Право в сфере Интернета

1) федеральные и региональные органы власти: суды могут предоставлять брокерам информацию о банкротстве тех или иных лиц; миграционная служба – данные о смене мест жительства граждан; избирательные комиссии – данные об избирателях (п. 12 ст. 16 Закона об основных гарантиях избирательных прав и права на участие в референдуме граждан Российской Федерации; данные о регистрации недвижимого имущества того или иного лица могут быть получены из ЕГРП и т.д. Стоит заметить, что многие из указанных источников информации недоступны для информационных брокеров в Российской Федерации в силу ограничения законодательством распространения некоторых видов информации[125 - Справочная информация: «Перечень нормативных актов, относящих сведения к категории ограниченного доступа» // СПС «Консультант Плюс» (дата обращения: 27.02.2017).];

2) публично доступные источники информации: более половины информационных брокеров собирают данные (телефонные номера, адреса, иные контактные данные) с помощью информации, которую индивид сам о себе размещает в Интернете, в том числе в социальных сетях;

3) коммерческие организации: информацию о покупках индивида, его денежных тратах, подписках на журналы или газеты информационные брокеры получают у магазинов, издателей печатной продукции, телекоммуникационных компаний. Кроме того, некоторая информация может быть получена от другого информационного брокера[126 - Federal Trade Commission. Data Brokers: A Call for Transparency and Accountability, May 2014 (URL: https://www.ftc.gov/system/fLles/documents/reports/data-brokers-call-trans-parency-accountability-report-federal-trade-commission-may-2014/140527databrokerreport. pdf (дата обращения: 26.02.2017)).].

Правовая квалификация договора, на основе которого информационный брокер осуществляет свою деятельность, зависит от правовой квалификации данных.

В литературе изложены различные точки зрения, согласно которым данные (в том числе персональные данные) могут быть квалифицированы как, во-первых, объекты интеллектуальной собственности (произведение, база данных или ноу-хау (ст. 1225 ГК РФ)), во-вторых, как услуга или, в-третьих, как объект гражданских правоотношений.

1. Квалификация информации в качестве объекта интеллектуальной собственности (исключительных прав) в целом не получила поддержки в отечественной доктрине.

По поводу квалификации информации в качестве произведения отрицательно высказывался В.А. Дозорцев. Он считал, что информация хотя и содержится в произведениях, охраняемых авторских правом, сама по себе еще не является таковым, поскольку не обладает характерными для произведения признаками, в частности, творческим началом[127 - Дозорцев В.Л. Интеллектуальные права: Понятие. Система. Задачи кодификации. М.: Статут. 2003. С. 234.]. Кроме этого, авторское право охраняет форму, а не содержание произведения, в то время как для защиты персональных данных имеет значение именно содержание (ФИО лиц, конкретные вкусовые предпочтения, конкретные геолокации и т.п.).

Признание информации и персональных данных в качестве ноу-хау также было раскритиковано. Это объясняется тем, что режим ноу-хау предполагает отсутствие у третьих лиц свободного доступа к охраняемым сведениям (ст. 1465 ГК РФ), в то время как большая часть персональных данных, собранных информационными брокерами, получена из социальных сетей, т.е. из общедоступных источников. Кроме того, информация, являющаяся ноу-хау, должна иметь ценность в силу ее неизвестности третьим лицам, что весьма спорно в отношении персональных данных хотя бы потому, что эти сведения доступны самому субъекту персональных данных как источнику этих данных, так и на законном основании – другим лицам (гл. 2 Закона о персональных данных).

По мнению М.А. Рожковой, для того чтобы база данных стала объектом авторского права, необходимо, чтобы отбор и компоновка ее составляющих соответствовали такому признаку, как креативность[128 - Рожкова М.А. Интеллектуальная собственность: основные аспекты охраны и защиты: учеб, пособие. М.: Проспект, 2017. С. 41.]. Это вполне соответствует деятельности информационных брокеров, поскольку они классифицируют персональные данные таким образом, что появляются новые группы лиц: граждане «за чертой бедности», «из многодетных семей», «получающие доход выше среднего» и пр. Но авторско-правовую охрану получают не сами данные, включенные в базу, а именно их систематизация, позволяющая находить и обрабатывать эти данные[129 - Там же. С. 40.].

