Правовой режим персональных данных как информации ограниченного доступа

Перед тем как приступить к анализу правового режима персональных данных как информации ограниченного доступа, следует отметить, что сам термин «правовой режим» имеет в теории различное значение, что требует и от автора определенных пояснений на этот счет.

В целом как категория правовой режим достаточно часто используется как в научно-правовой литературе, так и в законодательстве. Категорию режима можно встретить более чем в трехстах законодательных актах федерального уровня.

Категория режима активно используется в земельном законодательстве, в частности в ст. 1 Земельного кодекса¹ неоднократно используется термин «правовой режим земель», который определяется принадлежностью ее к определенной категории по целевому назначению. Налоговый кодекс^{[215] [216] [217]} также в ст. 12, п. 7 использует в некоторых случаях термин «правовой режим» в контексте установления «специальных налоговых режимов». В Трудовом

3

кодексе можно найти массу отсылок к тем или иным правовым режимам: режим труда и отдыха (ст. 46), режим рабочего времени и времени отдыха (ст. 57), режим неполного рабочего дня (смены) и (или) неполной рабочей недели (ст. 74), особый режим работы - ненормированный рабочий день (ст. 101), и др. Правовой режим как категория активно используется Семейным кодексом^[218] для характеристики имущественных отношений супругов, устанавливая законный режим имущества супругов (глава 7) как режим их совместной собственности и договорный режим (глава 8). Закон о правовом положении иностранных граждан также использует термин правовой режим в части определения режима пребывания (проживания)

иностранных граждан на территории РФ (ст. 7).

Конституционный суд тоже достаточно часто в своих решениях оперирует понятием правового режима, в качестве примера можно привести Определение Конституционного суда РФ от 21.12.2004 № 441-О «Об отказе в принятии к рассмотрению жалобы гражданки Ивановой Н.А.

Как видно из примеров, категория правового режима используется как универсальная для описания многочисленных правовых явлений, причем, что примечательно, с помощью ее описывается не только обычная жизнедеятельность или нормальное состояние объекта права, но и вводятся исключения из общих правил в виде его специальных или особых режимов. Исключительность правового режима может быть изначально указана в законе, как, например, в законах о чрезвычайном¹ и военном положении^{[219] [220] [221], или она может подразумеваться самим смыслом закона, как то - Закон РФ «О}

-э

закрытом административно-территориальном образовании» .

В достаточно большом числе случаев описывается основной - общий правовой режим, или режим обычного состояния, а исключения или отступления от него будут рассматриваться как особые или специальные режимы. В качестве примера этому можно назвать уже упомянутый Семейный кодекс, устанавливающий законный режим имущества супругов в качестве основного, тогда как иные режимы, в частности договорный, следует рассматривать в качестве специального.

Широкое применение и универсальность термина «правовой режим» для описания тех или иных правовых явлений никоим образом не способствует его однозначному пониманию в юридической науке.

Отчасти это может быть результатом многозначности самого термина «режим», имеющего в русском языке несколько значений. Толковый словарь дает ему такое определение:

- государственный строй (обычно об антинародном, антидемократическом строе);

- распорядок дел, действий;

- условия деятельности, работы, существования чего-нибудь¹.

В юридической литературе, что отмечается многими авторами, сложилось также неоднозначное понимание термина «режим», «правовой режим», «социальный режим».

Первый подход, предложенный известными учеными в области теории права Н.И. Матузовым и А.В. Малько, состоит в рассмотрении правового режима как «особого порядка правового регулирования, выражающегося в определенном сочетании юридических средств и создающего желаемое социальное состояние и конкретную степень благоприятности или неблагоприятности для удовлетворения интересов субъектов. Таким образом, это система условий и методов осуществления правового регулирования, своего рода - «функциональная характеристика права»» ^{[222] [223].}

Аналогичные по своему содержанию идеи также можно встретить и у

С.С. Алексеева, рассматривающего правовой режим «как порядок регулирования, который выражен в комплексе правовых средств, характеризующих особое сочетание взаимодействующих между собой дозволений, запретов, а также позитивных связываний и создающих особую направленность регулирования»¹. Следовательно, правовой режим это глубокое, содержательное правовое явление, связывающее воедино целостный комплекс правовых средств в соответствии со способами правового регулирования и его типами. С точки зрения этого подхода можно вести речь об отраслевых, межотраслевых правовых режимах.

