Чтение онлайн

Право, применимое к отношениям, возникающим при обработке персональных данных

Законодательство о персональных данных представляет собой комплексную отрасль, включающую как положения частноправового характера, основанные на принципах автономии воли (например, в части регулирования согласия субъекта персональных данных на обработку его данных, заключения договоров между оператором и лицом, осуществляющим обработку персональных данных по его поручению, и т. п.), так и положения публичного права (например, в части регулирования статуса уполномоченного органа по надзору и контролю в сфере персональных данных, требований к обработке данных и локализации). Кроме того, законодательство о персональных данных играет важную роль в обеспечении национальных интересов в сфере информационной безопасности. Все это обусловливает необходимость определения сферы применения законодательства о персональных данных по кругу лиц и территории в случае обработки персональных данных в сети «Интернет». Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) не содержит специальных положений на сей счет. Соответствующие разъяснения [314] были даны Минкомсвязи России, который является федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере обработки персональных данных (п. 1 Положения о Министерстве связи и массовых коммуникаций Российской Федерации [315] ). В связи с этим их можно рассматривать в качестве изложения официальной позиции регулятора в сфере законодательства о персональных данных, хотя они формально не являются юридически обязательными для судов.

В соответствии с разъяснениями Минкомсвязи России, при осуществлении деятельности в сети «Интернет», которая в силу своего трансграничного, децентрализованного и виртуального характера не позволяет четко обозначить географические границы осуществления такой деятельности, необходимо установить специальные критерии, при которых она может быть отнесена к осуществляемой на территории РФ. Одной лишь доступности интернет-сайта на территории РФ недостаточно для вывода о том, что на него распространяется законодательство РФ, в том числе о персональных данных, поскольку в таком случае сфера его применения носила бы по существу всемирный характер и делала бы практически невозможным контроль за его деятельностью. В связи с этим, по мнению Минкомсвязи России, необходимо руководствоваться критерием направленной деятельности, который уже нашел свое отражение как в европейском, так и в российском законодательстве.

О наличии направленности интернет-сайта на территорию Российской Федерации могут свидетельствовать следующие обстоятельства: 1) использование доменного имени, связанного с Российской Федерацией или субъектом Федерации («.ru», «.рф.», «.su», «.москва», «moscow» и т. п.), и (или) 2) наличие русскоязычной версии интернет-сайта, созданной владельцем такого сайта или по его поручению иным лицом (использование на сайте или самим пользователем плагинов, предоставляющих функционал автоматизированных переводчиков с различных языков, не должно приниматься во внимание). При этом, поскольку русский язык широко используется в некоторых странах за пределами РФ, для определения направленности интернет-сайта именно на территорию РФ дополнительно необходимо наличие как минимум одного из следующих элементов: возможности осуществления расчетов в российских рублях; возможности исполнения заключенного на таком интернет-сайте договора на территории РФ (договоров доставки товара, оказания услуг или пользования цифровым контентом на территории России), использование рекламы на русском языке, отсылающей к соответствующему интернет-сайту, или иных обстоятельств, явно свидетельствующих о намерении владельца интернет-сайта включить российский рынок в свою бизнес-стратегию.

Таким образом, исходя из приведенной позиции Минкомсвязи России можно выделить два базовых и ряд дополнительных (вторичных) критериев, свидетельствующих о направленности деятельности иностранного интернет-сайта на территорию РФ.

Базовые критерии:

1) использование таким интернет-сайтом доменного имени, связанного с территорией РФ («.ru», «.su», «.рф») и ее регионами («.москва», «.moscow»). При этом необходимо именно фактическое использование такого доменного имени, т. е. «привязка» к конкретному интернет-сайту, в том числе посредством реализации функции «переадресации» (redirect) на интернет-сайт, зарегистрированный под функциональными доменами (вроде «.com»). Регистрация доменного имени для целей предотвращения киберсквотинга, не сопровождающаяся фактическим использованием, не должна приниматься во внимание для решения вопроса о сфере действия законодательства РФ о персональных данных [316] ; либо

2) наличие русскоязычной локализованной версии такого интернет-сайта.

