Оборот "больших данных": риски и перспективы правового регулирования

Цифровизация – это сложный и многогранный процесс, предусматривающий, среди прочего, внедрение цифровых технологий, повышающих эффективность деятельности и качество жизни, во все сферы деятельности человека. «Локомотивами» цифровой трансформации являются технологии искусственного интеллекта и машинного обучения, нейросетевые технологии, «Интернет вещей», «Большие данные», распределенный реестр, виртуальная и дополненная реальность. Особую ценность в цифровой экономике представляют «большие данные», образно называемые некоторыми авторами «новой нефтью»[1].

Термин «большие данные» довольно регулярно и часто используется в научной литературе, в средствах массовой информации, однако его общепринятого определения не существует. Еще в 1990 годы были описаны характеристики «больших данных» как данных, которые не могут быть обработаны традиционными инструментами управления. В общем, «большие данные» могут быть определены как данные, которые генерируются постоянно, автоматически и быстро [2].

В настоящее время объёмы информации, используемые как гражданами, так и юридическими лицами, многократно возросли, причем часть информации собирается и анализируется автоматически, в том числе на основе технологий искусственного интеллекта [3]. Даже в тех правопорядках, где главенствует подход о приоритете защиты права индивида на частную жизнь, присутствуют практики использования бизнесом персональных данных в целях увеличения прибыли. Это объяснимо тем, что в условиях повсеместной цифровизации классическая формула капитала «деньги-товар-деньги» трансформировалась в «деньги-услуга-данные-деньги».

Чаще всего пользователи не платят за предоставление доступа к сервису или услуге в Интернете (например, за общение в социальных сетях или по электронной почте), однако эти услуги бесплатны лишь условно: пользователи расплачиваются за них своими данными, которые компании затем превращают в деньги. В этой связи уместно отметить, что судебная практика уже признает файлы «сookies» в качестве персональных данных, что существенно затрудняет их использование бизнес-экосистемами [4].

«Big Data» («большие данные») являются одним из ключевых факторов развития сервисов на основе искусственного интеллекта, который активно используют цифровые платформы для оказания услуг своим клиентам. Например, обработка больших данных цифровыми сервисами позволяет им делать намного более качественные продуктовые предложения своим пользователям (за счет лучшего понимания их потребностей, что обеспечивается анализом больших данных), снижать стоимость оказываемых услуг. В результате коммерческого использования персональных данных появился новый рынок с соответствующими участниками: биржами данных, информационными брокерами, которые на профессиональной основе собирают данные о физлицах и предоставляют их заинтересованным компаниям. Так, вопрос об обработке персональных данных вышел за пределы дискуссий о соблюдении основополагающих прав человека и стал инвестиционным инструментом, обеспечивающим экономический рост [5].

Проблема заключается в том, что широкие возможности коммерциализации персональных данных привели к рискам их утраты: данные можно украсть или продать третьим лицам. Например, в марте 2022 года в сети были опубликованы персональные данные пользователей сервиса доставки «Яндекс-Еда». Данные были визуализированы в виде карты и включали в себя имя пользователя, адрес доставки, электронную почту, номер телефона и сумму заказов [6]. Впоследствии, в Замоскворецкий районный суд го- рода Москвы был подан коллективный иск к «Яндекс. Еде», к которому присоединилось 33 пострадавших клиента сервиса. Истцы требуют компенсацию морального вреда в размере 100 тысяч рублей за утечку данных каждого пользователя в связи с нарушением п. 2 ст. 17 закона «О персональных данных» [7].