Второй подход доминирует в административно-правовой науке и относится, в первую очередь, к характеристике «административно-правовых режимов», определяя их как «комплекс общественных отношений определенного вида деятельности, закрепленный юридическими нормами и обеспеченный совокупностью юридико-организационных средств»^{[224] [225] [226]}

(Д.Н. Бахрах). Выделение правового режима обусловлено: во-первых, особой специальной значимостью общественных отношений, их специфическими целями и задачами; во-вторых, использованием особых принципов, форм и методов деятельности, отражающихся в системе прав и обязанностей субъектов.

Ю.А. Тихомировым правовой режим был определен как «особый вид регулирования, в рамках которого создается и используется особая комбинация юридических, организационных и иных средств для обеспечения

3

того или иного государственного состояния» .

Стоит обратить внимание, что современное законодательство и практика, как уже было показано, идет по пути применения режимов не только к сфере государственного управления или описания государственного состояния, но скорее рассматривая правовые режимы как нечто универсальное.

В сущности, следует говорить о формировании особого режимного

подхода в изучении права и правовых явлений. Д.Н. Бахрах прямо указывает на возможность такого подхода в изучении права как примера систематизации норм, регулирующих отношения между людьми, по поводу того или иного объекта¹.

Следует согласиться с мнением В.П. Рушайло и В.Б. Исакова, рассматривающих правовой режим как некую специфическую правовую форму воздействия на общественные отношения. Особенно это справедливо в ситуациях, требующих специфического и особого подхода к регулированию тех сфер, регулирование которых может оказаться неэффективным в общем порядке.

Еще одной особенностью правовых режимов зачастую является их комплексный характер, что подчеркивается многими авторами. Д.Н. Бахрах отмечает, что в конструировании таких режимов принимают участие нормы нескольких отраслей права (административного, конституционного и т.д.), и они затрагивают различные по характеру права и обязанности субъектов

4

режимного регулирования .

Комплексный характер правовых режимов часто позволяет объединить и адаптировать правовые средства и методы воздействия к конкретным общественным отношениям. Л.К. Терещенко подчеркивает, что это «позволяет сформировать адекватный юридический инструментарий для регулирования определенной группы отношений»^{[227] [228] [229] [230] [231]}. Исходя из этого, ею были предложены следующие характеристики правового режима информации, включая информацию ограниченного доступа:

- системность используемых средств;

- наличие специфических приемов правового регулирования;

- систематизация норм по признаку объекта;

- создание условий для достижения заданного состояния объекта;

- комплексность режима как отражение комплексности объекта;

- обусловленность режима специфичностью групп общественных отношений, а также необходимостью использования особого подхода к регулированию там, где использование общего подхода неэффективно или нецелесообразно^[232].

Наличие всех этих характеристик можно проследить и в отношении правового режима персональных данных, который следует рассматривать как разновидность особого правого режима информации - режима информации ограниченного доступа.

Непосредственно рассмотрение правового режима персональных данных как информации ограниченного доступа следует начать с определения его четких границ, прежде всего в рамках общего правового режима информации ограниченного доступа. Как неоднократно упоминалось в работе, персональные данные сами по себе не являются информацией ограниченного доступа, и их конфиденциальность презюмируется. Как следствие, правовой режим персональных данных в целом имеет сложную структуру, обусловленную спецификой самого объекта регулирования. Предположительно можно выделит две основных составляющих этого режима:

- правовой режим «общедоступных персональных данных», который лежит в сфере общего правового режима информации, т.е. режима общедоступной информации;

- правовой режим персональных данных ограниченного доступа, который лежит в сфере специальных правовых режимов информации, т.е. в сфере правового режима информации с ограниченным доступом.

