Проблема защиты персональных данных, находясь в центре внимания общественности, до последнего времени оставалась без должного законодательного регулирования. В рамках реформирования информационного законодательства, 27 июля 2006 года был принят Федеральный закон «О персональных данных»1 (далее — закон), который в вступает в действие 25 января 2007 года. Целью закона является обеспечение защиты прав и свобод человека и гражданина при обработке персональной информации о нем, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну. Для достижения этой цели законом вводятся различного рода ограничения на обработку информации персонального характера, что, без сомнения, вызовет проблему баланса между необходимостью сохранения конфиденциальности персональных данных и свободой выражения мнений, свободы массовой информации, поскольку средства массовой информации всегда чутко воспринимают любого рода препятствия свободе обращения информации. В связи с этим, рассмотрим некоторые вопросы, которые могут возникнуть в ходе реализации закона субъектами деятельности средств массовой информации (журналистами, редакциями, издателями, учредителями и т.п.).
Вначале следует выяснить, подпадает ли деятельность средств массовой информации под действие закона. Обратимся для этого к понятию персональных данных, которое трактуется в законе достаточно широко и включает в себя любую информацию, идентифицирующую физическое лицо, а также информацию об идентифицируемом физическом лице, включая фамилию, имя, отчество, дату и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы, и любую другую информацию такого рода2 . Очевидно, что в своей деятельности средства массовой информации обращаются к такому виду информации или, говоря языком рассматриваемого закона, осуществляют «обработку персональных данных»3 , включающую самые различные действия и операции, как то: сбор, систематизация, накопление, хранение, распространение. При этом действие закона имеет существенные ограничения. Прежде всего, он распространяется исключительно на отношения, связанные с автоматизированной обработкой, или на отношения, где характер операций с персональной информацией соответствует характеру операций, производимых при автоматизированной обработке4 . В дополнение к этому, из-под действия закона исключается обработка информации персонального характера: 1) осуществляемая физическими лицами исключительно для личных и семейных нужд; 2) данных, содержащихся в государственных архивных фондах, составляющих государственную тайну; информации об индивидуальных предпринимателях; 3) данных, включенных в единый государственный реестр5 . Однако, если с последним исключением все относительно понятно, то вот с трактовкой таких категорий, как автоматизированная обработка или обработка, где характер операций схож с автоматизированной, есть некоторая неясность, поскольку сам закон, указывая их в качестве основной сферы его применения, не дал их трактовки, в связи с чем будет целесообразно их рассмотреть подробно.
С первым несколько проще, поскольку не секрет, что принятие нового закона связывают с ратификацией Конвенции Совета Европы о защите частных лиц в отношении автоматизированной обработки данных личного характера6 (имеется в виду персональных данных; далее по тексту — Конвенция), которая содержит необходимое определение. Учитывая тот факт, что названный документ как международный договор будет обладать приоритетом над рассматриваемым законом, для конкретизации категории «автоматизированная обработка» персональных данных вполне можно использовать содержащееся в Конвенции определение. В таком случае, под «автоматизированной обработкой» следует понимать хранение, осуществление иных логических и арифметических операций с данными, их изменение, уничтожение, поиск или распространение полностью или частично с помощью автоматизированных средств7 . Это определение легко можно соотнести с понятием «обработки персональных данных», где перечень операций несколько иной, но, по существу, некоторые из операций, перечисленные в ст. 3 п. 3 закона, можно рассматривать как логические и арифметические, да и к тому же их перечень в обоих случаях логически не закрыт. Следовательно, применительно к закону под автоматизированной обработкой можно понимать все действия и операции с персональными данными, перечисленные в ст. 3 п. 3, с использованием полностью или частично средств автоматизации.
