3.4. Персональные данные как объект оборота

и принцип свободы договора

В завершение статьи необходимо сказать еще об одной тенденции развития информационного общества, которая также связана с реализацией принципа свободы договора. Информация приобретает все более "ликвидные" формы, при которых она "вытекает" за рамки обозначенных для нее правовых режимов, наполняя собой различного рода бизнес-модели IT-компаний.

Не секрет, что в основе функционирования многих формально бесплатных интернет-сервисов вроде поисковых систем, социальных сетей, электронной почты или информационных сервисов лежит возможность использования данных о пользователях этими сервисами. Многие из указанных данных обладают статусом персональных данных. В соответствии с п. 1 ст. 3 Федерального закона о персональных данных под персональными данными понимается "любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу". Как видно, данная дефиниция сформулирована предельно широко и позволяет отнести к разряду персональной практически любую информацию, имеющую отношение к определенному физическому лицу. Это особенно справедливо, принимая во внимание, что с учетом технических реалий функционирования сети Интернет любое действие пользователя в ней может служить для идентификации его личности, поскольку оно оставляет так называемый цифровой след (digital finger print - буквально "цифровые отпечатки пальцев").

Использование соответствующего сервиса осуществляется при условии принятия стандартного соглашения типа click-wrap или browse-wrap <1>. Их текст предусматривает достаточно широкие возможности провайдера по обработке личной информации пользователя и контента, который он размещает с использованием такого сервиса. С точки зрения действующего законодательства подобное условие, даже будучи инкорпорированным в договор, представляет собой не что иное, как согласие субъекта на обработку персональных данных, которое носит односторонний характер и подчиняется правилам, установленным в специальном, а не гражданском законодательстве (см. ст. 9 Федерального закона о персональных данных).

--------------------------------

<1> См. подробнее: Савельев А.И. Электронная коммерция в России без ЭЦП: иллюзия или реальность? // Вестник гражданского права. 2013. Т. 13. N 3.

С точки зрения российского договорного права вряд ли можно расценивать согласие субъекта на обработку его персональных данных в качестве встречного предоставления в смысле, который данному термину придает ст. 423 ГК РФ. В соответствии с п. 1 указанной статьи договор признается возмездным, когда сторона за исполнение своих обязанностей должна получить плату или иное встречное предоставление. При этом под встречным предоставлением понимается получение определенного блага в виде одного из объектов гражданских прав, указанных в ст. 128 ГК РФ (предоставление вещи, иного имущества, выполнение работы, оказание услуги и т.п.) <1>.

--------------------------------

<1> См., например: Постановление ФАС Московского округа от 27 сентября 2007 г. N КА-А40/9911-07-П; Научно-практический комментарий к Гражданскому кодексу Российской Федерации, части первой (постатейный) / Под ред. В.П. Мозолина, М.Н. Малеиной. М.: Норма, 2004. Комментарий к ст. 423 (СПС "КонсультантПлюс"); Комментарий к Гражданскому кодексу Российской Федерации, части первой (постатейный) / Под ред. О.Н. Садикова. 3-е изд., испр., перераб. и доп. М.: Контракт; ИНФРА-М, 2005 (СПС "КонсультантПлюс").

Этим понятие встречного предоставления по российскому праву отличается от понятия consideration (встречного удовлетворения) в англо-американском праве, где в качестве такого удовлетворения, являющегося одним из конститутивных элементов юридически обязывающего договора, может выступать не только какой-либо имущественный эквивалент, но и любая выгода, получаемая стороной, или даже ущерб, или ответственность, которую принимает на себя другая сторона <1>.

--------------------------------

<1> Currie v. Misa, (1875) LR 10 Ex 153; (1875-76) LR 1 App Cas 554: "Встречное удовлетворение... представляет собой либо какое-нибудь притязание, интерес, выгоду или преимущество, предоставляемое одной стороне, либо воздержание, ущерб, убыток или ответственность, которые терпит или берет на себя другая сторона".