Для того чтобы база данных охранялась как объект смежных прав, как подчеркивает М.А. Рожкова, она должна стать результатом существенных финансовых, материальных, организационных или иных вложений (инвестиций) и содержать не менее 10 тыс. самостоятельных информационных элементов[130 - Там же. С. 75.].

База данных, создаваемая информационным брокером, как правило, превышает указанный объем информационных элементов. Но здесь встает вопрос факта существенных финансовых, материальных, организационных или иных затрат при создании базы данных. Дело в том, что до настоящего времени этот момент нередко ставился под сомнение со ссылкой на то, что базы данных «собираются» из информации, ставшей доступной компании при осуществлении ее основного вида деятельности[131 - Войникас Е.А., Калятин В. О. База данных как объект правового регулирования: учеб, пособие для вузов. М.: Статут, 2011. С. 70—71.]. В качестве примера приводится телефонная компания, создавшая подборку телефонных номеров абонентов, их фамилий, имен и адресов, что вряд ли влечет для этой компании существенные затраты.

Однако информационный брокер как изготовитель базы данных обычно может «похвастаться» вложением колоссальных затрат в создание и поддержание подборки информации, поскольку именно этот вид деятельности для него основной. В то же время если компания (например, занимающаяся перепродажей данных, полученных от осуществления основного вида деятельности, для достижения цели создания) выступит на рынке в качестве информационного брокера, то здесь, действительно, сложно говорить о существенных затратах на создание базы данных.

Таким образом, если база данных, созданная информационным брокером, отвечает указанным критериям инвестиционных вложений и объема данных, то она может рассматриваться в качестве объекта смежных прав. Это позволяет изготовителю базы распоряжаться принадлежащим ему исключительным правом и заключать, в частности, лицензионные договоры на использование базы данных (и. 1 ст. 1334 ГК РФ).

В остальных случаях можно сделать вывод о невозможности классификации договора по передаче данных в качестве лицензионного договора.

На практике же договоры о передаче персональных данных обычно именуются лицензионными. При этом суды не рассматривают вопрос квалификации персональных данных в качестве того или иного объекта исключительного права.

Например, договор, заключенный между ООО «Юниверсал Мьюзик» и UMG «Рекордингс Сервисиз Инк», по условиям которого Центр передавал исключительные права в отношении личных данных артистов, именовался договором о предоставлении исключительных прав (лицензионным договором)[132 - Постановление Второго ААС от 18.10.2016 № 02АП-8828/2016 по делу № А82-4938/2016.].

2. Получила развитие точка зрения, согласно которой массив данных, обрабатываемых информационным брокером, представляет собой услугу[133 - Begoli Е., Gunasekaran R., Horey J., Ыт S., Nutaro J. Big Data Platforms as a Service: Challenges and Approach // Computational Sciences & Engineering. Oak Ridge National Laboratory (URL: https://www.usenix.org/system/files/conference/hotcloudl2/hotcloudl2-final61. pdf (дата обращения: 27.02.2017)).]. Например, в случае если компания предоставляет клиентам сервис, с помощью которого возможен анализ больших объемов данных.

Следование такой точке зрения позволяет применять конструкцию ст. 779 ГК РФ, которая регламентирует договор возмездного оказания услуг и нормы которой распространяются и на информационные услуги.

В то же время признается, что такая конструкция применима лишь к отношениям информационного брокера и клиента, поскольку их правоотношения соответствуют определению договора возмездного оказания услуг. Информационный брокер, выступая на стороне исполнителя. совершает определенные действия (предоставляет облачный сервис в пользование заказчику), а клиент, будучи заказчиком, оплачивает оказанные услуги.

В то же время вряд ли возможно квалифицировать в качестве договора возмездного оказания услуг саму деятельности информационных брокеров по сбору данных. В этом случае нет деятельности, осуществляемой в интересах заказчика, – информационный брокер сам выступает в роли некоего заказчика. При этом платит он не за предоставление права (т.е. не за факт заключения договора), а за фактически потребленные мощности[134 - Савельев А.И. Правовая природа облачных сервисов: свобода договора, авторское право и высокие технологии // Вестник гражданского права. 2015. T. 5. № 5.].

Выбор договора возмездного оказания услуг позволяет также учесть и вопросы качества предоставляемого сервиса, применяя общие положения о договоре подряда (ст. 783 ГК РФ). В договоре может быть уточнено, какие именно услуги предоставляются заказчику, каким образом услуга будет оказана, кто будет ответствен за исполнение, за перебои в оказании услуги и пр.

