А.Р. Мухгалин,
магистрант факультета права НИУ ВШЭ

"Журнал Суда по интеллектуальным правам", № 20, июнь 2018 г., с. 27- 33

1 января 2016 г. вступил в силу Федеральный закон от 13 июля 2015 г. N 264-ФЗ «О внесении изменений в Федеральный закон ”Об информации, информационных технологиях и о защите информации» и ст. 29 и 402 Гражданского процессуального кодекса Российской Федерации”1. Данный акт закрепил в российском законодательстве «право на забвение»2, которое ранее было реализовано в решении Суда Европейского союза по делу Google Spain v. AEPD and Mario Costeja González 3.

Но несмотря на благие намерения законодателя, описанные в пояснительной записке к законопроекту4 а именно:

-

определение правового статуса оператора поисковой системы, непосредственно самой поисковой системы;

-

имплементация общеевропейской практики применения права на забвение в отечественное законодательство;

-

повышение уровня правовых механизмов защиты чести, достоинства и деловой репутации граждан.

Вышеназванный федеральный закон порождает на практике определенные проблемы для операторов поисковой системы, а в некоторых случаях - ограничивает право на информацию.

Для определения проблем при реализации отечественного «права на забвение» целесообразно обратиться к западному опыту и природе данного права.

Обычно «право на забвение» связывают с делом Google Spain v. AEPD and Mario Costeja González, рассмотренным Судом Европейского союза. Как следует из обстоятельств дела, в 1998 г. испанская газета La Vanguardia опубликовала в собственном печатном издании два объявления о принудительной продаже недвижимости гражданина Испании Mario Costeja González в связи с его задолженностью по социальному обеспечению. Данные объявления содержали имя и фамилию гражданина, а также впоследствии были опубликованы в сети «Интернет».

Спустя более чем через десять лет гражданин Costeja González обратился в Агентство по защите данных Испании (Spanish Data Protection Agency, AEPD) к La Vanguardia и Google Spain с требованием удалить объявления из сети «Интернет», а также ссылки из поисковой выдачи, так как информация, содержащаяся в объявлениях, устарела, - принудительная продажа имущества была завершена много лет назад.

Агентство по защите данных Испании, рассматривая жалобу González, с одной стороны, подтвердило позицию испанского издания La Vanguardia, указав, что газета правомерно опубликовала объявления о принудительной продаже имущества по заказу Министерства труда и социальных дел Испании. Но с другой стороны, агентство постановило, что компания Google, действуя как контролер данных, должна понести ответственность за информацию, доступную в поисковой системе5. После такого решения компания Google обратилась в Высокий суд Испании, который передал дело в Суд Европейского союза.

25 июня 2013 г. Генеральный адвокат в Европейском суде Niilo Jääskinen поддержал позицию компании Google, указав в своем заключении, что поисковая система Google не обязана удалять ссылки из поисковой системы, так как информация расположена в открытом доступе, а удаление такой информации (объявлений о принудительной продаже имущества, содержащих ссылки на идентификационные данные экс-владельца имущества) ограничивает свободу выражения мнения и нарушает принципы объективности информации6.

Тем не менее, несмотря на позицию Генерального адвоката в ЕС, Суд постановил, что компания Google как контролер информации обрабатывала персональные данные гражданина González. Аргументируя свое решение, Суд обратил внимание на ст. 12 (b) и 14(a) Европейской Директивы 95/467, где указано, что субъект данных может потребовать от контролера данных «стирание или блокировку данных, не соответствующих положениям Директивы, в частности, в связи с неполным или неточным характером данных», а также положение о праве субъекта данных подать возражение против обработки данных.

Суд также при рассмотрении дела исходил из того, что при разрешении проблемы соотношения свободы выражения мнений (свободы информации) (ст. 11 Хартии Европейского Союза об основных правах8) и права на уважение частной и семейной жизни (ст. 7 Хартии), право на защиту персональных данных (ст. 8 Хартии), последние две свободы (ст. 7-8 Хартии) в данном деле перевешивают9.

Кроме того, Суд Европейского союза проанализировал вопрос о балансе частных и общественных интересов, признав, что «право быть забытым» может быть предоставлено гражданину только в том случае, если отсутствует заинтересованность широкой общественности в доступе к информации10; а также если гражданин не представляет особой общественной роли11.