Предоставление стороной согласия на обработку персональных данных в рамках специально установленного правового режима защиты персональных данных, положения которого носят ярко выраженные черты публичного права <1>, ни к одному из поименованных объектов гражданских прав отнести нельзя. Сами персональные данные, выступая разновидностью информации и не являясь при этом объектом интеллектуальной собственности, не подпадают под признаваемые ст. 128 ГК РФ виды информации, которая может выступать объектом гражданских прав. Еще меньше оснований относить персональные данные или согласие на их обработку к разновидности встречного предоставления, в случае если придерживаться концепции о том, что персональные данные представляют собой проявление личного неимущественного блага (личной и семейной тайны), указанного в п. 1 ст. 150 ГК РФ. Как известно, личные нематериальные блага носят неотчуждаемый и непередаваемый характер, будучи фактически изъятыми из оборота <2>. Это вполне логично, учитывая, что соответствующие им личные неимущественные права имеют направленность на выявление и развитие индивидуальности личности <3>. Данный подход к персональным данным и тайне личной жизни свойствен европейской модели регулирования персональных данных, что во многом обусловлено историческими причинами: с одной стороны, это имевшее место в средневековой Европе социальное расслоение, когда защитой чести и доброго имени пользовались лишь представители знати с именем, что на фоне эгалитаристских настроений эпохи буржуазных революций вызвало особый акцент на связи информации о личности с ее честью; с другой стороны, определенный "осадок" оставили и случаи использования нацистами разнообразных картотек и иной личной информации для преследования и уничтожения евреев и иных нежелательных лиц <4>. Свое логичное завершение данный подход к персональным данным нашел в ст. 8 Хартии фундаментальных прав ЕС, согласно которой каждый человек имеет право на защиту относящихся к нему данных личного характера <5>.

--------------------------------

<1> В пользу данного вывода свидетельствует достаточно большой набор обязанностей оператора персональных данных, которые носят явно выраженный "вертикальный" и императивный характер (например, обязанность по обеспечению локализации процессов хранения и отдельных видов обработки персональных данных российских граждан, которая никак не учитывает волю субъекта персональных данных) (см.: Савельев А.И. Законодательство о локализации данных и его влияние на рынок электронной коммерции в России // Закон. 2014. N 9). О публичном характере данного законодательства свидетельствует и его кураторство со стороны ФСБ России в части установления требований к защите персональных данных (Приказ ФСБ России от 10 июля 2014 г. N 378 "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности"). Показательным также является тот факт, что иностранные суды при применении схожих по содержанию норм своего национального законодательства приходят к выводу о невозможности выбора применимого права к отношениям по обработке персональных данных, тем самым явно выводя его за пределы действия договорного статута и автономии воли (см.: VG Schleswig, 14.02.2013 - 8 B 60/12; 8 B 61/12).

<2> См., например: Малеина М.Н. Право на тайну и неприкосновенность персональных данных // Журнал российского права. 2010. N 11.

<3> Малеина М.Н. Личные неимущественные права граждан: понятие, осуществление, защита. М., 2001. С. 11.

<4> См.: Craig T., Ludloff M. Privacy and Big Data. O'Reilly, 2011.

<5> Charter of Fundamental Rights of the European Union (2010/C83/02) (http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:C:2010:083:0389:0403:en:PDF).

Беспрецедентные масштабы циркулирующей в цифровой форме информации об индивидах повлекли появление за рубежом новых игроков на рынке информации - информационных брокеров, которые на основе стекающихся к ним из различных интернет-сервисов данных составляют детальные профайлы граждан и предоставляют доступ к ним заинтересованным лицам. Например, в США информационные брокеры агрегируют сведения о миллионах граждан США и ряда других стран из самых разнообразных источников (общедоступная информация в социальных сетях; данные о совершенных транзакциях и выданных займах, полученные от партнеров; сведения о совершенных правонарушениях, налоговых выплатах и т.д.), систематизируют их по определенным категориям граждан, например "находящиеся на грани выживания", "на пенсии без накоплений", "родители-одиночки", "неплатежеспособные семьи, проживающие в городе" и др. Доступ к таким данным предоставляется на условиях подписки заинтересованным лицам, в том числе кредитным учреждениям <1>. Очевидно, что обладание подобного рода сведениями нередко позволяет делать более точные выводы относительно платежеспособности потенциального заемщика по сравнению с данными, которые могут храниться в бюро кредитных историй <2>, и даже делать прогнозы о том, как платежеспособность будет меняться в будущем. В свою очередь, это помогает не только более эффективно управлять кредитным портфелем, но и значительно упрощать процедуру выдачи кредита за счет сокращения количества необходимых для предъявления документов (например, справок о доходах, сведений о составе семьи и иждивенцах и т.д.). В основе деятельности таких информационных брокеров лежит согласие, данное субъектом в рамках своих договорных взаимодействий с многочисленными интернет-сервисами.

--------------------------------

<1> A Review of the Data Broker Industry: Collection, Use, and Sale of Consumer Data for Marketing Purposes: Staff Report for Chairman Rockefeller (December 18, 2013) (http://www.com-merce.senate.gov/public/?a=Files.Serve&File_id=0d2b3642-6221-4888-a631-08f2f255b577). P. ii.

