О проблеме реализации прав субъекта персональных данных в связи с блокчейн

• ДОСАЕВА Алсу Османовнасоискатель степени к.ю.н., Московский университет им. А.С. Грибоедоваa.dosaeva@mail.ru

• БЛИЗНЕЦ Иван Анатольевичд.ю.н., профессор Кафедры интеллектуальной собственности Московского университета им. А.С. Грибоедоваmail@law-books.ru

В статье рассматривается проблема реализации права субъекта на управление согласием на обработку персональных данных в контексте использования Блокчейн в области образования, возникшей вследствие особых свойств технологии. Актуальность исследования обусловлена проведением учебными заведения экспериментов с Блокчейн по выпуску и подтверждению достоверности документов об образовании в отсутствие надлежащего законодательного регулирования использования Блокчейн. По мнению автора статьи, в настоящее время сохраняется конфликт технологии и положений законодательства о защите персональных данных, но делается вывод о наличии потенциала в разрешении проблемы благодаря выбору надлежащей архитектуры Блокчейн и внесения изменений в законодательство.

Ключевые слова: персональные данные, принципы обработки, «право на забвение», согласие на обработку, Блокчейн, образовательные организации, документ об образовании

Введение. В связи с популяризацией использования технологии Блокчейн не только в сфере обращения криптовалют, но и в иных областях деятельности человека (автоматизация принятия решений, электронное голосование, ведение реестров и пр.), исследователи в области права неоднократно обращались к проблеме обеспечения конфиденциальности персональных данных, обусловленной техническими и организационными особенностями этой технологии, которая на сегодня представляет собой разнообразные модели создания и управления реестром транзакций с использованием криптографии [1]. Еще до 2018 года, когда вступил в силу европейский Общий регламент о защите персональных данных (GDPR) 1, высказывались противоположные мнения о перспективах применения технологии в случае включения в систему, построенной на ее базе, личных данных: как отрицающие совместимость технологии с гарантией осуществления субъектами своих прав при обработке данных, так и допускающие ее применимость, но в перспективе, с учетом архитектуры Блокчейн [1, 2].

Поскольку тренд на цифровизацию требует пересмотра традиционных способов работы с данными, а указанная технология является предметом постоянного интереса со стороны проектировщиков в части совершенствования и модификации ее архитектуры, считаем необходимым вновь обратиться к данной проблематике через призму такого инструмента субъекта персональных данных по обеспечению управления своими данными и контроля над ними, как согласие на обработку персональных данных. Для иллюстрации проблемы будет использован пример применения инновации в образовательной сфере.

Основная часть. В отчете Объединенного исследовательского центра, службы науки и знаний Европейской комиссии, выпущенного в 2017г., предлагались различные сценарии применения Блокчейн в образовательном контексте, в том числе его использование для выпуска и ведения учебным заведением публичного реестра сертификатов /дипломов своих выпускников [3]. В самом отчете отмечалось, что из-за особого свойства Блокчейн - неизменность включенной в него информации-, существует проблема защиты помещенных в систему персональных данных, и она требует обсуждения и разрешения. Вместе с 1 См.: Регламент Европейского Парламента и Совета Европейского Союза 2016/679 от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС (Общий Регламент о защите персональных данных) (General Data Protection Regulation) [Электронный ресурс] // СПС Гарант.

тем, известно, что некоторые зарубежные университеты начали эксперименты с выдачей документов об образовании и подтверждения их подлинности, используя Блокчейн, еще в 2015 году. Так, Университет г. Никосия (Республика Кипр) объявил о выдаче академических сертификатов своим студентам, успешно завершившим обучение по теме криптовалют, подлинность которых можно было проверить с помощью платформы Bitcoin, созданной на технологии Блокчейн. С 2017 года Университет начал выдавать уже все дипломы на платформе Bitcoin.

На сайте Университета г. Никосия представлено следующее описание процесса создания и выдачи сертификата: создается цифровой PDF-файл, содержащий имя студента, название ученой степени, год выпуска, название университета, дату выдачи и др. Файл подписывается криптографическим способом с использованием закрытого ключа, что гарантирует его уникальную привязку к Университету. Затем создается хэш документа с использованием алгоритма SHA256, который может быть использован для проверки того, что никто не подделывал содержимое сертификата.

Закрытый ключ снова используется для создания транзакции, которая закрепляет хэш этой записи в блокчейне, что позволяет проверить, кому и кем был выдан сертификат, а также проверить содержимое самого сертификата 2. Хотя исходная запись в блокчейне не может быть изменена (сохраняя целостность и неизменность реестра), Университет заявляет, что он может выполнить новую транзакцию, чтобы указать на отзыв определенного сертификата.

