Закон, который привел юристов в оторопь

В России вступили в силу поправки к закону о персональных данных. К таким данным относится любая информация, прямо или косвенно указывающая на вас: ФИО, дата рождения, место регистрации и проживания, образование, профессия, место работы, и много чего еще. Такие сведения о каждом из нас есть на страничках в социальных сетях или на хантинговых ресурсах. Теперь владельцы всех этих ресурсов, то есть — операторы персональных данных, должны будут спросить у каждого пользователя согласие на их распространение. Причем, по пунктам: ФИО — можно, дату рождения — нельзя. Такое согласие можно дать самому «оператору» или в информационной системе Роскомнадзора. Закон устанавливает презумпцию несогласия: если вы не дали согласия, автоматически будет считаться, что дальнейшее распространение ваших персональных данных, которые находятся в открытом доступе, запрещено. Кроме того, вы можете отозвать согласие, данное раньше, в любой момент. Если кто-то распространил ваши данные без этого согласия, вы вправе потребовать удалить их или обратиться с иском в суд.

Кого затронет новый закон, как он будет работать и зачем вообще нужен, рассуждает ведущий аналитик Российской ассоциации электронных коммуникаций Карен Казарян.

— Что мы знаем об этом законе? Под его действие могут попасть компании, которые хранят персональные данные. Будут ли это социальные сети, сайты объявлений, вакансий или кто-то еще?

— Пока в отношении этого закона больше вопросов, чем ответов. В тексте есть оговорка — «за исключением тех случаев, когда пользователь сам занимается распространением своих данных». Вопрос: в социальной сети россияне сами распространяют свои личные данные или нет? Если мы посмотрим другой закон, который непосредственно касается социальных сетей, то там четко прописано, что социальная сеть есть ресурс, на котором пользователь сам может создать страницу, на которой будет размещать информацию о себе. Вопрос: распространяются ли поправки о согласии на такие сайты или нет?

Второй вопрос, который здесь возникает: у нас львиная доля сайтов, в том числе социальных сетей и площадок для объявлений, обрабатывают данные пользователей на основании договора публичной оферты, который вы с ними заключаете, используя сервис. Нужно ли в таком случае отдельно брать согласие? Не понятно.

Третий вопрос: форму согласия должен определять Роскомнадзор. Нужно ли говорить, что соответствующий документ Роскомнадзора еще не утвержден? Такая форма согласия, которая прописана в законе, до этого не была предусмотрена. Есть европейская форма согласия, когда вы галочки расставляете напротив нужных пунктов. Проблема в том, что в России такая форма на текущий момент не утверждена.

Последний момент: что делать с теми данными, которые компании собрали до сих пор. Нужно ли насчет них спрашивать пользователей или нет, тоже не ясно.

— Чисто технически как это может быть: я даю согласие на распространение моих фотографий, но на распространение номера телефона согласия не даю?

— Как-то так, да.

— В законе говорится, что дать согласие можно как самому оператору персональных данных (конкретному сайту), так и в специальной информационной системе Роскомнадзора. Как это сделать?

— Последний пункт, который касается информационной системы Роскомнадзора, вступает в силу только летом. Но пока там нет никаких подвижек.

— Но в теории какой-то ресурс для получения таких согласий при Роскомнадзоре должен быть создан?

— К лету — да. Но с учетом того, что бюджетных средств на него не выделено, вероятность не очень велика.

— В законе говорится, что, если пользователь не дал своего согласия, его считают несогласным. Как в таком случае будут работать все эти ресурсы, которые затронет действие закона? Например, я, как пользователь, не заполняю бланк согласия. Смогу ли я дальше пользоваться этим ресурсом, воздержавшись от процедуры?

— Безусловно. Согласие вы даете на дальнейшее распространение ваших данных. То есть, предполагается, что сайтом вы и так пользуетесь, и какую-то информацию о себе там публикуете, а вот дальше никакие третьи лица без вашего на то согласия эту информацию с сайта брать не могут. Помните дело ВКонтакте против бюро кредитных историй? В рамках обновленного закона, если бы пользователь отказал в дальнейшем распространении информации о нем, никакое бюро его данные из соцсетей взять не могло бы.

— Кого мы считаем третьими лицами? Относятся ли сюда перепечатки постов в СМИ или репосты?

— Хороший вопрос. В законе говорится весьма размыто, что согласие нужно во всех случаях, за исключением неких общественных целей. Что такое «общественные цели» — я не знаю.

— Обычно люди спрашивают в комментариях автора поста, можно ли сделать репост. Нужно ли будет теперь знать к тому же, дал ли этот пользователь согласие на распространение самому ресурсу, где пост был опубликован?

— Да, по большому счету, помимо согласия самого автора поста, нужно знать, дал ли пользователь согласие платформе. Ресурс в таком случае должен обеспечить возможность быстро проверять, на что пользователь дал согласие, чтобы третьи лица точно знали, могут они брать эту информацию или нет.

— То есть, на страничке пользователя должна быть какая-то пометка насчет согласия или соцсеть должна обеспечить невозможность копирования таких постов?

— Да, одно из двух или все сразу.

— Что получается: закон, за исключением одного пункта, уже вступил в силу, но понимания, как он будет работать, нет. И без формы согласия, которую должен утвердить Роскомнадзор, заработать он не может. Можно ли в таком случае кого-то привлечь к ответственности за неисполнение требований закона?

— Ответственность существует, но в 99% случаев она наступает тогда, когда субъект персональных данных сам находит факт нарушения своих прав и жалуется. Если мы исключим возможность показательных дел, контрольных закупок и так далее, то подобных дел на первых порах не будет. Очевидно, что пользователи жалуются у нас редко, а львиная доля компаний просто не будет ничего делать, пока на них не пожалуются.

За пределами России такие суды уже идут. Компании — операторы персональных данных апеллируют к тому, что у них есть настройки приватности поста, которые указывают, хотел ли пользователь публичности этой информации или нет. Строго говоря, в Facebook уже можно поставить видимость на любой пункт — не только для публикаций, но и в целом для странички, биографии, фото.

— Когда станет понятно, в какой форме операторы персональных данных должны брать согласие, многим компаниям придется переписывать свои соглашения на обработку персональных данных. Насколько это может быть затратным?

— У меня есть другая версия: когда появится форма согласия, станет понятно, что закон не работает, и придется принимать к нему поправки.

— И главный вопрос: зачем все это нужно?

— Этот вопрос мы неоднократно задавали, в том числе автору документа — депутату Карелину. Формально, это попытка упорядочить практику сбора общедоступных данных и использования их без разрешения пользователя. Государство решило, что эту практику нужно свернуть, чтобы брокеры всякие не собирали общедоступные данные. Рубануло с плеча, забыв о том, что есть масса реестров общедоступной информации, например, ЕГРЮЛ.

Возможно, сыграло роль накопленное недовольство расследованиями, которые проводятся на основе только открытых данных. Авторы находят что-то в соцсетях и делают некие сопоставления.

В любом случае государство как проводник политики может сказать: так больше нельзя. В Европе, допустим, тоже есть серьезные ограничения на общедоступные данные. Вопрос в том, что сам текст закона написан отвратительно. Когда юристы Яндекса, Сбербанка, ВКонтакте сидят и часами обсуждают, смеются, но не понимают до конца, как это все будет работать, это означает, что закон был написан плохо и в спешке.

— Но касаться он будет компаний, а не рядовых пользователей?

— Конечно. Пользователи, которые размещают где-то информацию о себе, ничем не рискуют.

Анна Семенец