Правовая охрана и защита персональных данных потребителей

• ОБРАЗЦОВА Валентина Игоревнакандидат юридических наук, старший преподаватель кафедры гражданского права Федерального государственного автономного образовательного учреждения высшего образования «Московский государственный юридический университет имени О. Е. Кутафина (МГЮА)», адвокат, член Адвокатской палаты Московской областиv9035285237@gmail.com

В статье рассматриваются правовое регулирование персональных данных потребителей. Автор исследует проблемы защиты прав потребителей при обработке персональных данных. В статье содержится анализ судебной практики по рассматриваемым проблемам.

Ключевые слова: потребитель, персональные данные, потребительский договор, защита «слабой стороны», обработка персональных данных

Ежедневно каждый человек вступает в правоотношения для удовлетворения своих бытовых потребностей, являющихся необходимым условием существования, доверяя государству и бизнесу свою персональную информацию. Обработка данных потребителей неизбежна при продаже товаров, оказании услуг или выполнении работ. Так, предприниматели становятся владельцами достаточно большого объема информации о потребителях, что возлагает на них особую обязанность защиты этих данных. Однако, на практике потребитель сталкивается с серьезными рисками раскрытия персональной информации каждому контрагенту, с такими как хищение персональных данных, незаконная их передача третьим лицам, нецелевая обработка и другие. В условиях глобальной цифровизации во всех сферах жизнедеятельности большое значение приобретает защита персональных данных. Только в 2024 году в России произошло уже более 135 случаев утечек баз данных, в которых содержалось более 710 млн записей о россиянах, а также зафиксировано 135 случаев распространения в интернете баз данных (БД), согласно данным Роскомнадзора [1]. В частности, в открытом доступе оказались базы данных клиентов больших компаний, оказывающих услуги населению, ЯндексЕда, Delivery Club, Ozon, Wildberries, СДЭК, Почта России, ВТБ, Avito, Ростелеком, «Билайн», «Гемотест». Все это делает проблему утечек персональных данных и раскрытия личной информации миллионов людей все более обостренной. Неосторожное использование и хранение персональных данных потребителей в последующем связано с нарушением прав на частную жизнь, честь, достоинство и деловую репутацию, с причинением убытков и морального вреда. Все это не только нарушает право человека на неприкосновенность частной жизни, гарантированное Конституцией РФ, но и создает реальную угрозу для совершения преступлений и правонарушений. Понятие права на неприкосновенность частной и личной жизни включает в себя и возможность пользоваться и распоряжаться своими персональными данными [2].

Часто украденные данные собираются в базы данных с целью их последующей перепродажи 1. Накапливание и анализ больших объемов данных (big data), включая персональную информацию потребителей, представляют большую экономическую ценность для предпринимателей, делая возможным оценку потребительского поведения, запросов и предпочтений, увеличивая востребованность своих товаров и услуг. Тем самым контрагент потребителя извлекает прибыль из сбора полученной информации, которая пользуется большим спросом на рынке предпринимателей, не смотря на ограниченную возможность использования данных. С другой стороны, потребитель не всегда обдумано и осознано раскрывает персональную информацию предпринимателю, который должен, но чаще всего не обеспечивает надлежащую защиту данной информации, что влечет наступление неблагоприятных последствий для потребителя.

Правовое регулирование персональных данных, в том числе потребителей, осуществляется Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» 2 (далее - Федеральный закон № 152-ФЗ), в котором определены понятие персональных данных, их обработки, принципы и другие общие начала правового регулирования персональных данных.

Персональные данные представляют собой любую информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), 1 Дмитриева Е. Г. Проблемы защиты персональных данных в цифровом мире и пути их решения // Право и бизнес. 2021. № 3.

2

Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» // Собрание законодательства РФ. 2006. № 31 (1 ч.). Ст. 3451.

обезличивание, блокирование, удаление, уничтожение персональных данных.