По данным СМИ, число университетов, использующих технологию Блокчейн для выпуска и подтверждения подлинности документов, увеличивается, в том числе и в РФ 3.

В 2018 году Финансовый Университет при Правительстве РФ объявил о внедрении в свою работу технологии Блокчейн, загрузке в него всех дипломов, выданных Финансовым Университетом за последние 10 лет, и о том, что с сентября 2018 года работодатели смогут проверить подлинность диплома на официальном сайте университета 2 См.: сайт Университета г. Никосия. URL; https:// См.: Курбатов А., «Через блокчейн подтвердить диплом можно за минуту». Как блокчейн-дипломы завоевывают сферу образования, 04.03.2021.Информационно-сервисный портал Индикатор.ру. URL: https://. Правда, на сегодня на сайте университета такая функция отсутствует. В 2020 году Пензенский Государственный университет так же в тестовом режиме начал выпускать цифровые дипломы.

В России сегодня нет правовой нормы, которая предусматривала бы право учебных заведений выдавать документы об образовании и подтверждать их подлинность с помощью технологии Блокчейн. Для учета в образовательных организациях ведутся книги регистрации выданных документов об образовании и о квалификации 2. Кроме того, законодателем установлен срок хранения личных дел обучающихся и выпускников.

Мы видим несколько проблем юридического характера, связанных с особенностями использования субъектами согласия на обработку их персональных данных.

Согласие на обработку персональных данных является первым из правовых оснований для обработки, названных в Федеральном законе от 27.07.2006 N 152-ФЗ «О персональных данных» 3 (далее по тексту – Закон № 152-ФЗ). Пункт 2 статьи 9 данного закона предусматривает право субъекта персональных данных в любое время отозвать выданное им согласие на обработку. Но при этом уточняется, что оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии иных законных оснований: в пункте 2 части 1 статьи 6 зафиксировано полномочие оператора осуществлять обработку для выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей, а в пункте 5 части 1 статьи 6 закона говорится о праве оператора продолжать обработку для исполнения договора, стороной которого либо выгодоприобретателем по которому является субъект персональных данных. Таким образом, если говорить о правовых отношениях между субъектом персональных данных (обучающимся) и учебным заведением, то обработка персональных данных может осуществляться на основе:

- согласия субъекта на обработку персональных данных; 1 См.: Финуниверситет - первый ВУЗ, внедривший в работу технологию блокчейн, URL: https://vk.com/ wall-6319_21097?ysclid=mcp94w247z829911993 (дата обращения: 05.07.2025).

2

См.: пункт 49 Приказа Минобрнауки России от 27.07.2021 N 670 (ред. от 22.02.2023) «Об утверждении Порядка заполнения, учета и выдачи документов о высшем образовании и о квалификации, приложений к ним и их дубликатов» [Электронный ресурс] // СПС Гарант. 3 См.: статья 6 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" [Электронный ресурс] // СПС Гарант.

- договора на оказание образовательных услуг, предусматривающего обязанность учебного заведения выдать документ об образовании, квалификации, об обучении 4; - положений нормативно-правовых актов, определяющих порядок действий образовательной организации по хранению личного дела обучающегося /выпускника и ведению реестра выданных документов.

Отметим также такое связанное с согласием на обработку персональных данных особое право субъекта персональных данных, как «право на забвение» в сети Интернет, означающее право физического лица требовать от оператора поисковой системы прекратить выдачу сведений об указателе страницы сайта в сети «Интернет» (ссылки), позволяющих получить доступ к информации о нем, если он посчитает ее более не актуальной 5.

В GDPR закреплены похожие права субъекта данных на отзыв согласия на обработку и право на удаление (право на забвение), но с некоторыми особенностями. Согласно пункту 3 статьи 7 GDPR, процедура отзыва согласия должна быть такой же простой, как и процедура предоставления согласия. Что касается «права на забвение», то в соответствии со статьей 17 GDPR, субъект имеет право требовать незамедлительного удаления относящихся к нему и законно обрабатываемых персональных данных от контролера, которым признается любое лицо, определяющее цели и способы обработки персональных данных субъекта.

Как уже отмечалось, Блокчейн не предусматривает возможность изменения или удаления данных, хранящихся в цепочке данных. Если учебное заведение хранит дипломы/сертификаты в собственном реестре, построенном на базе Блокчейн, то существует риск, что выпускник не сможет реализовать свое право в любое время отозвать согласие на обработку, а также «право на забвение».

