения остаются под действием Конституции РФ и формируют относительные правоотношения между определенными физическими лицами. В случае нарушения обязанным физическим лицом прав субъекта персональных данных (не совсем ясно, тех ли, которые перечислены в Законе, или конституционных), могут возникнуть охранительные, процессуальные или деликтные правоотношения, о которых речь пойдет далее.

Между сторонами относительного правоотношения возникает обязательство, где оператор должен соблюдать установленные законодательством или добровольно взятые им на себя требования и условия обработки персональных данных (далее по тексту — обязательные и заявленные характеристики обработки), а субъект вправе требовать от оператора их исполнения.

Последствие очерчивания именно такого содержания относительного правоотношения состоит в том, что непосредственно процесс обработки персональных данных не является ни объектом такого правоотношения, ни субъективной обязанностью оператора, а субъект не имеет субъективных прав требования обработки его персональных данных, кроме реализации прав на уточнение, блокирование и удаление (Ответ на вопрос № 1). Равно как у субъекта в рассматриваемых правоотношениях нет субъективной обязанности предоставлять оператору свои персональные данные или предоставлять их достоверными (кроме случаев, когда обязанность их предоставления или их достоверность прямо предусмотрены законом или требованиями соглашения субъекта с оператором), а у оператора нет корреспондирующих прав требования. Например, невозможно привлечь соискателя к ответственности за ложную информацию в резюме, а лица творческих профессий вправе использовать псевдоним или изменять свой образ (Ответ на вопрос № 2). Кроме того, даже после получения согласия субъекта у оператора не возникает обязательства начинать обработку. Он вправе так никогда ее и не начать (о чем, однако, субъект персональных данных вправе быть проинформированным).

Следовательно, субъект персональных данных имеет права требования в отношении обязательных или заявленных характеристик обработки его персональных данных (как их обрабатывать?), но не имеет права требовать начать обработку (обрабатывать ли их вообще?), в том числе, требовать распространения или повышения публичности своих данных, даже если сам субъект заинтересован в этом.

Только сам оператор решает, начнется ли обработка персональных данных. При этом он, хоть и не вправе «отменить» в одностороннем порядке предоставленное ему согласие, в силу безотзывности своего запроса на согласие (Ответ на вопрос № 3), согласно ст. 436 Гражданского кодекса Российской Федерации11 (ГК РФ), о чем поговорим далее в разделе об акцессорных правоотношениях, но он вправе отказать субъекту в начале любой обработки по своему усмотрению, а также может прекратить любую существующую обработку в любой момент (кроме случаев, когда обработка вытекает из правоотношений, от которых оператор не вправе отказаться, например, обязан по закону оказать медицинскую помощь, образовательные услуги, выплачивать зарплату, исполнять договор и т.п.).

Тем не менее у субъектов есть субъективные права на прекращение или изменение относительных правоотношений по обработке их персональных данных (например, потребовать удалить данные, отозвать согласие, изменить данные, а в некоторых юрисдикциях приостановить конкретный тип обработки или перейти к другому оператору).

Возвращаясь к обязательствам оператора по соблюдению обязательных и заявленных характеристик обработки: они могут содержаться не только в законодательстве или, например, в тексте запроса на согласие (который принято коротко называть согласием), но и в других публичных или внутрикорпоративных документах оператора, например: а) в публичных заверениях — публичная политика или декларация приватности, уведомление об обработке, пользовательское соглашение, знаки соответствия, кодекс приватности, кодекс соответствия, к которому присоединился оператор; б) в корпоративных правилах: защиты приватности, обработки запросов субъектов, реагирования на нарушения, работы с личных устройств, информационной безопасности, хранения и удаления данных, дистанционной работы, обмена данными, должностных инструкциях, обязательствах сотрудников и т. д.

По мнению автора, субъективные обязанности, которые оператор взял на себя добровольно и которые он довёл до сведения субъекта, чтобы склонить его к вступлению в правоотношения по обработке персональных данных, приобретают характер гражданско-правовых обязательств, должны квалифицироваться как заверения об обстоятельствах в соответствии со ст. 431.2 ГК РФ и подлежать исполнению под угрозой не только административной, но и гражданской ответственности.

