Подписан ФЗ от 30.11.2024 № 421-ФЗ, криминализирующий, говоря в общем, незаконный оборот персональных данных.
У нас появляется новая статья 272.1 с длинным названием и двумя составами внутри.
Пробежимся по ней и оценим риски (дисклеймер: я не оспариваю, наверное, нужности криминализации, а хочу лишь посмотреть, не хватили ли через край).
🔹Итак, упрощая текст, незаконные использование, передача (распространение, предоставление, доступ), сбор, хранение ПД, полученных путём неправомерного доступа к компьютерам или (внимание!) иным незаконным путём.
Вот у меня интуитивное ощущение, что «иным незаконным путём» будет приравниваться на практике к неустановленному пути – точнее, будет такая логика: законным путём не мог получить? – не мог, значит, получил каким-то неустановленным незаконным путём. А наказуемо, напоминаю, даже хранение само по себе (ладно было бы хранение с целью распространения).
И напоминаю, что ПД – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. То есть даже не тайна как в 137 статье…
Так и звучит приговор: «…получив в неустановленное время в неустановленном месте неустановленным способом, то есть способом незаконным, при отсутствии на то законных оснований, хранил на своём компьютере (телефоне) данные об ИНН Иванова…». И Иванов такой: не-не, я согласия ему не давал, откуда он это взял, не знаю.
И сразу средняя тяжесть в составе.
Дальше идут квалифицирующие признаки, и всё закономерно вырастает до тяжкого состава.
В части 4, к слову, есть трансграничная передача ПД – привет, облачные сервисы и сервера на территории иностранных государств! До восьми лет, к слову…
В статье есть примечание. Действие нормы не распространяется на случаи обработки ПД физическими лицами исключительно для личных и семейных нужд. Так, ну допустим. Это, как я понимаю, чтобы друг друга не пересажать за вбивание данных паспорта при покупке авиабилетов на всю семью, если перед этим у членов семьи не взято письменное согласие на обработку ПД. Потому что незаконный же способ получения! Ибо где согласие в письменной форме, которое должно быть по закону конкретным, предметным, информированным, сознательным и однозначным. Я сознательно утрирую, но всё же… Да, к слову, про личные и семейные нужды – а вот если, например, нам ПД нужны для иной благой цели? Ну например – мы же юристы, понимаем о чём речь – нам надо иск подать, а адреса ответчика у нас нет. До сего дня многие, закрыв глаза, в тг-ботах всё узнавали. Теперь ай-ай-ай, это статья.
И что теперь со ст. 137 УК? Она вообще жива теперь будет? Напоминаю, что по практике:
К таким сведениям относятся: фамилия, имя, отчество, дата и место рождения, пол, адрес места жительства, сведения из документа, удостоверяющего личность, идентификационный (регистрационный, учетный) номер налогоплательщика (при наличии), семейное положение, социальное положение, образование, национальность, профессия, доходы, иные сведения, относящиеся к субъекту персональных данных (3КСОЮ, 23.03.2022, № 88а-4692/2022).
Что осталось для этой статьи? Рукописные заметки о частной жизни лица?
🔹Второй состав криминализирует создание или обеспечение функционирования программы, заведомо предназначенных для незаконных хранения, передачи ПД, полученных незаконным путём. То есть криминализируется в том числе деятельность разного рода тг-ботов, направленных на получение информации, других типов программ. Средняя тяжесть. Очень надеюсь, что есть разработки, как это выявлять / расследовать.
Давайте будем надеяться, что практика всю эту историю как-то скорректирует в сторону адекватности. А то опять получится абсурд как в случае с трекерами для слежения за коровами и младенцами…