что такое общедоступные источники персональных данных
Какие персональные данные являются общедоступными
Защита персональных данных
с помощью DLP-системы
К аждый день физические лица предоставляют личную информацию в различные инстанции. За обработку сведений отвечают операторы персональных данных. Это банки, работодатели, медицинские организации, интернет-сайты и другие структуры. В соответствии с законом операторы обязаны защищать персональную информацию. Для создают источники, где содержатся общедоступные персональные данные (ПД).
Что такое общедоступные ПД?
К общедоступным относят сведения о человеке, которые он или она самостоятельно предоставляет в инстанции. Чтобы к открыть свободный доступ к информации, требуется письменное разрешение человека – субъекта персональных данных. Субъект – это физическое лицо, ПД которого собирает, хранит и обрабатывает оператор. Оператор – это юридическое или физическое лицо, муниципальный или государственный орган власти.
К общедоступным ПД относят сведения о субъекте, по которым его можно идентифицировать:
В состав общедоступных данных может входить любая информация, которая с точки зрения закона не является конфиденциальной. ПД субъекта могут классифицироваться по объему и степени важности информации личного характера.
К общедоступным данным относится также персональная информация, которая предоставляется:
Персональные данные субъекта, которые распространяются через СМИ, не относятся к конфиденциальным, так как являются общедоступными в соответствии с «Перечнем сведений конфиденциального характера».
Письменное согласие субъекта на получение, передачу, обработку и другие действия с ПД требуется не всегда. В отдельных случаях, например, при участии в анкетировании или подписке на новостную рассылку, достаточно поставить галочку в графе, которая разрешает использование ПД.
Данные общего типа допускает размещать в источниках, которые являются общедоступными. Это означает, что источники просматривает и использует огромное количество заинтересованных лиц. Пример такого источника – телефонные справочники.
Обработка общедоступных данных
Обработкой общедоступных данных занимаются отделы и подразделения, в обязанности которых входит сбор, систематизация, хранение, изменение, использование и уничтожение ПД. Физические лица вправе запросить сведения об операторе данных и узнать, какую цель преследует оператор во время обработки ПД.
ПД обрабатывают организации, которым для осуществления своей деятельности необходимо собирать, накапливать, обрабатывать и хранить информацию о сотрудниках, поставщиках и клиентах. В определенных случаях такие данные входят в состав открытых.
Права субъектов общедоступных данных
Субъекты ПД могут подать заявление с требованием заблокировать, уничтожить, уточнить или изменить общедоступные данные, если сведения утратили актуальность, являются неполными или не требуются для целей обработки. Субъекты праве также запросить доступ к своим ПД и узнать, какие средства использует оператор для их обработки.
Информация должна использоваться в соответствии с требованиями законодательства и быть защищенной независимо от того, является она конфиденциальной или общедоступной. В обязанности операторов входит обеспечить полную защиту ПД субъекта и ограничить доступа к данных посторонних лиц.
Оператор начинает обрабатывать персональные данные только после получения письменного разрешения субъекта на обработку. Согласие включает информацию о физическом лице и данные оператора: название компании, фамилия, имя и отчество оператора, должность. Также в согласии требуется указать цель обработки и список данных с описанием операций, которые будут выполняться с информацией. Физическое лицо имеет право на отзыв своих ПД и аннулирование своего согласия на обработку.
В случае недееспособности или смерти субъекта согласие на обработку и использование ПД запрашивается у наследников или законных представителей. При этом нужно руководствоваться Федеральным законом о персональных данных.
В случае нарушения требований законодательства виновные несут административную, уголовную и другие виды ответственности. Неважно, являются ли ПД конфиденциальными или общедоступными, в соответствии со статьей 8 ФЗ-152 о персональных данных общедоступные ПД могут размещаться в общедоступных источниках только с согласия субъекта данных. Персональные данные должны быть исключены из источников, если этого требует субъект или уполномоченные органы: Роскомнадзор, суд или другие госструктуры.
Новое о персональных данных
Автор: Давыдова Е. В., эксперт информационно-справочной системы «Аюдар Инфо»
С 1 марта 2021 года вступили в силу изменения в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ), касающиеся общедоступных персональных данных (ПД). Сейчас вместо них появились «персональные данные, разрешенные к распространению». О том, что это за данные, все ли сотрудники располагают ими, какие действия осуществлять работодателю в связи с изменениями и как составить согласие на распространение таких ПД, читайте далее.
Общедоступные персональные данные
Персональными данными по Закону № 152-ФЗ считается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПД).
