Разъяснением1 Совета Федеральной палаты адвокатов РФ по вопросу исполнения адвокатами законодательства о персональных данных (далее – Разъяснение) адвокат признан оператором персональных данных. Однако этот вывод означает не окончание, а лишь начало профессиональной дискуссии. Какие обязанности возникают у адвоката в связи с новым статусом? Противоречит ли законодательство о персональных данных институту адвокатской тайны или, напротив, способно стать дополнительным инструментом ее защиты?
Настоящая статья не претендует на исчерпывающий комментарий к Разъяснению и тем более не предлагает готовых рецептов решения всех возникающих вопросов. Ее цель – обозначить наиболее дискуссионные проблемы, обратить внимание на возможные риски и пригласить профессиональное сообщество к открытому обсуждению подходов, которые в перспективе могли бы стать основой единообразной практики применения законодательства о персональных данных в адвокатской деятельности.
За последние несколько лет законодательство о персональных данных превратилось из узкоспециализированной отрасли регулирования в одну из наиболее динамично развивающихся областей права. Увеличиваются размеры штрафов, расширяются полномочия Роскомнадзора, появляются новые обязанности операторов, усложняется правоприменительная практика. Игнорировать эти изменения уже невозможно.
При этом отношение к персональным данным остается неоднозначным. В публичном пространстве одновременно существуют две противоположные концепции. Согласно первой персональные данные – это «новая нефть», ценнейший экономический ресурс цифровой эпохи. Согласно второй персональные данные – «токсичный материал», от которого лучше побыстрее избавиться.
Деятельность адвоката не укладывается ни в одну из указанных моделей. Адвокат не извлекает экономическую ценность из накопления персональных данных, как сотовые операторы и банки, но в то же время не вправе отказаться от их обработки. Напротив, исполнение возложенной на него публично значимой функции объективно предполагает обработку значительного объема сведений о доверителях и иных лицах. Во многих случаях именно полнота таких сведений определяет возможность эффективной защиты прав и законных интересов доверителя.
Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) не устанавливает для адвокатов отдельного правового режима. Это означает, что общие требования законодательства подлежат применению и к сфере адвокатской деятельности, однако их реализация неизбежно сталкивается с особенностями адвокатского статуса. В связи с этим особую актуальность приобретает вопрос не о том, распространяется ли законодательство о персональных данных на адвокатов, а о том, как оно должно применяться с учетом специфики их профессиональной деятельности. Ответ на этот вопрос выявляет ряд практических проблем, многие из которых остаются нерешенными.
В такой ситуации появление Разъяснения следует безусловно приветствовать. Впервые на уровне корпоративного документа предпринята попытка системно осмыслить соотношение законодательства о персональных данных и законодательства об адвокатской деятельности.
При этом следует учитывать, что Разъяснение не является и не может являться исчерпывающим руководством по организации обработки персональных данных в деятельности адвоката. Оно, в частности, отвечает на вопрос о том, является ли адвокат оператором персональных данных. Однако признание соответствующего статуса представляет собой лишь отправную точку дальнейшего анализа. Не менее важным, на мой взгляд, является вопрос о том, каким образом адвокату следует организовать обработку персональных данных в повседневной деятельности, определить ее цели и правовые основания, обеспечить безопасность информации и соблюдение иных требований законодательства.
Отдельные положения Разъяснения, на мой взгляд, при их буквальном восприятии могут привести к чрезмерно упрощенному пониманию некоторых положений законодательства о персональных данных. В связи с этим имеет смысл подробнее рассмотреть отдельные положения документа и связанные с ними практические вопросы.
Признание адвоката оператором персональных данных означает, что ему необходимо определить перечень обрабатываемой информации, установить категории субъектов персональных данных, в отношении которых осуществляется обработка, сформулировать конкретные цели обработки, определить для каждой из них правовое основание, установить сроки хранения и порядок уничтожения соответствующих сведений, определить круг лиц, имеющих доступ к информации, а также принять организационные и технические меры по обеспечению безопасности персональных данных.
На этом этапе возникают наиболее сложные вопросы, ответы на которые не всегда очевидны. В частности, как соотносятся цели обработки персональных данных с целями оказания квалифицированной юридической помощи? Является ли хранение электронного архива адвокатских производств автоматизированной обработкой? Какие организационные меры являются достаточными с учетом особенностей адвокатской деятельности?
Наряду с этим появляется еще одна проблема. Если статус адвоката как оператора персональных данных в Разъяснении получил прямое подтверждение, то вопрос о правовом положении адвокатских образований остался за рамками рассмотрения. Между тем зачастую адвокатское образование организует ведение бухгалтерского учета, сайта данного образования, обеспечивает функционирование информационных систем и тем самым может самостоятельно определять цели и способы обработки отдельных категорий персональных данных.
От правильного определения того, кто является оператором обработки данных, зависит распределение обязанностей по соблюдению требований законодательства и ответственности за возможные нарушения. Представляется, что этот вопрос заслуживает самостоятельного профессионального обсуждения.
