Персональные данные — обман, чтобы набрать классы?

N. B. Статья подготовлена в свободное от работы время и не отражает позиций бывших, текущих и будущих работодателей.

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Во всяком случае, так написано в п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ, который был принят в связи с присоединением Российской Федерации к Конвенции о защите физических лиц при автоматизированной обработке персональных данных от 1981 года. С тех пор прошло много времени, подходы могли поменяться и поменялись, чему и посвящена эта статья.

Мы привыкли к тому, что DPO от мала до велика говорят о необъятности концепции персональных данных, о том, что к ним относится "любая информация, связанная с субъектом, в том числе позволяющая воздействовать на него любым образом". Так ли это?

На самом деле, объем понятия "персональные данные" на практике гораздо уже, чем может показаться. Суды неоднократно подчеркивали это, однако сообщество пока, видимо, не готово принять неизбежное. 

Разберу на конкретных примерах информации ограниченного (или не очень ограниченного) доступа.

Номер телефона — не персональные данные

Позиция, вызывающая многочисленные споры, ведь, казалось бы, что может быть более персональным, чем номер телефона физического лица, посредством которого он взаимодействует с цифровым и не очень цифровым обществом по поводу получения различного рода благ и информации? Это бытовая логика, правовая логика — принципиально иная.

Дело в том, что номер телефона — идентификатор, который даже не является первичным. Немного упрощая, можно сказать, что оператор связи использует пару "номер телефона и IMSI", чтобы предоставлять ему услуги связи. При этом номер телефона, согласно Постановлению Правительства РФ от 09.12.2014 № 1342, идентифицирует отнюдь не субъекта персональных данных (физическое лицо),  что подтверждается и судебной практикой, включая, например, Определение Верховного Суда РФ от 21.07.2023 № 305-ЭС23-12160 по делу № А40-139096/2022 об отказе в передаче жалобы в Судебную коллегию Верховного Суда Российской Федерации.

Если подумать, действительно, номер телефона просто не может быть персональными данными, так как в силу прямого указания закона относится к устройству, вещи, а не физическому лицу.

Посмотрим дальше.

Адрес электронной почты — не персональные данные

Казалось бы, очевидный тезис, однако, как и с номером телефона, судебная практика принимает на себя бремя корректировки практики исполнения обязательных требований.

Адрес электронной почты — всего лишь имя почтового ящика, используемое провайдерами услуг электронной почты для адресации сообщений, которые могут как иметь персонализированный характер, так и не иметь его. 

Более того, электронная почта может использоваться совсем не тем лицом, чьи данные указаны в ее наименовании, может не содержать указания на какое-либо лицо в принципе или может использоваться несколькими лицами одновременно.

Наконец, адрес электронной почты может быть изменен не только при изменении использующего / использующих его лица / лиц,  но и в случае изменения архитектуры сервиса, предоставляющего услуги электроннной почты, например, если какой-либо домен будет исключен из портфеля провайдера.

Данные выводы также подтверждаются судебной практикой, включая уже упомянутое Определение Верховного Суда РФ от 21.07.2023 № 305-ЭС23-12160 по делу № А40-139096/2022.

IP-адрес и MAC-адрес — не персональные данные

Ситуация с техническими сетевыми идентификаторами еще проще, ведь маршрутизаторы всех видов и мастей не просто "не знают" физических лиц, но в принципе не оперируют такими понятиями, на сетевом уровне все более-менее равны и анонимны, ведь идентификации по общему правилу подлежат только сетевые устройства, которые также относятся к категории вещей, а не физических лиц.

Более того, одним устройством может пользоваться несколько лиц, что исключает относимость к персональным данным в силу принципа точности персональных данных — то, что относится не к субъекту, а к субъектам, не может быть персональными данными одного из них, что подтверждено судебной практикой, включая, например, Определение Первого кассационного суда общей юрисдикции от 25.05.2022 по делу № 88-11406/2022.

Дальше — больше!

Идентификаторы cookie-файлов и иные синтетические технические идентификаторы — не персональные данные

Тут логика становится немного сложнее, но следовать ей для профессионала не должно составить труда. 

Во-первых, персональные данные как институт и соответствующее регулирование направлены на защиту неприкосновенности частной жизни, личной и семейной тайны. Это значит, что защите подлежат сведения, относящиеся к "личной сфере" гражданина в то время, как синтетические идентификаторы, включая cookies, относятся к сформированным или формирующимся между гражданином и еще одним лицом правоотношениями. Идентификатор, который присвоил гражданину сервис, предоставляемый коммерческой организацией, — элемент архитектуры взаимодействия, но никак не сведения о частной жизни этого гражданина.

Во-вторых, большая часть идентификаторов касается субъекта (физическое лицо) только опосредованно, ведь cookie-файлы, например, относятся к браузеру, которым, как и сетевым адресом, могут пользоваться многие, а ID в системе относится к личному кабинету, регистрация которого происходит с помощью номера телефона или адреса электронной почты, также не относящихся к персональным данным.

В-третьих, персональные данные — данные физического лица, а синтетические ID могут быть в одностороннем порядке изменены сервис-провайдером, назначившим их назначены другому личному кабинету, заменены на ID другого синтаксиса или даже удалены в любое время.

Если разобраться с этими подходами, дальше будет проще.

ИНН и данные ИП — не персональные данные

Позиция, подтверждающаяся правоприменением, но, по всей видимости, требующая разъяснений. 

ИНН имеет ту же природу, что и синтетические идентификаторы, так как используется для систематизации информации в информационных системах уполномоченных органов, то есть, является техническим идентификатором, прокси-значением, а не персональными данными, возможно, скрытыми за ним.

С данными ИП все еще проще и опирается на ту же концепцию, определенную ст. 2 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных",  — защиту неприкосновенности частной жизни, личную и семейную тайну. В соответствии с гражданским законодательством индивидуальный предприниматель осуществляет коммерческую деятельность на свой риск, в связи с чем говорить о рисках нарушения неприкосновенности частной жизни коммерсанта, чья деятельность направлена на извлечение дохода из имущественного фонда третьих лиц, не приходится. 

Что еще?

Паспортные данные — не персональные данные

Хоть и контринтуитивно, но также подтверждается судебной практикой.

Паспортные данные относятся к бланку документа, то есть, опять же, относятся к вещи, а не к физическому лицу, что дословно подтвержается, например, Постановлением Седьмого арбитражного апелляционного суда от 19.03.2018 №№ 07АП-1435/2018 по делу № А45-31679/2017

Персональные данные — у нас в голове!

Если посмотреть судебную практику и разъяснения профильных уполномоченных органов, посетить некоторые вебинары и профессиональные встречи, станет понятно, что большая часть информации, которую принято считать персональными данными, к ним, к сожалению или к счастью, не относится.

Попались? Конечно, все это — персональные данные. Меньше читайте таких статей... Пожалуйста!