Большую неясность вызывает категория обработки, схожей по характеру действий и операций с автоматизированной. Закон лишь называет ее в качестве одной из сфер своего применения, но не уточняет, какие именно действия и операции характерны для автоматизированной обработки, чтобы определить, подпадает ли данный вид обработки персональных данных без средств автоматизации под действие закона. При толковании термина «обработка персональных данных» в ст.3 п.3 указаны такие действия (операции), которые, несомненно, одинаково могут использоваться, как при обработке с использованием средств автоматизации, так и без них. Чтобы конкретизировать такое положение, обратимся к опыту Европейского Союза, в частности, к основополагающему документу Директиве 95/46/С8 , в которой более четко формулируется сфера ее применения в отношении персональной информации, обрабатываемой без средств автоматизации. Директива применима к неавтоматизированной обработке, если при этом данные структурированы, систематизированы (классифицированы) в файлы (досье) на основании определенных критериев, что облегчает доступ к нужной информации (файлу, досье)9 . В действительности, в этом случае, как и в случае с автоматизированной обработкой, персональная информация представлена виде базы данных, только без использования средств автоматизации, и характер операции с файлами и досье аналогичен характеру операций, производимых с файлами при автоматизированной обработке; впрочем, представить обратную ситуацию, когда сведения персонального характера не были бы структурированы при неавтоматизированной обработке, крайне затруднительно. Для справки: под файлом здесь следует понимать систематизированную определенную совокупность персональных данных, к которой можно получить доступ, найти в базе на основании определенных критериев — идентификаторов, имени, фамилии и т.д.10 Как видим, использование схожего критерия внесло бы большую ясность в определении сферы действия закона, что, в частности, может еще произойти на основании ст. 4, но некоторым ориентиром при рассмотрении вопроса может послужить европейский опыт. Однако отметим также, что случаев, когда бы обработка персональной информации или информации вообще велась бы без использования средств автоматизации, наверное, не так уж много, в особенности в сфере деятельности СМИ и массовых коммуникаций.
На основании анализа сферы применения закона следует признать, что деятельность средств массовой информации лежит в сфере его действия, чему мы можем привести множество примеров. Фактически любые операции и действия, совершаемые журналистами, редакцией, издателем, иными лицами, связанными с деятельностью СМИ по обработке персональных данных, включая их сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение, обезличивание, блокирование, уничтожение, и иные действия (операции) будут находиться в сфере регулирования закона, если они осуществляются полностью или частично при помощи средств автоматизации или без таковых, но при этом характер производимых операций схож с характером операций при автоматизированной обработке (информация представлена в виде файлов, досье).
Вводимые при этом законом ограничения на обработку персональных данных, которые станут обязательными в деятельности средств массовой информации, неизбежно приведут к вопросу о соотнесении их со свободой выражения мнений и свободой массовой информации, который нельзя назвать простым. Среди существенных ограничений и условий, вводимых законом на обработку информации персонального характера, следует назвать целевой характер обработки, затрагивающий как содержание и объем, так и средства, способы, продолжительность обработки данных. Однако самым серьезным ограничением, пожалуй, является обязательность получения согласия субъекта на обработку персональных данных о нем на основании ст. 6 ч. 1. Безусловно, это плохо увязывается со свободой выражения мнений и свободой массовой информации, и законодатель попытался сделать некоторую оговорку в отношении последних. В частности, в законе делается оговорка о допущении обработки персональных данных без согласия субъекта в целях профессиональной деятельности журналиста, если при этом не нарушаются права и свободы субъекта. Данное положение закона, предположительно, следует толковать буквально, и для того, чтобы ясно понять случаи его применения, условно подразделим все отношения, связанные с обработкой персональных данных в деятельности СМИ, на две группы.
К первой отнесем те отношения, которые складываются в связи с обработкой данных журналистом и редакцией при подготовке материала и работе с ним перед его распространением по каналам СМИ. Обязательного согласия субъекта в таком случае не требуется, если это не нарушает права последнего. Иными словами, журналист и редакция при подготовке материала в эфир могут предпринимать все операции и действия с персональными данными, указанными в ст. 3 п. 3, без согласия субъекта как необходимого условия, но при этом они обязаны взвешивать свои действия и соотносить их с его правами и свободами, в частности, с правом на частную жизнь, честь и достоинство. Следовательно, законодатель отсылает нас в таком случае к давно существующему вопросу о соотношении свободы выражения мнения, свободы СМИ и права на частную жизнь, честь и достоинство. Как и прежде, журналист, на которого возложена миссия по информированию общества о событиях общественной важности и их участниках, должен будет соизмерять общественный интерес с правами и свободами частного лица, а значит с необходимостью сохранения тайны его частной, личной, семейной жизни. Впрочем, журналист при подготовке материала может и получить согласие субъекта, и это никак не будет вступать в противоречие с законом. Чуть ли не единственным случаем, когда обязательность получения подобного согласия могла бы серьезно помешать профессиональной деятельности журналиста, является случай обработки персональной информации общественных и политических деятелей или лиц, которые в силу профессии так или иначе постоянно находятся в центре общественного внимания, но не всегда хотели бы этого. Примем во внимание и тот факт, что количество журналистов, ведущих обработку информации о них, предположительно будет достаточно велико, чтобы затруднить получение согласия конкретным журналистом. Надо понимать, что и в этой ситуации субъект персональных данных не лишен права на частную жизнь, личную и семейную тайну, права на честь и достоинство при публикации персональной информации о нем, но в таких случаях пределы защиты этих прав будут снижены, что признано в практике Европейского суда по правам человека11 . В остальных же случаях было бы целесообразно при обработке персональных данных получить согласие на то субъекта или действовать таким образом, чтобы избежать причинения предполагаемого вреда его правам и свободам, как минимум путем сохранения конфиденциальности сведений персонального характера.
