Суть ситуации заключается в том, что неустановленное лицо (гражданин, работающий на таможне) сообщило субъекту персональных данных (пользователю), что приобрело его развернутое досье — паспортные данные, СНИЛС, ИНН и иные документы, охватывающие период в 20 лет. Эти данные, а также данные его родителей, были переданы дочери заявителя и направлены ему в личные сообщения. Приобретатель утверждает, что все эти сведения находятся в открытом доступе в интернете.
Юридически значимыми обстоятельствами здесь являются: факт сбора, приобретения и последующей передачи (распространения) персональных данных третьим лицам без согласия их субъекта; правовой режим таких сведений (даже если они оказались в сети, они не перестают быть персональными данными, защищенными законом); наличие у приобретателя статуса должностного лица таможенного органа, что может указывать на возможное использование служебного положения или специального доступа для получения информации, а также на превышение должностных полномочий, если доступ был получен незаконно.
Затронутые правоотношения относятся к области защиты персональных данных (Федеральный закон «О персональных данных»), а также к уголовному праву — в части возможного нарушения неприкосновенности частной жизни, незаконного сбора и распространения сведений о частной жизни лица (статья 137 УК РФ), незаконного доступа к компьютерной информации (статья 272 УК РФ), а применительно к должностному лицу — возможно, к превышению должностных полномочий (статья 286 УК РФ) или незаконному получению сведений, составляющих коммерческую, налоговую или банковскую тайну (статья 183 УК РФ), а также к иным составам, связанным с неправомерным доступом к охраняемой законом информации.
Юридически значимо: сам факт покупки готового досье, содержащего персональные данные, — даже если какие-то сведения действительно находятся в открытом доступе — не делает такое приобретение и дальнейшее использование законным. Действующее законодательство не предусматривает общего разрешения на сбор и обработку персональных данных только на том основании, что они «утекли» или были опубликованы в сети кем-то ранее. Согласие субъекта на обработку его персональных данных требуется всегда, за исключением строго ограниченных случаев, прямо указанных в законе (например, статистические или научные цели в обезличенном виде, исполнение договора и т.п.). Тот факт, что данные были переданы дочери заявителя и направлены ему самому, однозначно указывает на целенаправленное распространение — действие, которое без законного основания является незаконным.
Также существенна должностная принадлежность приобретателя: работа на таможне не дает права на бесконтрольный доступ к персональным данным граждан вне рамок служебных задач (например, для проверки грузов или лиц при пересечении границы). Если он получил данные, используя служебные базы, автоматизированные системы или связи, это квалифицируется как превышение полномочий или злоупотребление ими, а также нарушение режима государственной или служебной тайны. Если же он купил данные у третьих лиц в интернете — сам факт приобретения таких объемов и состава информации может указывать на участие в цепочке незаконного оборота персональных данных.
Таким образом, центральный элемент анализа — незаконный оборот персональных данных (сбор, хранение, использование, распространение) без согласия субъекта, совершенный лицом, обладающим потенциальным доступом к государственным информационным ресурсам, что существенно повышает риск злоупотреблений и требует проверки законности источника получения данных.
Приобретение и дальнейшее распространение ваших персональных данных (паспортные данные, СНИЛС, ИНН, документы) третьим лицом, как описано в ситуации, является незаконным. Ключевые нормы, подлежащие применению, изложены ниже в связном анализе с постатейным разбором.
Первоначально необходимо определить правовой режим сведений, ставших предметом сделки. В силу ст. 3 Федерального закона «О персональных данных» ваши паспортные данные, СНИЛС и ИНН относятся к персональным данным, поскольку представляют собой любую информацию, прямо или косвенно относящуюся к вам как к физическому лицу (субъекту персональных данных). Приобретатель, купив досье, осуществил сбор этих сведений, а передав их вашей дочери и загрузив в личные сообщения, — их распространение, что в совокупности является обработкой персональных данных.
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
1.1) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом;
- обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение,
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3
Общий запрет на обработку персональных данных без согласия субъекта установлен ст. 6 Закона № 152-ФЗ. Она допускает обработку только в исчерпывающем перечне случаев, среди которых в вашей ситуации отсутствуют: не было вашего согласия, не было необходимости для исполнения закона, договора или защиты жизни. Приобретение досье из интернет-источника, даже если данные там находились открыто, не подпадает ни под одно исключение, поэтому сбор и последующее распространение осуществлены незаконно.
- Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; ... 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключени
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
Прямое нарушение составляет и несоблюдение ст. 7 Закона № 152-ФЗ, которая обязывает любое лицо, получившее доступ к персональным данным, не раскрывать их третьим лицам без согласия субъекта. Приобретатель, передав досье вашей дочери и загрузив его в личные сообщения, нарушил эту норму, поскольку ни вы, ни ваши родители такого согласия не давали.
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 7
Утверждение приобретателя о том, что данные «есть в сети», не освобождает его от ответственности. Согласие на обработку персональных данных по ст. 9 Закона № 152-ФЗ должно быть конкретным, информированным и сознательным, даваться свободно. Сам по себе факт размещения данных в интернете без вашего прямого волеизъявления не является согласием, особенно если данные попали туда незаконно. Вы как субъект не совершали действий по их раскрытию.
Статья 9. Согласие субъекта персональных данных на обработку его персональных данных. 1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. ... 2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. ... 3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
С точки зрения гражданского законодательства, информация о вашей частной жизни (паспортные данные, сведения о семейном положении — передача дочери, досье за 20 лет) охраняется ст. 152.2 ГК РФ. Она прямо запрещает сбор, хранение, распространение и использование любой информации о частной жизни гражданина без его согласия. Исключение — если информация ранее стала общедоступной либо была раскрыта самим гражданином или по его воле. Однако в данном случае вы не раскрывали эти данные в таком объеме, а их появление в интернет-источнике не означает вашего согласия на их распространение третьими лицами. Приобретатель не может ссылаться на общедоступность, поскольку не установлено, что именно вы сделали их общедоступными.
- Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Не являются нарушением правил, установленных абзацем первым настоящего пункта, сбор, хранение, распространение и использование информации о частной жизни гражданина в государственных, общественных или иных публичных интересах, а также в случаях, если информация о частной жизни гражданина ранее стала общедоступной либо была раскрыта самим гражданином или по его воле.
— Гражданский кодекс Российской Федерации, ст. 152.2
Переходя к уголовно-правовой ответственности, действия приобретателя могут быть квалифицированы по ст. 137 УК РФ. Незаконное собирание сведений о частной жизни лица (покупка досье) и их распространение без согласия (передача дочери, загрузка личных сообщений) составляют объективную сторону преступления. Ваши паспортные данные, СНИЛС, ИНН в совокупности с документами за 20 лет и информацией о ваших родителях образуют личную и семейную тайну. Если будет доказано, что доступ к этим сведениям был получен с использованием служебного положения на таможне (например, через базы данных), то наступает ответственность по ч. 2 этой статьи — лишение свободы до четырех лет. Сама по себе должность на таможне не даёт права на бесконтрольный доступ к любым данным граждан; любые полномочия по доступу к персональным данным строго ограничены законом и служебными задачами.
- Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия ... наказываются штрафом ... либо лишением свободы на срок до двух лет. 2. Те же деяния, совершенные лицом с использованием своего служебного положения, - наказываются ... лишением свободы на срок до четырех лет.
— Уголовный кодекс Российской Федерации, ст. 137
Если приобретатель действительно использовал доступ к информационным системам таможни для получения ваших данных, это дополнительно может быть квалифицировано по ст. 272 УК РФ (неправомерный доступ к компьютерной информации) и ст. 285–286 УК РФ (злоупотребление/превышение должностных полномочий). Ст. 272 УК РФ устанавливает ответственность за копирование охраняемой компьютерной информации; если базы данных персональных данных таможни защищены законом, то использование служебного положения для их копирования влечёт более строгое наказание.
Статья 272. Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло копирование компьютерной информации, за исключением случаев, предусмотренных статьей 272.1 настоящего Кодекса, - наказывается штрафом в размере до двухсот тысяч рублей... 3. Деяния, предусмотренные частями первой или второй настоящей статьи, совершенные... лицом с использованием своего служебного положения, - наказываются штрафом в размере до пятисот тысяч рублей... с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет...
