Согласно ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», информация, содержащаяся в отзывах на 2ГИС и Яндекс Картах (например, имя, никнейм, аватар, текст отзыва), может быть признана персональными данными, так как относится к прямо или косвенно определенному физическому лицу — автору отзыва. Размещение скриншота такого отзыва в Instagram является действиями по распространению персональных данных неопределенному кругу лиц, что подпадает под понятие обработки персональных данных.
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 3) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных; 5) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3
Поскольку ООО «Вера пицца» намерено обрабатывать (распространять) персональные данные авторов отзывов, необходимо руководствоваться общим правилом ст. 6 того же Закона: обработка допускается, в частности, с согласия субъекта персональных данных. В данной ситуации согласие авторов отзывов отсутствует, а иные основания (п. 2–11 ч. 1 ст. 6) не применимы: отзывы не являются данными, необходимыми для исполнения договора, защиты жизни и т.п. Следовательно, обработка без согласия неправомерна.
- Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
Согласие, согласно ст. 9, должно быть конкретным, информированным, сознательным и однозначным. Авторы отзывов, публикуя их на платформах 2ГИС и Яндекс Карты, могли согласиться с условиями этих платформ, но это не означает согласия на дальнейшее распространение их персональных данных ООО «Вера пицца» в Instagram. Кафе не вправе полагаться на такое «транзитивное» согласие; доказательства получения согласия от каждого автора лежат на операторе (кафе).
- Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. ... 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
Принципы обработки, закрепленные в ст. 5, также нарушаются. Цель размещения скриншотов — информирование новых подписчиков и побуждение их оставлять отзывы — не является совместимой с первоначальной целью сбора отзывов (оценка заведения на платформе). Обработка не может быть признана законной и справедливой, а объем распространяемых данных (полный скриншот с ником и текстом) может быть избыточным для заявленной цели.
- Обработка персональных данных должна осуществляться на законной и справедливой основе. 2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. 4. Обработке подлежат только персональные данные, которые отвечают целям их обработки. 5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 5
Статья 7 прямо запрещает оператору раскрывать и распространять персональные данные без согласия субъекта. ООО «Вера пицца» как оператор (лицо, организующее обработку) получает доступ к отзывам из общедоступных источников, но это не снимает обязанности получить согласие на дальнейшее распространение.
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 7
Общедоступные источники персональных данных (ст. 8) регулируют порядок создания справочников и адресных книг. Отзывы на 2ГИС и Яндекс Картах не являются таким источником, созданным кафе; более того, включение персональных данных в общедоступный источник требует письменного согласия субъекта (ч. 1). Поскольку кафе не получало такого согласия, ссылаться на общедоступный характер информации для оправдания распространения нельзя.
- В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных. 2. Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 8
Помимо персональных данных, отзывы могут являться объектами авторских прав. Статья 1259 Гражданского кодекса РФ относит к объектам авторских прав литературные произведения, которыми признаются и тексты отзывов, если они носят творческий характер. Скриншот отзыва представляет собой воспроизведение этого произведения.
Статья 1259 ГК РФ определяет объекты авторских прав, включая литературные произведения. Отзывы клиентов могут быть признаны литературными произведениями, если они являются результатом творческого труда. Однако авторские права не распространяются на идеи, концепции, факты. Таким образом, использование отзывов может нарушать авторские права авторов, если отзывы являются творческими произведениями.
— Гражданский кодекс Российской Федерации (часть четвертая), ст. 1259
Свободное использование произведений без согласия автора допускается в случаях, установленных ст. 1274 ГК РФ, в том числе цитирование в информационных, научных, полемических целях. Однако размещение скриншотов отзывов в Instagram с целью привлечения внимания к кафе и побуждения новых подписчиков оставлять отзывы не отвечает этим целям (особенно если кафе использует отзывы в коммерческих интересах). Такое использование не подпадает под свободное цитирование.
