Европейский подход к разграничению данных, не являющихся персональными, для целей гражданского оборота

Полный текст

В мире идет массовое строительство экономики данных. Страны по всему земному шару стремятся получить как можно больше выгод от новых технологий, основанных на данных. Однако построение цифровой экономики подрывается рядом препятствий: правовой неопределенностью данных, консервативностью правовых систем и иными факторами, влияющими на мобильность данных. Российская Федерация в этом не исключение. В нашей стране не уделено должного внимания информации в принципе. Несмотря на тот факт, что информация не является объектом гражданского права, она является полноправным объектом гражданского правоотношения. Поэтому сейчас остро назревают следующие вопросы: природа отношений по обладанию данными, место данных в системе объектов гражданских прав, соотношение категорий «информация», «данные», «неличные данные» и «персональные данные». Целью разрешения этих вопросов является создание более конкурентного и интегрированного рынка для услуг и операций по распоряжению и использованию данных. В частности, это означает уменьшение количества и диапазона ограничений локализации данных, повышение правовой определенности; улучшение условий, при которых участники гражданского оборота уверенно будут реализовывать свое право на распоряжение и использование данных в коммерческом обороте. Тем более что в международной практике довольно часто поднимаются вопросы «собственности» на данные в гражданско-правовом ключе. Американские ученые Джеффри Риттер и Анна Майер полагают, что современная цифровая торговля передачей, лицензированием и продажей персональных данных еще больше укрепила мнение о том, что персональные данные следует характеризовать как собственность [1, с. 220–221]. Британские ученые утверждают, что «право собственности на информацию сосредоточено на определении права компании или отдельного лица контролировать раскрытие, использование, изменение и копирование указанной информации» [2]. Также среди этих ученых есть мнение, что физические лица должны иметь «законное право собственности» на свою личную информацию [2]. В ноябре 2019 года китайская газета People's Court Daily сообщила о решении, вынесенном судом Ханчжоу по вопросам Интернета, в котором рассматривался вопрос собственности и права использования идентификаторов и паролей дилеров-пользователей ресурса истца [4]. В этом деле истцы использовали онлайн-базу данных под названием Lvzhuang Wang, или «Сеть женской одежды». Ответчик управлял конкурирующей онлайн-базой данных под названием Zhongfu Wang, или «Китайская сеть одежды». Многие пользователи, зарегистрировавшиеся у истцов, также зарегистрировались у ответчика. Двадцать четыре пользователя базы данных ответчика разрешили персоналу ответчика использовать их идентификаторы и пароли для доступа к своим счетам на веб-сайте ответчика. Поскольку многие пользователи могут использовать одни и те же идентификаторы и пароли на разных веб-сайтах, сотрудники ответчика использовали технологию «Сбой библиотеки» для входа в учетные записи двадцати четырех пользователей на веб-сайте истца. Суд установил, что ответчик загрузил информацию, используя пароли пользователей-дилеров с сайта истцов. Ответчик утверждал, что в пользовательском соглашении истцов не указано, кто является владельцем идентификаторов и паролей пользователей; даже если ответчик неправомерно использовал идентификаторы и пароли пользователей, именно пользователи, а не истцы должны требовать права на идентификаторы и пароли пользователей. Суд отклонил этот аргумент, постановив, что идентификаторы и пароли пользователей являются собственностью и должны быть защищены. Кроме того, суд постановил, что идентификаторы и пароли сильно коррелировали с аутентификацией личности пользователей и право собственности, генерируемое этой информацией, было похоже на право собственности данных компьютерной информационной системы, поэтому права на идентификаторы и пароли пользователей должны в данном случае принадлежать веб-сайтам истцов [4]. Однако аргумент о праве собственности на данные весьма проблематичен. В описанном выше случае говорить о праве собственности китайской компании на идентификаторы и пароли пользователей ее веб-ресурса сомнительно. Так как компания из Китая как лицо, собирающее и хранящее эти данные, может получить абсолютные права собственности на данные, собранные от субъектов данных. Это связано с тем, что лицо, осуществляющее сбор данных, должно использовать