Следовательно, оператор, предоставивший субъекту на момент начала обработки недостоверные заверения о характеристиках обработки персональных данных, чем ввел его в заблуждение, обязан понести гражданско-правовую ответственность в соответствии с п. 1-2 ст. 431.2 ГК РФ, а именно: обязан возместить субъекту убытки, причиненные недостоверностью таких заверений, или прекратить обработку по требованию субъекта (Ответ на вопрос № 4). Аналогично, недействительность последующих изменений в условиях обработки (например, ложное обещание внедрить сквозное шифрование12), должна повлечь гражданско-правовую ответственность за нарушение оператором обязательств в соответствии со ст. 393 ГК РФ.

Даже если до вступления в правоотношения по обработке персональных данных субъект не имел возможности ознакомиться со всеми характеристиками будущей обработки и всеми публичными заверениями оператора13, для принятия действительно информированного решения — он вправе впоследствии отказаться от обработки либо потребовать ее прекращения, блокировки, удаления своих данных. Это решение — оставаться в относительных правоотношениях с оператором или выйти из них, субъект будет принимать в том числе на основании публичных заверений оператора. И если окажется, что субъект вступил в правоотношения под влиянием обмана или существенного заблуждения, вызванного недостоверными заверениями, предоставленными оператором, он должен иметь такие же возможности защиты, как и любой другой участник гражданско-правовых отношений.

Итак, в относительном правоотношении стороны имеют взаимные права и обязанности, следовательно, субъекту необходимо понимать: с кем он состоит в правоотношении, к кому он может обратиться за реализацией своих субъективных прав и кто будет исполнять перед ним свои субъективные обязанности.

Это объясняет, почему уведомление субъекта персональных данных об операторе и обработке (когда данные получены не напрямую от субъекта), должно стать универсальным принципом и занять ключевое место в законодательстве об информационной приватности в любой стране: ведь иначе субъект будет пребывать в неведении — с кем он находится в правоотношении (если он в принципе осведомлен о возникшем правоотношении), не получит возможности предъявить права требования к участнику обработки, в силу его неизвестности, а значит, не может и реализовать свои права. Субъект не обладает информацией о степени конфиденциальности/доступности/разглашенности/защищенности своих персональных данных, а следовательно, не реализует свое субъективное право на самостоятельное установление режима комфортного доступа к своим данным.

Такая ситуация очень сходна с «исключением» — exclusion, нарушением приватности, характеризующимся оставлением лица в неведении об обработке, которая служит основанием для формирования предвзятого мнения/выводов о нем, или порождает негативные для него последствия, препятствия к осуществлению возможностей14.

С точки зрения гражданского права, получение субъектом персональных данных уведомления о начале обработки его данных (когда такое уведомление обязательно в соответствии с п. 4 ст. 18 Закона) является юридически значимым сообщением (ст. 165.1 ГК РФ) и юридическим фактом15, порождающим относительное правоотношение по обработке его персональных данных (Ответ на вопрос № 5).

Следовательно, до момента получения такого уведомления правомерная обработка персональных данных не может считаться возникшей и, вероятно, должна признаваться незаконной обработкой персональных данных. Кроме того, неуведомлением субъекта о начале обработки грубо нарушается его право на свободу вступления в правоотношения: он оказывается стороной незаконных правоотношений помимо своей воли, что ограничивает его правоспособность и нарушает ст. 22 ГК РФ, согласно которой никто не может быть ограничен в правоспособности.

Практика уведомления субъектов об обработке персональных данных в странах СНГ не внушает оптимизма: даже консультанты по защите персональных данных не часто рекомендуют уведомлять субъектов — якобы операционные издержки превышают степень риска быть оштрафованным за неуведомление. Не все понимают ключевую роль уведомления в соблюдении прав субъектов, а законодательство не часто акцентирует на этом внимание. Однако уведомление об обработке — это не какое-то загадочное обременение для оператора. Речь идет об осведомленности субъекта о его собственном участии в правоотношении и о конкретных обязательствах оператора. Если субъект не уведомлен об обработке и не знает, кто оператор, должны ли мы признать, что последний de facto освобождается от всех своих обязанностей перед субъектом? Ведь, не зная от кого, субъект не может требовать их исполнения.

Представляется, что отведение в законодательстве об информационной приватности центральной роли уведомлению — это еще и предпосылка к внедрению такого передового условия для обработки персональных данных, как легитимный интерес оператора.