Статья 1274 ГК РФ устанавливает случаи свободного использования произведений без согласия автора, в том числе цитирование в информационных целях (пп. 1). Однако размещение скриншотов отзывов в Instagram для побуждения к оставлению отзывов может не подпадать под цели, указанные в статье (научные, полемические, критические, информационные, учебные), и не является цитированием в смысле данной нормы, так как отзывы не являются произведениями в авторско-правовом смысле, а их использование в коммерческих целях не оправдано. Таким образом, статья не предоставляет правового основания для использования отзывов без согласия авторов.
— Гражданский кодекс Российской Федерации (часть четвертая), ст. 1274
Теперь необходимо оценить, будет ли такое размещение признано рекламой. Согласно ст. 2 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе», рекламой признается информация, адресованная неопределенному кругу лиц и направленная на привлечение внимания к объекту рекламирования, формирование или поддержание интереса к нему и его продвижение на рынке. Размещение в Instagram скриншотов положительных отзывов о кафе — даже если формально заявлена цель «информирования» — объективно привлекает внимание к заведению, формирует положительный образ и стимулирует потенциальных клиентов. Следовательно, это может быть квалифицировано как реклама.
- Настоящий Федеральный закон применяется к отношениям в сфере рекламы независимо от места ее производства, если распространение рекламы осуществляется на территории Российской Федерации. 2. Настоящий Федеральный закон не распространяется на: ... 3) справочно-информационные и аналитические материалы (обзоры внутреннего и внешнего рынков, результаты научных исследований и испытаний), не имеющие в качестве основной цели продвижение товара на рынке и не являющиеся социальной рекламой; ... 6) объявления физических лиц или юридических лиц, не связанные с осуществлением предпринимательской деятельности; ... 9) упоминания о товаре, средствах его индивидуализации, об изготовителе или о продавце товара, которые органично интегрированы в про...
— Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе», ст. 2
Изъятия, перечисленные в п. 2 ст. 2 (справочно-информационные материалы, объявления, не связанные с предпринимательской деятельностью, органичные упоминания), к данной ситуации не применимы: отзывы не являются обзорами рынка, кафе действует как коммерческая организация, а размещение отзывов вряд ли можно считать «органичным упоминанием». Таким образом, Закон о рекламе, скорее всего, распространяется на действия ООО «Вера пицца», что влечет дополнительные требования (например, маркировка «реклама», указание рекламодателя), однако в предоставленном контексте эти требования не раскрыты, поэтому данный аспект остаётся за рамками анализа.
Ответственность за нарушение законодательства о персональных данных предусмотрена ст. 13.11 КоАП РФ. Обработка персональных данных без согласия субъекта (если она не содержит уголовно наказуемого деяния) влечет административный штраф. Для юридических лиц размер штрафа составляет от ста пятидесяти тысяч до трехсот тысяч рублей (ч. 1). Если обработка осуществляется без письменного согласия в случаях, когда такое согласие должно быть письменным, наступает ответственность по ч. 2 этой статьи, однако в контексте приведен лишь фрагмент ч. 2, поэтому точный размер штрафа по ч. 2 здесь не указан, но риск существенного штрафа очевиден.
- Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, - влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
— Кодекс Российской Федерации об административных правонарушениях, ст. 13.11
Кроме того, ст. 24 Федерального закона «О персональных данных» устанавливает, что виновные лица несут ответственность в соответствии с законодательством, а моральный вред, причиненный субъекту персональных данных, подлежит возмещению. Автор отзыва может потребовать компенсации морального вреда за незаконное распространение его персональных данных.
- Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность. 2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 24
Таким образом, размещение скриншотов отзывов без согласия авторов влечет риски привлечения к административной ответственности по ст. 13.11 КоАП РФ (штраф до 300 000 руб.), а также возможные гражданские иски о компенсации морального вреда. Дополнительно может быть установлено нарушение авторских прав авторов творческих отзывов. Чтобы минимизировать риски, следует либо получить явное согласие каждого автора на распространение его отзыва, либо использовать обезличенные данные (без указания имени, ника, аватара) либо ссылаться на отзывы (например, давать ссылку на страницу заведения на 2ГИС, а не скриншот), либо цитировать отзывы в форме, не позволяющей идентифицировать автора.
