Теоретические проблемы правового регулирования сбора персональных данных через сторонние платформы на интернет-ресурсах

Формы сбора персональных данных служат ключевым элементом взаимодействия на интернет-ресурсах между операторами сайтов и пользователями, обеспечивая структурированный и правомерный процесс получения информации. Данные специализированные интерфейсные элементы, интегрированные в веб-ресурсы и мобильные приложения, представляют собой структурированные инструменты для ввода информации. Их функциональное назначение реализуется через различные типы интерфейсов, включая механизмы регистрации и аутентификации, инструменты для обратной связи и контактов, а также формы для оформления подписок, заказов, опросов и участия в акциях. Отдельную категорию составляют встроенные виджеты социальных сетей. Все эти элементы по своей сути являются наборами полей для ввода данных, среди которых наиболее распространены имя, адрес электронной почты, пароль и номер телефона.

При реализации функционала веб-сайтов и онлайн-сервисов сбор данных всё чаще осуществляется не с помощью собственных решений владельца сайта, а через сторонние платформы. С технической точки зрения такие внешние формы представляют собой инструменты, предоставляемые сторонними сервисами, которые позволяют собирать, хранить и обрабатывать информацию о пользователях. Это достигается путем интеграции встраиваемых виджетов или через API, что создает для пользователя иллюзию взаимодействия исключительно с исходным сайтом. Пользователь, заполняя такую форму, фактически предоставляет свои данные третьему лицу – владельцу сторонней платформы.

В качестве примеров подобных платформ Помимо базовых персональных данных (имя, номер телефона, адрес электронной почты), данные сервисы зачастую собирают дополнительные сведения, включая технические параметры устройств пользователей, поведенческие метрики, а также информацию, добровольно предоставляемую через расширенные поля форм (предпочтения, адреса доставки, ответы на вопросы анкет и опросов).

Описанная технологическая практика формирует системный правовой пробел, вступая в противоречие с императивными требованиями законодательства о персональных данных. С правовой точки зрения ключевым элементом данного процесса выступает получение действительного информированного согласия субъекта на обработку его персональных данных в соответствии с установленными требованиями (статьи 6; 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» [2] (далее по тексту – ФЗ-152)).

Однако правовая корректность такого согласия напрямую зависит от ясного определения круга операторов, целей и способов обработки. Использование сторонних сервисов кардинально усложняет эту задачу, создавая ситуацию, при которой субъект не может быть полноценно информирован, а владелец сайта не имеет возможности обеспечить соблюдение всех формальных требований закона. Это противоречие между детальной законодательной регламентацией и технологической реальностью порождает фундаментальные правовые коллизии.

Как следует из положений пунктов 3–6 статьи 6 ФЗ-152, российский законодатель предусмотрел иерархическую модель взаимодействия, в которой оператор вправе поручить обработку персональных данных третьему лицу, неся при этом всю полноту ответственности перед субъектом данных [2]. Данная конструкция, однако, предполагает наличие детального договора поручения и полного контроля оператора над действиями третьего лица. 7 Однако сбор данных через внешние формы сбора не укладывается в эту модель. Владелец сайта не дает детального поручения, а использует готовый, стандартизированный продукт, условия обработки в котором уже заранее определены владельцем сторонней платформы. Более того, как правило, в пользовательском соглашении такого сервиса прямо указано, что он также использует данные в собственных целях (аналитика, улучшение сервиса), что позволяет квалифицировать его уже в качестве самостоятельного оператора в соответствии с пунктом 2 статьи 3 ФЗ-152 [2]. Данный подход находит свое подтверждение в европейской практике: как указано в руководстве Европейского совета по защите данных (EDPB), если обработчик выходит за рамки инструкций контроллера и начинает самостоятельно определять цели и способы обработки, он признается контроллером [6].

Поручение обработки по смыслу ФЗ-152 требует детального договора и контроля оператора за действиями исполнителя, которому поручена обработка данных. Однако использование сторонних платформ исключает это: данные напрямую поступают их владельцу, а правовые отношения строятся на публичной оферте, а не на договоре поручения. Более того, владелец платформы заранее самостоятельно определяет цели и способы обработки для своих нужд. В связи с этим представляет интерес позиция Ожерельева И., согласно которой лицо, действующее по поручению принципала (например, хостинг-провайдер), может быть квалифицировано как оператор персональных данных наряду с самим принципалом, если оно не только осуществляет обработку, но и определяет самостоятельные цели и способы такой обработки [5]. Развивая данный подход, можно утверждать, что владелец сторонней платформы является классическим примером такого самостоятельного оператора, что и порождает фундаментальную правовую неопределенность.

Таким образом, на практике возникает гибридная ситуация распределенной обработки, которую текущее правовое регулирование не в состоянии адекватно охватить. Провайдер сервиса одновременно выступает как в роли «третьего лица» для владельца сайта, так и в роли самостоятельного оператора, определяя собственные цели обработки. Это коренным образом меняет традиционную модель взаимодействия «оператор – третье лицо».

