2.1. Закон о персональных данных не распространяется на обработку персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных. Появление данного исключения в российском законодательстве является следствием оговорки, сделанной Россией при ратификации Конвенции 1981 г., о неприменении ее положений к определенным категориям автоматизированных данных⁷, в связи с чем это исключение не противоречит международным обязательствам Российской Федерации. Аналогичное извлечение из сферы действия законодательства о персональных данных существует и в Европейском Союзе (ст. 3 (2) Директивы 1995 г., ст. 2 (2) (с) Регламента 2016 г.).

2.2. Понятия личных и семейных нужд в комментируемом Законе не конкретизируются. Представляется, что для толкования этих понятий можно обратиться к гражданскому законодательству и законодательству о защите прав потребителей, в которых также используются указанные термины. Так, одним из условий квалификации гражданина в качестве потребителя является приобретение товаров (работ, услуг) «исключительно для личных, семейных, домашних и иных нужд, не связанных с осуществлением предпринимательской деятельности»⁸. Как следствие, не является потребителем гражданин, приобретающий товары (работы, услуги) или использующий их в деятельности, которую он осуществляет самостоятельно на свой риск с целью извлечения прибыли. При этом под предпринимательской деятельностью понимается «самостоятельная, осуществляемая на свой риск деятельность, направленная на систематическое получение прибыли от пользования имуществом, продажи товаров, выполнения работ или оказания услуг лицами, зарегистрированными в этом качестве в установленном законом порядке» (п. 1 ст. 2 ГК РФ). Таким образом, если процесс обработки персональных данных физическим лицом направлен на осуществление предпринимательской деятельности, он не охватывается понятием «личных» и «семейных» нужд и подпадает под действие Закона о персональных данных. Факт получения разовой прибыли от деятельности, связанной с обработкой персональных данных физическим лицом, не должен сам по себе лишать возможности применения рассматриваемого исключения из сферы действия Закона о персональных данных, при условии, что отсутствуют нарушения прав субъектов персональных данных.

2.3. В отечественной доктрине отмечается, что понятие «личные нужды» следует понимать как «потребности, которые существуют у самого гражданина или лиц, связанных с ним личными (например, семейными) связями, и их удовлетворение никак не связано с удовлетворением потребностей неопределенного круга третьих лиц»⁹. Данная идея находит отражение в практике Суда ЕС. В деле Bodil Lindquist Суд указал, что распространение физическим лицом персональных данных третьих лиц в сети «Интернет» не подпадает под действие исключения об обработке данных для личных нужд, поскольку такие данные становятся доступными неопределенному кругу лиц (Bodil Lindqvist v. Åklagarkammaren i Jönköping, ECJ, Case C-101/01. 6 November 2003, [47]). Представляется, что данный подход вполне укладывается в нормы российского Закона о персональных данных, который содержит положение о неприменении исключения об обработке персональных данных для личных нужд с условием о ненарушении прав субъектов персональных данных. Распространение данных в сети «Интернет», их доступность неопределенному кругу лиц означают утрату контроля над дальнейшим использованием таких данных, что в совокупности с потенциальной возможностью их последующей обработки инструментами аналитики «больших данных» определенно затрагивает права субъектов персональных данных и в ряде случаев может их нарушать (например, при публикации одним лицом совместных фотографий в отсутствие согласия других присутствующих на них лиц). Следует отметить, что Регламент 2016 г. содержит несколько иной подход, согласно которому исключение об обработке персональных данных для личных нужд может применяться и к онлайн деятельности лица, в том числе при использовании социальных сетей (п. 18 Преамбулы). Пока не очень понятно, как будет соотноситься данное положение с правовой позицией Европейского Суда Справедливости, учитывая, что положения преамбулы формально не имеют юридической силы.

Представляется, что решение о применении или неприменении исключения об обработке персональных данных для личных нужд должно приниматься с учетом всех обстоятельств конкретного случая, при этом целесообразно учитывать степень доступности содержимого интернет-ресурса, в частности, настройки приватности (при их наличии)¹⁰.

