​СМИ vs Роскомнадзор. Как сделать журналистский материал и не нарушить закон о персональных данных?

Персональные данные (ПД) − это любая информация, прямо или косвенно относящаяся к физическому лицу, с помощью которой он может быть идентифицирован. Закрытого перечня таких данных не существует – к ним относят любые сведения, по которым можно идентифицировать человека: ФИО, паспортные данные, ИНН, СНИЛС, место работы и должность, сведения об образовании, имуществе и здоровье, cookie в браузере пользователя, семейное и социальное положение, а также изображение человека вкупе с другими данными. Для определения того, могут ли сведения идентифицировать человека важны скорее не сами данные, а их совокупность.

Редакции СМИ имеют дело с персональными данными, когда (1) распространяют сведения в журналистских материалах; (2) выступают операторами данных и занимаются их обработкой (например, данных своих сотрудников или подписчиков).

Здесь мы рассказываем о первом случае использования персональных данных.

С 2006 года в России действует закон «О персональных данных». Ответственность за нарушение законодательства о персональных данных закреплена в статье 13.11 Кодекса об административных правонарушениях.  Последние поправки в нее были внесены в 2021 году. Сейчас в статье выделено девять видов нарушений, а размер штрафов по отдельным составам увеличен до 18 млн рублей.

Контроль защиты ПД осуществляет Роскомнадзор, который имеет довольно широкие полномочия и может составлять протоколы об административных правонарушениях. Ведомство самостоятельно определяет, являются ли распространяемые сведения персональными данными. В случае выявления нарушения РКН выносит редакции предупреждение. После двух предупреждений в течение года Роскомнадзор имеет право обратиться в суд с иском о прекращении деятельности СМИ.

Абсолютно любые действия, совершаемые с персональными данными, называются их обработкой (сбор, хранение, распространение).

Закон закрепляет принципы обработки:

• Законное и справедливое основание обработки ПД.

Подразумевается, что работать с данными можно либо с согласия субъекта ПД, либо без согласия – в случаях, предусмотренных законом.

• Соответствие цели и объема данных.

Подразумевается, что содержание и объем публикуемых данных должны соответствовать цели публикации. Например, если журналист готовит материал о пропавшем человеке, не нужно давать о нем избыточную информацию (скажем, об отношениях с родственниками). В расследовании не всегда нужно публиковать сканы документов – часто достаточно упоминания о том, что документ имеется. Публикуемые личные данные должны «работать» на конкретные факты и отвечать общей идее материала.

Роскомнадзор в своей практике не относит к персональным данным ФИО или фото сами по себе, поэтому их можно публиковать без получения разрешения (при соблюдении требований ст. 152.2. Гражданского кодекса РФ). А вот фото вкупе с именем и/или должностью уже считаются персональными данными.

• Срок хранения данных.

Требование удалять данные после того, как достигнута «цель обработки» трудно применимо к журналистике. Но иногда применимо: если речь идет, например, о распространении ориентировок о розыске несовершеннолетнего. После того, как ребенок нашелся, онлайн-медиа следует удалить с сайта информацию, содержащую персональные данные.

Понятно, что получить у героя публикации согласие на публикацию ПД невозможно, если статья носит разоблачительный характер.

В законе есть оговорки, позволяющие публиковать данные без согласия человека:

1. При распространении общественно-значимой информации.
2. При осуществлении профессиональной деятельности журналиста.
3. Если персональные данные общедоступны (картотеки судебных дел, государственные реестры).
4. Если персональные данные содержатся в документах, подлежащих обязательному опубликованию в соответствии с федеральным законом: например, декларации чиновников о доходах.

Это — неполный перечень. Все исключения можно посмотреть в статье 6 Закона «О персональных данных».

Однако в законе указано, что перечисленные случаи не должны нарушать «права и свободы субъекта персональных данных». Из-за отсутствия четкого определения, какие права и свободы можно нарушить, Роскомнадзор очень широко трактует данную оговорку.

Закон допускает обработку ПД без согласия субъекта ПД для достижения общественно значимых целей (п. 7 ст. 6 152-ФЗ «О персональных данных»). Постановление Пленума Верховного Суда РФ от 15.06.2010 г. №16 «О практике применения судами закона «О СМИ» относит к общественным интересам не любой интерес, а потребность общества в обнаружении и раскрытии угрозы демократическому правовому государству и гражданскому обществу, общественной безопасности, окружающей среде.

Роскомнадзор самостоятельно не определяет наличие или отсутствие в публикации общественно значимых целей, поэтому журналисту стоит позаботиться о собственном обосновании общественного интереса и корреляции с этим интересом публикуемых личных данных, взятых, например, из Instagram конкретного чиновника.

Согласие на обработку ПД может быть получено в письменной либо иной форме, позволяющей подтвердить факт его получения. Такие формы согласия, как электронные письма, переписка в мессенджере, видео, аудиозапись, допустимы, но ненадежны.

Закон «О персональных данных» устанавливает случаи, когда письменное согласие является обязательным:

• создание общедоступных источников информации (справочников, адресных книг и т.д.);
• использование специальных категорий данных (раса, национальность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь);
• использование биометрических данных (фото- и видеоизображения, отпечатки пальцев, ДНК);
• трансграничная передача ПД в некоторые страны (те, которые не обеспечивают «адекватную» защиту персональных данных, по мнению Роскомнадзора);
• если обработка данных порождает юридические последствия.

Требования к письменной форме согласия установлена законом и должна обязательно содержать (ч. 4 ст. 9 ФЗ «О персональных данных): ФИО, адрес субъекта или его представителя, данные паспорта; наименование или ФИО и адрес оператора, получающего согласие субъекта ПД; цель обработки ПД; перечень ПД, на обработку которых соглашается человек; наименование или ФИО, адрес третьего лица, которому передают ПД; перечень действий с ПД, на совершение которых дается согласие; срок, в течение которого действует согласие, а также способ его отзыва; подпись субъекта ПД.