Важно помнить, что представители участника обработки, например работники, находятся не только в относительных правоотношениях с субъектами на стороне участника обработки, но и в абсолютных правоотношениях с этими же субъектами. Вот почему при нарушении прав приватности субъекта персональных данных представителем участника обработки ответственность не во всех случаях будет нести участник обработки (например, работодатель) (несмотря на указание ст. 402-403 ГК РФ, согласно которым действия работников и представителей должника по исполнению его обязательства считаются действиями должника и должник отвечает за эти действия, если они повлекли неисполнение или ненадлежащее исполнение обязательства. А также, несмотря на указание ст. 1068 ГК РФ, согласно которой юридическое лицо возмещает вред, причиненный его работником при исполнении трудовых (служебных, должностных) обязанностей).

Работник, равно как и иной представитель участника обработки, лично отвечает за нарушение своих субъективных обязанностей из абсолютных правоотношений с конкретным субъектом персональных данных как самостоятельная сторона этих правоотношений, а не как структурная единица внутри участника обработки, действующая по его инструкции и о которой субъект персональных данных даже не вправе знать (см. подп. 4 п. 7 ст. 14 Закона) (Ответ на вопрос № 6).

Таким образом, в случае расследования утечки (а равно любого другого нарушения приватности) необходимо разграничивать, в какой роли и в каких правоотношениях находился представитель участника обработки на момент совершения им нарушения, чтобы установить, какую именно свою субъективную обязанность он нарушил: 1) из абсолютных правоотношений с субъектом персональных данных (пассивная обязанность соблюдать режим доступа к персональным данным, установленный и поддерживаемый субъектом) или 2) из относительных правоотношений участника обработки с субъектом персональных данных (обязанность соблюдать обязательные и заявленные характеристики обработки).

Основные и акцессорные правоотношения

В статье 6 Закона перечислены условия обработки персональных данных, и если мы рассмотрим их как список юридических фактов, приводящих к возникновению правоотношений в сфере информационной приватности, то придем к следующему выводу: в подавляющем большинстве случаев правоотношения по обработке персональных данных возникают как производные от неких основных, главных, предшествующих им правоотношений. Это значит, что они носят акцессорный, подчиненный характер относительно этих основных правоотношений, которые спровоцировали обработку персональных данных.

Акцессорность в римском праве предполагала дополнительность к основному обязательству, из которого следовал принцип прекращения дополнительного обязательства с прекращением основного. При этом обратного эффекта акцессорное обязательство на основное оказывать не могло16.

В действующем российском законодательстве концепция акцессорного обязательства нашла свое отражение в регулировании обеспечительных обязательств. Согласно пункту 4 ст. 329 ГК РФ прекращение основного обязательства влечет прекращение обеспечивающего его обязательства, если иное не предусмотрено законом или договором. Однако лишь обеспечительными обязательствами применимость этой концепции не ограничивается. Так правоотношения по уплате процентов, субаренда, субподряд, субкомиссия и другие субправа, ограниченные вещные права, исключительные имущественные права автора являются акцессорными по отношению к основным правоотношениям.

При этом, помимо свойства следования за основным, акцессорность стала проявляться также в свойстве зависимости акцессорного обязательства от изменения объема основного, свойстве зависимости акцессорного обязательства от возможностей принудительной реализации основного обязательства.

Помимо обязательств концепцию акцессорности можно применить к правоотношениям в целом, и в том числе к правоотношениям в сфере информационной приватности. Так, например, при участии субъекта персональных данных в гражданско-правовом договоре основным правоотношением выступает сам договор, а производным от него будет правоотношение по обработке персональных данных субъекта для целей заключения, исполнения, изменения и прекращения этого договора. По прекращении договора с субъектом прекратится и акцессорное правоотношение по обработке персональных данных. Чтобы продолжить обработку тех же данных, участнику обработки потребуется новое условие для обработки, которым прекратившийся договор больше не является. Аналогично, в случаях оказания субъекту медицинской помощи, государственных услуг, участия его в процессуальных правоотношениях, когда он становится персонажем произведения или участником исследования, когда он исполняет обязанности, возложенные на него законом, — обработка персональных данных будет возникать как акцессорное правоотношение, производное от основного. Без этих правоотношений не могут возникнуть акцессорные правоотношения в сфере информационной приватности, поскольку именно они порождают юридические факты, влекущие возникновение, изменение и прекращение акцессорного.

