Страница 38 из 49
Право, применимое к отношениям, возникающим при обработке персональных данных
Законодательство о персональных данных представляет собой комплексную отрасль, включающую как положения частноправового характера, основанные на принципах автономии воли (например, в части регулирования согласия субъекта персональных данных на обработку его данных, заключения договоров между оператором и лицом, осуществляющим обработку персональных данных по его поручению, и т. п.), так и положения публичного права (например, в части регулирования статуса уполномоченного органа по надзору и контролю в сфере персональных данных, требований к обработке данных и локализации). Кроме того, законодательство о персональных данных играет важную роль в обеспечении национальных интересов в сфере информационной безопасности. Все это обусловливает необходимость определения сферы применения законодательства о персональных данных по кругу лиц и территории в случае обработки персональных данных в сети «Интернет». Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) не содержит специальных положений на сей счет. Соответствующие разъяснения[314] были даны Минкомсвязи России, который является федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере обработки персональных данных (п. 1 Положения о Министерстве связи и массовых коммуникаций Российской Федерации[315]). В связи с этим их можно рассматривать в качестве изложения официальной позиции регулятора в сфере законодательства о персональных данных, хотя они формально не являются юридически обязательными для судов.
В соответствии с разъяснениями Минкомсвязи России, при осуществлении деятельности в сети «Интернет», которая в силу своего трансграничного, децентрализованного и виртуального характера не позволяет четко обозначить географические границы осуществления такой деятельности, необходимо установить специальные критерии, при которых она может быть отнесена к осуществляемой на территории РФ. Одной лишь доступности интернет-сайта на территории РФ недостаточно для вывода о том, что на него распространяется законодательство РФ, в том числе о персональных данных, поскольку в таком случае сфера его применения носила бы по существу всемирный характер и делала бы практически невозможным контроль за его деятельностью. В связи с этим, по мнению Минкомсвязи России, необходимо руководствоваться критерием направленной деятельности, который уже нашел свое отражение как в европейском, так и в российском законодательстве.
О наличии направленности интернет-сайта на территорию Российской Федерации могут свидетельствовать следующие обстоятельства: 1) использование доменного имени, связанного с Российской Федерацией или субъектом Федерации («.ru», «.рф.», «.su», «.москва», «moscow» и т. п.), и (или) 2) наличие русскоязычной версии интернет-сайта, созданной владельцем такого сайта или по его поручению иным лицом (использование на сайте или самим пользователем плагинов, предоставляющих функционал автоматизированных переводчиков с различных языков, не должно приниматься во внимание). При этом, поскольку русский язык широко используется в некоторых странах за пределами РФ, для определения направленности интернет-сайта именно на территорию РФ дополнительно необходимо наличие как минимум одного из следующих элементов: возможности осуществления расчетов в российских рублях; возможности исполнения заключенного на таком интернет-сайте договора на территории РФ (договоров доставки товара, оказания услуг или пользования цифровым контентом на территории России), использование рекламы на русском языке, отсылающей к соответствующему интернет-сайту, или иных обстоятельств, явно свидетельствующих о намерении владельца интернет-сайта включить российский рынок в свою бизнес-стратегию.
Таким образом, исходя из приведенной позиции Минкомсвязи России можно выделить два базовых и ряд дополнительных (вторичных) критериев, свидетельствующих о направленности деятельности иностранного интернет-сайта на территорию РФ.
Базовые критерии:
1) использование таким интернет-сайтом доменного имени, связанного с территорией РФ («.ru», «.su», «.рф») и ее регионами («.москва», «.moscow»). При этом необходимо именно фактическое использование такого доменного имени, т. е. «привязка» к конкретному интернет-сайту, в том числе посредством реализации функции «переадресации» (redirect) на интернет-сайт, зарегистрированный под функциональными доменами (вроде «.com»). Регистрация доменного имени для целей предотвращения киберсквотинга, не сопровождающаяся фактическим использованием, не должна приниматься во внимание для решения вопроса о сфере действия законодательства РФ о персональных данных[316]; либо
2) наличие русскоязычной локализованной версии такого интернет-сайта.
Вторичные критерии (используются в качестве дополнительных применительно ко второму базовому критерию):
1) возможность заключения договора с российскими пользователями; 2) возможность доставки товара или цифрового контента на территорию РФ;
3) оказание приобретаемой через интернет-сайт услуги на территории РФ;
4) возможность осуществления расчетов в российских рублях;
5) наличие русскоязычной рекламы данного интернет-сайта.
При этом для вывода о направленности деятельности русскоязычного интернет-сайта иностранного происхождения на территорию РФ достаточно установить наличие хотя бы одного из вышеперечисленных вторичных критериев.
Рассмотрим применение данных критериев на примерах.
1. Предположим, что имеется интернет-магазин, принадлежащий зарубежной компании, который использует доменное имя в зоне «.com». Интерфейс данного ресурса выполнен на английском языке, при этом отсутствует русскоязычная версия. Возможность размещения заказа и доставки товара (контента) существует для любых пользователей безотносительно к их национальной или географической принадлежности. При таких обстоятельствах данный интернет-магазин не подпадает под действие Закона о персональных данных, поскольку отсутствуют основные критерии направленности деятельности данного сайта именно на российских пользователей.
2. Интернет-магазин использует доменное имя в зоне «.com» и обладает русскоязычной версией. При этом он содержит оговорку о том, что товары и (сервисы) не предоставляются жителям на территории РФ, которая подкреплена иными мерами, явно свидетельствующими об отсутствии намерения осуществлять целенаправленную деятельность на территорию РФ (отказ в приеме к оплате банковских карт, выпущенных российскими банками; использование технологий геолокации с определением географической принадлежности IP-адреса пользователя с блокировкой возможности совершения заказа/доставки товара/получения контента пользователями с IP-адресами российских интернет-провайдеров). При таких обстоятельствах можно сделать вывод о том, что деятельность такого интернет-магазина не направлена на территорию РФ и что на деятельность по обработке персональных данных пользователей такого ресурса не распространяются требования Закона о персональных данных.
3. Интернет-сайт, представляющий собой социальную сеть, принадлежит иностранной компании и использует доменное имя в зоне «.com». При этом существует русскоязычная версия данного сервиса. Российский пользователь имеет возможность пользования данным сервисом, заключив пользовательское соглашение, которое переведено на русский язык. Кроме того, в иных русскоязычных интернет-сайтах предоставлена возможность авторизации через аккаунт рассматриваемой социальной сети. При таких обстоятельствах есть основания утверждать, что деятельность указанного интернет-сайта направлена на российских пользователей и в части обработки персональных данных должна соответствовать требованиям Закона о персональных данных.
314
http://www. yaz.ru/ru/personaldata/#1438546529980
315
Данное Положение утверждено постановлением Правительства РФ от 2 июня 2008 г. № 418 «О Министерстве связи и массовых коммуникаций Российской Федерации». В соответствии с п. 6.6. указанного Положения Минкомсвязи России имеет право давать государственным органам, органам местного самоуправления, юридическим и физическим лицам разъяснения по вопросам, отнесенным к сфере ведения Министерства.
316
Представляется, что в некоторых случаях, при наличии иных очевидных факторов, свидетельствующих о направленности на территорию РФ, во внимание может приниматься также и использование доменного имени, зарегистрированного в иных доменных зонах, но с использованием специального раздела «.ru» (например, «.сom.ru»).