Особого внимания также заслуживает изложенная в п. 2 Разъяснения позиция, посвященная обработке персональных данных без использования средств автоматизации. Воспроизводя положения Закона о персональных данных и Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного Постановлением Правительства РФ от 15 сентября 2008 г. № 687, Разъяснение указывает, что использование вычислительной техники еще не означает осуществление автоматизированной обработки персональных данных.
С этим выводом трудно спорить. Очевидно, что использование компьютера в качестве современной пишущей машинки не превращает любую деятельность в автоматизированную обработку персональных данных. Если адвокат подготовил процессуальный документ в текстовом редакторе, распечатал его и в дальнейшем работает исключительно с бумажным экземпляром, факт применения компьютера не свидетельствует об использовании средств автоматизации в смысле законодательства о персональных данных и сам по себе не влечет обязанность направления уведомления в Роскомнадзор о начале обработке персональных данных со всеми вытекающими последствиями, а представляет собой построение собственной системы управления персональными данными.
Однако это пояснение не освобождает адвоката от обязанности самостоятельно анализировать характер осуществляемой обработки персональных данных и оценивать ее соответствие требованиям законодательства.
В подавляющем большинстве случаев персональные данные не только создаются с использованием компьютера, но и продолжают храниться в его памяти, систематизируются в электронных каталогах, индексируются операционной системой и могут быть в любой момент найдены с использованием встроенных программных средств поиска по фамилии, номеру телефона, адресу электронной почты или иному идентификатору.
Здесь проходит принципиальная граница между использованием компьютера как технического средства подготовки документа и применением его функциональных возможностей для обработки информации. В последнем случае имеются веские основания полагать, что речь идет уже об обработке персональных данных с использованием средств автоматизации.
Практическое значение такого разграничения трудно переоценить. Если деятельность адвоката не подпадает под исключение, предусмотренное п. 8 ч. 2 ст. 22 Закона о персональных данных, на него распространяется обязанность по уведомлению уполномоченного органа о намерении осуществлять обработку персональных данных, а также иные требования, предъявляемые законодательством к операторам персональных данных.
В связи с этим вопрос о наличии или отсутствии автоматизированной обработки должен решаться, на мой взгляд, исходя не из факта использования компьютера, а из характера выполняемых с его помощью операций и функциональных возможностей применяемых информационных систем. Такой подход в наибольшей степени соответствует как буквальному смыслу законодательства, так и современным реалиям цифровой адвокатской деятельности.
Приведенные рассуждения имеют не только теоретическое, но и прикладное значение.
Сегодня, пожалуй, сложно найти адвоката, который в повседневной практике не использовал бы электронную почту. При этом подавляющее большинство пользуются публичными почтовыми сервисами, функциональные возможности которых обеспечивают автоматическое индексирование переписки, мгновенный поиск по фамилии, адресу электронной почты, ключевым словам и содержимому сообщений, сортировку и группировку писем, а также хранение приложенных файлов в облачной инфраструктуре.
Поэтому использование электронной почты трудно рассматривать исключительно как технический способ направления корреспонденции. Фактически адвокат получает возможность осуществлять автоматизированный поиск и систематизацию сведений о доверителях и иных лицах с использованием программных средств, предоставляемых соответствующим сервисом.
Кроме того, хранение переписки и приложений в облачной инфраструктуре означает размещение информации на технических средствах, принадлежащих и обслуживаемых третьими лицами. Независимо от конкретной модели организации такого хранения сама по себе передача сведений в информационную систему, находящуюся вне непосредственного контроля адвоката, ставит дополнительные вопросы о соблюдении требований законодательства о персональных данных и обеспечении режима адвокатской тайны.
Подобные ситуации требуют значительно более глубокого анализа, чем констатация факта использования компьютера как технического средства изготовления документа. В условиях цифровой трансформации адвокатской деятельности важен не носитель информации, а характер выполняемых с его помощью операций.
Не менее значимым является вопрос о правовых основаниях обработки персональных данных в адвокатской деятельности.
Обсуждение законодательства о персональных данных зачастую сводится к вопросу о получении согласия субъекта персональных данных на их обработку. Подобный подход представляется чрезмерным упрощением. Закон о персональных данных предусматривает ряд иных оснований обработки, среди которых согласие субъекта является лишь одним из возможных вариантов.
Применительно к адвокатской деятельности постановка вопроса о всеобщем получении согласий вызывает серьезные практические сомнения. В процессе оказания квалифицированной юридической помощи адвокат регулярно получает и обрабатывает сведения о лицах, которые не являются его доверителями и не состоят с ним в каких-либо договорных отношениях. Это могут быть, в частности, родственники доверителя, потенциальные свидетели, представители процессуальных оппонентов, наследники, контрагенты, работники организаций, сведения о которых содержатся в представленных доверителем документах или становятся известны в результате исполнения адвокатского поручения.
В ряде случаев законодательство об адвокатской деятельности прямо предоставляет адвокату право собирать сведения, необходимые для оказания квалифицированной юридической помощи, в том числе посредством направления адвокатских запросов. Очевидно, что реализация данного полномочия в большинстве случаев невозможна без обработки персональных данных лиц, которые не выражали согласия на такую обработку и зачастую даже не осведомлены о ее осуществлении.