Анализируя такой фактор, как «роль в общественной жизни», Консультативный Совет Google, в свою очередь, позднее отметил, что в контексте «права на забвение» существует три вида субъектов, которые могут потребовать удалить информацию из поисковой выдачи12.

1. Лица, имеющие четкую социальную и общественную роль (clear roles in public life), например: политики, руководители, знаменитости, религиозные лидеры, звезды спорта и шоу-бизнеса. В силу своей общественной роли доступ к информации о деятельности вышеназванных субъектов не может быть ограничен, и «интерес широкой общественности к доступу к информации о них, как правило, будет преобладать»13.

2. Субъекты без заметной роли в общественной жизни (no discernable role in public life), - для таких лиц право на удаление информации из поисковой выдачи может быть оправдано.

3. Лица, имеющие ограниченную или специфичную роль в общественной жизни (limited or context-specific role in public life), то есть, например, директора школ, некоторые государственные служащие. Удаление данных из сети для такой категории субъектов будет зависеть от содержания самой информации14.

Дополнительно, основываясь на Директиве 95/46, Суд Европейского союза в п. 72 анализируемого решения также определил, что ссылки на данные о гражданине могут быть удалены контролером (в данное случае Google) из поисковой выдачи, если:

-

данные о субъекте несовместимы с изначальными целями и правилами обработки персональных данных, были получены контролером незаконно;

-

сведения о лице являются недостоверными и неактуальными;

-

информация о субъекте нерелеватна или чрезмерна избыточна.

По мнению Суда, именно такие критерии применительно к персональным данным определяют возможность реализации гражданином «права на забвение»15.

Впрочем, несмотря на положительный исход дела для гражданина Испании Costeja González и Агентства по защите данных Испании (AEPD), решение по рассматриваемому делу подверглось жёсткой критике по всему миру: например, основатель популярного сайта Wikipedia Джимми Уэйлс резко осудил решение, назвав его «удивительным» и «устанавливающим цензуру в сети «Интернет»16.

Зарубежные исследователи в области информационного права также раскритиковали решение, указав, что в нем не соблюдаются интересы контролеров, например Интернет-провайдеров и поисковых систем, так как контролерам данных потребуются дополнительные технические и финансовые затраты на поиск и удаление ссылок из поисковой выдачи, а также на разработку определенных критериев для разграничения лиц без заметной роли в обществе и лиц, выполняющих особую общественную роль.

Кроме того, российский исследователь Р.Т. Нуруллаев также подверг критическому анализу понятийный аппарат решения по делу Google Spain v. AEPD and Mario Costeja González, заметив, что «классификация операторов поисковых систем в качестве контролеров обработки индексированных персональных данных» является дискуссионной в силу двух обстоятельств18.

Во-первых, по мнению Р.Т. Нуруллаева, операторы поисковых систем на практике не могут выполнить все обязательства, возложенные на них как на контролеров данных в силу трудностей получения согласия на обработку персональных данных операторами поисковых систем, а также из-за технических особенностей функционирования поисковой системы19.

Во-вторых, достаточно широкое толкование понятия «обработка данных» порождает на практике проблемы при определении того или иного субъекта в качестве контролера данных. Так, в качестве обоснования данного тезиса Р.Т. Нуруллаев приводит пример того, что пользователи сети «Интернет» также могут быть определены в качестве контролеров данных, так как они [пользователи] производят поиск информации в поисковой системе и тем самым извлекают личные данные о субъекте из массива информации20.

При рассмотрении данного решения с критической точки зрения и позиции экономического анализа права, представляется верным привести мнение Р. Познера, который считает, что право на неприкосновенность частной жизни в контексте «права на забвение» - это форма корыстного экономического поведения, так как она позволяет умалчивать некоторые факты ради собственной выгоды21. На наш взгляд, с позицией Р. Познера следует согласиться в полном объеме, так как физическое лицо, как правило, лишь выборочно требует от контролера данных удаление нежелательной информации из поисковой выдачи, тем самым адаптируя результаты поиска под собственные нужды22.

Проиграв в данном деле, компания Google для целей выполнения решения суда по делу Google Spain v. AEPD and Mario Costeja González, а также под давлением европейских регуляторов, предприняла необходимые меры для минимизации судебных исков - запустила на собственном веб-сайте специальную онлайн-форму, посредством которой пользователь может обратиться к поисковому сервису с запросом об удалении приватной информации о себе из поисковой выдачи.