Вторую группу будут составлять иные общественные отношения, также связанные с деятельностью СМИ и обработкой персональных данных. К их числу отнесем обработку данных читателей, слушателей, зрителей, подписчиков, клиентов средства массовой информации, которая может вестись издательством, учредителем, редакцией и иными субъектами деятельности средств массовой информации, а также обработку персональной информации в архивных фондах телекомпании, радиокомпании, издательства, редакции, которая больше не находится в работе у журналиста и редакции и просто поступает в архив. В такой ситуации при обработке будут преследоваться иные цели, к примеру коммерческие (повышение рейтинга канала, издания, исследование спроса на ту или иную продукцию) или архивные, и действие закона будет распространяться на их обработку в полной мере, включая необходимость получения согласия субъекта и выполнение других необходимых условий, предписанных законом, за исключением случаев, когда обрабатываемая информация будет являться общедоступными персональными данными, но в таком случае бремя доказывания этого будет лежать на операторе в соответствии со статьей 9 ч.3 закона. Надо учесть, что работа многих СМИ построена на обработке таких баз данных (читателей, слушателей, зрителей) и она составляет существенную часть деятельности этого издания, теле-, радиоканала в целом, и введение в действии рассматриваемого закона существенным образом может на ней отразиться.
Еще одно требование закона, которое целесообразно рассмотреть в рамках этой статьи — это необходимость уведомления уполномоченного органа по защите персональных данных перед началом обработки. Если предположить, что применительно ко второй группе отношений, уже рассматриваемой здесь, такое требование вполне логично и такое уведомление должно присутствовать, то по отношению к первой группе никаких оговорок на этот счет закон не сделал. Такое положение дел выглядит не вполне логично, отсутствие более существенного требования — необходимость получения согласия субъекта на обработку его персональных данных, но при этом обязательность уведомления об этом уполномоченного органа. Интересно, что аналогичным образом законодатель подходит к персональной информации, обрабатываемой в целях научной и творческой деятельности, о чем упоминается в ст. 6 ч. 2 п. 6. Стоит надеяться, что соответствующие логические противоречия рассматриваемого закона — скорее досадная ошибка, и в скором времени они будут устранены.
Последний вопрос, который хотелось бы рассмотреть — это вопрос об установлении критериев общедоступной информации, который не так-то прост применительно к общедоступным персональным данным. В законе «Об информации, информационных технологиях и о защите информации»12 в ст. 7 говорится, что общедоступной информацией будет являться информация, доступ к которой неограничен, или общеизвестные сведения. В этом случае стоит задуматься о том, является ли распространение информации через средства массовой информации, в частности информации о физическом лице (его персональных данных), тем, что делает их общеизвестными сведениями. На наш взгляд, ответ на этот вопрос — безусловно, да. Напротив, понятие общедоступных персональных данных в ст. 3 рассматриваемого закона несколько иное — это персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта, или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. Соответственно, общеизвестность персональных данных не делает их общедоступными в смысле указанной статьи. Закон, как мы видим, называет общедоступными только те сведения, которые стали таковыми с согласия субъекта или на основании положений закона, к примеру, ст. 6 ч. 2 п. 7 (персональные данные государственных должностных лиц, кандидатов на выборные государственные должности), но никак не связывает опубликование или распространение персональных данных с их общедоступностью. Этому можно дать вполне логичное объяснение. Появление такой информации персонального характера в средствах массовой информации не всегда означает, что она распространяется законно и при этом не нарушены права и свободы субъекта, учитывая, что последний вправе обратится за защитой своих прав, нарушенных в результате опубликования сведений о нем, и воспрепятствовать дальнейшему их распространению или обработке. Рассматриваемая проблема может затронуть напрямую регулирование деятельности СМИ в части отношений, которые были отнесены ко второй группе. К примеру, если в архиве издания, теле-, радиоканала хранятся лишь публикации, содержащие сведения персонального характера, то есть общеизвестная информация — один только этот факт не исключает применения к этим отношениям положений закона о персональных данных в полной мере, за исключением тех случаев, когда будет доказано, что эти сведения в действительности являются общедоступными персональными данными. Именно к такому утверждению можно прийти на основании анализа положений законодательства, но при этом не стоит забывать, что процесс доказывания того, что сведения являются общедоступными персональными данными на основании закона или путем получения на то согласия субъекта будет возможен, видимо, лишь в случае соответствующего судебного разбирательства. Таким образом, издательство, редакция или иной субъект деятельности средств массовой информации может хранить архивные материалы (публикации) и в нарушение требований закона рассматривать содержащиеся в них сведения в качестве общедоступной персональной информации в течение длительного времени. В качестве выхода из такой ситуации можно предположить уточнение со стороны законодателя термина «общедоступные персональные данные» и соотнесения их с категорией «общедоступной информации», скажем, путем прямого указания на то, что распространение персональной информации не означает переход ее в категорию общедоступной.