Поскольку акцессорное правоотношение следует судьбе основного, и оно прекращается вместе с прекращением основного правоотношения, то юридический факт, прекращающий его, будет также определять и момент окончания обработки персональных данных. Соответственно, обработка персональных данных должна заканчиваться либо одновременно с прекращением основного правоотношения, либо зависеть от него. Кроме того, с изменением объема или иных существенных условий основного правоотношения акцессорное правоотношение по обработке персональных данных будет претерпевать соответствующие производные изменения. Например, при необходимости изменения перечня оказываемых субъекту медицинских услуг может потребоваться и изменение перечня обрабатываемых персональных данных, изменение срока их обработки, изменение списка представителей участника обработки или даже замена самого оператора.

Однако не все условия обработки персональных данных порождают акцессорные правоотношения. Существует одно условие обработки, которое провоцирует возникновение основного правоотношения по обработке персональных данных, не зависящего ни от каких других правоотношений — согласие на обработку персональных данных (по крайней мере, именно в такой роли оно задумано законодателем). Говоря языком цивилистики, предоставление согласия — это акцепт оферты оператора (запроса на согласие), деяние субъекта, юридический факт в форме акта, порождающий правоотношение по обработке персональных данных17 (Ответ на вопрос № 7). Как следствие, отзыв согласия будет юридическим фактом, влекущим прекращение возникшего на его основании правоотношения по обработке персональных данных.

Таким образом, если согласие используется обоснованно и возникшее вследствие него правоотношение не зависит ни от каких иных правоотношений, его отзыв никак не повлияет на какое-либо основное правоотношение ввиду отсутствия оного. Отсюда следует, что срок прекращения правоотношения по обработке персональных данных (а равно и прекращения самой обработки), возникшего на основании согласия, должен быть установлен оператором в тексте запроса на согласие, либо должен заканчиваться юридическим фактом — отзывом согласия. Практически это означает, что срок прекращения обработки (то есть срок действия самого согласия) не может определяться какими-либо иными обстоятельствами, кроме двух указанных выше, в частности, например, ссылкой на истечение сроков, установленных законом, или на расторжение договора. Ведь эти юридические факты характерны для основных правоотношений и влекут прекращение зависимого от них акцессорного правоотношения. Только обработки, возникшие как акцессорные, прекращаются вместе с прекращением основного правоотношения, следуя его судьбе. Возникающие же на основании согласия основные правоотношения не могут и не должны прекращаться как акцессорные (Ответ на вопрос № 8).

Следовательно, сбор согласия в целях начала обработки персональных данных, когда она уже подчиняется некоему основному правоотношению, и уже есть иной конкурирующий юридический факт для начала этой обработки — будет излишним. «Дублирование» юридических фактов согласиями приводит к ошибке и нарушает устойчивость основных правоотношений. Ведь отзыв излишне собранного согласия влияет на основное правоотношение так, как будто акцессорное правоотношение может влиять на основное и даже ставить его дальнейшее существование под угрозу. Но это противоречит логике. Суть и цель согласия в том, чтобы инициировать основное правоотношение по обработке персональных данных при отсутствии иного юридического факта для его возникновения (Ответ на вопрос № 9).

На практике данный вывод выражается в использовании профессионалами так называемого «водопада правовых оснований»18 при выборе предпочтительного условия обработки персональных данных. Этот принцип состоит в следующем: прежде чем положиться на согласие, необходимо убедиться в том, что ни одно из других оснований обработки не может быть применено. Каждое основание должно быть рассмотрено и оценено на его применимость к конкретной обработке до того, как в конце концов останется последний вариант — согласие. Когда условием обработки выбрано согласие, это значит, что обработка персональных данных была самоцелью и единственным объектом правоотношения. Исчерпав все возможности быть акцессорным, правоотношение в сфере информационной приватности может положиться на согласие и быть основным.

Таким образом, правоотношения в сфере информационной приватности можно разделить на основные и акцессорные, исходя из их независимости или производности. Представляется, что большинство правоотношений в сфере информационной приватности являются акцессорными, в том числе в случае сбора излишних согласий.