При этом последний также может быть разделен на несколько

составляющих¹:

1) персональные данные, охраняемые в режиме государственной тайны;

2) персональные данные ограниченного доступа, обрабатываемые в режиме архивной информации;

3) персональные данные, охраняемые в режиме личной, семейной тайны, тайны частной жизни (т.е. без передачи сведений третьим лицам и, следовательно, не являющиеся конфиденциальной информацией);

4) конфиденциальные персональные данные, в отношении которых специальным законом (Федеральный закон «О персональных данных»^{[233] [234]) устанавливается требование о соблюдении их конфиденциальности.}

Несмотря на такую сложную структуру, можно говорить, что определенный интерес для настоящего исследования представляет исключительно последняя категория, которая может быть охарактеризована как персональные данные, охраняемые в условиях правового режима конфиденциальности персональных данных как информации ограниченного доступа в рамках закона о персональных данных.

В дополнение к сказанному можно отметить - правовой режим конфиденциальности персональных данных включает в себя две основные составляющие: общий правовой режим конфиденциальности персональных данных и правовой режим «особо чувствительных» персональных данных (особых категорий персональных данных на основании ст. 10 Закона о персональных данных) и правовой режим биометрических персональных данных.

В целом общую структуру правого режима персональных данных можно представить следующим образом (см. рис.3):

Рис. 3

Что касается основных элементов и структуры правового режима информации, и персональных данных в частности, то здесь также можно

отметить некоторые расхождения во мнениях. А.А. Антопольский рассматривает исключительно правовой режим «информационного объекта», давая ему следующее определение: «совокупность правовых норм, касающихся определенного объекта урегулированных правом общественных отношений, включая его нормативное определение и обязательные правовые предписания о порядке или правилах использования данного объекта, а также об ответственности за их несоблюдение¹». В этой связи правовой режим информационного объекта должен, по мнению того же автора, складываться из норм, регулирующих три основных составляющих: «(1) порядок создания объекта, (2) порядок его передачи и получения (включая установление режима свободного либо ограниченного доступа), (3) вопросы защиты прав

л

субъекта в отношении данного объекта» . В дополнение к этому правовой режим может включать в себя и иные (необязательные элементы), как то: нормы, регулирующие гражданско-правовой оборот объекта и другие вопросы.

Суждение о необходимости использования термина «информационный объект» вместо «информации» не разделяется автором работы и в целом не относится напрямую к рассматриваемому случаю, более того, высказанные А.А. Антопольским предположения о трех основных составляющих правового режима информации также видятся не совсем корректными.

Во-первых, в действительности правовой режим той или иной разновидности информации изначально имеет свой объект. Такой режим может быть установлен законом в отношении конкретного вида информации,

3

как, например, в случае с персональными данными законодательно устанавливается соответствующий режим, предполагая, что такая разновидность информации существует. Действие правового режима может быть распространено на ту или иную информацию, как, например, в случае с ^{[235] [236] [237] коммерческой тайной1, когда ее обладатель вправе выполнить предписанные законом действия и распространить на нее режим коммерческой тайны.}

Во-вторых, «порядок получения и передачи информации (включая установление режима свободного либо ограниченного доступа)» звучит достаточно странно, учитывая, что термин «доступ» в действительности подразумевает оба эти действия, поскольку невозможен без двух взаимно корреспондирующих составляющих: права на получение информации и обязанности по ее предоставлению.

В-третьих, указание на защиту только «прав субъектов в отношении объекта» можно рассматривать как некоторое сужение реального содержания правового режима. В действительности объектом защиты, вероятнее всего, следует рассматривать сам режим. К примеру, в результате нарушения режима - порядка работы со сведениями, составляющим государственную тайну - не обязательно может произойти их «утечка», т.е. быть причинен ущерб суверенитету и безопасности государства и, как следствие, нарушению прав обладателя, в то же время - это будет рассматриваться как нарушение требований соответствующего режима и предполагать ответственность виновного лица.