В российской судебной практике дела, связанные с предоставлением персональных данных граждан путем использования программного обеспечения как сервиса, еще не встречались. Однако практика квалификации предоставления доступа к программному обеспечению в качестве договора возмездного оказания услуг уже сформировалась. Таким образом был квалифицирован договор между ГУЗ «Городская поликлиника № 8» (заказчик) и ОАО «Ростелеком» (исполнитель) по предоставлению сервиса ИС МИС[135 - Постановление Четвертого ААС от 19.12.2014 № 04АП-4738/2014 по делу № А78-5032/2014.], между ОАО «Ростелеком» (Исполнитель) и ГУЗ «Калганская центральная районная больница» (заказчик) на использование информационной системы «Медицинская информационная система»[136 - Решение АС Забайкальского края от 26.01.2015 по делу №А78-14182/2014.].

3. Анализируя природу договора о передаче данных, нельзя обойти стороной конструкцию непоименованного договора в контексте животрепещущего вопроса о том, является ли информация объектом гражданских прав.

С введением в действие части четвертой ГК РФ информация была исключена из ст. 128, посвященной объектам гражданских прав. В литературе до сих пор ведутся дискуссии относительно целесообразности изменения законодательства[137 - Савельев Л.И. Направления эволюции свободы договора под влиянием современных информационных технологий // Свобода договора. М.: Статут, 2015.], причем высказывается мнение, что отныне информация не вписывается в систему гражданско-правовых отношений[138 - Вошыкас Е. Право интеллектуальной собственности в цифровую эпоху: парадигма баланса и гибкости. М.: Юриспруденция, 2013.].

Между тем думается, что поскольку гражданское законодательство состоит в том числе из федеральных законов (и. 2. ст. 3 ГК РФ), а Закон об информации упоминает допустимость для информации выступать в качестве объекта гражданских прав (ст. 11), то в теории возможно заключение непоименованного договора, объектом которого будет являться информация[139 - Инюшкын А.А. Информация в системе объектов гражданских прав и ее взаимосвязь с интеллектуальной собственностью на примере баз данных // Информационное право. 2016. № 4. С. 6.].

Такая трактовка представляется наиболее удачной, поскольку исключает искусственное приравнивание информации к объектам исключительных прав или к услуге. Но судебная практика не единодушна в отношении того, может ли информация выступать в качестве объекта гражданского права. Следствие признания того, что информация не подпадает в круг объектов гражданских отношений и, следовательно, не может выступать в качестве предмета непоименованного договора, приведет к тому, что такой договор будет являться незаключенным в связи с несоблюдением существенных условий договора (и. 1 ст. 432 ГК РФ).

Таким образом, форма взаимодействия информационных брокеров с «поставщиками данных» и с клиентами напрямую зависит от того, как законодатель квалифицирует информацию, в частности персональные данные: это может быть лицензионный договор, договор оказания услуг или непоименованный договор. Каждая из таких конструкций имеет свои достоинства и недостатки.

Сказанное позволяет настаивать на внесении изменений в законодательство в части определения правовой природы информации, что даст возможность определить вид договоров, на основании которых такая информация будет передана.

Кроме того, нельзя не заметить, что отсутствие регулирования деятельности информационного брокера как нового субъекта права не означает отсутствия необходимости такой регламентации. В настоящий момент правовой статус рассматриваемого субъекта может быть определен путем сопоставления ряда признаков, присущих компаниям – информационным брокерам, и тех конструкций, которые уже существуют в законодательстве. Однако такой подход представляется не слишком удачным в связи с тем, что существующие правовые нормы созданы для урегулирования деятельности других субъектов права, обладающих соответствующей спецификой. Таким образом, необходима разработка норм, определяющих деятельность информационных брокеров.

2.2. Правовой статус информационного брокера в контексте информационного права

Итак, предметом деятельности информационного брокера является информация (в частности, персональные данные), что обусловливает необходимость регулирования данного субъекта соответствующими нормами права. В настоящий момент российское законодательство об информации не содержит положений, которые в полной мере регулировали бы деятельность информационного брокера, однако анализ деятельности уже существующих брокеров показывает, что им присущи черты сразу нескольких субъектов права, которые упомянуты в Законе об информации.