персональные данные строго в соответствии с соглашениями с субъектами данных. Более того, лицо, осуществляющее сбор данных, не обладает исключительно личными данными, но и наборами неперсональных, а также смешанных данных. Субъекты данных могут предоставлять такие же данные другим лицам, осуществляющим сбор данных. Тем не менее лица, осуществляющие сбор данных, вкладывают время, деньги и энергию в сбор, организацию или обработку этих данных. Следовательно, у лиц, осуществляющих сбор данных, есть законные интересы в собираемых ими данных. Предполагается, что такой интерес является имущественным интересом лиц, осуществляющих сбор данных, которые инвестируют в процесс сбора данных под предлогом того, что они не будут использованы другими конкурирующими лицами, осуществляющими сбор данных. Кроме того, в американском контексте теория права собственности на данные подвергается критике, поскольку существуют веские политические причины, такие как гражданская свобода первой поправки к Конституции Соединенных Штатов Америки, против обозначения всей личной информации как собственности. [5, с. 365–366]. Аргументы о праве собственности могут усилить право каждого субъекта данных на самоопределение и контроль над своими данными. Однако в противовес сказанному в Китае, например, такое самоопределение и контроль несовместимы с мерами цифрового наблюдения китайского правительства, которые основываются на сборе огромного количества данных [6]. Эти данные собираются в рамках чрезмерно всеобъемлющей концепции национальной безопасности без надлежащего судебного надзора и общественного надзора за прозрачностью. Хотя Гражданский кодекс Китая предусматривает, что сбор и обработка личной информации регулируются принципами законности, пропорциональности и необходимости [7], у китайских потребителей не так много реальных возможностей сказать «нет» и найти удобные альтернативы для многих основных услуг в Китае. Однако вернемся к российским реалиям. В российской практике данным, а тем более данным, не являющимся персональными, не уделено должное внимание. Отметим, что особое внимание вопросу данных уделяется узким кругом ученых-юристов, среди которых М. А. Рожкова [8; 9], А. И. Савельев [10] и В. О. Калятин [11]. Несмотря на отсутствие в российском правовом поле дефиниции неперсональных данных, предполагается, что к «неперсональным данным» относятся все данные, не являющиеся персональными по смыслу Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» [12]. С учетом этого в понимании гражданского права к неперсональным данным можно причислять не только все данные, поступающие из технических источников и имеющие коммерческую ценность. Такой вывод исходит из европейской практики разделения персональных и неперсональных данных. А именно: понятие персональных данных определено в пункте 1 статьи 4 Постановления (ЕС) 2016/679 Европейского парламента и Совета Европейского союза от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о бесплатном перемещение таких данных (сокращенно, Общие правила защиты данных, далее – GDPR) [13]. Понятие неличных данных установлено в пункте 1 статьи 3 Регламента (ЕС) 2018/1807 Европейского парламента и Совета Европейского союза от 14 ноября 2018 года о структуре свободного потока неличных данных в ЕС (Регламент о свободном потоке неличных данных, далее – Регламент). В Регламенте как раз поясняется, что неличные данные – это «данные, отличные от персональных данных, как это определено в пункте 1 статьи 4 GDPR» [14]. М. А. Рожкова отмечает, что «неперсональные данные могут создаваться в рамках ‘‘интернета вещей’’, включающего в свой состав Интернет, который «поставляет» информацию со всевозможных датчиков, котроллеров, приборов учета потребления, устройств аудио- и видеорегистрации, измерительных комплексов и проч. Сюда же будут включены данные из таких источников, как искусственный интеллект (англ. artificial intelligence) и машинное обучение (англ. machine learning). К неперсональным данным относят и такие востребованные практикой категории данных, как метеорологические, экологические и географические сведения, данные финансовых и страховых рынков, государственная статистика и информация из государственных реестров (не касающаяся субъектов персональных данных), экономические показатели, результаты аналитических и научных исследований» [8, c. 23]. Примером сбора таких (неперсональных) данных также могут послужить сведения из «Портала открытых данных» Правительства Москвы, расположенном по адресу: https://data.mos.ru (далее – Портал). Из анализа информации, размещенной на Портале, можно сделать вывод, что на Портале собираются и хранятся данные по основным сферам жизнедеятельности города (безопасность, государственные услуги, дороги и транспорт, досуг и отдых, здравоохранение, культура и образование и иные сферы). Некоторые из наборов данных содержат только техническую информацию, которую можно отнести к неперсональным данным. В европейском законодательстве вопросу разделения данных на персональные и неперсональные уделено более пристальное внимание. Так, как упоминалось выше, в Европейском союзе существует отдельный Регламент, регулирующий свободное обращение неличных данных. В этом Регламенте освещены вопросы перемещения данных, не являющихся персональными, через границу, а также вопросы обеспечения свободы в предоставлении услуг по обработке данных в пределах Европейского союза [8, c. 294]. Также документ содержит классификацию таких данных неличного характера (данных, не являющихся персональными) по происхождению, как: данные, которые изначально не относились к идентифицированному или идентифицируемому физическому лицу, или данные, которые изначально были личными данными, но позже стали анонимны. В случае смешанного набора данных Регламент устанавливает следующий подход: сам документ применяется к части набора неличных данных, а GDPR применяется к части набора персональных данных, также утверждается, что, если личные и неличные данные в наборе данных неразрывно связаны, этот Регламент «не наносит ущерба применению» GDPR. Если неличные данные и персональные данные «неразрывно связаны», права и обязанности по защите данных, вытекающие из GDPR, будут полностью применяться ко всему смешанному набору данных, даже если персональные данные представляют собой небольшую часть набора. Представляется, что такой подход неадекватен современным реалиям, поскольку GDPR накладывает довольно строгие рамки на хранение и обработку данных, что может привести к блокированию и замедлению применения смешанных наборов данных. А смешанные данные наборы данных встречаются чаще, нежели чем «чистые» наборы данных: исключительно наборы персональных данных или исключительно наборы неперсональных данных. Регламент также гласит, что нет требований к локализации данных, а требования к локализации данных больше не применяются, размещение неличных данных для хранения или обработки в пределах ЕС не должно ограничиваться территорией государства-члена. Свободный поток неличных данных означает неограниченное перемещение данных через границы и ИТ-системы. Таким образом, должно быть установлено свободное перемещение данных. На практике это означает, что оператор данных в ЕС может сам решать, где хранить неличные данные. По мнению Европейской комиссии, свободный поток неличных данных – это ключевой строительный блок единого цифрового рынка и считается наиболее важным фактором для того, чтобы экономика данных полностью раскрыла свой потенциал и удвоила свою стоимость ВВП. Новые меры соответствуют уже существующим правилам свободного перемещения и переносимости персональных данных в ЕС. Что касается переносимости данных, Европейская комиссия будет поощрять и способствовать разработке кодексов саморегулирования на уровне ЕС с целью построения более конкурентоспособной экономики данных [15]. В Российской Федерации пока не идет речь о свободном потоке данных в принципе, поскольку Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» не содержит специальных положений, регулирующих территориальный охват. В целом действие российского законодательства, в том числе Закона о персональных данных, ограничено территорией Российской Федерации. Что касается применимости российского законодательства к веб-присутствию, осуществление деятельности в Интернете не позволяет четко определить географические границы такой деятельности. В связи с этим существует так называемый «целевой тест», направленный на выявление факта нацеливания на граждан России, что приводит к применимости российского законодательства. Например, веб-присутствие (допустим, веб-сайт или приложение) может рассматриваться как нацеленное на граждан России, если оно зарегистрировано в российском домене (например, .ru, .moscow, .su, .