В соответствии со ст. 5 Федерального закона № 152-ФЗ установлены принципы обработки персональных данных: законности и справедливости; ограничения достижением конкретных, заранее определенных и законных целей; недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой; целевой обработки персональных данных и соответствия содержания и объема обрабатываемых персональных данных целям; точности, достаточности и актуальности персональных данных; срочности хранения персональных данных.

Общие условия обработки персональных данных законодатель установил в ст. 6 Федерального закона № 152-ФЗ, к которым, в частности, относится необходимость согласия субъекта персональных данных. Необходимо отметить, что такое согласие должно быть адресным, а данные физических лиц, размещенные в открытых источниках, например ВКонтакте, Одноклассники, Мой- Мир, Instragram, Twitter, Авито и Авто.ру, не могут быть обработаны иными операторами, не смотря на их общедоступность 3. Также незаконной признают обработку персональных данных без письменного согласия и без устного предупреждения гражданина в случае опубликования судебного акта, вынесенного в отношении него, например на сайте юридической компании 4.

Однако правоприменительная практика показала значительные проблемы и пробелы в законодательстве в области персональных данных. Необходимо отметить, что до недавнего времени отсутствовали специальные нормы, направленные на дополнительную охрану и защиту персональных данных потребителей. Так, во исполнение Стратегии государственной политики Российской Федерации в области защиты прав потребителей на период до 2030 года и соответствующего поручения Президента Российской Федерации в сентябре 2022 года вступили в силу поправки, разработанные Роспотребнадзором и принятые Федеральным законом от 01 мая 2022 г. № 135-ФЗ «О внесении изменения в статью 16 Закона Российской Федерации «О защите прав потребителей» 5 (далее - Федеральный закон № 135-ФЗ) и Федеральным законом от 28 мая 2022 г. 3 См.: Определение Второго кассационного суда общей юрисдикции от 13 июля 2021 г. по делу № 88-15635/2021, 2-1712/2020 // СПС КонсультантПлюс. 4 См.: Определение Второго кассационного суда общей юрисдикции от 08 декабря 2020 г. по делу № 88-20604/2020, 2-3910/2019 // СПС КонсультантПлюс. 5 Федеральный закон от 01 мая 2022 г. № 135- ФЗ «О внесении изменения в статью 16 Закона Российской Федерации «О защите прав потребителей» // Собрание законодательства РФ. 2022. № 18. Ст. 3021. № 145-ФЗ «О внесении изменения в статью 14.8 Кодекса Российской Федерации об административных правонарушениях» 1 (далее - Федеральный закон № 145-ФЗ). Существенное внимание которых уделено охране и защите персональных данных потребителей, направленной на пресечение необоснованного, принудительного и непрозрачного сбора данных и недобросовестного поведения.

Особенность правоотношений с участием потребителей состоит в том, что применение к ним общих положений гражданского законодательства без учета специального правового регулирования может повлечь ущемление прав граждан. В целях реализации принципа защиты слабой стороны договора в отношениях, регулируемых законодательством Российской Федерации о защите прав потребителей, был включен п.4 статьи 16 Закона РФ от 07.02.1992 № 2300-1 «О защите прав потребителей» 2 (далее - Закон РФ № 2300-1) об установлении запрета продавцу (исполнителю, владельцу агрегатора) на отказ потребителю в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные. Исключение составляют случаи, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем, например, для доставки товара необходимо указать адрес, в противном случае исполнение будет невозможно. В судебной практике также установлена необходимость предоставления родителями персональных данных в детских парках развлечений, так как исполнитель фактически утрачивает возможность известить и идентифицировать законного представителя при возникновении форс-мажорных обстоятельств, а также при передаче ребенка по окончании оказания услуг игровой площадки 3. При оказании физкультурно-оздоровительных услуг суды указывают на необходимость получения персональных данных клиента путем предоставления копии паспорта и фотографирования его для прохода на территорию функциональных зон клуба, в связи с установленными нормативными требованиями охраны и антитеррористической защищенности, а также оптимизацией оказания 1 Федеральный закон от 28 мая 2022 г. № 145- ФЗ «О внесении изменения в статью 14.8 Кодекса Российской Федерации об административных правонарушениях» // Собрание законодательства РФ. 2022. № 22. Ст. 3538.

