Как суды и Роскомнадзор (РКН) определяют что является персональными данными, а что нет?

Как суды и Роскомнадзор (РКН) определяют что является персональными данными, а что нет?

Отрасль права: Гражданское право

24. 05. 2020 — 15: 27

Сфера практики: Разрешение споров

В ст. 3 ФЗ от 27. 07. 2006 N 152-ФЗ " О персональных данных" закреплено понятие “Персональные данные” (ПД), это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). В сущности, понятие не содержит в себе какой-либо помощи тому, кто пытается понять, что такое ПД.

С одной стороны, это дает определенную свободу Операторам ПД, но с другой стороны, это развязывает руки РКН и судьям при рассмотрении дел, связанных обработкой ПД. Ни один сотрудник РКН еще не дал однозначного ответа на вопрос, что является ПД, а что нет.

Постоянно возникают вопросы: являются ли адрес электронной почты, ID пользователя, IP адрес, файлы cookies, номер телефона, имя/фамилия, данные Яндекс метрики (ЯМ), Google аналитики (ГА) и др. персональными данными?

Все вышеуказанные данные уже были признаны ПД, но некоторые вопросы до сих пор остаются неразрешенными.

1. Файлы cookies - были признаны ПД в деле, многим известной, социальной сети Linkedin: Определение Московского городского суда от 10. 11. 2016 по делу № 33-38783/2016. Однако, помимо файлов cookies, в социальной сети Linkedin осуществлялся сбор таких ПД, как фамилия, имя, адрес электронной почты и иное.

Возникает вопрос - являются ли файлы cookies ПД сами по себе, или в совокупности с другими данными, такими как ФИО, адрес электронной почты и иные?

2. ID пользователя - было признано ПД Постановлением 13 ААС от 01. 07. 2016 по делу № А56-6698/2016. По обстоятельствам дела Оператор ПД ПАО " Ростелеком" поручил третьему лицу обработку следующих данных: Хэш-ID Пользователя; время просмотра web-страницы; URL; HTTP referer; User Agent; HTTP Cookie.

Как и в предыдущем кейсе - ID пользователя обрабатывалось в совокупности с другими данными. Будет ли ID пользователей ПД при их обработки автономно от иных имеющихся данных?

3. Данные ЯМ и ГА - были названы ПД при рассмотрении жалоб неизвестных лиц на сайт https: //2019. vote/, сайт А. А. Навального “Умное голосование”: Решение Таганского районного суда г. Москвы от 19. 12. 2018 по делу № 02-4261/2018. Вопрос политизированности решения и необходимости заблокировать сайт в данной статье не рассматривается.

ответчик и третьи лица используют сервисы Гугл Аналитикс и Яндекс Метрика, предназначенные для оценки посещаемости веб-сайтов и анализа поведения пользователей, их серверы также расположены на территории США, использование сервисов является действиями по сбору и обработке персональных данных

4. IP адрес. Стоит рассматривать отдельно статический и динамический IP адреса: Статический IP - является ПД; Динамический IP - не является ПД.

Хорошая аргументация и обоснование приведены в Решение Октябрьского районного суда г. Самары (Самарская область) от 24 сентября 2015 г. по делу № 2-5354/2015.

5. Адрес электронной почты (email). Существует огромное количество дел, в которых фигурирует email адрес, однако он обрабатывался в совокупности с какими-либо другими данными, будь то паспортные, ФИО, номер телефона и иные. На данные момент нельзя с уверенностью утверждать, является ли email адрес ПД или нет.

Существует точка зрения, что если email содержит в себе ФИО (например: lev. kusnetsov@gggg. ru), то он является ПД. Ну и тут возникает вопрос, чем тогда такой email адрес отличается от просто ФИО, которые не являются ПД (см. пункт ниже)?

6. ФИО (или отдельно Ф, И, О) и номер телефона - пожалуй, наиболее часто обрабатываемые данные.

В какой момент ФИО и номер телефона становятся персональными данными - не известно. По информации РКН (ответы на наиболее часто задаваемые вопросы https: //77. rkn. gov. ru/p3852/p13239/p13309/) - ни ФИО, ни номер телефона при рассмотрении обособленно от каких-либо других данные, не являются ПД. Но, как только Оператор обрабатывает данные в совокупности, например ФИО+телефон или ФИО+email - считается, что Оператор уже обрабатывает ПД.

К сожалению, законоприменительная практика по вопросам ПД разнится от случая к случаю и по многим вопросам существуют различные решения суда и РКН. Нет однозначного ответа, какая комбинация данных, по мнению законодательного и административного органов, является ПД, а какая нет.

Оператор может просто не успеть заметить, как его база не ПД превратилась в базу ПД, поэтому соблюдать ФЗ от 27. 07. 2006 N 152-ФЗ " О персональных данных" лучше всего с самого начала обработки данных пользователей. Тем более, что штраф за обработку ПД граждан РФ не на территории РФ уже был существенно увеличен в прошлом году (ч. 8 - 9 ст. 13. 11. КоАП), и не известны дальнейшие реформы законодательства в сфере данных в России.