Имущественные и неимущественные правоотношения

Еще одним критерием классификации правоотношений в сфере информационной приватности служит объект. Имущественные правоотношения возникают по поводу объектов, права на которые можно передать. Неимущественные правоотношения возникают по поводу объектов, права на которые неотделимы от человека.

Большинство правоотношений субъекта персональных данных в сфере информационной приватности следует относить к неимущественным, поскольку персональные данные, а точнее степень их неизвестности, устанавливаемая и поддерживаемая самим субъектом, — является его личным неимущественным благом, неотделимым от него.

Некоторые неимущественные правоотношения субъекта персональных данных в сфере информационной приватности тесно связаны с имущественными отношениями, в частности когда они носят акцессорный характер по отношению к имущественному правоотношению. Конечно, субъект персональных данных не может передать третьему лицу свое личное право на информационную приватность, однако вполне может предоставить персональные данные в качестве оплаты или иного встречного представления участнику обработки за получаемые от него блага.

В частности, предоставление персональных данных субъектом в обмен на получение оплаты, бонуса, скидки, контента или услуги (так называемые отношения: «доступ-за-данные», “access-for-data”) является неимущественным правоотношением, связанным с имущественным. В этом случае предоставление персональных данных можно рассматривать как выполнение договорных обязательств субъекта персональных данных.

Этот тип договора встречается в некоторых европейских директивах с 2011 г., а с 2022 г. он закреплен в Германском гражданском кодексе19: секция 312 (1a) и секция 327 (3) вводят тип договоров, где потребитель обязуется предоставить провайдеру цифрового контента/услуг свои персональные данные в качестве встречного исполнения. Оплата персональными данными теперь не только практическое явление, но и юридическое.

Эти договорные обязательства субъекта персональных данных являются встречными к обязательствам участника обработки, что соответствует концепции синаллагматического договора20, в котором закреплены взаимообусловленные обязанности сторон в пользу друг друга. То есть предоставление персональных данных служит встречным исполнением за выгоду, предоставления которой субъект персональных данных вправе требовать. Такие правоотношения между субъектами и операторами формируют так называемый «первичный рынок данных» 21.

Более того, обычно субъект обязан предоставлять только достоверную информацию о себе, использовать настоящее фото, имя, а не псевдоним или сценическое имя, а также уведомлять о любых изменениях в предоставленных данных. Такие обязательства подлежат исполнению только в том случае, если они четко оговорены в договоре с оператором, например, в пользовательском соглашении. Субъект персональных данных должен понимать соответствующие положения пользовательского соглашения как свои договорные обязательства.

Любопытно отметить, что обработка, возникающая на основании возмездного, например, трудового договора с субъектом, не будет являться неимущественным правоотношением, связанным с имущественным, поскольку в нем субъект получает плату не за персональные данные, а за труд, то есть в рамках иного — трудового правоотношения, где объектом выступает труд. Лишь там, где субъект получает возмещение именно за предоставление персональных данных, могут возникать неимущественные правоотношения в области информационной приватности, связанные с имущественными.

В то же время, большинство правоотношений в сфере информационной приватности, складывающихся между участниками обработки, можно квалифицировать как имущественные. Например, такие организационные правоотношения как представительство, поручение на обработку или трансграничную передачу, могут быть возмездными и иметь своим объектом вознаграждение, денежную компенсацию или иное встречное представление.

Кроме того, на так называемом «вторичном рынке данных»22 между участниками обработки складываются в подавляющем большинстве именно имущественные правоотношения: оператор, действуя как продавец, передает имеющиеся у него персональные данные как товар получателю/покупателю в обмен на вознаграждение, денежную компенсацию или иное встречное представление (например, услуги или другие данные). Персональные данные в таких правоотношениях выступают в качестве такого объекта гражданских правоотношений как информация, являются активом оператора, имущественные права на который могут быть оценены и переданы третьему лицу. Участниками таких правоотношений на «вторичном рынке данных» обычно являются базы контактов для рассылок, социальные сети, службы веб-аналитики, агрегаторы данных, производители «умных помощников», операторы связи, интернет-провайдеры и т.д.

Таким образом, если персональные данные служат объектом возмездных правоотношений, такие правоотношения следует квалифицировать как имущественные.