рф и так далее). Или если оно предусматривает доставку товаров и услуг по России. Использование русского языка также может быть критерием. Однако проверка таргетинга не является формалистической, и другие обстоятельства, демонстрирующие, что владелец веб-сайта или приложения рассматривает российский рынок в рамках своей бизнес-стратегии, будут изучены регулирующим органом / судами (в случае проверки, спора и так далее) [16]. Однако на уровне Европейского союза в свете свободного (межграничного) потока данных поднимаются следующие вопросы, в частности: роль личных, неличных данных и регламента Европейского союза о защите персональных данных № 2016/679 ЕС (далее – GDPR); вопросы использования допустимой терминологии (например, доступ к данным или доступность данных для нормативных целей). Рассматриваются такие задачи, при которых поставщики облачных услуг, специализирующиеся на управлении процессами приложений, накапливают как личные, так и неличные данные, используя свои сервисы и храня данные у крупных поставщиков облачных услуг. В какой-то момент может возникнуть ситуация для переноса этих данных от одного поставщика данных на другого поставщика, что вызовет правовые вопросы, так как данный сценарий не подпадает под действие статьи 20 GDPR, следовательно, этому вопросу нужно конкретное разрешение [17, c. 8]. На сегодняшний день отдельные европейские юристы более подробно исследуют вопросы разграничения персональных данных и неперсональных [18, c. 1–17]. В работах российских исследователей поддерживается деление данных на персональные и неперсональные, а также допустимость признавать имущественные права на собранные неперсональные данные за лицом, осуществляющим первоначальный сбор и накопление таких данных [10, c. 20]. Изложенное иллюстрирует, что роль неперсональных данных возрастает и имеет не только значение на территории Европейского союза, но и в других странах. Игнорирование этого вопроса приводит только к стагнации развития информационных технологий и иных технологий, основанных на данных. Однако далее хотелось бы обратить внимание на тезис о контрпродуктивности деления данных на персональные и неперсональные, изложенный в работе европейских юристов [18, c. 14]. Ученые Инге Граеф, Мартин Хусовек, Рафаэль Гелерт пришли к мысли, что разделение на личные и неличные данные сомнительно, поскольку наборы данных могут быть смешанными. А в некоторых случаях отделение персональных от неперсональных в соответствии с правилами защиты данных GDPR трудно провести. Кроме того, на практике компании могут организовывать свои данные за пределами подобного деления (личные или неличные данные). Авторы статьи полагают, что возможны существенные трудности с поддержанием двух отдельных правовых рамок, одна из которых регулирует личные данные, а другая – неперсональные данные, когда как личные данные нельзя четко отделить от неличных данных. Иллюзорное представление о неперсональных данных в качестве отправной точки для нового регулирования может создать серьезную правовую неопределенность и подрывать эффективность целей, которые преследуются. Поэтому, чтобы участники рынка сами не решали эту проблему на практике, должен быть применен целостный подход к регулированию данных. Данный подход является очень интересным и неординарным, поскольку в принципе понятие данных слишком динамично, изменчиво и неограниченно, чтобы обеспечить основу для нового режима. И отсутствие деления на персональные и неперсональные данные, возможно, более советует реалиям информационного обмена в гражданском обороте, нежели чем предложенное большинством соответствующее деление на персональные и неперсональные данные. Учитывая подобный взгляд на проблему, предполагается что деление на персональные и неперсональные, данные является исключительно искусственным делением, возможно, не применимым к реалиям сегодняшнего дня, притом что российские реалии в этом случае не исключение, потому что данные не могут носить исключительную принадлежность к территории одного государства, особенно во время роста цифровой экономики и глобализации. Цель правового закрепления данных должна имеет глобальный характер и целостный подход к регулированию. Тем более в период, когда в действующем российском гражданском законодательстве информация не закреплена как объект гражданского права, должны вырабатываться подходы к закреплению данных, в том числе к их классификации скорее в теоретическом ключе, нежели чем формально закрепленном. Таким образом, представляется неактуальным предложение российских юристов о введении деления на персональные и неперсональные данные для целей гражданского оборота и иных форм обмена и хранения данных.

Об авторах

А. В. Стерлигова

Автор, ответственный за переписку.
Email: sterligova.a.v34@gmail.com
Россия

Список литературы

Дополнительные файлы