что такое общедоступные персональные данные термин
Какие персональные данные являются общедоступными
Защита персональных данных
с помощью DLP-системы
К аждый день физические лица предоставляют личную информацию в различные инстанции. За обработку сведений отвечают операторы персональных данных. Это банки, работодатели, медицинские организации, интернет-сайты и другие структуры. В соответствии с законом операторы обязаны защищать персональную информацию. Для создают источники, где содержатся общедоступные персональные данные (ПД).
Что такое общедоступные ПД?
К общедоступным относят сведения о человеке, которые он или она самостоятельно предоставляет в инстанции. Чтобы к открыть свободный доступ к информации, требуется письменное разрешение человека – субъекта персональных данных. Субъект – это физическое лицо, ПД которого собирает, хранит и обрабатывает оператор. Оператор – это юридическое или физическое лицо, муниципальный или государственный орган власти.
К общедоступным ПД относят сведения о субъекте, по которым его можно идентифицировать:
В состав общедоступных данных может входить любая информация, которая с точки зрения закона не является конфиденциальной. ПД субъекта могут классифицироваться по объему и степени важности информации личного характера.
К общедоступным данным относится также персональная информация, которая предоставляется:
Персональные данные субъекта, которые распространяются через СМИ, не относятся к конфиденциальным, так как являются общедоступными в соответствии с «Перечнем сведений конфиденциального характера».
Письменное согласие субъекта на получение, передачу, обработку и другие действия с ПД требуется не всегда. В отдельных случаях, например, при участии в анкетировании или подписке на новостную рассылку, достаточно поставить галочку в графе, которая разрешает использование ПД.
Данные общего типа допускает размещать в источниках, которые являются общедоступными. Это означает, что источники просматривает и использует огромное количество заинтересованных лиц. Пример такого источника – телефонные справочники.
Обработка общедоступных данных
Обработкой общедоступных данных занимаются отделы и подразделения, в обязанности которых входит сбор, систематизация, хранение, изменение, использование и уничтожение ПД. Физические лица вправе запросить сведения об операторе данных и узнать, какую цель преследует оператор во время обработки ПД.
ПД обрабатывают организации, которым для осуществления своей деятельности необходимо собирать, накапливать, обрабатывать и хранить информацию о сотрудниках, поставщиках и клиентах. В определенных случаях такие данные входят в состав открытых.
Права субъектов общедоступных данных
Субъекты ПД могут подать заявление с требованием заблокировать, уничтожить, уточнить или изменить общедоступные данные, если сведения утратили актуальность, являются неполными или не требуются для целей обработки. Субъекты праве также запросить доступ к своим ПД и узнать, какие средства использует оператор для их обработки.
Информация должна использоваться в соответствии с требованиями законодательства и быть защищенной независимо от того, является она конфиденциальной или общедоступной. В обязанности операторов входит обеспечить полную защиту ПД субъекта и ограничить доступа к данных посторонних лиц.
Оператор начинает обрабатывать персональные данные только после получения письменного разрешения субъекта на обработку. Согласие включает информацию о физическом лице и данные оператора: название компании, фамилия, имя и отчество оператора, должность. Также в согласии требуется указать цель обработки и список данных с описанием операций, которые будут выполняться с информацией. Физическое лицо имеет право на отзыв своих ПД и аннулирование своего согласия на обработку.
В случае недееспособности или смерти субъекта согласие на обработку и использование ПД запрашивается у наследников или законных представителей. При этом нужно руководствоваться Федеральным законом о персональных данных.
В случае нарушения требований законодательства виновные несут административную, уголовную и другие виды ответственности. Неважно, являются ли ПД конфиденциальными или общедоступными, в соответствии со статьей 8 ФЗ-152 о персональных данных общедоступные ПД могут размещаться в общедоступных источниках только с согласия субъекта данных. Персональные данные должны быть исключены из источников, если этого требует субъект или уполномоченные органы: Роскомнадзор, суд или другие госструктуры.
Что такое общедоступные персональные данные и какие виды информации к этому относятся?