На передачу или распространение данных о ком-либо требуется согласие их субъекта, за исключением случаев, установленных законодательством (согласие не требуется при передаче ПД определенным органам и в определенных случаях).
К сведению: не требуется согласие работника на передачу персональных данных третьим лицам в целях предупреждения угрозы жизни и здоровью работника, в ФСС, ПФ РФ, налоговые органы, военные комиссариаты, прокуратуру, правоохранительные органы, ГИТ, суд (Разъяснения Роскомнадзора «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве»).
Ранее в Законе № 152-ФЗ было такое определение: общедоступные персональные данные – это ПД, доступ неограниченному кругу лиц к которым предоставлен с согласия субъекта ПД или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. То есть эти данные размещались их субъектом или с его согласия в общедоступных источниках. Статья 8 Закона № 152-ФЗ относит к таким источникам справочники, адресные книги. Это также могут быть социальные сети и другие интернет-ресурсы.
К общедоступным сведениям относились фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии, фото и др. Общедоступные сведения в любое время могли быть исключены из общедоступного источника по требованию субъекта ПД либо по решению суда или иных уполномоченных государственных органов.
Общедоступные данные по-новому
С 1 марта 2021 года вместо общедоступных данных появилось понятие «персональные данные, разрешенные субъектом персональных данных для распространения» – сведения о субъекте, доступ к которым субъект предоставил неограниченному кругу лиц путем дачи согласия на обработку этих ПД, разрешенных им для распространения в порядке, предусмотренном Законом № 152-ФЗ (ст. 3 Закона № 152-ФЗ).
При этом под распространением персональных данных в новой редакции понимаются действия, направленные на их раскрытие неопределенному кругу лиц.
К сведению: в прежней редакции закона распространением назывались действия, направленные на передачу ПД определенному кругу лиц или на ознакомление с ПД неограниченным кругом лиц, в том числе обнародование в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к ПД каким-либо иным способом.
Таким образом, прежде чем разместить для неограниченного круга лиц (на сайте организации, в печатных изданиях, в рекламе и т. д.) персональные данные работника, нужно получить его согласие.
Сколько согласий запрашивать?
В статье 9 Закона № 152-ФЗ уже установлена обязанность работодателей запрашивать у работника согласие на обработку персональных данных. Эта статья содержит и требования к оформлению такого согласия. В частности, оно должно быть конкретным, информированным и сознательным. Работник может дать его в любой позволяющей подтвердить факт получения такого согласия форме (письменно или в виде электронного документа, подписанного электронной подписью), если иное не предусмотрено федеральным законом.
Это согласие работодатели уже давно должны были запросить у работников.
К сведению: отдельное письменное согласие оформляется на обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (ст. 10 Закона № 152-ФЗ).
В новой ст. 10.1 Закона № 152-ФЗ прямо указано, что согласие на обработку персональных данных, разрешенных их субъектом для распространения, оформляется отдельно от иных согласий субъекта ПД на обработку его данных.
Таким образом, ранее составленные согласия на обработку персональных данных в соответствии со ст. 9 Закона № 152-ФЗ продолжают свое действие, в отношении них никаких изменений нет. А для размещения ПД работников в общем доступе работодатели должны запросить у работников отдельное согласие.
Обратите внимание: если работник сам раскроет свои личные данные, но не предоставит согласие, доказывать правомерность их распространения придется всем лицам, которые распространили эти сведения. Доказывать это понадобится и в случае, если ПД оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы.
Требования к согласию
Основные требования к согласию установлены ст. 10.1 Закона № 152-ФЗ.
Составляя согласие, работодатель должен предоставить работнику возможность определить список тех персональных данных, которые он разрешает распространять, по каждой категории (общие, специальные, биометрические).
В согласии должно быть четко сформулировано, на что конкретно согласен работник. Если он не согласен с распространением или не указал специальные условия обработки для некоторых категорий персональных данных и их перечень – такие сведения можно только обрабатывать, без распространения (передачи, предоставления и иных действий) неограниченному кругу лиц.
Если из согласия не совсем понятно, что можно делать с ПД, а что нельзя, лучше ничего не публиковать.
Обратите внимание: молчание или бездействие работника ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных для распространения.
Получает согласие работодатель в первую очередь непосредственно от работника. А с 1 июля 2021 года его можно будет оформить с использованием инфосистемы Роскомнадзора.
Работодатель обязан опубликовать информацию об условиях обработки персональных данных и запретах, наложенных субъектом, в течение трех дней после получения согласия. Где ее публиковать – пока непонятно. Придется ждать разъяснений Роскомнадзора.