Возвращаясь к характеристике современного законодательства о «праве на забвение», в контексте ст. 17 Генерального регламента по защите данных (The General Data Protection Regulation (GDPR) (Regulation (EU) 2016/679)23 и российского аналога «права на забвение», закрепленного в ст. 10.3 Федерального закона «Об информации, информационных технологиях и о защите информации» (далее - Федеральный закон от 27 июля 2006 г. N 149-ФЗ24), представляется возможным сделать вывод, что отечественное «право на забвение» шире европейского «right to be forgotten» и реализуется в России с некоторыми особенностями.

Так, согласно ст. 10.3 Федерального закона «Об информации, информационных технологиях и о защите информации» (далее - Федеральный закон от 27 июля 2006 г. N 149-ФЗ), оператор поисковой системы на основании заявления гражданина обязан прекратить выдачу сведений о заявителе, если: 1) информация о заявителе распространяется с нарушением действующего законодательства; 2) информация является недостоверной; 3) информация о заявителе является неактуальной, утратившей «значение для заявителя в силу последующих событий или действий заявителя»25.

Федеральный закон N 149-ФЗ также устанавливает жесткий десятидневный срок для удовлетворения требования заявителя, то есть для удаления оператором поисковой системы ссылок, содержащих информацию о заявителе из поисковой выдачи, или, в случае отказа со стороны оператора поисковой системы, – направление мотивированного отказа заявителю. Кроме того ст. 10.3 Закона накладывает на оператора поисковой системы обязательство по сохранению конфиденциальности самого факта обращения гражданина к оператору поисковой системы.

Вместе с тем, сравнивая ст. 17 GDPR и ст. 10.3 Федерального закона от 27 июля 2006 г. N 149-ФЗ, можно отметить следующие проблемы и отличия в регулировании европейского «права на удаление данных» и российского «права на забвение».

Во-первых, исходя из содержания § 1 ст. 17 GDPR (п. (a-f) субъект данных может потребовать от контролера (рос. - оператора поисковой системы удалить персональные данные о субъекте в следующих случаях:

-

если персональные данные о субъекте являются избыточными и не отвечают целям обработки - п. (a) ст. 17 GDPR;

-

персональные данные о субъекте обработаны неправомерно - п. (d) ст. 17 GDPR;

-

обработка персональных данных субъекта не отвечает принципу точности данных и данные о субъекте являются неактуальными - п. (b, с, e, f) ст. 17 GDPR.

Таким образом, обобщая основания, указанные в ст. 10.3 Федерального закона N 149-ФЗ и ст. 17 GDPR можно увидеть, что отечественный законодатель по каким-то причинам расширил перечень оснований для удаления сведений о заявителе из поисковой выдачи, обозначив такие оценочные основания для удаления информации, как «информация, утратившая значение для заявителя в силу последующих событий и действий заявителя» и «недостоверная информация».

Во-вторых, как усматривается из положений GDPR ст. 17 GDPR базируется именно на законодательстве о персональных данных, тогда как ст. 10.3 Федерального закона N 149-ФЗ никак не связана с Федеральным законом от 27 июля 2006 г. N 152-ФЗ «О персональных данных»26, но при этом заставляет оператора поисковой системы удалять ссылки, содержащие фамилию и имя заявителя, а также устанавливает ответственность для оператора поисковой системы.

В-третьих, отдельного внимания заслуживает основание, указанное в п. 1 ст. 10.3 Федерального закона N 149-ФЗ как удаление оператором поисковой системы информации, которая является недостоверной. Как отмечает компания Яндекс в своем заключении и Блоге, поисковые системы вынуждены в некоторых случаях выполнять несвойственные им функции, а именно - проверять достоверность информации о заявителе29 и вследствие невозможности проверить достоверность информации о заявителе, операторы поисковых систем вынуждены отказывать заявителю.

Так, согласно статистическим показателям Google, общее число запросов об удалении информации со стороны российского сегмента сети «Интернет» за 2016 г. составило 6863 обращений, из которых на 73,2% запросов компания Google ответила отказом, удовлетворив лишь 26,8% обращений пользователей30.

Примерно похожие показатели в своем отчете привела и поисковая система Яндекс, указав, что из всех обработанных заявлений компания Яндекс удовлетворила (удалила ссылки на URL-адреса, которые пользователи потребовали исключить из результатов поиска) лишь 27% обращений, тогда как в 73% случаях отечественный поисковик ответил отказом (в том числе по 9% - частичным отказом). Как утверждает компания Яндекс, наибольший процент заявлений приходится на обращения об удалении ссылок «на достоверную, но неактуальную информацию» - 51% всех обращений, и на «обращения об удалении ссылок на недостоверную информацию» - 30%31.