Личные сведения гражданин предоставляет чуть ли не ежедневно многим операторам персональных данных. Это может быть работодатель, банки, лечебное учреждение, интернет-ресурсы и т.д. По закону операторы обязаны обеспечивать защиту конфиденциальной информации.
В целях информационного обеспечения могут создаваться общедоступные источники персональных данных, в которые с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и другие. Но одна из четырех категорий персональных данных является общедоступной. Доступ к ней имеет неограниченный круг лиц.
Что это такое?
К общедуступным данным есть свободный доступ при наличии письменного разрешения субъекта. Сюда также могут входить такие сведения о субъекте, конфиденциальность которых не предусматривается законом.
Субъект – это физическое лицо, информацию о котором собирает, хранит, обрабатывает и с какой-либо целью использует оператор (юридическое или физическое лицо, муниципальный или государственный орган).
Какие виды информации ими являются?
Список личных сведений общедоступного характера включает в себя:
Особенности
Не во всех случаях возникает необходимость в письменном разрешении на их использование, иногда достаточно подписи или «галочки», поставленной в нужной графе (например, при заполнении заявлений через интернет).
Сведения общего характера могут быть помещены в источники с свободным доступом. В них хранится информация о субъектах, к их числу относят разнообразные справочники с телефонными номерами или адресами.
Согласно «Перечня сведений конфиденциального характера» те из них, что подлежат распространению в средствах массовой информации, не являются конфиденциальными.
ФСТЭК – федеральная служба по техническому и экспортному контролю выдает лицензии организациям, оказывающим услуги другим лицам по созданию систем защиты персональных данных. Система защиты данных создается для своих нужд, лицензия на нее не требуется.
Физическое лицо вправе получить сведения об операторе, а также узнать конкретную цель, преследуемую оператором при обработке.
Субъект имеет полное право подавать заявку, одобрение которой позволяет уточнить, блокировать или уничтожить личные сведения в том случае, если они устарели, недействительны, неполные или их наличие не является обязательным при обработке.
Помимо всего прочего, физическое лицо вправе запросить у оператора доступ к своей личной информации, а также ознакомиться со средствами обработки сведений. Операторы – это специалисты, занимающиеся обработкой информации о человеке.
Подробнее о том, в каких случаях необходим договор на обработку персональных данных, читайте тут.
В каком случае они включаются в открытые источники?
Включение информации в общедоступные источники происходит в различных ситуациях, например:
Персональные данные субъекта классифицируются по объему личной информации о человеке и степени важности. Любые операции с ними производятся строго в рамках законодательных актов и подлежат защите.
Операторы обязаны организовать безопасность процесса работы. Они должны обеспечивать полную защиту личной информации субъектов от доступа к ней посторонних лиц.
В процессе сбора оператор обязан взять письменное разрешение на дальнейшую обработку. В письменное согласие на обработку включается информация о субъекте и об операторе (ФИО, адрес), цель обработки и перечень необходимых сведений, а также описание операций, которые будут производиться с ними.
Гражданин, как владелец персональной информации о самом себе, может отозвать ранее подписанное разрешение на ее обработку. Если субъект недееспособен или в случае его смерти, согласие запрашивается у законных представителей или наследников. В основе действий оператора лежит Федеральный закон «О персональных данных».
Любая информация о физическом лице – субъекте персональных данных может быть исключена из общедоступных источников на основании требования субъекта, Роскомнадзора, решения суда или других государственных органов.
Защита персональных данных. Три изменения для пользователей и интернет-ресурсов с 1 марта 2021 года
В конце 2020 года Госдума приняла закон ФЗ-519, который позволяет потребовать удалить общедоступные персональные данные. Пользователи сети сами могут устанавливать условия использования сведений о них и запрещать их передачу третьим лицам. Как эти изменения способны сказаться на работе социальных сетей и иных интернет-ресурсов?
👩💻 Общедоступные персональные данные. Что это, можно ли сейчас их использовать без согласия пользователя
Общедоступными являются данные, которые пользователь чаще всего публикует о себе сам и которые доступны неограниченному кругу лиц. В число общедоступных данных входит информация о пользователе из его профиля в соцсетях и на сайтах объявлений, в частности:
Все эти сведения могут использоваться, например, для сбора досье о человеке, настроек таргетированной рекламы и пр.
