Александр Савельев - Научно-практический постатейный комментарий к Федеральному закону «О персональных данных»

Следует отметить, что схожие по существу критерии направленности деятельности также приведены в комментариях, размещенных на официальном сайте Роскомнадзора 22 22 См.: Комментарий к Федеральному закону от 21 июля 2014 г. № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях». C. 15. URL: https://pd.rkn.gov.ru/library/p195/. К сожалению, этот документ не содержит указания на авторов данного комментария. .

3.3. Вышеуказанные критерии были применены на практике при рассмотрении спора о внесении интернет-сайта социальной сети LinkedIn в Реестр нарушителей прав субъектов персональных данных и блокировании доступа к нему на территории РФ в связи с нарушением обязанности по локализации отдельных процессов обработки персональных данных в соответствии с ч. 5 ст. 18 Закона о персональных данных (см. комментарий к ней). Удовлетворяя указанное требование, суд указал на то, что «о направленности интернет-сайта www.linkedin.com на территорию РФ свидетельствует наличие русскоязычной версии интернет-сайта. При этом интернет-сайт допускает возможность использования рекламы на русском языке, что дополнительно свидетельствует о включении российской аудитории в сферу бизнес-интересов владельца сайта» (Определение Московского городского суда от 10 ноября 2016 г. по делу № 33-38783/2016). Как видно, суд руководствовался вторым базовым критерием в совокупности с дополнительным критерием в виде наличия рекламы на русском языке. К этому следует добавить, что пользовательские соглашения указанного сервиса были доступны и на русском языке, а также что наличие факта использования географического доменного имени « linkedin.ru », с которого осуществлялась переадресация на сайт « linkedin.com », позволяло говорить о применении и первого базового критерия направленности деятельности на территорию России.

3.4. Критерий направленной деятельности как условие распространения законодательства о персональных данных на иностранное лицо, не имеющее присутствия на территории страны ‒ члена Европейского Союза, пришел на смену критерию местонахождения оборудования, содержащемуся в ст. 4 (1) Директивы 1995 г. 23 23 В соответствии со ст. 4 (1)(с) Директивы 1995 г. государство − участник ЕС применяет свое национальное законодательство о персональных данных, если «оператор учрежден не на территории ЕС и в целях обработки персональных данных использует оборудование, расположенное на территории такого государства − участника ЕС (если только такое оборудование не используется исключительно для целей транзита по территории Сообщества)». Данный подход был признан неудовлетворительным, поскольку: 1) достаточно много споров вызывает понятие «оборудование»; 2) распространение облачных сервисов со свойственным им динамическим распределением вычислительных мощностей в зависимости от конкретных потребностей заказчика и распределенным хранением данных в различных дата-центрах вызывает существенные трудности в применении этого критерия; 3) он создает условия для обхода обременительных требований Европейского Союза посредством искусственного подчинения правоотношения правопорядку другого государства, на территории которого находятся соответствующие мощности. См.: Opinion 8/2010 On Applicable Law. Article 29 Data Protection Working Party. 16 December 2010. , и был имплементирован в европейское законодательство Регламентом 2016 г., в соответствии со ст. 3 (2) которого указанный Регламент распространяется на процессы обработки персональных данных, связанные c:

a) предложением товаров или услуг безотносительно к наличию встречной обязанности по их оплате лицам, проживающим на территории Европейского Союза, или b) мониторингом поведения таких лиц в той мере, в какой такое поведение имеет место на территории Европейского Союза (этот критерий касается различного рода интернет-сервисов, которые осуществляют сбор пользовательских данных в целях их последующего использования для предоставления таргетированной рекламы).

Таким образом, европейское законодательство о персональных данных приобретает в значительной степени экстерриториальный характер, в связи с чем в литературе отмечается, что единственным легальным способом не соблюдать положения Регламента 2016 г. является решение о неведении бизнеса в странах Европейского Союза 24 24 Calder Alan. EU General Data Protection Regulation (GDPR) аn Implementation and Compliance Guide. IT Governance Publishing. 2016. Kindle Edition (Kindle Locations 3-5). .