С интересом прочел в «АГ» заметку Евгения Пантина «Адвокат как оператор персональных данных». Автор поднимает важную и актуальную тему обработки персональных данных адвокатами. Опубликованное год назад Разъяснение Совета Федеральной палаты адвокатов РФ по вопросу исполнения адвокатами законодательства о персональных данных1 (далее – Разъяснение) осветило ряд вопросов, но практика выявляет новые аспекты в этой области, требующие понятного и единообразного подхода. В связи с этим предложение автора по продолжению работы в адвокатском сообществе для прояснения нюансов, связанных с обработкой персональных данных в процессе адвокатской деятельности, заслуживает поддержки.
Интерес к вопросам персональных данных в России и мире постоянно растет, причем не линейно, а скачкообразно – в связи с внешними факторами. В 2022 г. в России произошли первые массовые утечки персональных данных, ставшие широко известными, и с тех пор новости об утечках регулярно появляются в СМИ. С 30 мая 2025 г. за повторную утечку персональных данных при определенных обстоятельствах оператор может получить «оборотный» штраф (ч. 15, 18 ст. 13.11 КоАП РФ).
В адвокатском сообществе тема персональных данных в 2025 г. актуализировалась в связи с ужесточением ответственности за неподачу (или несвоевременную подачу) в Роскомнадзор уведомления о намерении обрабатывать персональные данные. Причем обязанность направить соответствующее уведомление распространилась практически на всех операторов с 1 сентября 2022 г., когда в результате реформы из ст. 22 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) была изъята большая часть исключений, касающихся данной обязанности. В 2025 г. штраф за неисполнение этой обязанности для юридических лиц вырос до 300 тыс. руб. (ч. 10 ст. 13.11 КоАП).
Думаю, что этими аспектами и обусловлено особое внимание к вопросу о том, должен ли адвокат уведомлять Роскомнадзор о намерении обработки персональных данных, хотя на практике это далеко не самая важная обязанность оператора, особенно если оценивать с позиций интересов субъектов персональных данных.
Вопрос об уведомлении Роскомнадзора вторичен по сравнению с вопросом: является ли адвокат оператором персональных данных. Разъяснение Совета ФПА отвечает на этот вопрос однозначно положительно. Адвокаты по всем критериям подходят под определение оператора, установленное в ст. 3 Закона о персональных данных. Единственная ситуация, когда адвокат не будет являться оператором персональных данных, – это когда не соблюдается норма ч. 1 ст. 1 Закона (т.е. обработка ведется без использования средств автоматизации и не соответствует им по характеру действий), однако на практике с учетом развития цифровых технологий это крайне маловероятно.
Автор обоснованно обратил внимание на неоднозначность нормы ч. 1 ст. 1 Закона о персональных данных в той части, что относится к средствам автоматизации. Согласно позиции Роскомнадзора, изложенной в Письме от 10 ноября 2022 г. № 08-99909, даже простое использование программ Excel и Word для обработки персональных данных считается использованием средств автоматизации. Однако данная позиция регулятора представляется излишне широкой и подлежит дальнейшему обсуждению и оценке.
Возвращаясь к обязанностям оператора, стоит отметить, что на адвоката как физическое, а не юридическое, лицо часть обязанностей, предусмотренных ст. 18.1 Закона о персональных данных, не распространяется2. Вместе с тем в ключевых для субъектов персональных данных аспектах отличий нет: например, адвокат обязан обеспечить конфиденциальность и безопасность обрабатываемых данных, соблюдать принципы их обработки.
С учетом этого объема обязанностей статус оператора персональных данных не является несовместимым со статусом адвоката, а точечные противоречия вполне решаемы с учетом преимуществ специального правового регулирования по сравнению с общим. Например, режим адвокатской тайны может не позволить адвокату предоставить часть информации, запрашиваемой у него субъектом персональных данных – другой стороной по делу.