Учитывая сказанное, более оптимальным следует признать выделение основных структурных элементов правового режима, предложенное Л.К. Терещенко, которая указывает на следующие элементы, присущие всем правовым режимам информации:

- «целевое назначение режима;

- объект правового регулирования;

- правовое положение субъектов правового режима;

- комплекс способов правового регулирования и средств юридического воздействия»^{[238] [239].}

Целью правового режима конфиденциальности персональных данных в таком случае следует считать установление прав и обязанностей субъектов отношений, возникающих по поводу персональных данных, как разновидности информации, их защите и обеспечении информационной безопасности с учетом сохранения баланса интересов личности, общества и государства. Именно достижение такого состояния в конечном итоге стоит рассматривать как конечную цель установления режима персональных данных.

В этой связи было бы не совсем правильным рассматривать в качестве единственной цели правового режима персональных данных «обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну», как это указывается в Законе о персональных данных¹. С таким утверждением отчасти можно согласиться, однако говорить о том, что этим исчерпывается целевое назначение правового режима, представляется не совсем точным. Установление определенных ограничений на использование и обработку персональных данных в действительности является результатом стремления, с одной стороны, к обеспечению защищенности прав и свобод личности путем ограничения нежелательных действий с информацией персонального характера, с другой стороны, к обеспечению интересов государства и общества при обработке информации об индивидах, устанавливая для последних определенный круг прав и обязанностей, а также гарантируя им возможность, при определенных законом условиях, иметь доступ к персональным данным, обрабатывать их, действуя в своем собственном интересе.

Л

Именно это закреплено в Доктрине информационной безопасности , которая подчеркивает «необходимость соблюдения баланса между потребностью граждан в свободном обмене информацией и ограничениями, ^{[240] [241] связанными с необходимостью обеспечения национальной безопасности, в том числе информационной». Безусловно, для личности право на информацию и право на доступ к информации являются важнейшими из конституционных прав человека и гражданина, которые связаны не только со свободным обменом информацией, но и необходимостью обеспечения защиты информации, обеспечивающей личную безопасность.}

Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных в своей преамбуле ясно указывает на необходимость сохранения баланса интересов личности в части защиты его фундаментальных прав и свобод, в частности права на уважение частной жизни, в то же время признавая необходимость согласования ее с идеей свободы информации и информационного обмена между народами. Эта идея также просматривается в Преамбуле и ст. 1 Директивы № 95/46/ЕС, в которых указывается на необходимость уважения фундаментальных прав и свобод личности при обработке персональной информации при гарантиях сохранения свободного обращения информации.

Трактовка положений ст. 55 российской Конституции также вполне очевидно подразумевает необходимость учета интересов всех субъектов, подчеркивая, что ограничения прав и свобод возможно только в той мере, которая необходима для защиты прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства, и только на основании закона. Ограничение обработки персональных данных в этой связи может рассматриваться краеугольным камнем защиты прав и свобод личности в информационной сфере, что, впрочем, не исключает возможность таковой полностью - при соблюдении правил и условий, установленных законом.

Как мы видим, появление правового режима персональных данных объясняется необходимостью обеспечения личной информационной безопасности индивида, т.е. создание условий, исключающих посягательство на права и законные интересы личности с использованием персональной информации, что стоит рассматривать в качестве основной - конечной цели установления правового режима персональных данных, при обязательном условии сохранения баланса интересов общества и государства, интересы которых могут быть связаны с необходимостью данных об индивидах.

Объектом правового режима конфиденциальности персональных данных как информации ограниченного доступа следует рассматривать отношения, возникающие в связи с обработкой персональных данных, т.е. информации, переданной индивидом другим субъектам права - «конфидентам» на условиях соблюдения ее конфиденциальности, что и позволяет рассматривать их как информацию ограниченного доступа или конфиденциальную информацию.

В этой связи можно лишь напомнить о том, что автор не ставит целью рассмотрения правового режима персональных данных в целом, как сравнительно сложной разновидности информации, которая может быть как общедоступной, так и ограниченного доступа.