В соответствии с действующим законодательством информационного брокера можно квалифицировать в качестве:

– во-первых, обладателя информации (ст. 6 Закона об информации).

Согласно п. 5 ст. 2 Закона об информации обладатель информации – это «лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам». Законом не ограничен перечень лиц, которые могут выступать в качестве обладателя информации: таковым может быть и юридическое лицо, и индивидуальный предприниматель. Следовательно, информационный брокер, получив информацию по договору с правом разрешать или ограничивать доступ к этой информации, может быть квалифицирован в качестве обладателя информации. Опрос, проведенный ФТК, показал, что большинство компаний, покупая и перепродавая данные, устанавливают в договорах ограничения относительно использования информации[140 - Federal Trade Commission. Data Brokers: A Call for Transparency and Accountability, May 2014 (URL: https://www.ftc.gov/system/fLles/documents/reports/data-brokers-call-trans-parency-accountability-report-federal-trade-commission-may-2014/140527databrokerreport. pdf (дата обращения: 14.02.2017)).], что подтверждает тезис о квалификации информационного брокера в качестве обладателя информации.

Статья 6 Закона об информации закрепляет перечень прав обладателя информации, которые в общем виде можно свести к следующим: установление порядка и условий доступа к информации, использование информации и защита от несанкционированного получения и использования информации[141 - Савельев Л.И. Комментарий к Федеральному закону от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и защите информации». М.: Статут, 2015.].

Осуществление права информационного брокера как обладателя информации устанавливать режим доступа к информации возможно на стадии перепродажи имеющихся данных третьим лицам. При этом обладатель информации не может произвольно ограничивать доступ к любой информации. В частности, ст. 5 ФЗ от 29.07.2004 № 98-ФЗ «О коммерческой тайне» закрепляет перечень сведений, в отношении которых коммерческая организация не может установить режим «коммерческой тайны»; определенные лимиты в отношении ограничения доступа к информации установлены и п. 4 ст. 8 Закона об информации.

В то же время информационный брокер как обладатель информации ограничен в действиях в отношении некоторых категорий данных. Согласно ст. 10 Закона о персональных данных обработка данных о национальной принадлежности, политических и религиозных взглядах, состоянии здоровья, интимной жизни ограниченна. Потенциально информационный брокер может собрать персональные данные специальной категории, например, путем получения согласия субъекта персональных данных на обработку его персональных данных (подп. 1 п. 2 ст. 10 Закона о персональных данных). Но для того, чтобы осуществить главную цель своей деятельности, т.е. извлечь прибыль за счет перепродажи данных, относящихся к категории специальных, информационный брокер должен получить от субъекта согласие на совершение любых действий с данными, в особенности на использование и передачу.

Квалификация информационного брокера в качестве обладателя информации позволяет ему использовать, в том числе распространять или передавать по договору, полученные данные на законном основании с условием соблюдения ограничений, установленных законодательством об информации и о персональных данных.

Правовой статус обладателя информацией предполагает обязанность принимать меры по защите информации от несанкционированного доступа, в том числе не допускать ее модификации. Возложение на информационных брокеров указанной обязанности представляется целесообразным в целях защиты интересов клиентов брокеров как слабых сторон договора, а также в целях защиты интересов субъектов персональных данных как лиц, теряющих контроль над данными, которые при грамотной обработке могут составить портрет того или иного лица.

Несмотря на то что квалификация информационного брокера в качестве обладателя информации накладывает определенные ограничения на предпринимательскую деятельность субъекта, они все же необходимы в целях защиты прав граждан, чьи данные подвергаются обработке[142 - Терещенко Л.К. Правовой режим персональных данных и безопасности личности // Закон. 2013. С. 37.];

– во-вторых, организатора распространения информации в сети Интернет (ст.10.1 Закона об информации);

Организатор распространения информации в сети Интернет (далее – ОРИвСИ) – это «лицо, осуществляющее деятельность по обеспечению функционирования информационных систем и (или) программ для электронных вычислительных машин, которые предназначены и (или) используются для приема, передачи, доставки и (или) обработки электронных сообщений пользователей сети Интернет» (и. 1 ст. 10.1 Закона об информации). В свою очередь, информационная система является не чем иным, как совокупностью содержащихся в базах данных информации и технологий, обеспечивающих ее обработку.