В заключение сделаем некоторые выводы из анализа отдельных положений закона о персональных данных.
Во-первых, действие закона о персональных данных, несомненно, затронет деятельность средств массовой информации в той части, в которой она связана с обработкой информации персонального характера, осуществляемой журналистами, редакцией, издателем, учредителем и иными субъектами деятельности СМИ, если обработка осуществляется с помощью средств автоматизации, а в некоторых случаях и без их использования, хотя это представить гораздо сложнее.
Во-вторых, наиболее существенные ограничения на обработку информации персонального характера будут введены в отношении обработки персональных данных, осуществляемой субъектами деятельности средств массовой информации в коммерческих, архивных и иных целях, не связанных с профессиональной деятельностью журналиста, что может быть крайне существенной частью деятельности многих СМИ. В остальных случаях, если обработка сведений персонального характера осуществляется в целях профессиональной деятельности журналиста, законом делается существенная оговорка о возможности ее осуществления в отсутствии согласия субъекта, при условии, что его права и свободы не будут нарушены. В этой связи закон не стремится воспрепятствовать деятельности журналиста, редакции и адресует к давно существующему самостоятельному вопросу о соотнесении прав и свобод индивида (право на частную жизнь, на личную, семейную тайну, права на честь и достоинство и т.д.) и свободы выражения мнений, свободы массовой информации. Журналист по-прежнему будет вынужден соотносить необходимость информирования общества о наиболее важных событиях в жизни общества и их участниках с необходимостью соблюдения при этом их прав и свобод. Очевидно, что законодатель, вводя подобную оговорку относительно профессиональной деятельности журналиста, постарался указать на необходимость пользования ею крайне осмотрительно.
Наконец, отдельные положения закона во многом еще не ясны и требуют некоторой конкретизации. Так, в частности, следует конкретизировать положения о распространении закона на отношения, связанные с обработкой персональных данных без применения средств автоматизации; подробнее уточнить, в каких случаях требуется уведомление органа, уполномоченного осуществлять защиту персональных данных, если согласие субъекта на обработку его персональных данных не обязательно; а также содержание отдельных категорий и понятий, вводимых законом, и соотнесение их с иными законодательными актами.
Примечания
1Федеральный Закон от 27
июля 2006 г. №152-ФЗ «О персональных данных». «СЗ РФ», 31.07.2006, №31(1ч.),
ст.3451
2 Там же, ст. 3 п. 1.
3 Там же, ст. 3 п.
3.
4 Там же, ст. 1 ч. 1.
5 там же, ст. 1 ч. 2.
6
Конвенция Совета Европы о защите частных лиц в отношении автоматизированной
обработки данных личного характера от 28 января 1981 г.
7 Там же, ст.
2.
8 Директива 96/46/СЕ Европейского парламента и Совета от 24 октября 1995
г. О защите физических лиц при обработке их персональных данных и свободе
обращения этих данных // Journal officie L 281 du 23.11.1995.
9 Там же, ст.
2, ст. 3.
10 Там же ст. 2.
11 Дело «Лингенс против Австрии», от 8 июля
1986 г.//»Европейский Суд по правам человека. Избранные решения»: В 2 т. — М.:
Издательство НОРМА, 2000.
12 Федеральный закон Российской Федерации от 27
июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите
информации» / «СЗ РФ», 31.07.2006, №31(1ч.), ст. 3448.
Михаил БУНДИН, преподаватель кафедры
конституционного и административного права Нижегородского государственного
университета им. Н.И.Лобачевского
