В беларусском суде легко проиграть дело о разглашении персональных данных

Государство как гарант конституционных прав и свобод устанавливает требования по защите персональных данных и гарантии защиты прав на неприкосновенность частной жизни, а также определяет права, обязанности и ответственность субъектов информационных отношений за нарушения таких требований.

Основа гарантий права на неприкосновенность частной жизни заложена в Конституции Республики Беларусь, где провозглашается:

"Каждый имеет право на защиту от незаконного вмешательства в его личную жизнь, в том числе от посягательства на тайну его корреспонденции, телефонных и иных сообщений, на его честь и достоинство" (ст. 28).

Правовой режим защиты информации о частной жизни и персональных данных физических лиц устанавливается законом "Об информации, информатизации и защите информации".

Закон направлен на регулирование не только вопросов защиты персональных данных, но и широкого круга общественных отношений, связанных с ними, объясняет эксперт Центра правовой трансформации Lawtrend Алексей Пономарёв.

Закон закрепляет основной принцип обработки персональных данных – получение согласия физического лица, к которому относятся персональные данные, на любое действие с персональными данными.

Следует отметить, что субъекты информационных отношений, получившие персональные данные в нарушение требований настоящего Закона и иных законодательных актов Республики Беларусь, не вправе пользоваться ими (ст. 32).

Однако в законодательстве не уточняется, каким способом может быть получено такое согласие, в частности - предполагается ли получение согласия в устной либо письменной форме, подразумевается ли согласие при заключении различных видов договоров. Исходя из практики, пункты о согласии на операции персональными данными часто содержатся в тексте договоров на оказание услуг, которым зачастую не уделяется должного внимания.

Отдельно законом закреплены особенности порядка принятия мер по защите персональных данных от разглашения.

"МТБанк" все-таки нарушил закон

Пример из практики: в случае с разглашением персональных данных клиентов "МТБанка", где в базе находилось более 5 тыс. анкет, произошла утечка информации.

Вот официальный комментарий ситуации со стороны руководства банка:

"Речь идет не о списке клиентов МТБанка, а именно о списке физических лиц, обращавшихся на сайт МТБанка с заполнением непосредственно на сайте электронных предварительных заявлений. Из содержания указанных заявлений нет возможности выяснить, каков итог их рассмотрения и стали ли в результате этого заявители клиентами банка или нет, а тем более получить сведения об условиях конкретных заключенных договоров".

В соответствии с законом (ст. 32), даже если персональные данные принадлежат не клиентам банка, а физическим лицам, которые согласились передать свои персональные данные банку, они все равно подлежит защите с применением систем защиты информации.

За нарушение правил защиты персональных данных и неприкосновенности частной жизни беларусское законодательство предусматривает административную и уголовную ответственность.

В частности, ст. 22.13 Кодекса об административных правонарушениях предусматривает наложение штрафа от 4 до 20 базовых величин за умышленное разглашение коммерческой или иной охраняемой законом тайны без согласия ее владельца лицом, которому такая коммерческая или иная тайна известна в связи с его профессиональной или служебной деятельностью.

Ст. 179 Уголовного кодекса предусматривает уголовную ответственность в виде штрафа, общественных работ или ареста за незаконные сбор либо распространение сведений о частной жизни, составляющих личную или семейную тайну другого лица, без его согласия, повлекшие причинение вреда правам, свободам и законным интересам потерпевшего. Кроме того, гражданином может быть подан гражданский иск о возмещении морального вреда вследствие нарушения права на неприкосновенность частной жизни (ст. 151, 152 Гражданского кодекса).

Права есть, как реализовать - непонятно

Беларусское законодательство в области защиты персональных данных имеет настолько разрозненный характер, что надлежащая реализация права на неприкосновенность частной жизни и защиты персональных данных при использовании новых технологий становится весьма проблематичной.

Путаница начинается уже в понятийной базе. С одной стороны, отсутствует четкое определение информации, относящейся к частной жизни. С другой - определение персональных данных является исчерпывающим, что не позволяет распространять его на другие категории информации, - прямо не указанные в зЗаконе, но позволяющие идентифицировать физическое лицо.

В законе "Об информации, информатизации и защите информации" информация, относящаяся к частой жизни физического лица, определена как информация, составляющая личную и семейную тайну, тайну телефонных переговоров, почтовых и иных сообщений, касающихся состояния его здоровья (ст. 18).

Более развернутое определение информации о частной жизни физического лица содержится в Инструкции о режиме доступа к документам, содержащим информацию, относящуюся к тайне личной жизни граждан, утвержденной приказом Комитета по архивам и делопроизводству Республики Беларусь от 3 июля 1996 г. № 21. Согласно ей, к тайне личной жизни граждан могут быть отнесены сведения, содержащиеся в архивных документах, использование которых без согласия заинтересованных лиц может нанести ущерб моральным и имущественным интересам граждан.