Нельзя запретить публиковать персональные данные, если они распространяются в государственных, общественных и иных публичных интересах, определенных законами РФ.
Работник может в любой момент потребовать запретить распространение своих ПД. Это требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта ПД и перечень данных, обработка которых подлежит прекращению. Действие согласия прекращается с момента получения работодателем такого требования.
Обратиться с запретом на распространение своих ПД субъект может к любому лицу, обрабатывающему его данные, при несоблюдении этим лицом требований ст. 10.1 Закона № 152-ФЗ. Можно и обратиться в суд. Распространение данных должно прекратиться:
в течение трех рабочих дней с момента обращения;
или в срок, указанный в постановлении суда;
или в течение трех рабочих дней с момента вступления решения суда в законную силу.
Положения ст. 10.1 Закона № 152-ФЗ не распространяются на случаи обработки персональных данных органами власти.
К сведению: уведомлять Роскомнадзор о том, что сотрудники дали согласие распространять информацию о них, не нужно (п. 4 ч. 2 ст. 22 Закона № 152-ФЗ).
Оформление согласия
Требования к содержанию согласия на обработку персональных данных, разрешенных для распространения, разработаны Роскомнадзором, но не утверждены. Пока шаблон согласия не утвержден, приведем образец с учетом этих требований. Об изменениях будем держать вас в курсе.
Ректору
ФГБОУ ПО «Самарский государственный университет»
Владимирову Владимиру Владимировичу,
адрес местонахождения 123456, Самара, ул. Самарская, д. 1
ОГРН: 1234567890123 ИНН: 1234567890
ОКВЭД: 12.34 ОКПО: 12345678
ОКОГУ: 1234567 ОКОПФ: 12300 ОКФС: 12
От Иванова Ивана Ивановича,
паспорт серии 12 34 № 123456 выдан 12 января 2000 года
ОВД Самарского района г. Самары,
зарегистрированного по адресу 123456, Самара,
ул. Ленина, д. 1, кв. 23.
Адрес электронной почты:
ivanov@yandex.ru
Номер телефона:
+7 (123) 456-78-90
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения
Настоящим я, Иванов Иван Иванович, руководствуясь статьей 10.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», заявляю о согласии на распространение ФГБОУ ПО «Самарский государственный университет» моих персональных данных с целью размещения информации обо мне на официальном сайте ФГБОУ ПО «Самарский государственный университет» в следующем порядке:
Категория персональных данных
Перечень персональных данных
Разрешаю к распространению (да/нет)
Разрешаю к распространению не-ограниченному кругу лиц (да/нет)
«Общедоступная информация», «открытые данные» и «персональные данные, разрешенные субъектом для распространения» – что это такое и как они между собой связаны?
Закон.Ру – официально зарегистрированное СМИ. Ссылка на настоящую статью будет выглядеть следующим образом: Рожкова М.А. «Общедоступная информация», «открытые данные» и «персональные данные, разрешенные субъектом для распространения» – что это такое и как они между собой связаны? [Электронный ресурс] // Закон.ру. 2021. 13 января. URL: https://zakon.ru/blog/2021/1/13/obschedostupnaya_informaciya_otkrytye_dannye_i_personalnye_dannye_razreshennye_subektom_dlya_raspros
Довольно часто в публикациях и выступлениях употребляется выражение «открытый доступ» применительно к информации. Насколько это верно?
В международном контексте термин «открытый доступ» (англ. open access) впервые был употреблен в 2002 году на конференции Будапештской инициативы открытого доступа[1] (англ. The Budapest Open Access Initiative, BOAI) – общественной инициативы, устанавливающей принципы открытого доступа к научно-исследовательским работам (в форме книг, статей, диссертаций и проч.). В рамках этой инициативы «открытый доступ» определен так: «…открытые для всех публикации в Интернете, которые можно читать, разгружать, копировать, распространять, распечатывать, находить или присоединять к полным текстам соответствующих статей, использовать для составления указателей, вводить их как данные в программное обеспечение или использовать для других законных целей при отсутствии финансовых, правовых и технических преград, за исключением тех, которые регулируют доступ к собственно Интернету. Единственным ограничением на воспроизводство и распространение публикаций и единственным условием копирайта в этой области должно быть право автора контролировать целостность своей работы и обязательные ссылки на его имя при использовании работы и ее цитировании»[2]. Кратко говоря, открытый доступ толкуется как свободный, ничем не ограничиваемый доступ в сети Интернет к научно-исследовательским публикациям, подразумевающий возможность любого их использования, но исключающий внесение изменений в эти работы и предусматривающий обязательное указание автора при цитировании и ином использовании.
