Конфиденциальность в креативной индустрии

В последние годы тема хранения персональных данных становится одним из наиболее актуальных юридических направлений, напрямую застрагивающих все большее количество видов бизнеса. Если до последнего времени проблемы, связанные с юридическими вопросами хранения персональных данных и их утечками, касались в первую очередь крупных компаний, обладающих базами в тысячи и даже миллионы единиц хранения, то в последнее время стало очевидно, что они могут задеть даже индивидуальных предпринимателей и самозанятых. В самом деле, современное российское законодательство устроено таким образом, что практически любой документ, в том числе договор в простой письменной форме или расписку в получении средств, можно квалифицировать как содержащий те самые персональные данные.

В первую очередь такие риски возникают у предпринимателей, работающих с физическими лицами и постоянно заключающими с ними письменные соглашения. В качестве примера можно привести фотографов, для которых практически обязательным правилом работы является подписание с моделью стандартного договора, так называемого модельного релиза, соглашения с моделями, которое гарантирует фотографу права на созданные изображения. Как отмечают юристы, даже такой простой документ несет в себе риски получения весьма значительных штрафов за нарушения в сфере сбора и обработки персональных данных той же модели.

В стандартных модельных релизах модель указывает свои ФИО, телефон, адрес, электронную почту, серию и номер паспорта и другие данные, позволяющие идентифицировать ее. Это обычная бизнес-практика, именно такой объем данных предлагается в стандартных модельных релизах, в том числе для размещения фотографий на крупнейших стоках в интернете.

Соответственно, вся эта информация, которую суд может определить как персональные данные модели, оказывается в распоряжении фотографа.

Анализируя стандартный текст модельного релиза, адвокат Свердловской областной коллегии адвокатов представитель адвокатской конторы № 22 «Магнат» Александр Белослудцев отметил, что, когда фотограф подписывает с фотомоделью модельный релиз, он становится оператором персональных данных, если планирует предоставлять эти данные третьим лицам (к примеру, он собирается разместить имя или псевдоним модели на фотографиях либо передать изображение заказчику снимка (например, рекламному агентству). В этом случае фотограф обязан соблюдать законодательство о защите персональных данных.

Работа с персональными данными регламентируется федеральным законом «О персональных данных» № 152-ФЗ. Нарушения данного закона преследуются в административном порядке в соответствии со статьей 13.11 КоАП РФ.

Штрафы по вышеуказанной статье Административного кодекса могут оказаться достаточно существенными. К примеру, обработка персональных данных без согласия в письменной форме субъекта персональных данных влечет за собой штраф для юридических лиц до 700 тыс. руб. и до 1,5 млн руб. в случае повторного нарушения. Даже если фотограф работает без юридического лица в качестве самозанятого или ИП, штраф может составить от 10 до 15 тыс. руб.

Таким образом, как отмечает юрист, подписание одного «модельного релиза» влечет вполне осязаемые риски, которых можно избежать, если вместе с ним оформить полноценный гражданско-правовой договор с моделью, в котором будет сформулировано согласие на обработку персональных данных или хотя бы отдельное стандартное согласие в качестве отдельного документа. «Модельный релиз» может стать дополнением к такому договору.

Порядок действий оператора персональных данных

Как отмечает адвокат Дмитрий Земеров, даже в идеальном случае, когда фотограф, выступающий как физическое лицо, собирается заключить с моделью гражданско-правовой договор об оказании услуг, получить ее согласие на обработку персональных данных и согласие на передачу фотографу прав на созданные фотографии (это прописано в «модельном релизе»), ему следует разработать и хранить у себя пакет документов, который понадобится в случае проверки со стороны Роскомнадзора или судебных разбирательств, инициированных моделью или тем же РКН.

По его словам, такой пакет включает в себя, во-первых, Политику обработки персональных данных. В ней должно быть написано, кто собирает данные, у кого, для чего, какие именно данные собираются, и что оператор будет делать с этими сведениями (в нашем случае цель — исключительно хранение). Во-вторых, это Положение об обеспечении безопасности персональных данных. В нем прописывают организационные и технические меры обеспечения безопасности персональных данных.

Если же данные собирает юридическое лицо, то в нем в обязательном порядке должны быть еще приказы и другие документы для сотрудников о работе с персональными данными. И это только базовые документы — в каждой конкретной ситуации этот список может увеличиваться. К примеру, если фотограф выступает не как физлицо, а как ИП, то обязанностей у него существенно прибавится.

Кроме этого, подписанные документы юристы рекомендуют держать в недоступном для посторонних месте (к примеру, в сейфе) и в бумажном виде. Дело в том, что операторы персональных данных, хранящие персональные данные в электронном виде, обязаны уведомить об этом Роскомнадзор. Небрежное хранение документов, повлекшее несанкционированный доступ к ним, может привести к штрафам по вышеуказанной статье КоАП (до 4 тыс. руб. для граждан и до 100 тыс. руб. для организаций).

Разглашением персональных данных модель может посчитать подпись под фото в виде ее имени, предоставление ее договора суду или налоговой инспекции. То есть фотографу лучше постараться предусмотреть все возможные варианты развития событий и прописать их в договоре и соглашении.

Также модель может в любой момент потребовать у фотографа изменить данные (к примеру, девушка вышла замуж и сменила фамилию) или удалить ее персональные данные из базы фотографа (в нашем случае — из сейфа). Невыполнение этого требования также влечет административную ответственность.

Тяжелее придется фотографу, который хранит персональные данные моделей в электронном виде (к примеру, в виде базы данных в облаке на Google-диске, чтобы иметь к ней доступ с любого устройства и в любом виде). Дело в том, что такие операторы персональных данных обязаны хранить подобные базы данных на российских серверах, физически располагающихся в России. Очевидно, что серверы Google находятся за границей и под юрисдикцией США. Для ИП штраф в этом случае составит до 40 тыс. руб.

«Подводя итог, еще раз отметим, что фотограф, оформляющий модельный релиз с моделью, обязан получить отдельное согласие на обработку и передачу персональных данных, соблюдать установленную цель обработки, принимать меры по защите данных и уведомлять Роскомнадзор при автоматизированной обработке. Соблюдение этих требований поможет избежать нарушений законодательства о персональных данных. Ответственность за нарушение законодательства Российской Федерации в области персональных данных, в частности, предусмотрена ст. 13.11 КоАП РФ. За самые серьезные нарушения в указанной сфере предусмотрены очень значительные штрафы — на граждан в размере от 50 тыс. руб. до 100 тыс. руб.; на должностных лиц — от 500 тыс. руб. до 800 тыс. руб.; на юридических лиц — от 6 млн руб. до 18 млн руб.», — резюмировал А. Белослудцев.

Адвокат Дмитрий Земеров добавляет, что все документы, необходимые для предотвращения претензий со стороны Роскомнадзора, который контролирует порядок работы с персональными данными граждан, следует изготовить заранее и иметь в готовом виде. Попытки создать их задним числом в момент, когда проверка уже началась, могут иметь дополнительные негативные последствия.

Что касается расценок на юридическую помощь в данном вопросе (консультации, составление вышеуказанных документов), опрошенные УрБК юристы отметили, что помощь в сфере обработки персональных данных мало востребована в Екатеринбурге. Поэтому в каждом случае оплата услуг юриста будет рассчитываться индивидуально, исходя из требований конкретного клиента.