<2> В России такие данные, как правило, ограничены лишь сведениями о выданных займах (кредитах) и ходе их погашения либо отказах в выдаче займа (кредита) (см. ст. 4 Федерального закона от 30 декабря 2004 г. N 218-ФЗ "О кредитных историях" (в ред. от 28 июня 2014 г.), которая содержит перечень информации, включаемой в кредитную историю).

И здесь возникает ключевой вопрос: являются ли персональные данные или иная личная информация "товаром" (экономическим благом), которым субъект может распоряжаться по своему усмотрению, или же она является необоротоспособным, некоммерциализируемым объектом со специальным правовым режимом, тесно связанным с базовыми правами человека и гражданина? Если персональные данные являются оборотоспособным объектом, то такой подход фактически будет означать появление или по крайней мере легитимизацию зарождающегося рынка подобной информации. В таком случае принцип свободы договора становится одним из основных драйверов развития этого рынка. Если же персональные данные рассматривать в качестве некоего личного права, то они не могут выступать предметом распоряжения в формах, отличных от предписанных специальным законодательством, в том числе в договорном порядке. Свобода договора в таком случае будет поглощена публично-правовым регулированием.

Интрига при поиске ответа на данный вопрос заключается в том, что информация, в том числе персональные данные, в США рассматривается в качестве товара (commodity) <1>. Именно на данном представлении основаны бизнес-модели интернет-сервисов американских компаний, которые успешно экспортированы в другие страны благодаря трансграничной природе Интернета. Иными словами, хотим мы того или нет, персональные данные уже стали товаром, которым пользователь распоряжается, используя соответствующий сервис. Условия такого распоряжения изложены в пользовательском соглашении либо в ином документе, к которому оно отсылает (например, политике конфиденциальности). Можно, конечно, и дальше считать, что в данном случае речь идет всего лишь об односторонней даче согласия субъектом на обработку персональных данных, а не о предоставлении некоего имущественного блага провайдеру, но такой подход при сохранении стройности юридических конструкций уже не отражает действительности. В реальности инновационные бизнес-модели, подкрепленные принципом свободы договора, фактически уже если не разрушили, то существенным образом ослабили юридические категории из смежных областей - понятия личного неимущественного блага и прав человека. Благодаря информационным технологиям право человека на неприкосновенность своей личной жизни и тайну переписки стало предметом купли-продажи (в экономическом смысле). Можно, конечно, не признавать этого факта, настаивая на неотчуждаемом характере прав на персональные данные, но следует признать, что гражданское право уже не в состоянии исправить сложившуюся ситуацию. Подобно тому как введение ряда дополнительных запретов и формальностей на стадии заключения договора не способно само по себе решить проблемы мошенничества, поскольку для этого необходимо подключать иные механизмы регулирования (например, уголовное право, уголовный процесс), непризнание персональных данных объектом оборота не дает дополнительной защиты гражданам от их неправомерной обработки.

--------------------------------

<1> См.: Craig T., Ludloff M. Op. cit.; Craig T.D. Argus Rules: The Commercialization of Personal Information // Journal of Law, Technology & Policy. 2003. N 1. P. 187 ff. (доступно в Интернете по адресу: http://illinoisjltp.com/journal/wp-content/uploads/2013/10/tindall.pdf).

В связи с вышеизложенным представляется целесообразным рассмотрение вопроса об отнесении персональных данных к категории объектов гражданских прав, которые могут выступать предметом распоряжения в рамках договорных отношений, основанных на принципе свободы договора. Это не только обеспечит соответствие гражданского законодательства современным реалиям, но и позволит гражданам иначе взглянуть на природу информации о них и более ответственно подходить к распоряжению ею. Одно дело, когда лицо дает некое абстрактное согласие на совершение действий с такими данными, другое дело, когда лицо знает, что такие данные стоят денег, и рассматривает их в качестве встречного предоставления за оказываемый сервис. В последнем случае оно может оценить, насколько эквивалентны такие представления и насколько целесообразно принятие условий соответствующего пользовательского соглашения. Если же персональные данные не имеют стоимости в системе координат гражданского законодательства, что подразумевается их квалификацией в качестве личного неимущественного блага, это не способствует ответственному подходу к вопросам определения их судьбы. Вместо этого субъект рассчитывает, что государство в лице соответствующих органов его защитит и исправит последствия его действий <1>.

--------------------------------

<1> Выступление заместителя руководителя Роскомнадзора А.А. Приезжевой на круглом столе "Персональные данные: 1 сентября уже близко" в рамках Первого большого медиа-коммуникационного форума (12 мая 2015 г.).