Резюмируя сказанное, а также в целом содержание первой главы настоящей работы, в которой уже было дано исчерпывающее понятие персональных данных как разновидности информации, объектом специального правового режима персональных данных как информации ограниченного доступа следует рассматривать отношения, возникающие в связи с обработкой «конфиденциальных персональных данных» - т.е. персональных данных, в отношении которых на основании положений закона о персональных данных установлено требование о соблюдении их конфиденциальности и, как следствие, распространяется правовой режим их конфиденциальности.

Правовое положение субъектов правового режима конфиденциальности персональных данных. Круг субъектов специального правого режима персональных данных крайне широк и его субъектами могут быть физические и юридические лица, государственные органы, органы местного самоуправления и т.д. Однако специфика правового режима персональных данных ориентирована на разделение всего круга потенциальных субъектов на несколько основных групп, к которым их следует отнести на основании анализа положений закона о персональных данных:

• Субъект персональных данных - всегда физическое лицо, информация о котором содержится в информационной системе персональных данных.

• Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.

• Уполномоченный орган по защите прав субъектов персональных данных.

Учитывая характер настоящего исследования и его цели, т.е. рассмотрение отношений, складывающихся по поводу конфиденциальных персональных данных, в этот перечень можно внести некоторые коррективы.

Как и в случаях с другими разновидностями конфиденциальной информации основными участниками таких отношений следует признать: - обладателя информации (тайны) и конфидента, которому она доверяется, т.е. которому предоставляется доступ к информации. Применительно к отношениям по поводу персональных данных, очевидно, этими лицами будут субъект персональных данных - обладатель и оператор - конфидент. Именно этот факт обуславливает достаточно типичную систему отношений между ними, которую можно описать схемой «обладатель - конфидент».

Основным отличием таких отношений является, как правило, возможность обладателя определять правила и порядок доступа к информации, фактически определять режим информации - ограничить доступ к ней или сделать общедоступной; он также вправе требовать соблюдения ее конфиденциальности в случае передачи ее конфиденту - оператору. В результате отличием правового положения субъекта персональных данных как участника рассматриваемых отношений следует считать наличие у него, как у обладателя, безусловного права на определение режима своих персональных данных, т.е.:

- сохранить их в тайне (в режиме личной, семейной тайны, тайны частной жизни и т.д.), если иное не предусмотрено законом;

- передать их оператору на условиях сохранения их конфиденциальности (для оператора эти сведения могут находиться в условиях режима иной тайны: служебной тайны, банковской тайны, налоговой тайны и т.д.). Отметим, что необходимость сохранения конфиденциальности данных презюмируется на основании закона;

- сделать эти сведения общедоступными, т.е. распространить на них режим общедоступной информации.

Напротив, правовое положение оператора как конфидента будет обусловлено обязанностью по сохранению конфиденциальности персональных данных, которая является необходимым условием их обработки и не может быть отменена им по собственному усмотрению.

Наличие в системе отношений по обработке персональных данных органа по защите прав субъектов персональных данных обусловлено спецификой самих отношений, учитывая, что одной из сторон отношений по обработке персональных данных является индивид, который зачастую не обладает существенными возможностями по контролю за оборотом информации о себе и соблюдению в целом режима персональных данных операторами, которых может насчитываться многие десятки, если не сотни и даже тысячи. В этом отношении орган по защите прав субъектов персональных данных выступает органом административного контроля (надзора) за соблюдением законодательства о персональных данных операторами и обеспечивает защиту прав субъектов персональных данных, что обуславливает специфику его правого статута.

В то же время в отношениях по обработке персональных данных и обеспечения их конфиденциальности присутствуют и другие субъекты, часть из которых лишь частично упоминается в законе о персональных данных:

- работник, состоящий в трудовых отношениях с оператором и имеющий доступ к персональным данным в рамках исполнения своих должностных обязанностей¹;

- лицо, ответственное за организацию обработки персональных данных в организациях^{[242] [243] [244]};

- лицо, осуществляющее непосредственно обработку персональных данных по поручению оператора (обработчик персональных данных) в рамках гражданско-правового договора, государственного или

3

муниципального контракта .