По состоянию на конец января 2021 года на основании части 1 статьи 7 Закона ФЗ-149 «Об информации, информационных технологиях и о защите информации» общедоступная информация включает общеизвестные сведения и иные данные, доступ к которым не ограничен (включая сведения из интернета). Законодательно предусмотрена презумпция открытости такой информации, что означает, что любое лицо может использовать указанные сведения по своему усмотрению. Под запретом находится только распространение полученных данных.
Данные факты подтверждает пункт 1 статьи 152.2 Гражданского кодекса, согласно которому, если информация о частной жизни гражданина была раскрыта им самим или по его воле, то это не признается нарушением правил использования таких сведений без дополнительного согласия гражданина.
❗ Изменения с 1 марта 2021 года
Через принятие Федерального закона 519-ФЗ будут внесены изменения в ФЗ «О персональных данных». Нововведения в практику работы с общедоступными данными будут проходить в два этапа:
Суть нововведений. Что изменится для пользователей
Для пользователей принятие закона повлечет за собой три важнейших изменения:
Для сравнения: сейчас процедура удаления персональной информации более сложная. Необходимо доказывать, что сведения используются неправомерно – например, содержится фейковая или оскорбительная информация. Теперь никакие доказательства собирать не нужно, как и объяснять мотивы своего поступка.
Также сегодня при удалении профиля в соцсети информация перестает быть видимой другим пользователям, но сведения о действиях пользователя на ресурсе сохранятся и могут использоваться любым способом. После законодательных изменений абсолютно все данные пользователя должны быть удалены.
Для удаления сведений на интернет-ресурсе пользователь должен напрямую обратиться к оператору или передать данные через систему Роскомнадзора. Оператор должен будет прекратить обработку персональных данных в течение трех дней или в срок, который прописан в решении суда.
⚡ Ответственность операторов после вступления закона в силу
Закон начнет действовать с 1 марта 2021 года и распространится на все интернет-ресурсы, использующие общедоступные данные, которые представлены на российском рынке, включая сайты иностранного происхождения.
Оператором, который обрабатывает информацию о пользователях, становится владелец интернет-площадки или социальной сети (пока закон не уточняет перечень операторов персональных данных). Сами операторы данных выступали против принятия законопроекта об изменении обработки данных пользователей из-за усложнения работы с общедоступными данными – в частности, Яндекс, Mail.ru Group, Газпромбанк, Сбербанк, мобильные операторы и др. По их мнению, само понятие «общедоступные данные» после принятия закона фактически исчезнет.
После внедрения изменения операторы не смогут распространять персональные данные пользователей без их личного согласия.
Для передачи и отзыва согласия может использоваться специальная информационная система Роскомнадзора – она должна начать работать в ближайшее время. Также в обязанность операторов вменяется удаление профилей пользователей по первому требованию. Пользователи не обязаны объяснять причины, по которым они решили удалить информацию.
При игнорировании требований законодательства операторам грозит административная ответственность по статье 13.11 Кодекса об административных правонарушениях. На основании пункта 8 указанной статьи штраф для оператора может достигать от 1 до 6 млн р., а при повторном правонарушении – до 18 млн р.
👩💼 Мнение эксперта: как нововведения повлияют на работу соцсетей и других интернет-ресурсов
Новый закон предоставляет пользователям полный контроль за персональными данными. После внедрения нововведения можно ожидать, что пользователи будут более ответственно подходить к вопросу размещения информации о себе в открытом доступе.
Сегодня граждане редко читают пользовательское соглашение и просто ставят отметку в пункте «Разрешаю обработку», тем самым разрешая третьим лицам собирать и распространять информацию о себе. Поэтому в сети опубликовано чрезмерно много личной информации о пользователях. Теперь оператор должен не просто предложить поставить галочку, а по пунктам спросить, какие данные можно передать сторонним компаниям.