Кроме того, отдельное специально согласие, содержание которого утверждено Роскомнадзором, требуется при распространении персональных данных, разрешенных субъектом персональных данных для распространения. Дополнительное согласие нужно брать только в том случае, если вы распространяете собранные персональные данные для неопределенного круга лиц. Например, если на вашем сайте есть раздел «Сотрудники» или создаются профайлы блогеров, экспертов или пользователей.

Среди персональных данных выделяют «чувствительные» категории – специальные данные и биометрические данные. Для них предусмотрен еще более строгий порядок обработки.

Специальные ПД – это указание на расу, национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимную жизнь, судимость. Обработка таких сведений допускается только при наличии письменного согласия человека – кроме случаев, когда «чувствительные» данные общедоступны, и случаев, предусмотренных трудовым, пенсионным или страховым законодательством.

Биометрические ПД – это сведения, характеризующие физиологические и биологические особенности человека, с помощью которых можно установить его личность. Роскомнадзор к таким данным относит отпечатки пальцев, радужную оболочку глаза, анализы ДНК, рост, вес, а также фото и видеоизображение человека.

Фотография сама по себе не является ПД, однако если рядом с ней есть указание на имя и фамилию и/или должность, и вкупе эти сведения позволяют идентифицировать человека, то фото в данном случае будет «биометрическим ПД».

Кроме того, публикуя портретное фото, журналисту нужно помнить о праве на изображение. Об этом мы писали в серии Карточек об авторском праве.

Журналисты много работают с государственными общедоступными реестрами: картотеками судебных решений, ЕГРЮЛ, декларациями чиновников и т.п., часто совмещая в одной публикации сведения из разных источников.

Тут нужно помнить о возможных рисках – пока, к счастью, теоретических. В п. 3 ст. 5 ФЗ «О персональных данных» говорится, что «не допускается объединение баз данных, содержащих ПД, обработка которых осуществляется в целях, несовместимых между собой». Непонятно, насколько такая позиция может быть применима к профессиональной деятельности журналиста, чья прямая обязанность – использовать разные источники при поиске информации на общественно значимую тему.

При публикации информации о детях, их фотографий всегда необходимо письменное согласие родителей (опекуна).

Писать о детях-жертвах преступлений нужно особенно осторожно. Согласно ст. 4 закона «О СМИ», запрещается публиковать в СМИ и Интернете информацию о несовершеннолетнем, пострадавшем в результате противоправных действий (бездействия), включая ФИО, фото- и видеоизображения такого несовершеннолетнего, его родителей и иных законных представителей, дату рождения, аудиозапись голоса, место жительства или место временного пребывания, место учебы или работы, иную информацию, позволяющую прямо или косвенно установить личность несовершеннолетнего.

Исключения составляют случаи, когда распространение такой информации происходит в целях нужно для защиты прав и интересов несовершеннолетнего. Условия использования ПД в такой ситуации указаны в ст. 41 закона «О СМИ» - их можно распространять только с письменного согласия родителя (опекуна) ребенка. Если несовершеннолетнему исполнилось 14 лет, нужно получить два согласия: подростка и его родителей (опекуна). Если получить согласие невозможно, либо если законный представитель является подозреваемым или обвиняемым в совершении противоправных действий, допустимо использовать данные без согласия.

Те же условия действуют в ситуации, когда речь идет о несовершеннолетнем, совершившим преступление (административное правонарушение или антиобщественное действие) либо подозреваемым в его совершении.

Публикации о детях-жертвах сексуальных преступлений допускаются только в целях расследования преступления, установления лиц, причастных к совершению преступления, розыска пропавших несовершеннолетних. И только в объеме, необходимом для достижения указанных целей (ст. 41 закона «О СМИ»).

Публиковать такую информацию нужно в том объеме, в каком ее предоставляют правоохранительные органы. Не нужно публиковать избыточную информацию, например, писать о жизни ребенка с родителями или отношениях с одноклассниками. Кроме того, распространять эту информацию можно лишь в период проведения оперативно-розыскных мероприятий. Как только ребенок найден, следует ограничиться информацией, что «пропавший мальчик нашелся», и удалить информацию о розыске с сайта и из соцсетей.

Постарайтесь сохранять скриншоты ориентировок и писем правоохранительных органов – они страхуют СМИ от возможных претензий.

СМИ могут публиковать данные о подозреваемом или обвиняемом в преступлении (имя, фамилия, возраст, место преступления) в том объеме, в котором ее предоставляют официальные источники – следственные органы, прокуратура или МВД.  Не забывайте про скриншоты пресс-релизов, поскольку правоохранительные органы часто меняют или удаляют ранее распространенную информацию.

Редакция СМИ не несет ответственности за распространение ПД из официальных сообщений госорганов, информационных агентств, официальных ответах на журналистский запрос, материалах пресс-служб, правоохранительных органов и других организаций, интервью и публичных выступлений должностных лиц, а также если сведения являются дословным воспроизведением информации из другого СМИ.

Однако всегда следует проводить «тест на избыточность» распространяемых персональных данных и соответствие их целям публикации.

Итого, журналисту необходимо заручиться согласием субъекта данных либо соблюсти одно из четырех условий свободного использования ПД:

• распространение общественно-значимой информации,
• осуществление законной профессиональной деятельности журналиста,
• использование данных, обязательных к раскрытию.

Причем эти условия не должны нарушать «права и свободы субъекта персональных данных». Каждую публикацию нужно проверять на «избыточность», то есть следить, чтобы содержание и объем персональных данных соответствовали цели материала.