Вопрос о правовых основаниях обработки персональных данных сложен не только для адвокатов. Подавляющее большинство операторов персональных данных из иных областей сталкиваются с трудностями при выборе надлежащего основания. Использование согласия на обработку персональных данных как базовогооснования, на мой взгляд, – неверное решение. Следование ему привело к созданию «культа согласий», когда операторы собирают согласия субъектов везде, где только можно, при этом в случае отзыва согласия ссылаются на «иные основания» как на причину, почему они вправе продолжить обработку персональных данных, несмотря на отзыв. Заместитель руководителя Роскомнадзора Милош Вагнер на ПМЮФ-2024 отмечал, что необходимо отказываться от «культа согласий» в пользу большего баланса с иными правовыми основаниями.
Для адвоката актуальны различные основания, перечисленные в ст. 6 Закона о персональных данных. Законом об адвокатуре закреплена уникальная цель адвокатской деятельности: оказание квалифицированной юридической помощи физическим и юридическим лицам в целях защиты их прав, свобод и интересов, а также обеспечения доступа к правосудию (п. 1 ст. 1). Соответственно, во многих ситуациях для обработки адвокатом персональных данных в качестве правового основания может использоваться закон: «для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций (здесь и далее выделено мной. – А.П.), полномочий и обязанностей» (п. 2 ч. 1 ст. 6 Закона о персональных данных).
При сборе и иной обработке персональных данных доверителя-физлица, на мой взгляд, однозначно подходит «договорное» правовое основание: «обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем» (п. 5 ч. 1 ст. 6 Закона о персональных данных).
Наконец, отмеченный Евгением Пантиным «законный интерес» (п. 7 ч. 1 ст. 6 закона). В настоящее время данное правовое основание обработки персональных данных используется редко – полагаю, во многом это связано со сдержанной позицией Роскомнадзора по данному вопросу, однако постепенно эта позиция меняется3. Кроме того, в помощь адвокатам могут быть аналитические материалы по использованию «законного интереса», созданные в рамках Регионального сообщества профессионалов в области приватности (РППА)4.
Кроме того, автор обратил внимание, что Разъяснение Совета ФПА не касается адвокатских образований, также являющихся операторами персональных данных. Сталкиваясь с подобными вопросами на практике, добавлю, что основной блок проблем по ним касается не обработки персональных данных работников адвокатских образований или представителей контрагентов, а отдельных аспектов взаимодействия адвокатских образований с доверителями или с адвокатами.
Например, адвокатские образования, с одной стороны, выступают операторами в отношении адвокатов как субъектов персональных данных. С другой – их взаимодействие может строиться по модели «оператор-оператор» в той части, в которой адвокатские образования получают от адвокатов персональные данные доверителей в рамках бухгалтерского и налогового учета, выдачи ордеров, учета направляемых адвокатских запросов. В подобных ситуациях у адвокатских образований также может быть применимо такое правовое основание обработки персональных данных, как «закон» (п. 2 ч. 1 ст. 6 Закона о персональных данных) в силу прямых требований Закона об адвокатуре, Налогового кодекса РФ, Закона о бухгалтерском учете и пр.
В заключение отмечу, что в 2023 г. состоялся общероссийский семинар для представителей адвокатских палат и крупных адвокатских образований, организованный Департаментом разработки, внедрения и эксплуатации КИС АР ФПА РФ. В ходе семинара эксперты, в частности, поделились образцами документов для использования адвокатскими палатами и адвокатскими образованиями в области обработки персональных данных. Обновление этих документов и обсуждение актуальных вопросов обработки персональных данных адвокатами и адвокатскими образованиями – тема важная и многогранная.
1 Утверждено Решением Совета ФПА РФ о порядке и условиях выполнения адвокатскими палатами, адвокатскими образованиями и адвокатами требований, предусмотренных Федеральным законом «О персональных данных» от 1 июля 2025 г. (протокол № 3).
2 См., например, п. 1, 2 ч. 1 ст. 18.1 закона.
3 Одна из рабочих групп по данному вопросу создана в рамках Научно-технического совета при Главном радиочастотном центре – подведомственном учреждении Роскомнадзора.
4 См., например, Аналитический материал о методологии оценки применимости законного интереса как основания обработки персональных данных, а также Методические рекомендации RPPA по использованию законного интереса как правового основания обработки персональных данных.