Но практика применения данного закона пока не до конца ясна, так как нет исключений для использования персональных данных. Возможно, закон приведет к злоупотреблениям со стороны государственных чиновников и звезд, которые потребуют удалять информацию о себе, в какой форме она бы ни подавалась. Хотя в законе и есть оговорка о том, что на информацию, публикуемую в государственных и общественных интересах, действие закона не распространяется. Но интернет-ресурсам в данном случае придется доказывать, что опубликованная ими информация представляет общественный интерес.
Непонятна и судьба реестров, где содержится общедоступная информация – в частности, ЕГРИП и ЕГРЮЛ, где раскрываются сведения без согласия самих пользователей.
❓ Часто задаваемые вопросы
Нужно обратиться к оператору персональных данных или воспользоваться сервисом Роскомнадзора, который заработает в ближайшее время. С учетом последних поправок в законодательство объяснение причин решения удаления сведений о себе не требуется.
Теперь у вас появится больше рычагов для контроля и управления персональными данными. При желании вы сможете заблокировать все возможности для «слежки» за вами.
«Общедоступная информация», «открытые данные» и «персональные данные, разрешенные субъектом для распространения» – что это такое и как они между собой связаны?
Закон.Ру – официально зарегистрированное СМИ. Ссылка на настоящую статью будет выглядеть следующим образом: Рожкова М.А. «Общедоступная информация», «открытые данные» и «персональные данные, разрешенные субъектом для распространения» – что это такое и как они между собой связаны? [Электронный ресурс] // Закон.ру. 2021. 13 января. URL: https://zakon.ru/blog/2021/1/13/obschedostupnaya_informaciya_otkrytye_dannye_i_personalnye_dannye_razreshennye_subektom_dlya_raspros
Довольно часто в публикациях и выступлениях употребляется выражение «открытый доступ» применительно к информации. Насколько это верно?
В международном контексте термин «открытый доступ» (англ. open access) впервые был употреблен в 2002 году на конференции Будапештской инициативы открытого доступа[1] (англ. The Budapest Open Access Initiative, BOAI) – общественной инициативы, устанавливающей принципы открытого доступа к научно-исследовательским работам (в форме книг, статей, диссертаций и проч.). В рамках этой инициативы «открытый доступ» определен так: «…открытые для всех публикации в Интернете, которые можно читать, разгружать, копировать, распространять, распечатывать, находить или присоединять к полным текстам соответствующих статей, использовать для составления указателей, вводить их как данные в программное обеспечение или использовать для других законных целей при отсутствии финансовых, правовых и технических преград, за исключением тех, которые регулируют доступ к собственно Интернету. Единственным ограничением на воспроизводство и распространение публикаций и единственным условием копирайта в этой области должно быть право автора контролировать целостность своей работы и обязательные ссылки на его имя при использовании работы и ее цитировании»[2]. Кратко говоря, открытый доступ толкуется как свободный, ничем не ограничиваемый доступ в сети Интернет к научно-исследовательским публикациям, подразумевающий возможность любого их использования, но исключающий внесение изменений в эти работы и предусматривающий обязательное указание автора при цитировании и ином использовании.
Сегодня выражение «открытый доступ» широко применятся в отношении данных. Но нельзя забывать и о существовании легальных терминов.
В ч. 1 ст. 7 Закона об информации упоминается «общедоступная информация», под которой понимаются «общеизвестные сведения и иная информация, доступ к которой не ограничен». Разумеется, этим понятием охватывается и информация, размещенная в открытом доступе в сети Интернет. Комментируя эту норму, А.И. Савельев подчеркивает: «По сути, Закон вводит тем самым презумпцию открытости информации: общедоступной является любая информация, кроме той, к которой ограничен доступ. Отнесение информации к категории общедоступной в самом общем виде означает, что любое лицо без указания причин и целей может получать такую информацию и использовать по своему усмотрению, с соблюдением установленных федеральным законом ограничений на ее распространение»[3]. Иными словами, п. 2 ст. 7 Закона об информации для всех видов общедоступной информации – закон не предусматривает изъятий – установлен общий правовой режим: в отношении такой информации разрешен любой способ использования, ограничивается только ее распространение – оно должно осуществляться в соответствии с требованиями соответствующего федерального законодательства.
