Глава 1
Развитие регулирования, объём понятия персональных данных и классификация подходов по месту согласия среди правовых оснований.
Кирилл Зюбанов
Согласие
субъекта
Место и роль в правовом регулировании персональных данных. Восемь положений, вынесенных на защиту.
Не отказ
от согласия —
возвращение
ему смысла
Согласие задумано как инструмент контроля человека над информацией о себе. На практике оно превратилось в ритуал: галочку, которую ставят не читая, и основание «по умолчанию», которое оператор выбирает, потому что так привычнее.
У конструкции, к которой чаще всего обращаются операторы и регуляторы, нет ни легального определения, ни целостной теоретической модели. Понятие персональных данных, природа согласия и правовые основания обработки исследовались раздельно. Работа соединяет их в одну систему.
200+часов в год нужно, чтобы прочитать все политики конфиденциальности (Макдональд, Крэнор)
89→172национальных закона о персональных данных, 2012–2025 (Гринлиф)
8положений, вынесенных на защиту
Архитектура работы
Понятие→Подходы→Природа→Функции→Определение→Иерархия→Цифровая среда
Глава 2
Функции и правовая природа согласия, его определение, иерархия правовых оснований и согласие в цифровой среде.
Персональные данные: критерий воздействия
Цель регулирования — защита прав субъектов — достигается, если персональными данными считаются все данные, относящиеся к прямо или косвенно определённому или определяемому лицу, в том числе когда такие данные позволяют воздействовать на него.
«Персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу, в том числе в случаях, когда использование такой информации позволяет воздействовать на физическое лицо (субъекта персональных данных)» Предлагаемая редакция п. 1 ст. 3 закона № 152-ФЗ
Зачем. Технологическая нейтральность при росте числа косвенных идентификаторов. Под понятие попадают пограничные зоны — cookie-профили, рекомендательные системы, поведенческий таргетинг, — где оператор адресно воздействует на человека, формально его не идентифицируя. Расширение объёма понятия ведёт не к запрету обработки, а к более бережному обращению с информацией.
Три подхода к регулированию
Критерий классификации — место согласия среди правовых оснований обработки.
Классификация не только объясняет, но и прогнозирует: согласие-центричность сменяется регулированием, основанным на согласии, а затем — подходом, понижающим приоритет согласия.
- Тип 1
Согласие-центричный
Согласие — общее правило, остальные основания — исключения. Казахстан, Россия до 2011 года. В Катаре согласие — единственное поименованное основание.
- Тип 2
Основанный на согласии
Согласие — «первое среди равных». Россия с 2011 года, ЕС, Беларусь, Сингапур.
- Тип 3
Понижающий приоритет
Уведомление и право отказаться (notice and choice). Согласие — в поименованных случаях. США: COPPA, HIPAA, CPRA.
Публично-правовая природа
Согласие имеет преимущественно публично-правовую природу: его регулирование направлено не только на частные, но и на общественные интересы, в нём преобладает императивный метод, а отношения носят вертикальный характер.
- Императивный метод
- Государство превентивно компенсирует неравенство субъекта и оператора императивными нормами, а их соблюдение контролирует уполномоченный орган.
- Действие sui generis
- Гражданско-правовые последствия согласия не исключаются, но это действие sui generis, а не сделка.
- Не сделка
- Квалификация согласия как сделки создавала бы риск коммодификации персональных данных.
Function
over form
Современное регулирование требует перехода от формального подхода к согласию — единых требований к содержанию и способу его предоставления — к функциональному: с учётом контекста обработки и надлежащей реализации функций согласия.
- Формальный подход→Функциональный подход
- Нет определения согласия, зато жёсткий перечень сведений и способов получения→Требования к согласию определяются контекстом: целями и категориями данных
- Казахстан: ФИО требуется даже в согласии на cookie→Состав сведений следует из контекста обработки
Три функции
согласия
Вместе они превращают согласие из формального юридического акта в надлежащее основание обработки.
Формально действительное согласие легализует обработку, но может не реализовать контролирующую и информирующую функции.