Организационные правоотношения

В сфере информационной приватности между участниками могут возникать правоотношения, нацеленные на упорядочивание иных уже существующих правоотношений — организационные правоотношения23.

Они по определению являются акцессорными по отношению к основным, организуемым правоотношениям, которые они должны упорядочивать и нормализовывать. Например, представительство, когда родитель или законный представитель («proxy») представляют несовершеннолетнего или недееспособного субъекта персональных данных и выступают в основных правоотношениях от его лица. Правоотношения представительства здесь призваны обеспечить возникновение и дальнейшее развитие основных правоотношений в сфере информационной приватности представляемого субъекта. Правоотношения правопреемства после смерти или в результате смены владельца персональных данных (когда, например, они являются сами по себе или входят в состав результата интеллектуальной деятельности) — также являются организационными, нацелены на обеспечение стабильности и непрерывное функционирование основных правоотношений в сфере информационной приватности.

Правоотношения между оператором и обработчиком, суб-обработчиком, со-оператором, экспортером и импортером также являются организационными правоотношениями и часто формализуются в соглашениях о поручении обработки или о трансграничной передаче персональных данных. К организационным следует относить и те правоотношения, которые возникают у перечисленных выше участников обработки с их работниками и иными представителями, которые выполняют обработку от их лица и по их распоряжению. Пусть эти правоотношения не бывают оформлены единым документом, но все же они регулируются множеством рассеянных норм, касающихся обработки персональных данных (трудовой или иной договор, должностная инструкция, внутренние политики, требования к защите персональных данных, обучение, инструктажи и локальные акты — см. подп. 6 п. 1 ст. 18.1 и подп. 1 и 2 п. 4 ст. 22.1 Закона), которыми участники обработки обязуют этих лиц выполнять обработку персональных данных в соответствии с обязательными и заявленными характеристиками обработки, под страхом дисциплинарной и иной ответственности. Субъекты персональных данных, являющиеся участниками групп или ассоциаций, также вступают в организационные правоотношения внутри таких объединений.

Правоотношения в сфере информационной приватности, будучи в большинстве своем акцессорными, сами будут выступать в роли основных для организационных правоотношений. В то же время организационные правоотношения, будучи «дважды» акцессорными, следуют судьбе и изменяются синхронно с обоими своими основными правоотношениями (например, при прекращении договора с субъектом прекращается основанное на нем правоотношение по обработке его персональных данных и связанное с ним организационное правоотношение).

Публичные административные правоотношения

Участники обработки, их представители и сами субъекты персональных данных вступают в правоотношения не только между собой, но и с властным органом, уполномоченным по вопросам обработки персональных данных или иным вопросам в сфере информационной приватности. Такие правоотношения строго регламентированы законодательством и соответствующими административными регламентами, а властный орган, участвуя в них, реализует предписанные ему властные полномочия в отношении других участников правоотношения. Элемент реализации полномочий позволяет характеризовать эти административные правоотношения как публичные.

Итак, у властного органа возникают предписанные ему властные полномочия и права, тогда как у остальных участников административного правоотношения в сфере информационной приватности возникают обязанности и некоторые права.

Стоит отметить, что не все правоотношения с участием уполномоченного властного органа являются публичными, ведь он не во всех правоотношениях исполняет свои властные полномочия. В некоторых из них он обладает теми же правами и обязанностями как любой другой участник обработки, например, в отношении своих сотрудников. Такие правоотношения будут относиться к относительным гражданским правоотношениям.

Рассмотрим примеры административных правоотношений. Некоторые операторы вступают и пребывают в них в течение всего периода обработки по инициативе самого уполномоченного органа, если он включит их в перечень объектов контроля (надзора)24 или в реестр операторов25. Кроме того, надзорный орган регулярно инициирует административные правоотношения с операторами в порядке выполнения мер контроля и надзора или с нарушителями требований законодательства.

Также операторы обязаны уведомить надзорный орган о намерении начать обработку (ст. 21 Закона), намерении осуществлять трансграничную передачу (п. 3 ст. 12 Закона), установлении факта неправомерной или случайной передачи персональных данных (п. 3.1 ст. 21 Закона). Здесь административное правоотношение с надзорным органом возникает по инициативе самого оператора, хоть и не добровольной, а в порядке исполнения обязанности, возложенной на него Законом.