Сегодня выражение «открытый доступ» широко применятся в отношении данных. Но нельзя забывать и о существовании легальных терминов.
В ч. 1 ст. 7 Закона об информации упоминается «общедоступная информация», под которой понимаются «общеизвестные сведения и иная информация, доступ к которой не ограничен». Разумеется, этим понятием охватывается и информация, размещенная в открытом доступе в сети Интернет. Комментируя эту норму, А.И. Савельев подчеркивает: «По сути, Закон вводит тем самым презумпцию открытости информации: общедоступной является любая информация, кроме той, к которой ограничен доступ. Отнесение информации к категории общедоступной в самом общем виде означает, что любое лицо без указания причин и целей может получать такую информацию и использовать по своему усмотрению, с соблюдением установленных федеральным законом ограничений на ее распространение»[3]. Иными словами, п. 2 ст. 7 Закона об информации для всех видов общедоступной информации – закон не предусматривает изъятий – установлен общий правовой режим: в отношении такой информации разрешен любой способ использования, ограничивается только ее распространение – оно должно осуществляться в соответствии с требованиями соответствующего федерального законодательства.
Частным случаем изложенного правила является закрепленное в абз. 2 п. 1 ст. 152.2 ГК РФ положение, согласно которому в ситуации, когда информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле, не будет признаваться нарушением сбор, хранение, распространение и иное использование такой информации без согласия этого гражданина. То есть здесь федеральное законодательство закрепляет правило о допустимости распространения обозначенной общедоступной информации без согласия субъекта данных.
Сказанное позволяет утверждать, что размещение информации в открытом доступе в сети Интернет автоматически переводит ее в разряд общедоступной. И как следствие: такая информация подпадает под соответствующие положения Закона об информации, а в части ее распространения – под специальное законодательство.
Таким образом, применительно к персональным данным в контексте п. 2 ст. 7 Закона об информации можно говорить о том, что, как и любая иная информация, ставшие общедоступными персональные данные допускают их свободное использование, за исключением распространения – в отношении распространения продолжает действовать правило ст. 9 Закона о персональных данных об обязательности получения согласия субъекта персональных данных. Важно заметить, что такой вывод применим для ситуаций наличия легального свободного доступа к персональным данным, а не в случаях, например, утечек персональных данных в результате хакерских атак.
В развитие сказанного представляется уместным прокомментировать ст. 8 Закона о персональных данных, которую нередко трактуют в том ключе, что общедоступные персональные данные – это только те данные, которые включены в прямо указанные в данной статье источники (справочники, адресные книги). Отсюда делается вывод, что персональные данные, размещенные в открытом доступе в сети Интернет, общедоступными не являются, так как они взяты из источника, не поименованного в ст. 8 Закона о персональных данных. Это находит прямое подтверждение и в судебной практике: «…персональные данные, сделанные общедоступными субъектом персональных данных могут содержаться только в общедоступных источниках персональных данных… информация о субъекте (в том числе персональные данные), содержащиеся в социальных сетях (в сети Интернет), не может быть отнесена к персональным данным, сделанным субъектом общедоступными, поскольку социальные сети не являются источником общедоступных персональных данных применительно к положению ст. 8 Закона»[4].
Возражая против такого толкования ст. 8 Закона о персональных данных, следует заметить, что в этой статье говорится о возможности создания общедоступных источников персональных данных (в целях информационного обеспечения). При этом формулировка статьи вовсе не исключает иных общедоступных источников персональных данных кроме прямо названных, а в условиях цифровой трансформации точно не позволяет ограничивать эти источники только справочниками и адресными книгами.
Хорошей иллюстрацией последнему утверждению являются положения, введенные в 2013 году в ст. 7 Закона об информации и касающиеся «общедоступной информации, размещаемой в форме открытых данных».
Вообще идея открытых данных (англ. open data) состоит в том, что некоторые данные должны быть предоставлены (доступны) каждому для любого использования без платы и без каких-либо механизмов контроля, в том числе со стороны правообладателей авторских произведений и патентов[5]. И одной из наиболее значимых разновидностей открытых данных признаются открытые правительственные данные (англ. open government data, OGD) – открытые данные, создаваемые правительственными учреждениями (для России это, например, открытые данные Минфина России[6], МВД России[7], Росстата[8] и др.). Но правительственные сайты – это лишь один из источников этих данных[9]. Открытые данные могут публиковаться на различных информационных ресурсах сети Интернет: в частности, открытые научные данные (англ. open science data) или открытые исследовательские данные (англ. open research data) размещаются на сайтах университетов и исследовательских организаций или специально создаваемых сайтах[10].