- 01
Легализующая
Обеспечивает правомерность обработки.
- 02
Контролирующая
Способствует реализации прав субъектов и обеспечивает баланс интересов операторов и субъектов.
- 03
Информирующая
Повышает предсказуемость отношений и осознанность решений субъектов.
Определение
согласия
«Согласие на обработку персональных данных — предусмотренное законом волеизъявление субъекта в любой форме, легализующее обработку персональных данных, в отношении которой оно совершено»
- «Предусмотренное законом»
- Согласие применяется там, где его предусматривает закон, и соответствует ему по случаю, форме и содержанию. Через этот элемент действуют и специальные требования к форме.
- «В любой форме»
- Технологическая нейтральность: определение не нужно переписывать при появлении новых способов волеизъявления.
- «Легализующее»
- Сущностный признак. Для согласия легализующая функция первична, для иных оснований — вторична. Легализация — необходимое, но не достаточное условие правомерности обработки.
- «В отношении которой оно совершено»
- Легализация привязана к конкретной обработке: при изменении её параметров прежнее согласие новую обработку не легализует.
Определение через функцию, а не через перечень реквизитов
Иерархия правовых оснований
Два критерия — связанность с контекстом обработки и зависимость от активного действия субъекта. По обоим согласие занимает последнее место.
«1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных в случаях, предусмотренных федеральным законом» Предлагаемая редакция п. 1 ч. 1 ст. 6 закона № 152-ФЗ
Закон→Договор→Законный интерес→Согласие
Закон
Наименее зависим от действия субъекта. Пример: идентификация клиента банком.
Договор
Наиболее связан с контекстом. Пример: функционал онлайн-сервиса, программа лояльности.
Законный интерес
Следующий по обоим критериям. Пример: проверка полномочий представителя по доверенности.
Согласие
Инструмент для исключительных ситуаций, предусмотренных законом.
Изменение не замедлит технологическое развитие: для непрерывных и необратимых процессов, включая обучение моделей ИИ, согласие нецелесообразно при наличии альтернатив, в том числе законного интереса. Для точного определения исключительных случаев допустим переходный период.
Минимизация вместо идентификации
Факт согласия допустимо фиксировать техническими решениями, которые не требуют определять субъекта через дополнительные идентификаторы, не нужные в этих отношениях. Это защищает права субъектов и отвечает целям информационной безопасности.
- Подтверждение согласия через ФИО и телефон→Контекст события без избыточных идентификаторов
- Идентификация ради самой галочки→Технические решения, не требующие определять субъекта
Пример. Рекомендательные технологии для неавторизованных пользователей онлайн-сервисов. Требовать ради согласия фамилию, имя, отчество или номер телефона — значит противоречить принципу минимизации.
Что
меняется
Согласие — точный инструмент, а не общее правило
Три законодательные формулировки
- Согласие — основание «по умолчанию»→Согласие — в случаях, предусмотренных федеральным законом
- Выбор основания по привычке и удобству документации→Иерархия: закон, договор, законный интерес, согласие
- Легального определения согласия нет→Определение через легализующую функцию в ст. 3
- Согласие оценивают по реквизитам→Согласие оценивают по реализации его функций
- Персональные данные — через идентификацию→Через относимость к лицу, в том числе возможность воздействия
- Подтверждение согласия через ФИО и телефон→Контекст события без избыточных идентификаторов
- Согласие как сделка→Публично-правовое действие sui generis
Апробация
6публикаций, в том числе англоязычная статья и раздел коллективной монографии
7конференций: Россия (в т. ч. с партнёрами из Индии), Беларусь, Узбекистан
Текст диссертации — hse.ru/sci/diss/1162873345
Связаться — @KAZyub · talkingprivacy.net
- Согласие на обработку персональных данных — классификация форм
- Правовые основания обработки данных родственников кандидатов и работников в кредитной организации
- Защита персональных данных в эпоху надзорного капитализма
- The Scope of the Personal Data Concept in Russia
- Согласие на обработку персональных данных — sui generis действие
- Правовое регулирование бережного и устойчивого оборота данных