Перечислены следующие категории информации:

• о здоровье, семейных и интимных отношениях;

• об обстоятельствах рождения, усыновления, развода;

• о личных привычках и наклонностях;

• личная переписка и корреспонденция, дневниковые, телефонные, телеграфные, видео-, аудио- и другие виды сохранения информации;

• об имущественном положении, источниках доходов;

• о деятельности, содержащей коммерческую тайну;

• об интеллектуальной собственности (авторское право, изобретательское и патентное право, право на научные открытия, а также другие права, относящиеся к интеллектуальной деятельности в области производства, науки, литературы и искусства);

• сведения, разглашение которых создает угрозу личной безопасности граждан, безопасности членов его семьи и имущества;

• об участии граждан в действиях судебно-следственных органов в качестве обвиняемых, подсудимых, свидетелей и т.п.,  а также об обвинении в злоупотреблениях властью или служебным положением (кроме случаев, не подлежащих засекречиванию по ст.7 закона "О государственных секретах");

• о рассматривавшихся персонально в руководящих и контрольных органах КПБ делах морально-этического характера.

Фото-, видео- и IP-адрес – данные не личные?

Однако как определение, так и перечисленные в Инструкции категории относятся к информации, содержащейся в архивах, и применение данных норм, например, к правоотношениям, возникающим в сети Интернет, может быть проблематичным.

Под персональными данными понимается совокупность основных и дополнительных персональных данных, а также данных о реквизитах документов, подтверждающих основные и дополнительные персональные данные конкретных физических лиц (в соответствии с законом о регистре населения 21 июля 2008 г. № 418-З).

К основным персональным данным относятся: идентификационный номер; фамилия, собственное имя, отчество; пол; дата, место рождения; цифровой фотопортрет; данные о гражданстве (подданстве); данные о регистрации по месту жительства и месту пребывания; данные о смерти или объявлении физического лица умершим, признании безвестно отсутствующим, недееспособным, ограниченно дееспособным (ст. 8).

К дополнительным персональным данным относится информация: о родителях, опекунах, попечителях, семейном положении, супруге, детях физического лица; о группе крови; о прижизненном несогласии на забор органов и тканей для трансплантации при наступлении смерти; о высшем образовании, ученой степени, ученом звании; о роде занятий; о пенсии, ежемесячное денежное содержание, ежемесячной страховой выплате по обязательному страхованию от несчастных случаев на производстве и профессиональных заболеваний; о налоговых обязательствах; об исполнении воинской обязанности (ст. 10).

Очевидно, что понятие персональных данных в Республике Беларусь отличается от общепринятой практики понимания этой категории. Определение, закрепленное в законе, устанавливает исчерпывающий перечень сведений, относящихся к персональным данным. С одной стороны такая определенность позволит гарантировать защиту данных указанных категорий информации, с другой – закрепление исчерпывающего перечня исключает отнесение к персональным данным других категорий информации.

Например, в таком случае сложно определить, относятся ли к персональным данным фотографии, видеосъемка физического лица, IP-адрес в Интернете и ряд других сведений, не указанных ни в качестве основных, ни в качестве дополнительных персональных данных.

Можно предположить, что такие сведения подлежат защите в качестве информации, относящейся к тайне частной жизни физических лиц. Но отсутствие четкого определения не позволяет с надлежащей точностью установить, относятся ли такие сведения к информации о частной жизни. Отсутствие четкого понимания, что является персональными данными или сведениями, относящимися к частной жизни, угрожает непринятием надлежащих мер по их защите.

"Чувствительную" информации в беларусский закон не защищает

В мировой практике для защиты права на неприкосновенность частной жизни в основном оперируют понятием персональные данные. Кроме того, выделяют (в частности, в государствах-членах ЕС) особую категорию персональных данных – чувствительную информацию (sensitive personal data), обращение с которой требует особой правовой регламентации и более строгих мер защиты (ст. 8 Директивы ЕС). К такой информации может быть отнесена информация о расовом, этническом происхождении, религиозных убеждениях, политических взглядах, членстве в профсоюзах, о здоровье и сексуальной жизни.

В Республике Беларусь законодательное выделение особо чувствительных категорий информации отсутствует и адекватной защиты им не предоставляется. Достаточно вспомнить систему хранения медицинских карточек в поликлиниках и легкость получения  информации о здоровье гражданина. Сложно представить, насколько могут возрасти риски утечки "чувствительной" информации, если все медицинские данные будут объединены единой информационной системой.

Резюмируя, можно сделать вывод, что законодательство Республики Беларусь устанавливает основные гарантии права на неприкосновенность частной жизни и закрепляет базовые механизмы защиты персональных данных. Однако законодательное регулирование отличается запутанностью, отсутствует единый специализированный закон о защите персональных данных, что придает регулированию общественных отношений в сфере защиты персональных данных сегментарный и разрозненный характер.

Более того, реализация положений законодательства на практике оставляет желать лучшего, что подтверждается многочисленными нарушениями в этой области. Таким образом, вопрос, способно ли законодательство РБ надлежащим образом защитить право не неприкосновенность персональных данных от новых угроз, возникающих в связи с внедрением современных технологий обработки данных, остается открытым.

Что касается международного опыта в сфере защиты персональных данных граждан , то он ушел далеко вперед, в том числе и в соседних государствах (Россия и ЕС). В этих странах разработана богатая судебная практика, ведется постоянное совершенствование законодательства и подзаконных актов, разрабатываются рекомендации экспертов по применению правовых норм.