2

Закон РФ от 07 февраля 1992 г. № 2300-1 «О защите прав потребителей» // Собрание законодательства РФ. 1996. № 3. Ст. 140.

3

См.: Определение Шестого кассационного суда общей юрисдикции от 01 октября 2024 г. по делу № 88-21552/2024 // СПС КонсультантПлюс.

исполнителем услуг за счет автоматизации оборудования и применения современных технологий 4.

С учетом внесенных изменений, по мнению А. Бычкова, у потребителя в указанной ситуации есть и возможность потребовать возмещения убытков. Однако, повышенный стандарт доказывания по данной категории дел, вряд ли «облегчит жизнь» потребителя [3].

В практике распространены случаи включения согласия потребителя на обработку персональных данных при заключении типового договора без необходимости, например, на обработку биометрических персональных данных в кредитных и иных финансовых организациях, что нарушает право потребителя на заключение данного договора, а также ставит его в зависимое положение от контрагента. С сентября 2022 года введен в действие п. 3 ст. 11 Федерального закона № 152- ФЗ, устанавливающий запрет обязательного предоставления биометрических данных, за исключением случаев предусмотренных законодательством Российской Федерации. Потребитель не может реально влиять на условия заключаемого договора, данные условия чаще всего определены предпринимателем в одностороннем порядке. В случае указания в договоре страхования подтверждения согласия на обработку персональных данных потребителя, указанных в Полисе и иных документах, представленных при заключении договора, согласие будет не отвечать требованиям конкретности, предъявляемому к согласию субъекта персональных данных и будет признано недействительным, ухудшающим положение потребителя и ущемляющим право на выражение данного согласия 5. В Информационном письме Банка России № ИН-06-59/57, Роскомнадзора № 08ЛА-48666 от 29 ноября 2021 г. «О согласии заемщиком на обработку их персональных данных» 6 были даны рекомендации кредиторам при заключении договором потребительского кредита (займа), направленные на обеспечение соблюдения прав и законных интересов заемщиков (потребителей), в частности на необходимость получения отдельного согласия заемщика на обработку его персональных данных каждым оператором, проставления отдельной подписи заемщика о согласии при включении его в другие документы.

4

См.: Определение Второго кассационного суда общей юрисдикции от 19 декабря 2024 г. по делу № 88-29888/2024 // СПС КонсультантПлюс.

5

См.: Определение Верховного Суда РФ от 31 июля 2018 г. № 307-КГ18-10361 по делу № А44-745/2017 // СПС КонсультантПлюс.

6

Информационное письмо Банка России № ИН-06-59/57, Роскомнадзора № 08ЛА-48666 от 29 ноября 2021 г. «О согласии заемщиком на обработку их персональных данных» // Вестник Банка России. 2021. № 54.

В случае необходимости предоставления персональных данных потребитель вправе предъявить требование о предоставлении информации с указанием конкретных причинах и правовых основаниях, определяющих невозможность заключения, исполнения, изменения или расторжения договора. В связи с чем на продавца (исполнителя, владельца агрегатора) возлагается обязанность по предоставлению такой информации в письменной форме (в том числе в форме электронного документа) в течение семи дней со дня предъявления указанного требования. В случае предъявления требования потребителем в устной форме, то такая информация должна быть предоставлена незамедлительно. Ответ продавца (исполнителя, владельца агрегатора) на требование потребителя должен быть дан в той форме, в которой предъявлено требование, за исключением иного указания в требовании. Однако, полагаю, что в целях дальнейшей защиты прав потребителя более целесообразно данное требование о раскрытии информации предъявлять в письменной форме, как и получать соответствующий ответ от предпринимателя.