— Уголовный кодекс Российской Федерации, ст. 272
Даже если данные были получены не из служебных баз, а из открытого интернет-источника, сам факт последующего распространения (передача дочери) уже образует состав преступления. Административная ответственность по ст. 13.14 КоАП РФ наступает за разглашение информации с ограниченным доступом, если это не влечёт уголовной ответственности. Поскольку в вашем случае усматриваются признаки преступления, указанная норма может быть применена к иным участникам, но не исключает уголовного преследования.
Статья 13.14. Разглашение информации с ограниченным доступом Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14.33 и статьей 17.13 настоящего Кодекса, - влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей; на должностных лиц - от сорока тысяч до пятидесяти тысяч рублей или дисквалификацию на срок до трех лет; на юридических лиц - от ста тысяч до двухсот тысяч рублей.
— Кодекс Российской Федерации об административных правонарушениях, ст. 13.14
Для защиты своих прав вы можете реализовать механизмы, предусмотренные ст. 17 и ст. 21 Закона № 152-ФЗ. Вы вправе обжаловать действия приобретателя (как оператора) в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд. Также вы можете потребовать от приобретателя (если он фактически обрабатывает данные) блокирования, уточнения или уничтожения ваших персональных данных, поскольку обработка незаконна.
Статья 17. Право на обжалование действий или бездействия оператора
- Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
- Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 17
Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных. 1. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период пров
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 21
Гражданский кодекс предоставляет вам право на компенсацию морального вреда (ст. 151, 1099 ГК РФ) и возмещение убытков (ст. 1064 ГК РФ) в связи с нарушением ваших личных неимущественных прав (неприкосновенность частной жизни, личная и семейная тайна — ст. 150 ГК РФ). Поскольку достоверно установлено незаконное собирание и распространение ваших данных, вы вправе требовать от приобретателя компенсации за причинённые нравственные страдания.
Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
— Гражданский кодекс Российской Федерации, ст. 151
- Жизнь и здоровье, достоинство личности, личная неприкосновенность, честь и доброе имя, деловая репутация, неприкосновенность частной жизни, неприкосновенность жилища, личная и семейная тайна, свобода передвижения, свобода выбора места пребывания и жительства, имя гражданина, авторство, иные нематериальные блага, принадлежащие гражданину от рождения или в силу закона, неотчуждаемы и непередаваемы иным способом. 2. Нематериальные блага защищаются в соответствии с настоящим Кодексом и другими законами в случаях и в порядке, ими предусмотренных, а также в тех случаях и пределах, в каких использование способов защиты гражданских прав (статья 12) вытекает из существа нарушенного нематериального блага или личного неимущественного права и характера последствий этого нарушения. В случаях, если т
— Гражданский кодекс Российской Федерации, ст. 150
- Вред, причиненный личности или имуществу гражданина, а также вред, причиненный имуществу юридического лица, подлежит возмещению в полном объеме лицом, причинившим вред.
- Лицо, причинившее вред, освобождается от возмещения вреда, если докажет, что вред причинен не по его вине.
— Гражданский кодекс Российской Федерации, ст. 1064
Статья 1099. Общие положения
- Основания и размер компенсации гражданину морального вреда определяются правилами, предусмотренными настоящей главой и статьей 151 настоящего Кодекса.
- Моральный вред, причиненный действиями (бездействием), нарушающими имущественные права гражданина, подлежит компенсации в случаях, предусмотренных законом.
- Компенсация морального вреда осуществляется независимо от подлежащего возмещению имущественного вреда.
— Гражданский кодекс Российской Федерации, ст. 1099
Таким образом, приобретение ваших персональных данных из интернет-источника без вашего согласия незаконно. Ссылка приобретателя на открытый доступ не освобождает его от ответственности, так как согласие на обработку в таком порядке не предполагается. Его должность на таможне не предоставляет особых полномочий на доступ к личным данным граждан; любые его действия с использованием служебного положения, выходящие за рамки его трудовых функций, образуют самостоятельные составы преступлений (ст. 137 ч. 2, 272, 285, 286 УК РФ). Вам следует обратиться с заявлением в правоохранительные органы (полицию или СК) по факту незаконного сбора и распространения персональных данных, а также в Роскомнадзор и суд с требованиями о пресечении обработки, уничтожении данных, компенсации морального вреда и убытков.