Реализация прав субъекта также связана с принципами обработки персональных данных, закрепленных в Законе № 152-ФЗ. Речь идет о таких указанных в статье 5 принципах, затрагиваемых специфическим свойством неизменности данных в Блокчейн, как принцип целевого ограни- 4 См., например, Приказ Министерства образования и науки РФ от 21 ноября 2013 г. N 1267 "Об утверждении примерной формы договора об образовании на обучение по образовательным программам среднего профессионального и высшего образования" [Электронный ресурс] // СПС Гарант.

5

См.: статья 10.3 Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" в ред. от 22.06.2024г. " [Электронный ресурс] // СПС Гарант. чения (пункт 2), принцип точности, достаточности и актуальности персональных данных при обработке (пункт 6), и принцип срочности хранения (пункт 7).

Принцип целевого ограничения означает обработку персональных данных для конкретной, заранее определенной и законной цели. После прекращения образовательных отношений по указанным в законе основаниям 1, учебные заведения обязаны хранить личные дела обучавшихся, в том числе копии дипломов, и вести их реестр, но законодатель не закрепляет полномочие учебного заведения выдавать дипломы и подтверждать их достоверность посредством какой-либо цифровой технологии, поэтому для осуществления такой практики, в отсутствие специального законного основания, потребуется соблюдать условие о получении согласия субъекта на обработку персональных данных с указанием именно такой цели и на обработку персональных данных (выпуск, хранение и подтверждение подлинности документов) посредством технологии Блокчейн, либо заключить между ними договор на оказание услуги по хранению данных о выпускнике и подтверждению достоверности его документа об образовании.

Принцип срочности хранения означает, что персональные данные хранятся не дольше, чем требуется для цели обработки, чем сроки, определенные договором или законом. Документы государственного образца об образовании (подлинники) имеют срок хранения «до востребования», а в случае если указанные документы не были востребованы - 75 лет 2. Копия выданного диплома хранится в личном деле выпускника 3. Таким образом, исходя из толкования указанных положений, субъект персональных данных и учебное заведение должны дополнительно определить срок хранения персональных данных, внесенных в цепочку данных. Срок хранения также будет зависеть от срока службы системы, основанной на Блокчейн, и это необходимо учитывать.

Принцип точности, достаточности и актуальности персональных данных при обработке пред- 1 См.: статья 62 Федерального закона от 29 декабря 2012 г. N 273-ФЗ "Об образовании в Российской Федерации" (с изменениями и дополнениями) [Электронный ресурс] // СПС Гарант.

2

См.: пункт 664 Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения, утв. приказом Минкультуры России от 25.08.2010 N 558 [Электронный ресурс] // СПС Гарант. 3 См.: пункт 31 Приказа Минобрнауки России от 27.07.2021 N 670 (ред. от 22.02.2023) Об утверждении Порядка заполнения, учета и выдачи документов о высшем образовании и о квалификации, приложений к ним и их дубликатов [Электронный ресурс] // СПС Гарант. полагает реализуемость права субъекта на уточнение данных, на их изменение и удаление.

Например, лицо, изменившее свою фамилию (имя, отчество), вправе обменять имеющийся у него диплом на дубликат диплома с новой фамилией (именем, отчеством) 4. Но процесс актуализации и удаления данных не совместим с названным свойством неизменяемости данных в системе, построенной на Блокчейн.

Каким образом может быть разрешена проблема совместимости Блокчейн и права субъекта на управление согласием на обработку своих данных и «права на забвение»? Экспертами в области работы с данными и технологий предлагаются разные варианты, среди которых хотелось бы отметить следующие.

Внесение корректировки в законодательство в области защиты персональных данных, предусматривающей ограничение права субъекта на изменение и удаление данных, которые он добровольно согласился внести в систему Блокчейн [4].

Этот вариант способствует дальнейшему развитию технологии, возможности проведения экспериментов, но за счет ущемления прав субъектов, и потому нам представляется наименее отвечающим интересам субъектов персональных данных.

Отказ от использования Блокчейн в тех сферах, где традиционные способы хранения и обработки данных являются достаточными и по-прежнему эффективными [5], если технология создает конфликт с точки зрения права и должны учитываться технические особенности инновации (предельный срок ее службы).