Согласно пояснительной записки одобренного Проект Федерального закона № 1184517-7 «О внесении изменения в статью 14.8 Кодекса Российской Федерации об административных правонарушениях», в условиях значительного роста глобального рынка больших данных и развития интернет-технологий, рассчитанных на целевого потребителя, отмечается существенный рост обращений потребителей, содержащих жалобы на действия продавцов (исполнителей), которые требуют от потребителя предоставить свои персональные данные, угрожая ему отказом в заключении, исполнении, изменении и расторжении договора купли-продажи, оказания услуг (выполнения работ).

Так, в ходе проверок, проводимых Роспотребнадзором, были выделены типичные нарушения прав потребителей в области персональных данных: избыточная и нецелевая обработка персональных данных, несоответствие содержания согласия на обработку требованиям законодательства Российской Федерации, ограничение свободного распоряжения персональными данными путем нарушения свободного доступа к товарам (работам, услугам).

При нарушении прав в области сбора и обработки персональных данных потребитель, как правило, имеет право требовать от предпринимателя возмещения убытков и компенсацию морального вреда, в соответствии с гражданским законодательством. Дополнительные меры гражданско-правовой ответственности, предусмотренные Законом РФ № 2300-1, направленные на охрану и защиту прав потребителей, не применяются в случае незаконного сбора и обработки персональных данных, например, применение повышенной неустойки (ст. 23, 28 и 31 Закона № 2300-1), взыскание штрафа (п. 6 ст. 13 Закона № 2300-1) невозможно при нарушении обязанности предпринимателем о предоставлении информации потребителю о причинах и основаниях необходимости предоставления персональных данных для заключения, исполнения, изменения или расторжения договора. К сожалению, Закон № 2300-1 не содержит специальных правовых норм, способных обеспечить необходимую защиту прав потребителей при сборе и обработки их персональных данных. Внесение изменений в п.4 статьи 16 Закона РФ № 2300-1 направлено скорее на охрану прав потребителей, однако никаких санкций данный закон не предусматривает. В связи с чем, в соответствии с Федеральным законом № 145-ФЗ, был дополнен п.7 ст. 14.8 КоАП РФ, устанавливающий административный штраф для должностных лиц в размере от 5 000 до 10 000 рублей, для юридических лиц - от 30 000 до 50 000 рублей за отказ в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные, за исключением случаев, если предоставление персональных данных является обязательным согласно федеральным законам и принятым в соответствии с ними иным нормативным правовым актам или непосредственно связано с исполнением договора с потребителем. При этом с 30 мая 2025 года ст. 14.8 КоАП РФ будет дополнена п.8, согласно которому будет введена административная ответственность за отказ в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя от прохождения идентификации и (или) аутентификации с использованием его биометрических персональных данных. Данные нормы корреспондируют ответственность п.4 ст. 16 Закона РФ № 2300-1. Административная ответственность призвана обеспечить дополнительную защиту прав потребителей, ограничив практику принудительного и необоснованного сбора персональных данных.

В 2024 году установлена уголовная ответственность за незаконное использование компьютерной информации, содержащей персональные данные. Так, в Федеральным законом от 30 ноября 2024 г. №421-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации» 1 была введена статья 272.1 УК РФ, предусматривающая уголовную ответственность за незаконные использование, передачу, сбор, хранение компьютерной 1 Федеральным законом от 30 ноября 2024 г. №421-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации» // Собрание законодательства. 2024. №49 (часть IV). Ст. 7412.

информации, содержащей персональные данные, а равно создание, обеспечение функционирования информационных ресурсов, предназначенных для ее незаконных хранения и распространения.

Поднимая серьезный вопрос о разграничении частного и публичного, можно согласиться, что вопрос охраны и защиты персональных данных носит межотраслевой характер, обличенный в публично-правовую защиту данных и в реализацию субъективного гражданского права [4].

Вносимые изменения в законодательство о защите прав потребителей соответствуют принципу добросовестной деловой практики - защиты личной информации и использование механизмов получения согласия на сбор и использования личных данных потребителей, установленного Резолюцией Генеральной Ассамблеи ООН 22 декабря 2015 г. 1, а также гарантии конфиденциальности потребителя и законности, прозрачности и справедливости сбора и использования их данных, которые приняты п. 48 Рекомендаций Совета Организации Экономического Сотрудничества и Развития по защите прав потребителей в электронной торговле от 24 марта 2016 г. № С(2016)13 2.