2.4. В европейской судебной практике возник вопрос о возможности применения исключения об обработке для личных нужд персональных данных применительно к случаям установки лицом для целей охраны своей собственности камеры видеонаблюдения, которая осуществляет циклическую запись на жесткий диск происходящего, например, на улице перед домом. В деле František Ryneš Суд ЕС признал недопустимым распространение рассматриваемого исключения на подобного рода ситуации, поскольку такая обработка данных не ограничена пределами частных владений лица, направлена за его пределы и касается данных, полученных из публичных мест (улица), в связи с чем не является их обработкой, осуществляемой исключительно для личных и семейных нужд (František Ryneš v. Úřad pro ochranu osobních údajů, ECJ, Case C-212/13, 11 December 2014). Тем самым была подтверждена правомерность решения национального уполномоченного органа по защите персональных данных о нарушении субъектом, установившим камеру, положений об обработке персональных данных (отсутствие согласия прохожих на обработку, непредоставление им информации о целях и иных условиях обработки, неподача уведомления об обработке в уполномоченный орган).

Фактически Суд ЕС исходил из максимально ограничительного толкования исключения об обработке для личных нужд и высказался о несовместимости личных и семейных нужд с обработкой данных из публичных мест, особенно в тех случаях, когда она осуществляется на систематической основе. Следует отметить, что согласно действующему российскому законодательству граждане и юридические лица, не уполномоченные на проведение оперативно-розыскных мероприятий, не вправе устанавливать и использовать скрытые видеокамеры (технические средства для негласного визуального наблюдения)¹¹. В этой связи вряд ли можно рассматривать установку камер видеонаблюдения за публичными местами в качестве обработки персональных данных, осуществляемой для личных и семейных нужд.

Кроме того, возникает вопрос о правовом статусе доказательств, полученных посредством такой камеры, в случаях, когда положения законодательства о персональных данных были нарушены. Формально такие доказательства могут считаться полученными с нарушениями требований закона и, как следствие, недопустимыми в рамках производства по делу об административном правонарушении. Согласно ч. 3 ст. 26.2 КоАП РФ не допускается использование доказательств по делу об административном правонарушении, в том числе результатов проверки, проведенной в ходе осуществления государственного контроля (надзора) и муниципального контроля, если указанные доказательства получены с нарушением закона. Что касается уголовного процесса, то здесь все не так очевидно, поскольку ст. 75 УПК РФ признает недопустимыми доказательства, полученные с нарушением требований именно данного Кодекса , а не любого закона (ч. 1 ст. 75 УПК РФ). Однако нельзя совсем исключать ситуации, в которых нарушение требований законодательства о персональных данных в отношении участника уголовного процесса может быть «подогнано» под нарушение какого-либо требования УПК РФ.

2.5. Принимая во внимание вышеизложенные соображения, можно предположить, что под обработку персональных данных для личных и семейных нужд будут подпадать организация и использование списка контактов в телефонах или коммуникационных сервисах; хранение писем, содержащих персональные данные на компьютерных устройствах, и т.п. При этом, как представляется, использование чужих визитных карточек не подпадает под данное исключение, поскольку, с одной стороны, обычно сопряжено с профессиональной деятельностью субъекта персональных данных, а с другой – не охватывается понятием автоматизированной обработки или обработки без использования средств автоматизации и тем самым выпадает из-под действия Закона о персональных данных в силу ч. 1 комментируемой статьи, а не ее п. 1 ч. 2.

2.6. Согласно п. 2 ч. 2 настоящей статьи действие Закона о персональных данных не распространяется на отношения, возникающие при организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации. Данное положение корреспондирует ч. 3 ст. 4 Закона об информации, согласно которой порядок хранения и использования включенной в состав архивных фондов документированной информации устанавливается законодательством об архивном деле в Российской Федерации.

В число актов указанной отрасли законодательства входят Федеральный закон от 22 октября 2004 г. № 125-ФЗ «Об архивном деле в Российской Федерации» (далее – Закон об архивном деле) и принятые в соответствии с ним подзаконные нормативные правовые акты, законы и иные нормативные правовые акты субъектов Российской Федерации. Субсидиарное применение законодательства о персональных данных к рассматриваемым отношениям не предусмотрено, информационному законодательству, в отличие от гражданского законодательства, не известно понятие применения закона по аналогии при наличии пробела в регулировании.