Частным случаем изложенного правила является закрепленное в абз. 2 п. 1 ст. 152.2 ГК РФ положение, согласно которому в ситуации, когда информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле, не будет признаваться нарушением сбор, хранение, распространение и иное использование такой информации без согласия этого гражданина. То есть здесь федеральное законодательство закрепляет правило о допустимости распространения обозначенной общедоступной информации без согласия субъекта данных.
Сказанное позволяет утверждать, что размещение информации в открытом доступе в сети Интернет автоматически переводит ее в разряд общедоступной. И как следствие: такая информация подпадает под соответствующие положения Закона об информации, а в части ее распространения – под специальное законодательство.
Таким образом, применительно к персональным данным в контексте п. 2 ст. 7 Закона об информации можно говорить о том, что, как и любая иная информация, ставшие общедоступными персональные данные допускают их свободное использование, за исключением распространения – в отношении распространения продолжает действовать правило ст. 9 Закона о персональных данных об обязательности получения согласия субъекта персональных данных. Важно заметить, что такой вывод применим для ситуаций наличия легального свободного доступа к персональным данным, а не в случаях, например, утечек персональных данных в результате хакерских атак.
В развитие сказанного представляется уместным прокомментировать ст. 8 Закона о персональных данных, которую нередко трактуют в том ключе, что общедоступные персональные данные – это только те данные, которые включены в прямо указанные в данной статье источники (справочники, адресные книги). Отсюда делается вывод, что персональные данные, размещенные в открытом доступе в сети Интернет, общедоступными не являются, так как они взяты из источника, не поименованного в ст. 8 Закона о персональных данных. Это находит прямое подтверждение и в судебной практике: «…персональные данные, сделанные общедоступными субъектом персональных данных могут содержаться только в общедоступных источниках персональных данных… информация о субъекте (в том числе персональные данные), содержащиеся в социальных сетях (в сети Интернет), не может быть отнесена к персональным данным, сделанным субъектом общедоступными, поскольку социальные сети не являются источником общедоступных персональных данных применительно к положению ст. 8 Закона»[4].
Возражая против такого толкования ст. 8 Закона о персональных данных, следует заметить, что в этой статье говорится о возможности создания общедоступных источников персональных данных (в целях информационного обеспечения). При этом формулировка статьи вовсе не исключает иных общедоступных источников персональных данных кроме прямо названных, а в условиях цифровой трансформации точно не позволяет ограничивать эти источники только справочниками и адресными книгами.
Хорошей иллюстрацией последнему утверждению являются положения, введенные в 2013 году в ст. 7 Закона об информации и касающиеся «общедоступной информации, размещаемой в форме открытых данных».
Вообще идея открытых данных (англ. open data) состоит в том, что некоторые данные должны быть предоставлены (доступны) каждому для любого использования без платы и без каких-либо механизмов контроля, в том числе со стороны правообладателей авторских произведений и патентов[5]. И одной из наиболее значимых разновидностей открытых данных признаются открытые правительственные данные (англ. open government data, OGD) – открытые данные, создаваемые правительственными учреждениями (для России это, например, открытые данные Минфина России[6], МВД России[7], Росстата[8] и др.). Но правительственные сайты – это лишь один из источников этих данных[9]. Открытые данные могут публиковаться на различных информационных ресурсах сети Интернет: в частности, открытые научные данные (англ. open science data) или открытые исследовательские данные (англ. open research data) размещаются на сайтах университетов и исследовательских организаций или специально создаваемых сайтах[10].
Изложенное позволяет заключить, что «общедоступная информация, размещаемая в форме открытых данных» является разновидностью общедоступных данных, которую из прочих общедоступных данных выделяет то, что она размещена в сети Интернет в формате, допускающем автоматизированную обработку без предварительных изменений человеком в целях повторного ее использования (ч. 4 ст. 7 Закона об информации). Важно заметить, что на эти данные распространяется общий режим общедоступной информации (с некоторыми уточнениями, предусмотренными в ч. 5 и 6 ст. 7 Закона об информации)[11].