С точки зрения законодательства о персональных данных, которое устанавливает публичноправовой режим их защиты, такие данные не могут быть признаны оборотоспособными, то есть не могут отчуждаться [8]. Вопрос относимости данных к объектам гражданских прав до сих пор является дискуссионным [9]. Так, гражданское законодательство не позволяет рассматривать информацию, а следовательно, и персональные данные, в качестве самостоятельного объекта гражданских прав (в том числе и обязательственных правоотношений). При этом, фактически данные собираются, приобретаются, обмениваются в результате гражданско-правовых сделок. Данные отношения требуется урегулировать и первые попытки этого уже предприняты. В 2019 году в тексте Гражданского кодекса РФ была закреплена конструкция договора об оказании услуг по предоставлению информации (ст. 783.1 ГК РФ)(ранее он поименован не был). По заявлению разработчиков нормы, этот вид обязательств должен использоваться в целях сбора и оборота информации при формировании больших данных (big data) [10]. Нельзя назвать безупречным в технико-юридическом отношении дефиницию данного договора (в тексте нормы он понимается как «договор, в силу которого исполнитель обязуется совершить действия по предоставлению определённой информации заказчику). На наш взгляд, данная формулировка может быть интерпретирована достаточно широко. Например, договор, опосредующий отношения репетитора и ученика, тоже можно квалифицировать как услугу по предоставлению информации. В то же время и до принятия данной новеллы подобные отношения регулировались гражданским законодательством, в таком случае цель принятия данной поправки неочевидна.

Однако излишне широкая формулировка – не единственная проблема избранного российским законодателем подхода. Представляется, что сущностным дефектом является не совсем точное отражение сути отношений по коммерциализации данных в законе. Дело в том, что сводить все многообразие этих обязательств к отношениям по оказанию информационных услуг некорректно. Закон не учитывает, что ценность имеет не сам процесс обработки больших данных, а данные как товар, самостоятельный объект гражданского оборота. Корректнее регулировать не процесс передачи данных (что предполагает правовая природа услуги как таковой), а результат [11].

Обратимся к зарубежному опыту правового регулирования данных отношений. В Германии, к примеру, к данным отношениям некоторые правоведы считают допустимым применять нормы о подряде. В соответствии со ст. 950 Германского гражданского уложения лицо приобретает право собственности на результаты работы, в процессе которой материал был преобразован в другой объект, за исключением случаев, когда стоимость преобразования значительно меньше стоимости изначального материала. Согласно данному подходу, данные могут рассматриваться как материал, а обработанные данные – как результат преобразования [12]. Первые подступы к регулированию сделаны в США. В штате Вермонт (США) о регулировании информационных брокеров (Act. 171 of 2018 Data Broker Regulation) [13].В соответствии с положениями закона информационный брокер определяется как компания, одно или несколько подразделений компании, которые открыто собирают, продают или предоставляют лицензии третьим сторонам на личную информацию потребителя, с которым компания не имеет прямых отношений. Публично-правовым ограничением использования данных, таким образом, являются нормы законодательства о персональных данных [12]. Представляется, что введение подобных норм, регламентирующих (хотя бы в общем порядке) оборот персональных данных позволяет вывести его из тени.

Для упорядочивания оборота больших данных логичным видится предложенное в литературе создание новой правовой конструкции, аналогичной, но не тождественной исключительному праву на информацию, составляющую секрет производства. Правовой режим данной конструкции будет близок «ноу-хау»: отличие состоит в том, что в ряде случаев собранные массивы данных не будут обладать свойством «интеллектуального» участия человека [11].

Таким образом, регулирование оборота данных (в том числе больших) ввиду их экономической ценности неизбежно. Можно отметить, что общего подхода нет: в российском законодательстве предполагается использовать договорную конструкцию возмездного оказания услуг, в немецком – подряда, в США предусмотрено специальное регулирование. Прежде чем регулировать оборот целесообразным видится определить их правовую природу.

Потенциальная коммерциализация персональных данных вызывает вопросы. Во-первых, видится невозможной с этической точки зрения коммерциализация всей информации, относимой к персональным данным. Во-вторых, возникают риски, связанные с легитимацией недобросовестных практик обработки данных и дискриминацией физических лиц на основе их персональных данных.

В любом случае, в российском правопорядке должно быть предусмотрено публично-правовое ограничение оборота персональных данных, которое обусловлено необходимостью защиты личности и недопустимостью произвольного неконтролируемого коммерческого оборота персональных данных. Кроме того, должны быть созданы технические механизмы защиты данных от утечки и атак злоумышленников. Представляется, что такой подход обеспечит восполнение отдельных пробелов правового регулирования оборота персональных данных, устранит барьеры в построении цифровой экономики, сформирует у физлиц ответственное отношение к распоряжению своими персональными данными, и выведет практику коммерциализации из «серой зоны».