В соответствии со ст. 3 Закона об архивном деле под архивным делом понимается деятельность государственных органов, органов местного самоуправления, организаций и граждан в сфере организации хранения, комплектования, учета и использования документов Архивного фонда Российской Федерации и других архивных документов. При этом под архивным документом понимается материальный носитель с зафиксированной на нем информацией, который имеет реквизиты, позволяющие его идентифицировать, и подлежит хранению в силу значимости указанных носителя и информации для граждан, общества и государства.

Разновидностью архивных документов являются так называемые документы по личному составу, которые отражают содержание трудовых отношений работника и работодателя. Государственные органы, органы местного самоуправления, организации и индивидуальные предприниматели обязаны обеспечивать сохранность архивных документов, в том числе документов по личному составу, в течение сроков их хранения: для документов по личному составу, созданных до 2003 г., – не менее 75 лет с момента создания; для документов, созданных после 2003 г., – не менее 50 лет с момента создания¹². В отношении иных документов необходимо руководствоваться специальными перечнями¹³.

Неприменение закона к отношениям по обработке персональных данных при организации хранения, комплектования, учета и использования архивных документов не означает, что право граждан на частную жизнь никак не учитывается. В данном случае применяется специальная норма ч. 3 ст. 25 Закона об архивном деле, согласно которой существует ограничение на доступ к архивным документам, содержащим сведения о личной и семейной тайне гражданина, его частной жизни, а также сведения, создающие угрозу для его безопасности. Данное ограничение устанавливается на срок 75 лет со дня создания указанных документов. С письменного разрешения гражданина, а после его смерти – с письменного разрешения наследников этого гражданина ограничение на доступ к архивным документам, содержащим сведения о личной и семейной тайне гражданина, его частной жизни, а также сведения, создающие угрозу для его безопасности, может быть отменено ранее чем через 75 лет со дня создания указанных документов.

Оценивая данное исключение из сферы действия Закона о персональных данных, нельзя не отметить его достаточно спорный характер. Оно не упоминается в Законе о ратификации Конвенции 1981 г., отсутствуют схожие положения и в общеевропейском законодательстве. Напротив, Регламент 2016 г. прямо упоминает архивные цели в качестве возможных целей обработки персональных данных (п. 73, 153 Преамбулы и другие положения). Вряд ли данное изъятие можно объяснить отсутствием в законодательстве об архивной деятельности понятия «электронный архив», в связи с чем оно не может регулировать автоматизированную обработку данных¹⁴, поскольку законодательство о персональных данных распространяется в том числе и на обработку персональных данных без средств автоматизации, поэтому отсутствие понятия «электронный архив» не может само по себе препятствовать его применению. По всей видимости, включение данного положения было продиктовано желанием сохранить сложившееся регулирование в области архивного дела и не инициировать глубокую его переработку в связи с появлением нового пласта регулирования. Однако попадание в сферу архивного законодательства документов, создаваемых в процессе отношений, которые при прочих равных условиях относятся к «компетенции» законодательства о персональных данных, например, документов, содержащих сведения о трудовых правоотношениях («документов по личному составу»), может повлечь правовые коллизии и правоприменительные ошибки. Куда более логичным было бы введение отношений по обработке персональных данных в архивной деятельности в общую орбиту законодательства о персональных данных с установлением ряда специальных норм, учитывающих особенности данной сферы.

2.7. Еще одним исключением из сферы действия Закона о персональных данных являются отношения по обработке персональных данных, составляющих государственную тайну, т.е. защищаемых государством сведений в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации. Данное исключение было предусмотрено в оговорке, сделанной при ратификации Конвенции 1981 г., о неприменении ее положений к определенным категориям автоматизированных данных¹⁵, в связи с чем это исключение не противоречит международным обязательствам Российской Федерации. Порядок отнесения сведений к государственной тайне и их правовой режим устанавливаются Законом РФ от 21 июля 1993 г. № 5485-I «О государственной тайне».

2.8. Четвертым и последним изъятием из сферы действия Закона о персональных данных являются отношения, связанные с предоставлением уполномоченными органами информации о деятельности судов в Российской Федерации в соответствии с Федеральным законом от 22 декабря 2008 г. № 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации». Данное исключение связано с действием принципа гласности судопроизводства. Однако его практическая реализация обладает спецификой в зависимости от типа суда, который вынес судебный акт.

Так, тексты судебных актов, принятых арбитражными судами, Конституционным Судом РФ и конституционными судами субъектов РФ, по общему правилу размещаются в сети «Интернет» в полном объеме.