Вторичные критерии (используются в качестве дополнительных применительно ко второму базовому критерию):

1) возможность заключения договора с российскими пользователями; 2) возможность доставки товара или цифрового контента на территорию РФ;

3) оказание приобретаемой через интернет-сайт услуги на территории РФ;

4) возможность осуществления расчетов в российских рублях;

5) наличие русскоязычной рекламы данного интернет-сайта.

При этом для вывода о направленности деятельности русскоязычного интернет-сайта иностранного происхождения на территорию РФ достаточно установить наличие хотя бы одного из вышеперечисленных вторичных критериев.

Рассмотрим применение данных критериев на примерах.

1. Предположим, что имеется интернет-магазин, принадлежащий зарубежной компании, который использует доменное имя в зоне «.com». Интерфейс данного ресурса выполнен на английском языке, при этом отсутствует русскоязычная версия. Возможность размещения заказа и доставки товара (контента) существует для любых пользователей безотносительно к их национальной или географической принадлежности. При таких обстоятельствах данный интернет-магазин не подпадает под действие Закона о персональных данных, поскольку отсутствуют основные критерии направленности деятельности данного сайта именно на российских пользователей.

2. Интернет-магазин использует доменное имя в зоне «.com» и обладает русскоязычной версией. При этом он содержит оговорку о том, что товары и (сервисы) не предоставляются жителям на территории РФ, которая подкреплена иными мерами, явно свидетельствующими об отсутствии намерения осуществлять целенаправленную деятельность на территорию РФ (отказ в приеме к оплате банковских карт, выпущенных российскими банками; использование технологий геолокации с определением географической принадлежности IP-адреса пользователя с блокировкой возможности совершения заказа/доставки товара/получения контента пользователями с IP-адресами российских интернет-провайдеров). При таких обстоятельствах можно сделать вывод о том, что деятельность такого интернет-магазина не направлена на территорию РФ и что на деятельность по обработке персональных данных пользователей такого ресурса не распространяются требования Закона о персональных данных.

3. Интернет-сайт, представляющий собой социальную сеть, принадлежит иностранной компании и использует доменное имя в зоне «.com». При этом существует русскоязычная версия данного сервиса. Российский пользователь имеет возможность пользования данным сервисом, заключив пользовательское соглашение, которое переведено на русский язык. Кроме того, в иных русскоязычных интернет-сайтах предоставлена возможность авторизации через аккаунт рассматриваемой социальной сети. При таких обстоятельствах есть основания утверждать, что деятельность указанного интернет-сайта направлена на российских пользователей и в части обработки персональных данных должна соответствовать требованиям Закона о персональных данных.

4. Интернет-сервис, интерфейс которого выполнен на английском языке, принадлежит иностранной компании и при этом использует доменное имя, зарегистрированное в зоне «.ru», в качестве непосредственного доменного имени интернет-ресурса или для целей переадресации на иной адрес. Рассматриваемый сервис доступен для заказа и использования любому пользователю, безотносительно к его национальной или географической принадлежности. По общему правилу деятельность такого сервиса может рассматриваться в качестве направленной на территорию РФ в силу использования географического доменного имени, непосредственно связанного с Российской Федерацией. При этом используемый на интернет-сайте язык не имеет значения.

Представляется, что критерий направленной деятельности является наиболее сбалансированным для целей применения к отношениям, возникшим в связи с обработкой персональных данных в сети «Интернет». С одной стороны, он позволяет вывести из-под сферы действия Закона о персональных данных те интернет-сайты, которые не имеют какой-либо связи с территорией РФ, с другой – он позволяет владельцам интернет-сайтов предположить возможность применения к ним требований законодательства и предпринять соответствующие меры. Также данный критерий обладает достаточной гибкостью, позволяющей противодействовать мерам по обходу закона, который может иметь место при использовании иных критериев (например, месторасположения сервера или места учреждения владельца интернет-сайта).

При этом следует подчеркнуть (хотя это и не отмечено в приведенной позиции Минкомсвязи России), что критерий направленности должен применяться лишь к тем интернет-сайтам, в рамках которых осуществляется какая-либо правомерная деятельность (например, продажа товаров/услуг, не исключенных из оборота). Сбор и обработка персональных данных в таких случаях не являются самоцелью, а осуществляются для целей обеспечения такой правомерной деятельности и как таковые имеют в своей основе какое-либо законное основание (согласие субъекта или основание, предусмотренное законом).