Может ли информация, относимая к числу персональных данных, попасть в состав открытых данных? Учитывая широту «охвата» легальной дефиниции понятия «персональные данные» и с учетом концепции персональных данных[12] можно предположить, что это вовсе не исключено. Вследствие сказанного закономерным будет вывод о том, что персональные данные могут становиться общедоступными посредством сети Интернет. Поэтому утверждение, согласно которому к числу источников общедоступных персональных данных относятся только справочники и адресные книги, является явно архаичным.
Неточным надо признать и вывод о том, что в условиях, когда персональные данные размещены в открытом доступе в сети Интернет самим субъектом этих данных, необходимо еще и его согласие на обработку / использование этих данных третьими лицами. Правда, в судебной практике это заключение основывается и на совершенно неверной посылке: «По смыслу Закона о персональных данных, размещение персональных данных в указанных открытых источниках, не делает их автоматически общедоступными. Следовательно, не допускается обработка таких данных без согласия субъекта»[13].
Обосновывая несогласие с таким заключением, надо обратить внимание на п. 4 ч. 2 ст. 22 Закона о персональных данных, согласно которому оператор осуществляет без уведомления уполномоченного органа обработку «персональных данных, сделанных субъектом персональных данных общедоступными», то есть закон прямо выводит такие данные из-под общего правила. Это дает основание говорить о том, что, если субъект персональных данных сам разместил эти данные в открытом доступе, они автоматически становятся общедоступными со всеми вытекающими отсюда последствиями. Эту позицию подтверждает Роскомнадзор, который на вопрос «В каких случаях для обработки персональных данных не требуется согласия субъекта персональных данных?» отвечает, что такое согласие не требуется, если «осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее – персональные данные, сделанные общедоступными субъектом персональных данных)» (п. 10[14]). Другое дело, что исходя из смысла в совокупности п. 2 ст. 7 Закона об информации и ст. 9 Закона о персональных данных в отношении распространения общедоступных персональных данных требуется получение согласия субъекта этих данных, о чем говорилось выше.
Важно заметить, что рассматриваемый случай размещения самим субъектом данных своих персональных данных в открытом доступе в сети Интернет удостоился специального внимания и в новейшем законодательстве.
Федеральным законом от 30.12.2020 № 519-ФЗ (далее – Закон № 519-ФЗ) в Закон о персональных данных введено понятие «персональные данные, разрешенные субъектом персональных данных для распространения», а также новая статья, посвященная особенностям обработки таких персональных данных (ст. 10.1)[15]. Примечательно, что к числу «персональных данных, разрешенных субъектом персональных данных для распространения» по смыслу п. 1.1 ст. 3 и ч. 1 ст. 10.1 Закона о персональных данных) отнесены такие персональные данные, в отношении которых субъект этих данных дал самостоятельное согласие именно на распространение данных – новый закон требует оформлять его отдельно от иных согласий.
Ситуация, когда сам субъект данных делает свои персональные данные общедоступными (например, при размещении им своих персональных данных на собственной домашней странице в сети Интернет), не относится к числу «разрешенных субъектом персональных данных для распространения». То есть здесь продолжает действовать вышеназванное требование об обязательности получения третьими лицами согласия на распространение общедоступных персональных данных.
Это находит прямое подтверждение в Законе № 519-ФЗ. Во-первых, персональные данные, раскрытые неопределенному кругу лиц самим субъектом данных, не упоминаются в определении понятия «персональные данные, разрешенные субъектом персональных данных для распространения». Во-вторых, ч. 2 ст. 10.1 Закона о персональных данных прямо регламентирует ситуацию «раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия», устанавливая, что в этом случае обязанность предоставить доказательства законности распространения или иной обработки таких персональных данных возлагается на лиц, которые осуществляют их распространение или иную обработку.
Изложенное позволяет говорить о преждевременности громкого утверждения, что «понятия общедоступных персональных данных больше не будет»[16].