Использование предложенной в 2024 году специалистами итальянской компании Traent 5 гибридной модели Блокчейн, предусматривающей записывание в блок реестра не всех данных, в том числе персональных, а запись ссылки на ту часть цепочки, где хранятся данные. То есть данные будут находиться вне цепочки, их можно будет удалить по требованию субъекта, а в цепочке, в случае удаления данных, появится новый блок, подтверждающий удаление данных [6]. Это предложение представляется наиболее перспективным и наименее ограничивающим права субъектов персональных данных, если оператор данных намерен использовать собственную систему на основе Блокчейн.

4

См.: пункт 33 Приказа Минобрнауки России от 27.07.2021 N 670 (ред. от 22.02.2023) Об утверждении Порядка заполнения, учета и выдачи документов о высшем образовании и о квалификации, приложений к ним и их дубликатов [Электронный ресурс] // СПС Гарант. заполнения, хранения и учета соответствующих бланков документов" [Электронный ресурс] // СПС Гарант. 5 См.: сайт компании Traent, URL: https://traent. com/ (дата обращения: 07.07.2025).

Вместе с тем, любой из вариантов требует внесения ряда изменений и дополнений не только в законодательство о защите персональных данных, но и учет положений отраслевого законодательства, как в рассмотренном примере в области образовании, например, законодательно установить право образовательных организаций использовать при проектировании своих систем отчетности Блокчейн, но только определенной архитектуры.

Заключение. Таким образом, рассмотрев практику использования Блокчейн в области образования, мы подтвердили существование проблемы реализации субъектом персональных данных своих прав, связанных с отзывом согласия на обработку, и с правом на удаление данных/ «правом на забвение», а также конфликта технологии с принципами законодательства о защите персональных данных. Установленные законом гарантии прав субъектов персональных данных существенным образом ограничивают применение технологии, но разрешение столкновения права и технологии все же возможно благодаря выбору подходящей архитектуры модели Блокчейн и с учетом нововведений в законодательство, регулирующего область персональных данных, и в отраслевое законодательство.

Список литературы

1. Blockchain versus data protection / Kuner Ch. [etc.] // International data privacy law. - Oxford. - 2018. - Vol. 8. - N 2. - Р. 103-104.
2. Коданева С.И., Перспективы и риски защиты персональных данных в условиях динамичного развития технологий цифровой экономики //Журнал «Международный научно-практический журнал «Право и цифровая экономика», N 2, апрель-июнь 2019 г., с. 12-19.
3. Grech. A., Camilleri A.F., Blockchain in Education. JRC Science for policy report, 2017. DOI: 10.2760/60649
4. Чурилов А.Ю., Правовое регулирование применения технологии блокчейн: монография (Чурилов А.Ю.). - «Юстицинформ», 2021 г. [Электронный ресурс] // СПС Гарант.
5. Храмцовская Н.А., Технология блокчейна как инструмент управления документами и электронного документооборота»// «Делопроизводство», N 3, июль-сентябрь 2018 г. [Электронный ресурс] // СПС Гарант.
6. Северино Ф., Спозини Л., Новый подход к преодолению конфликта между «правом на забвение» и технологией блокчейн// сетевое издание «Journal of Digital Technologies and Law», N 3 (Volume 2), 2024) [Электронный ресурс] // СПС Гарант. Spisok literatury:
7. Blockchain versus data protection / Kuner Ch. [etc.] // International data privacy law. - Oxford. - 2018. - Vol. 8. - N 2. - R. 103-104.
8. Kodaneva S.I., Perspektivy i riski zashhity personal’nyh dannyh v uslovijah dinamichnogo razvitija tehnologij cifrovoj jekonomiki//Zhurnal “Mezhdunarodnyj nauchno-prakticheskij zhurnal “Pravo i cifrovaja jekonomika”, N 2, aprel’-ijun’ 2019 g., s. 12-19.
9. Grech. A., Camilleri A.F., Blockchain in Education. JRC Science for policy report, 2017. DOI: 10.2760/60649
10. Churilov A.Ju., Pravovoe regulirovanie primenenija tehnologii blokchejn: monografija (Churilov A.Ju.). - “Justicinform”, 2021 g. [Jelektronnyj resurs] // SPS Garant.
11. Hramcovskaja N.A., Tehnologija blokchejna kak instrument upravlenija dokumentami i jelektronnogo dokumentooborota»// “Deloproizvodstvo”, N 3, ijul’-sentjabr’ 2018 g. Jelektronnyj resurs] // SPS Garant.
12. Severino F., Spozini L., Novyj podhod k preodoleniju konflikta mezhdu “pravom na zabvenie” i tehnologiej blokchejn// setevoe izdanie “Journal of Digital Technologies and Law”, N 3 (Volume 2), 2024) [Jelektronnyj resurs] // SPS Garant.

Скачать