Изложенное позволяет заключить, что «общедоступная информация, размещаемая в форме открытых данных» является разновидностью общедоступных данных, которую из прочих общедоступных данных выделяет то, что она размещена в сети Интернет в формате, допускающем автоматизированную обработку без предварительных изменений человеком в целях повторного ее использования (ч. 4 ст. 7 Закона об информации). Важно заметить, что на эти данные распространяется общий режим общедоступной информации (с некоторыми уточнениями, предусмотренными в ч. 5 и 6 ст. 7 Закона об информации)[11].
Может ли информация, относимая к числу персональных данных, попасть в состав открытых данных? Учитывая широту «охвата» легальной дефиниции понятия «персональные данные» и с учетом концепции персональных данных[12] можно предположить, что это вовсе не исключено. Вследствие сказанного закономерным будет вывод о том, что персональные данные могут становиться общедоступными посредством сети Интернет. Поэтому утверждение, согласно которому к числу источников общедоступных персональных данных относятся только справочники и адресные книги, является явно архаичным.
Неточным надо признать и вывод о том, что в условиях, когда персональные данные размещены в открытом доступе в сети Интернет самим субъектом этих данных, необходимо еще и его согласие на обработку / использование этих данных третьими лицами. Правда, в судебной практике это заключение основывается и на совершенно неверной посылке: «По смыслу Закона о персональных данных, размещение персональных данных в указанных открытых источниках, не делает их автоматически общедоступными. Следовательно, не допускается обработка таких данных без согласия субъекта»[13].
Обосновывая несогласие с таким заключением, надо обратить внимание на п. 4 ч. 2 ст. 22 Закона о персональных данных, согласно которому оператор осуществляет без уведомления уполномоченного органа обработку «персональных данных, сделанных субъектом персональных данных общедоступными», то есть закон прямо выводит такие данные из-под общего правила. Это дает основание говорить о том, что, если субъект персональных данных сам разместил эти данные в открытом доступе, они автоматически становятся общедоступными со всеми вытекающими отсюда последствиями. Эту позицию подтверждает Роскомнадзор, который на вопрос «В каких случаях для обработки персональных данных не требуется согласия субъекта персональных данных?» отвечает, что такое согласие не требуется, если «осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее – персональные данные, сделанные общедоступными субъектом персональных данных)» (п. 10[14]). Другое дело, что исходя из смысла в совокупности п. 2 ст. 7 Закона об информации и ст. 9 Закона о персональных данных в отношении распространения общедоступных персональных данных требуется получение согласия субъекта этих данных, о чем говорилось выше.
Важно заметить, что рассматриваемый случай размещения самим субъектом данных своих персональных данных в открытом доступе в сети Интернет удостоился специального внимания и в новейшем законодательстве.
Федеральным законом от 30.12.2020 № 519-ФЗ (далее – Закон № 519-ФЗ) в Закон о персональных данных введено понятие «персональные данные, разрешенные субъектом персональных данных для распространения», а также новая статья, посвященная особенностям обработки таких персональных данных (ст. 10.1)[15]. Примечательно, что к числу «персональных данных, разрешенных субъектом персональных данных для распространения» по смыслу п. 1.1 ст. 3 и ч. 1 ст. 10.1 Закона о персональных данных) отнесены такие персональные данные, в отношении которых субъект этих данных дал самостоятельное согласие именно на распространение данных – новый закон требует оформлять его отдельно от иных согласий.
Ситуация, когда сам субъект данных делает свои персональные данные общедоступными (например, при размещении им своих персональных данных на собственной домашней странице в сети Интернет), не относится к числу «разрешенных субъектом персональных данных для распространения». То есть здесь продолжает действовать вышеназванное требование об обязательности получения третьими лицами согласия на распространение общедоступных персональных данных.
Это находит прямое подтверждение в Законе № 519-ФЗ. Во-первых, персональные данные, раскрытые неопределенному кругу лиц самим субъектом данных, не упоминаются в определении понятия «персональные данные, разрешенные субъектом персональных данных для распространения». Во-вторых, ч. 2 ст. 10.1 Закона о персональных данных прямо регламентирует ситуацию «раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия», устанавливая, что в этом случае обязанность предоставить доказательства законности распространения или иной обработки таких персональных данных возлагается на лиц, которые осуществляют их распространение или иную обработку.
Изложенное позволяет говорить о преждевременности громкого утверждения, что «понятия общедоступных персональных данных больше не будет»[16].