Представляется, что в области защиты персональных данных потребителей необходимо расширение и увеличение размера ответственности предпринимателя, это связано не только с необходимостью защиты слабой стороны договора – потребителя, но и для безопасности общества в целом. Удовлетворяя свои ежедневные бытовые потребности, гражданин должен быть защищен государством в данных правоотношениях. В условиях развития информационных технологий большинство заказов товаров или услуг, а также простой информационный запрос, например обратного звонка, сопровождается предоставлением ФИО, контактного телефона, платежной информации потребителя и иных персональных данных. Мировая практика показывает, что на примере Европы - Общего регламента по защите данных (Регламент ЕС 2016/679 от 27 апреля 2016 г., General Data Protection Regulation), устанавливаются штрафы для предпринимателей, нарушающих базовые принципы обработки персональных данных или права субъекта персональных данных, от 10-20 млн евро или 2-4% от 1 «Руководящие принципы Организации Объединенных Наций для защиты интересов потребителей» (Приняты 22 декабря 2015 г. Резолюцией 70/186 на 81-ом пленарном заседании 70-ой сессии Генеральной Ассамблеи ООН) // СПС КонсультантПлюс.

2

Рекомендаций Совета Организации Экономического Сотрудничества и Развития по защите прав потребителей в электронной торговле от 24 марта 2016 г. № С(2016)13 // СПС КонсультантПлюс.

общего годового оборота предприятия в зависимости от правонарушения. При этом в России за нарушение прав потребителей в области персональных данных штрафы намного меньше. В сфере потребительских договоров интересы общества, в том числе в области персональных данных, требуют максимального соблюдения прав потребителей и самой строгой ответственности в случае их нарушения. Представляется целесообразным увеличение размера штрафных санкций, установленных в КоАП РФ в области персональных данных. Проводимая реформа законодательства в области персональных данных крайне важна в настоящее время, особенно в области защиты потребителей. Непрерывное развитие общественных отношений, в том числе в условиях глобальной цифровизации, ставит перед законодателем новые задачи, что обуславливает развитие как мер охраны, так и защиты прав потребителей, в частности предоставление дополнительных прав потребителям в области их персональных данных, а также усиление ответственности операторов персональных данных.

Список литературы

1. Сычева М.И. Проблемы правового регулирования защиты персональных данных в сети Интернет // Международный журнал гуманитарных и естественных наук. 2022. № 10–3 (73). С. 175.
2. Дмитриева Е. Г. Проблемы защиты персональных данных в цифровом мире и пути их решения // Право и бизнес. 2021. № 3.
3. Бычков А. Персональные данные потребителя: новые правила // Юридический справочник руководителя. - 2022. - № 6. - С. 83 - 89.
4. Талапина Э.В. Право на информационное самоопределение на грани публичного и частного // Право. Журнал Высшей школы экономики. 2022. № 5. С. 24-43. Spisok literatury:
5. Sycheva M.I. Problemy pravovogo regulirovaniya zashchity personal’nyh dannyh v seti Internet // Mezhdunarodnyj zhurnal gumanitarnyh i estestvennyh nauk. 2022. № 10–3 (73). S. 175.
6. Dmitrieva E. G. Problemy zashchity personal ’nyh dannyh v cifrovom mire i puti ih resheniya // Pravo i biznes. 2021. № 3.
7. Bychkov A. Personal’nye dannye potrebitelya: novye pravila // YUridicheskij spravochnik rukovoditelya. - 2022. - № 6. - S. 83 - 89.
8. Talapina E.V. Pravo na informacionnoe samoopredelenie na grani publichnogo i chastnogo // Pravo. ZHurnal Vysshej shkoly ekonomiki. 2022. № 5. S. 24-43.

Скачать