Принимая законопроект о регулировании деятельности организатора распространения информации в сети Интернет, Государственная Дума руководствовалась необходимостью борьбы с терроризмом[143 - Решение Комитета по безопасности и противодействию коррупции от 12.02.2014 № 91/3 (СПС «КонсультантПлюс» (дата обращения: 01.03.2017)).]. Действительно, преступники все чаще используют Интернет, социальные сети и мессенджеры для коммуникации, что, безусловно, дает основания возлагать дополнительные обязанности на определенных субъектов права. Страны Европы руководствовались теми же принципами, принимая аналогичный по содержанию акт – Директиву ЕС 2006/24/ ЕС «О хранении данных»[144 - Directive 2006/24/ЕС «On retention of data generated or processed in connection with the provision of publicly available electronic communication services or of public communications netowrks and amending Directive 2002/58/ЕС» // OJ L 105/54. 13.04.2006.], которая, несмотря на последующее признание неконституционной, была имплементирована в национальное законодательство большинства стран ЕС. Согласно этой Директиве организаторы обязаны хранить метаданные, т.е. данные о трафике, о местонахождении клиентов, другими словами, персональные данные пользователей.

Квалификация информационных брокеров в качестве ОРИвСИ представляется оправданной, поскольку деятельность брокеров направлена на получение и перепродажу именно тех данных, которыми обладают ОРИвСИ.

Широкая формулировка дефиниции ОРИвСИ позволяет квалифицировать информационного брокера (юридическое или физическое лицо) в качестве организатора распространения информации, обладающего правами на базы данных и чья деятельность преимущественно осуществляется в сети Интернет. Однако использование ОРИвСИ информационных систем в целях обработки электронных сообщений ставит под сомнение возможность квалификации информационных брокеров в качестве таковых.

Подзаконные акты, дополняющие нормы федерального законодательства, в частности Правила хранения данных[145 - Постановление Правительства РФ от 31.07.2014 № 759 «О Правилах хранения организаторами распространения информации в информационно-телекоммуникационной сети «Интернет» информации о фактах приема, передачи, доставки и (или) обработки голосовой информации, письменного текста, изображений, звуков или иных электронных сообщений пользователей информационно-телекоммуникационной сети «Интернет» и информации об этих пользователях, предоставления ее уполномоченным государственным органам, осуществляющим оперативно-розыскную деятельность или обеспечение безопасности Российской Федерации».], позволяют отнести к ОРИвСИ таких лиц, которые осуществляют функционирование коммуникационного интернет-сервиса. Это ограничивает круг лиц, которых можно отнести к ОРИвСИ, теми субъектами, которые позволяют взаимодействовать пользователям между собой.

В качестве ОРИвСИ регистрируются такие компании, как ООО «ВКонтакте», ООО «Мэйл.Ру», ЗАО «Мамба», ООО «Редакция журнала «Закон»», т.е. сервисы, предоставляющие возможность ведения дискуссий между пользователями[146 - Реестр организаторов распространения информации в сети «Интернет» // Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (URL: https://rkn.gov.ru/opendata/7705846236-InformationDistributor/ (дата обращения: 06.03.2017)).]. В то же время эти компании занимаются сбором, хранением, использованием и передачей метаданных, которые хотя и зашифрованы, но представляют интерес для профайлинга, поскольку показывают, кто с кем общался, в какой период времени, как долго происходило общение.

Однако анализ деятельности существующих компаний – информационных брокеров показывает, что, как правило, здесь взаимодействие происходит между пользователем и машиной. И только в случае если информационный брокер включает в свой функционал коммуникационные сервисы, позволяющие взаимодействовать пользователям между собой, он, без сомнений, будет подпадать под категорию ОРИвСИ.

С учетом изложенного можно сделать вывод о том, что не всякая компания, имеющая доступ к персональным данным пользователей и зарегистрированная в качестве ОРИвСИ, является информационным брокером. В то же время нельзя квалифицировать всех информационных брокеров в качестве ОРИвСИ – такой подход влечет возложение на информационного брокера ненужных обязанностей, в частности, по уведомлению Роскомнадзора об осуществлении деятельности (п. 2 ст. 10.1 Закона об информации);

– в-третьих, оператора информационной системы (п. 12 ст. 2 Закона об информации);