В качестве одной из основных проблем при применении «права на забвение» операторами поисковой системы компания Яндекс приводит пример, когда заявитель требует от оператора поисковой системы удалить ссылки из поисковой системы, ведущие на информационный ресурс, на котором размещена информация о некачественно оказанной услуге. В такой ситуации оператор поисковой системы не имеет ни технической, ни правовой возможности проверить достоверность размещенной на информационном ресурсе информации32.

В-четверых, практика применения норм о «праве гражданина на забвение» показывает, что отечественное «право на забвение» в некоторых случаях конфликтует с правом на доступ к информации, а также ограничивает последнее, что в корне не согласуется с ч. 4. ст. 29 Конституции РФ. В качестве доказательства данного тезиса представляется верным указать, что ст. 10.3 Федерального закона N 149-ФЗ содержит лишь одно исключение, согласно которому оператор поисковой системы по требованию заявителя не обязан прекращать выдачу ссылок на информационные ресурсы, если такая информация содержит сведения о событиях, составляющих «признаки уголовно наказуемых деяний, сроки привлечения к уголовной ответственности по которым не истекли, и информации о совершении гражданином преступлении, по которому не снята или не погашена судимость»33. Между тем такое единственное исключение в российском законодательстве не согласуется с правовой позицией Суда Европейского союза по делу Google Spain v. AEPD and Mario Costeja González, где в Суд в качестве исключения выделил такой критерий, как роль в общественной жизни. Кроме того, положения ст. 10.3 Федерального закона N 149-ФЗ также не согласуются с § 3 ст. 17 GDPR, где установлен перечень оснований, когда «право на удаление данных» не должно работать для субъекта данных.

В соответствии с параграфом 3 ст. 17 GDPR к таким исключениям относятся случаи, когда данные необходимы:«

a)

для осуществления права на свободу выражения мнения и распространения информации;

b)

для соблюдения правовой обязанности ЕС или члена - государства ЕС, или для выполнения задачи, осуществляемой в общественных интересах, либо при осуществлении официальных полномочий, возложенных на контролера;

c)

для реализации общественных интересов в сфере социального здравоохранения;

d)

для архивных целей в общественных интересах, научных или исторических исследовательских целях, либо для статистических целей;

e)

для предъявления, исполнения или защиты правовых притязаний»34.

Обращаясь к российской практике, можно отметить некоторые дела, в которых заявителям успешно удалось воспользоваться правом на забвение.

Так, в 2016 г. бизнесмен Сергей Анатольевич Михайлов, используя ст. 10.3 Федерального закона N 149-ФЗ, добился от поисковой системы Яндекс и Google ограничения выдачи ссылок на веб-сайты в сети Интернет, где содержалась информация о деятельности бизнесмена35.

Другой пример – дело, рассмотренное Московским областным судом, в котором российский государственный деятель, экс-министр сельского хозяйства, так же успешно добился в судебном порядке «права быть забытым». Заявитель потребовал от поисковой системы удалить перечень ссылок, где содержалась информация о деятельности бывшего министра, сведения о возбужденном уголовном деле и т.д.36

Вместе с тем указанная отечественная практика реализации «права на забвение», на наш взгляд, не согласуется со ст. 17 GDPR, в которой указано, что субъект данных не может потребовать удаления информации, если обработка информации необходима «для осуществления права на свободу выражения мнения и распространения информации», «для архивных и статических целей, в общественных, научных или исторических интересах»37.

Кроме того, как было отмечено выше, нормы ст. 10.3 Федерального закона N 149-ФЗ, по нашему мнению, нарушают право на доступ к информации, так как оператор поисковой системы, согласно нормам Закона, обязан в режиме конфиденциальности сохранять факт обращения заявителя к оператору поисковой системы, а также не разглашать информацию о ссылках, которые были удалены из поисковой выдачи, тем самым вынужденно нарушая право на доступ к информации.

В заключение стоит отметить, что в целях унификации и гармонизации положений, регулирующих «право на забвение», целесообразно внести изменения в действующее законодательство, основываясь на положениях ст. 17 GDPR, так как текущая редакция ст. 10.3 Федерального закона N 149-ФЗ не согласуется с общеевропейской практикой регулирования права на удаление данных («права на забвение»).