В рассматриваемой ситуации центральное значение имеет вопрос о том, имели ли охранники магазина законное основание для размещения фотографии предполагаемого вора в социальной сети без его согласия. Фотография гражданина, полученная с камер видеонаблюдения, относится к персональным данным, поскольку позволяет идентифицировать личность. Оператором этих данных выступает магазин в лице его сотрудников. Прямой запрет на разглашение таких данных установлен в ст. 7 Федерального закона «О персональных данных»: при отсутствии у субъекта согласия или прямого указания закона распространять персональные данные нельзя. Охранники не испросили согласия субъекта, более того, публично назвали его вором, что не только нарушает конфиденциальность, но и порочит честь и достоинство. Поэтому уже на этом этапе усматривается нарушение.
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 7
Далее необходимо оценить, предусмотрено ли законом исключение, которое позволяло бы обработку без согласия с целью защиты от преступлений. Общий перечень оснований для обработки персональных данных дан в ст. 6 того же закона. Среди них основным является согласие субъекта (п. 1 ч. 1). Возможность обработки без согласия допускается, в частности, если она необходима для осуществления функций, возложенных на оператора законом (п. 2 ч. 1). Однако частная охранная деятельность магазина не включает публичное распространение фотографий подозреваемых в социальных сетях – такие действия не предусмотрены ни Законом о частной детективной и охранной деятельности, ни иными федеральными законами. Следовательно, ссылка охранников на «защиту от преступлений» не образует законного основания по ст. 6.
- Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
Следующий возможный аргумент – специальные категории персональных данных, для которых закон устанавливает более строгий режим. Фотография сама по себе не относится к специальным категориям (раса, здоровье, политические убеждения и т.п.), однако если бы охранники распространяли сведения о совершении преступления (кражи), то такие данные могли бы подпадать под категорию «информация о привлечении к уголовной ответственности». Но в данном случае кража ещё не подтверждена, а сам факт размещения фото с оскорбительной надписью не направлен на защиту жизни или здоровья (что требуется для исключения из ст. 10). Условия ч. 2 ст. 10 (необходимость для защиты жизненно важных интересов) здесь явно не выполняются, поэтому эта норма не может оправдать действия магазина.
Статья 10. Специальные категории персональных данных
- Обработка специальных категорий персональных данных, касающихся ... не допускается, за исключением случаев, предусмотренных частями 2 и 2.1 настоящей статьи.
- Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если:
- субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
...
- обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 10
Поскольку законные основания для обработки отсутствуют, действия охранников образуют состав административного правонарушения, предусмотренного ст. 13.11 КоАП РФ. Часть 1 этой статьи устанавливает ответственность за обработку персональных данных в случаях, не предусмотренных законодательством, а часть 2 – за обработку без согласия в письменной форме, когда такое согласие требуется (например, для биометрических данных или специальных категорий). Нарушение, допущенное магазином, подпадает под обе части, так как согласие не получено вовсе, а письменная форма согласия необходима при распространении данных, относящихся к совершению преступления (даже предполагаемого), – но как минимум подпадает под ч. 1.
Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных. 1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, ... влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей. 2. Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, ... влечет наложение административного штрафа на граждан в р
— Кодекс Российской Федерации об административных правонарушениях, ст. 13.11
Помимо административной ответственности, пострадавшее лицо вправе требовать компенсации морального вреда, поскольку публичное обвинение в краже (назвали «вором») является распространением сведений, порочащих честь, достоинство и деловую репутацию. Гражданский кодекс прямо устанавливает, что в таких случаях вред подлежит возмещению независимо от вины. Размер компенсации определяется судом с учетом конкретных обстоятельств, степени страданий и требований разумности и справедливости.
вред причинен распространением сведений, порочащих честь, достоинство и деловую репутацию
— Гражданский кодекс Российской Федерации (часть первая), ст. 1100
Статья 1101. Способ и размер компенсации морального вреда
- Компенсация морального вреда осуществляется в денежной форме.
- Размер компенсации морального вреда определяется судом в зависимости от характера причиненных потерпевшему физических и нравственных страданий, а также степени вины причинителя вреда в случаях, когда вина является основанием возмещения вреда. При определении размера компенсации вреда должны учитываться требования разумности и справедливости. Характер физических и нравственных страданий оценивается судом с учетом фактических обстоятельств, при которых был причинен моральный вред, и индивидуальных особенностей потерпевшего.
— Гражданский кодекс Российской Федерации (часть первая), ст. 1101
Наконец, общие положения об ответственности за нарушения в области персональных данных закреплены в ст. 24 Закона «О персональных данных». Она предусматривает, что помимо административного штрафа субъект данных может требовать возмещения морального вреда, причиненного вследствие нарушения правил обработки, причём такое возмещение осуществляется независимо от возмещения имущественного вреда.
Статья 24. Ответственность за нарушение требований настоящего Федерального закона
- Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность.
- Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 24