Помимо участников обработки, их представители, сами субъекты персональных данных, а также их объединения могут инициировать административные правоотношения в порядке подачи обращений в надзорный орган26.

Важно иметь в виду, что обжалование действий или бездействий оператора не влечет возникновения административного правоотношения. В этом случае лицо инициирует публичное охранительное правоотношение, о котором речь пойдет далее.

Регулятивные, охранительные и процессуальные правоотношения

В зависимости от степени добровольности поведения обязанной стороны правоотношения в сфере информационной приватности можно классифицировать на три типа: регулятивные, охранительные и процессуальные27. Обязанной стороной в данном случае чаще всего выступает участник обработки, его представитель или представитель субъекта персональных данных. Однако и сам субъект может оказаться обязанной стороной, в случаях, когда на него возложены субъективные обязанности в рамках правоотношения, например: обязанность предоставить достоверные или полные персональные данные, обязанность предоставить информацию своему представителю или уплатить ему вознаграждение.

Правоотношения, в которых поведение обязанной стороны правомерно и добровольно, относятся к регулятивным, поскольку такое поведение соответствует нормам права, а также обязательным и заявленным характеристикам обработки. Как абсолютные, так и относительные правоотношения в сфере информационной приватности, динамика которых не поражена нарушением прав противоположной стороны, норм права, неисполнением или ненадлежащим исполнением обязанностей или характеристик обработки, иными словами, они функционируют без нарушений и девиаций; будут являться регулятивными (вероятно, их можно также называть «нормативными» или «нормальными»).

Например, такие на первый взгляд конфликтные ситуации, как реализация субъектом права на отзыв согласия (п. 2 ст. 9 Закона), на возражение против «автоматизированного» решения (п. 3 ст. 16 Закона) или требование прекратить распространение персональных данных (п. 12 ст. 10.1 Закона), вполне укладываются в рамки нормального функционирования регулятивного правоотношения, если оператор добровольно и должным образом удовлетворит права субъекта.

В случае принуждения обязанной стороны к правомерному поведению возникает охранительное правоотношение, нацеленное на охрану прав субъекта персональных данных и защиту его нарушенных прав. Так, например, в случае осуществления неправомерной обработки, субъект, его представитель или надзорный орган вправе потребовать прекратить неправомерную обработку либо уничтожить персональные данные в соответствии с п. 3 ст. 21 Закона. В этом случае оператора приходится понуждать к правомерному поведению.

Регулятивные и охранительные правоотношения могут быть как гражданскими, так и публичными, в зависимости от того, реализует ли участвующий в них властный орган (если он вообще является их стороной) свои властные полномочия в отношении сторон.

Зачастую реализовать или защитить свои права или публичные интересы управомоченной стороне не удается ни в рамках регулятивного, ни в рамках охранительного правоотношения. В таких случаях понуждение достигает своего апогея, а правомерное поведение обязанной стороны достигается мерами государственного принуждения в рамках административного или гражданского процесса. Здесь без участия властного органа, реализующего властные полномочия в отношении провинившейся стороны, например суда или надзорного органа, — не обойтись. Поэтому возникающие процессуальные правоотношения в сфере информационной приватности всегда публичные.

Процессуальные правоотношения могут возникнуть, например, в случае обращения субъекта в суд с требованием прекратить распространение его персональных данных в соответствии с п. 14 ст. 10.1 Закона.

Данная статья не коснется исследования публичных исполнительных процессуальных правоотношений, поскольку на сегодняшний день автор полагает, что они не обладают достаточной спецификой, характерной для сферы информационной приватности, которая позволила бы выделить их в особый вид исполнительных правоотношений.

Деликтные правоотношения

Вспомним абсолютные правоотношения в сфере информационной приватности: что произойдет, если одно из множества противостоящих субъекту неопределенных лиц нарушит свою пассивную обязанность по соблюдению установленного субъектом режима доступа к его персональным данным? Тем самым нарушитель станет определен и спровоцирует возникновение между ним и субъектом нового относительного правоотношения: гражданского деликтного правоотношения28.