Очевидно, что все перечисленные выше субъекты имеют прямую связь с оператором и действуют от его имени или в его интересе и как следствие их правовой статус характеризуется в первую очередь обязанностью по соблюдению конфиденциальности персональных данных, к которым они имеют доступ в силу трудовых или гражданско-правовых отношений с оператором. Последний факт часто объясняет установление ответственности оператора за их действия перед субъектом, и наоборот^[245]. Отметим, что указанные субъекты были введены в законодательство не так давно, начиная с середины 2011 года^[246], и их появление стало результатом вполне справедливой критики в адрес законодателя. Упоминание об «обработчике» персональных данных как субъекте отношений в сфере персональных данных можно встретить у Ю.В. Травкина^[247].

В целом круг субъектов специального правового режима персональных данных можно представить следующим образом (см. рис.4):

Рис. 4.

Отметим, что поскольку персональные данные достаточно универсальная категория и могут быть объектом как публично-правовых отношений (формирование государственных автоматизированных систем и другие случаи), так и частноправовых отношений (отношения по продвижению товаров и услуг на рынке), то соответственно положение субъектов может быть как равным, так и неравным. В действительности предоставление персональных данных зачастую является необходимым условием получения государственных, муниципальных и иных услуг, вступления в договорные отношения, а также неисчислимого количества иных случаев. В то же время, даже в случае отношений частного характера, сохраняется безусловное требование, обращенное к оператору по соблюдению конфиденциальности данных, а также иные обязанности перед субъектом персональных данных и уполномоченным органом, за исключением установленных законом случаев^[248].

Подробнее о правовом статусе каждого из субъектов отношений по обработке персональных данных будет сказано далее.

Комплекс способов правового регулирования и средств юридического воздействия. Наиболее типичными способами правового регулирования принято считать дозволение, запрещение, позитивное обязывание. Как правило, в рамках конкретного правового режима используется не один, а несколько способов в определенном сочетании или комплексе, при этом часть из них может доминировать, что может свидетельствовать о степени «жесткости» правового режима. Вполне уместным можно считать в этой связи классификацию режимов, предложенную А.В. Деминым:

- «явочный режим - режим государственного невмешательства, свободы выбора поведения;

- регламентационный - государство формирует правовое пространство, в рамках которого - также свобода выбирать поведение;

- уведомительный - предусматривающий информирование государства о выбранном поведении;

- договорный - поведение строится в соответствии с условиями соглашения;

- регистрационный - предусматривающий обязанность зарегистрировать выбранное поведение;

- разрешительный - предусматривающий обязанность получить разрешение на выбранное поведение;

- распорядительный - поведение строится на основании прямых указаний государства;

- запретительный - режим государственной монополии либо запрет определенных вариантов поведения»^[249].

Очевидно, что с такой позиции следует характеризовать правовой режим того или иного вида информации в целом, учитывая, что фактически в рамках правового режима могут быть использованы все способы правового регулирования в различной степени.

Наиболее существенное значение в определении способов и конечном итоге характера правового режима играет его конечная цель, которая должна быть достигнута путем установления такого режима. Не является исключением в этом случае и правовой режим персональных данных, который направлен на обеспечение информационной безопасности личности через возможность ограничения свободы информации в части оборота информации персонального характера.

Учитывая также общий характер отношений по поводу персональных данных как информации ограниченного доступа, можно говорить скорее о регламентационном характере режима персональных данных в целом, в том числе конфиденциальных. Такой вывод обусловлен в значительной степени характеристиками правового статуса субъекта персональных данных, который вправе выбрать в установленных законом рамках наиболее оптимальный, по своему усмотрению, режим своих персональных данных (конфиденциальные и общедоступные персональные данные).

С точки зрения оператора персональных данных, рассматриваемый режим следует характеризовать скорее как уведомительный, поскольку закон связывает деятельность по формированию и обработке персональных данных с необходимостью уведомления о таковой уполномоченного органа по защите прав субъектов персональных данных, подразумевая, хоть это прямо и не указано в законе, что субъект персональных данных лично и добровольно передает ему данные, действуя в своем интересе, при условии сохранения их конфиденциальности.

2005. - С. 377.

2.3.