Данное противоречие порождает комплекс правовых рисков, в числе которых:

1) введение субъекта в заблуждение относительно круга операторов и, как следствие, искажение его подлинного волеизъявления; 2) правовая неопределенность в вопросе установления надлежащего субъекта ответственности за нарушения законодательства о персональных данных; 3) высокая вероятность отступления от фундаментальных принципов обработки, в частности, принципа минимальности и соответствия заявленным целям; 4) возможность несанкционированного трансграничного переноса данных, обусловленная физическим расположением серверов сторонних платформ за пределами Российской Федерации, без получения надлежащего согласия субъекта; 5) фактическая невозможность реализации субъектом своих прав, предусмотренных главой 3 ФЗ-152 [2], ввиду сложности идентификации всех операторов и рассредоточения данных между ними. Ключевая проблема заключается в отсутствии в действующем законодательстве четких правовых конструкций, регулирующих отношения в цепи «пользователь – оператор сайта – оператор сторонней платформы», что создает системную правовую неопределенность.

Для преодоления подобных правовых коллизий в международной практике, в частности в Европейском союзе, была разработана конструкция совместных контролеров (ст. 26 GDPR).

Согласно ей, если два или более оператора совместно определяют цели и способы обработки персональных данных, они признаются совместными контролёрами и обязаны заключить соглашение о прозрачном распределении обязанностей по соблюдению требований Регламента [3].

Ключевым критерием, по мнению Европейского совета по защите данных (EDPB), является совместное участие в определении целей и средств обработки, даже если эти цели не идентичны, но тесно связаны между собой [6]. Это включает реализацию прав субъектов данных (глава III GDPR) и предоставление информации в соответствии со статьями 13 и 14 GDPR. Соглашение должно адекватно отражать роли и отношения контролёров с субъектами данных, а его основные положения должны быть доступны субъектам по запросу. При этом субъект данных сохраняет право обращаться для реализации своих прав к любому из контролёров непосредственно, независимо от условий внутреннего соглашения между операторами [3].

В целях преодоления выявленных правовых коллизий представляется целесообразным имплементировать в Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» дополнительную статью, регламентирующую ста- тус совместных операторов персональных данных. Как справедливо отмечает Ивашко Я. в своем аналитическом обзоре, на практике возникает ситуация совместной обработки силами нескольких операторов [4]. Однако действующее законодательство не содержит детального регулирования их статуса и ответственности.

По аналогии со статьей 26 GDPR новая норма могла бы установить следующее.

1) Установить исчерпывающий перечень сведений о совместной обработке, подлежащих предоставлению субъекту персональных данных. В данный перечень необходимо включить:

наименование и реквизиты всех совместных операторов, их контактные данные, а также суть распределения ответственности между ними. Кроме того, представляется возможным законодательно закрепить критерии определения «ведущего оператора», то есть лица, несущего повышенную ответственность (например: оператор, определяющий основные цели и способы обработки данных; непосредственно взаимодействующий с субъектом; оказывающий решающее влияние на содержание обрабатываемых данных; осуществляющий конечное принятие решений в отношении обработки данных; владеющий технологической платформой, на которой обработка преимущественно осуществляется).

2) Закрепить обязанность о разработке документа, регламентирующего совместную ответственность обоих операторов. Необходимо закрепить требование о размещении в открытом доступе (например, на сайте основного оператора – оператора интернет-ресурса) основных положений соглашения, определяющих распределение обязанностей. Это повысит прозрачность обработки и позволит пользователю понять, кто и за что отвечает. Кроме того, целесообразно создать единый пункт контакта для субъектов данных, т.е. назначить единого представителя для взаимодействия с пользователями по вопросам реализации их прав. 3) Закрепить гарантии ответственности при трансграничной передаче данных для лиц, признанных совместными операторами. Предлагается установить, что в случае, если одним из совместных операторов является иностранное лицо, российский оператор несет солидарную ответственность [1] перед субъектом персональных данных и уполномоченным органом (Роскомнадзором) за нарушения законодательства. Данная мера обусловлена тем, что реализовать право против иностранной компании для обычного россиянина крайне сложно из-за различий в юрисдикции, языкового барьера и высоких судебных издержек. Предлагаемый подход делает защиту прав граждан более реальной, предоставляя субъекту возможность обратиться к понятному и доступному российскому оператору. При этом российский оператор выступает основным контактным лицом для субъекта данных и Роскомнадзора на территории России, что обеспечивает практическую возможность реализации прав и проведения контрольных мероприятий. Однако за российским оператором будет сохраняться право регрессного требования [1] к иностранному оператору в размере сумм, выплаченных в порядке солидарной ответственности, если будет доказано, что нарушение произошло по вине иностранного партнера.

Подобная законодательная новелла позволила бы привести нормативную базу в соответствие с технологическими реалиями и обеспечить эффективную защиту прав субъектов персональных данных в современном интернет-пространстве.