Нарушение может оказаться как результатом умышленного незаконного, противоправного деяния (деликт), так и результатом неумышленного внедоговорного гражданского правонарушения: небрежности или неосторожности (квазиделикт). Некоторые из нарушений приватности, перечисленных в Таксономии вреда Даниэля Солове29, можно уверенно классифицировать как деликты: распространение, шантаж, присвоение личности, искажение, слежка, вторжение.

Наиболее часто на практике деликты возникают в сфере информационной приватности при утечке персональных данных, агрегировании персональных данных без ведома субъектов персональных данных, распространении персональных данных в даркнете. Здесь важно отметить, что утечка данных, вызванная участником обработки или его представителем в рамках относительных, а не абсолютных правоотношений, не повлечет возникновение деликта, а, скорее всего, повлечет возникновение относительных охранительных или процессуальных правоотношений между субъектом и участником обработки. Приведенные примеры могут также квалифицироваться как административные правонарушения или уголовные преступления.

Таким образом, хотя абсолютные правоотношения в сфере информационной приватности существуют пассивно и незаметно между всеми людьми и организациями, включая друзей, родственников, соседей, прохожих, частные и государственные компании и т.д.; и мы все сосуществуем, не задумываясь о своих обязательствах; если кто-то из нас нарушит эти обязательства – между конкретными сторонами возникнет новое относительное гражданское деликтное правоотношение, нацеленное на защиту нарушенных прав в сфере информационной приватности. В случае причинения вреда субъекту персональных данных деликтом он вправе потребовать возмещения такого вреда лицом, причинившим вред, на основании ст. 1064 ГК РФ и/или потребовать компенсации морального вреда на основании ст. 1100 ГК РФ.

Как упоминалось ранее в разделе об абсолютных и относительных правоотношениях, если физическое лицо, обрабатывавшее персональные данные субъекта исключительно для личных и семейных нужд, нарушит права субъекта, между сторонами также могут возникнуть деликтные правоотношения.

Заключение

Итак, в результате выполненной классификации автор выделяет следующие типы правоотношений, специфические для сферы информационной приватности.

1. Абсолютное гражданское правоотношение

2. Относительное неимущественное гражданское правоотношение

3. Относительное гражданское неимущественное правоотношение, связанное с имущественным

4. Относительное гражданское имущественное правоотношение

5. Относительное гражданское организационное правоотношение

6. Относительное публичное административное правоотношение

7. Относительное регулятивное правоотношение (публичное/гражданское)

8. Относительное охранительное правоотношение (публичное/гражданское)

9. Относительное публичное процессуальное правоотношение

10. Относительное гражданское деликтное правоотношение.

Схематично построенную автором в ходе настоящего исследования таксономию правоотношений в сфере информационной приватности можно изобразить следующим образом (см. рисунок 1):

Рисунок 1: Таксономия правоотношений сфере информационной приватности

Для дальнейшего исследования особенностей и специфики каждого из этих типов правоотношений необходимо рассмотреть состав каждого и спектр юридических фактов, приводящих их в динамику. Этой теме будут посвящены следующие работы автора.

Итак, мы выделили в сфере информационной приватности: шесть гражданских правоотношений, два публичных и два правоотношения, которое могут быть отнесены как к гражданским, так и к публичным. Достаточно ли простого большинства гражданских правоотношений, чтобы квалифицировать право информационной приватности как частное? Едва ли. Однако, представляется, что подобной квалификации должны подвергаться не целые отрасли права или учебные дисциплины, а лишь правоотношения, изучению которых они посвящены30.

Если пристально присмотреться, некоторые отрасли права далеко не отличаются «чистотой», а в разной концентрации вбирают в себя институты, характерные как для частного, так и для публичного права. Корпоративное право может содержать в себе публично-правовые элементы, например подчинение дочернего общества основному (ст. 67.3 ГК РФ). А уголовно-процессуальное право — частноправовые начала, как например, судебная сделка (ст. 25 УПК РФ)31. Так что, вероятно, попытка отнести право информационной приватности только к частному, либо только к публичному праву — непродуктивна (Ответ на вопрос № 10).

Осознание природы существующих правоотношений в сфере информационной приватности, понимание их логики и устойчивых закономерностей их динамики, должно позволить законодателю качественнее формулировать нормативные акты, правоприменителю — эффективнее защищать права субъектов, а оператору отказаться от эндогенности права32 в пользу человеко-центричного и справедливого решения своих бизнес-задач.