В этих условиях ключевым вопросом является не механический сбор максимально возможного количества согласий, а правильное определение применимого правового основания обработки персональных данных в каждой конкретной ситуации.
В связи с этим особого внимания заслуживает категория законного интереса, предусмотренная законодательством о персональных данных. В настоящее время ее содержание и пределы применения остаются дискуссионными. Вместе с тем применительно к адвокатской деятельности возникает вопрос: может ли выполнение адвокатом его публично значимой функции по оказанию квалифицированной юридической помощи и обеспечению конституционного права на судебную защиту рассматриваться как законный интерес, позволяющий обрабатывать персональные данные лиц, не являющихся его доверителями? Представляется, что ответ должен быть положительным, что освободит адвоката от обязанности получения согласий на обработку персональных данных.
Одним из перспективных направлений совершенствования обработки персональных данных адвокатами, на мой взгляд, мог бы стать диалог ФПА РФ с Роскомнадзором, направленный на выработку согласованных подходов к определению правовых оснований обработки персональных данных в наиболее распространенных ситуациях адвокатской практики. Такая работа способствовала бы формированию единообразной правоприменительной практики и обеспечению разумного баланса между защитой прав субъектов персональных данных и эффективной реализацией конституционного права граждан на получение квалифицированной юридической помощи.
В профессиональной среде нередко встречается мнение о том, что законодательство о персональных данных и институт адвокатской тайны находятся в состоянии своеобразной конкуренции. Из этого делается вывод: достаточно обеспечить соблюдение требований, связанных с сохранением адвокатской тайны, а положения Закона о персональных данных либо имеют второстепенное значение, либо не рассчитаны на адвокатскую деятельность.
Полагаю, такой подход основан на ошибочном противопоставлении двух правовых институтов.
Институт адвокатской тайны отвечает на вопрос о том, какая информация подлежит особой защите и какие гарантии должны быть обеспечены доверителю в силу публично значимого характера адвокатской деятельности. Законодательство о персональных данных решает иную задачу: определяет правила обращения с информацией о человеке на всех стадиях ее жизненного цикла – от момента получения до уничтожения.
Эти правовые режимы не исключают, а взаимно дополняют друг друга. Более того, многие инструменты, предусмотренные законодательством о персональных данных, способны служить достижению целей, ради которых существует институт адвокатской тайны. Принцип минимизации обрабатываемых сведений, ограничение доступа к информации, определение целей ее обработки, установление сроков хранения, принятие организационных и технических мер защиты, контроль передачи данных третьим лицам – все эти механизмы снижают вероятность утраты конфиденциальности сведений, доверенных адвокату.
Учитывая изложенное, соблюдение законодательства о персональных данных следует рассматривать не как дополнительную административную нагрузку и не как формальное исполнение требований регулятора, а как еще один инструмент обеспечения интересов доверителя и укрепления гарантий адвокатской тайны.
Перефразируя известную мысль Виктора Пелевина, чисто становится не тогда, когда человек однажды встает на великий путь чистоты, а когда он каждый день соблюдает элементарные правила личной гигиены. Так же и с адвокатской тайной – ее сохранность обеспечивается не только высоким статусом института и закрепленными в законе гарантиями независимости адвоката; она складывается из ежедневной, зачастую незаметной работы с информацией: из того, где хранятся документы, кто имеет к ним доступ, как осуществляется их передача, сколько времени они сохраняются и какие меры принимаются для предотвращения их утечки.
В конечном счете основная угроза для адвокатской тайны заключается в убеждении, что для ее защиты достаточно ссылаться на специальные гарантии, предусмотренные законодательством об адвокатской деятельности. В условиях цифровой эпохи такая позиция становится все менее убедительной. Считаю, что только повседневная информационная дисциплина, основанная на грамотном применении механизмов законодательства о персональных данных, способна превратить провозглашенную законом конфиденциальность в реально действующую гарантию защиты доверителя.
Закономерным этапом развития профессионального регулирования в данной сфере могла бы стать, как представляется, разработка на уровне ФПА комплексных методических документов, содержащих модельные подходы к организации обработки персональных данных в адвокатской деятельности. Полагаю, что типовое положение об обработке персональных данных, рекомендации по разграничению полномочий адвоката и адвокатского образования, стандарты использования цифровых сервисов и иные практикоориентированные документы способны существенно повысить уровень правовой определенности и одновременно укрепить гарантии сохранения адвокатской тайны. Такой шаг стал бы логичным продолжением начатой ФПА РФ работы и позволил бы адвокатскому сообществу формировать собственные профессиональные стандарты в условиях цифровой трансформации.
1 Утверждено Решением Совета ФПА РФ о порядке и условиях выполнения адвокатскими палатами, адвокатскими образованиями и адвокатами требований, предусмотренных Федеральным законом «О персональных данных» от 1 июля 2025 г. (протокол № 3).