Признание персональных данных и иной информации, связанной с личностью (геолокационных данных, пользовательского контента), оборотоспособным объектом гражданских прав также позволит обеспечить развитие рынка данных, необходимого для успешного функционирования инновационных технологий больших данных, когнитивных вычислений, Интернета вещей и т.п., и ввести их при этом в регламентируемое и цивилизованное правовое поле.

Безусловно, признание персональных данных оборотоспособным объектом гражданского права не означает отсутствие ограничений, связанных с таким оборотом. Соответствующий правовой режим, установленный законодательством о персональных данных, в общем и целом должен сохраниться, учитывая, что он является предметом международных обязательств Российской Федерации <1>. Вместе с тем может потребоваться дополнительное регулирование деятельности информационных брокеров и договоров, которые они заключают с пользователями. Кроме того, защита персональных данных и контроля их субъектов над ними должна осуществляться техническими средствами, в частности технологиями шифрования <2>, инкорпорированием механизмов защиты в дизайн устройств или сервисов (Privacy by Design), использованием специальных протоколов (например, P3P <3>) и т.п. Но в любом случае важно осознание того, что вопрос защиты персональных данных не является исключительно вопросом права, а в той части, в которой он определяется правом, он не должен решаться путем установления искусственных запретов на признание их объектом гражданских прав.

--------------------------------

<1> См.: Конвенция о защите физических лиц при автоматизированной обработке персональных данных (Страсбург, 28 января 1981 г.).

<2> Правда, не следует связывать с шифрованием больших надежд, поскольку оно имеет и обратную сторону. Дело в том, что шифрование обеспечивает не только конфиденциальность коммуникаций, но и аутентификацию ее участников. Например, усиленная квалифицированная подпись, имеющая в своей основе технологии криптографии, позволяет определить, кто отправил соответствующее сообщение с помощью открытого (публичного) ключа. По мере того как технологии шифрования будут все доступнее и популярнее, станет гораздо проще определить лицо, совершившее соответствующее действие, а следовательно, число сервисов, которые будут использовать данные технологии для целей идентификации и профайлинга, будет увеличиваться.

<3> P3P (от англ. platform for privacy preferences - "платформа для предпочтений конфиденциальности") представляет собой протокол, разработанный Консорциумом Всемирной паутины (W3C), который позволяет веб-сайтам информировать браузер о предполагаемом получении личных данных пользователя, автоматизируя тем самым процесс принятия решения пользователем о целесообразности посещения такого сайта (см. подробнее: http://www.w3.org/P3P). Фактически данный протокол представляет собой проявление механизма договорного взаимодействия типа "машина - машина", т.е. того самого автоматизированного договора, о котором говорилось выше.

Заключение

Принцип свободы договора, являясь одним из фундаментов гражданского права, не может не испытывать воздействия со стороны технологий, которые с каждым годом все глубже проникают в жизнь общества. Технологии все в большей степени диктуют правила, по которым развивается рынок. Они определяют как поведение потребителей, так и бизнес-модели и влекут появление новых объектов прав.

Среди инновационных информационных технологий, которые могут в наибольшей степени оказать влияние на эволюцию принципа свободы договора, стоит указать Интернет вещей, большие данные, расширенную реальность и когнитивные вычисления. Как было показано выше, данные технологии окажут влияние на процесс заключения договора, что будет проявляться в росте автоматизированных договоров, заключаемых электронными агентами без участия человека. При этом условия таких договоров также могут определяться самими электронными агентами на основании специальных алгоритмов с элементами самообучения. Кроме того, информационные технологии позволяют по-новому взглянуть на давнюю проблему, связанную с информационной асимметрией между предпринимателем и потребителем, предоставляя последнему богатый арсенал возможностей по получению в реальном времени необходимой информации о товаре (услуге) или продавце. Данный аспект должен найти свое отражение в оценке судами справедливости тех или иных условий договоров, заключенных с потребителем.

Наконец, в связи с возрастанием роли информации (особенно так называемых сырых данных) в развитии экономики будут появляться новые типы договоров, опосредующих ее оборот. За юридическую жизнеспособность последних будет отвечать принцип свободы договора, который должен обеспечить возможность заключения непоименованных договоров, в том числе с непоименованными объектами гражданских прав. Можно также ожидать, что те виды информации, которые традиционно рассматривались в качестве проявления личных прав граждан (персональные данные), со временем превратятся в полноценный объект оборота, что при определенных условиях может положительно сказаться на защите прав граждан вообще и рынке информационных технологий в частности.