Редакция приводит статью в сокращенном варианте. С полным текстом можно ознакомиться по ссылке.
Пользовательские соглашения (ПС) становятся практически универсальным инструментом регулирования отношений в цифровой среде, включая обработку персональных данных (ПД).
Основной проблемой, исследуемой в данной работе, является определение критериев правомерности обработки ПД на основании ПС, через соблюдение которых обеспечивается баланс интересов участников соответствующих правоотношений.
При этом баланс интересов — не концепция, существующая в вакууме, а цель законодательства о ПД и основной критерий его соблюдения: если закон соблюдается, баланс присутствует, а если не соблюдается, баланс нарушен, и наоборот.
Говорить об абстрактном балансе интересов нецелесообразно с точки зрения формирования единообразной практики операторов ПД и уполномоченных органов по защите прав субъектов ПД (DPA).
Определение подходов к анализу правомерности обработки
К анализу правомерности обработки возможны два подхода: общий и специальный.
Общий подход предполагает анализ положения участников правоотношений per se, независимо от того, какое регулирование (гражданское, о защите прав потребителей, о ПД и так далее) упорядочивает эти правоотношения. Он более ресурсоемкий, но более всеобъемлющий.
Специальный подход предполагает изучение ПС исключительно как правового основания обработки, презюмируемого надлежащим договором. Он более простой и практико-ориентированный.
Представляется целесообразным обратиться к гибридному подходу:
«нулевой» этап — оценка lex generalis требований, общих по отношению к законодательству о ПД;
первый этап — оценка общих требований законодательства о ПД, не зависящих от правового основания;
второй этап — оценка специальных требований к конкретному правовому основанию.
Определение границ правомерности использования ПС
Правовое основание — это лишь часть архитектуры обработки. На момент его определения оператор ПД уже должен зафиксировать основные атрибуты обработки ПД, исходя из самого понятия оператора ПД как лица, определяющего цели и средства обработки, — как минимум цель обработки, объем ПД, способы обработки, участие третьих лиц.
Таким образом, еще до начала специальной оценки оператор ПД обеспечивает соответствие конкретной обработки ПД требованиям законодательства о ПД во всем, кроме правового основания per se, так же, как строитель, закладывающий фундамент дома, не знает наверняка, кто будет жить в нем после продажи.
«Нулевой этап» предполагает постоянный анализ планируемой деятельности на предмет соответствия применимому законодательству, не связанному с законодательством о ПД напрямую: определение существенных условий договора, обеспечение права требования расторжения или изменения договора присоединения, добросовестность, недопустимость злоупотребления правами, достоверность информации об услугах и другое.
Обратим внимание, что «нулевой этап» предшествует всем специальным этапам, и презюмируем, что при переходе к анализу соответствия обработки именно законодательству о ПД деятельность оператора ПД является законной в соответствии с применимым законодательством, за исключением требований собственно законодательства о ПД, которые на этом этапе еще не были предметом анализа, а также иных требований, неразрывно связанных с этим анализом.
Специальный подход к оценке правомерности обработки ПД со ссылкой на ПС как правовое основание
Требования законодательства о ПД делятся на две категории, соответствующие первому и второму этапам: регулирующие обработку ПД в целом и регулирующие использование конкретного правового основания — ПС.
К первой категории относятся требования, не зависящие от основания обработки: техническая защита ПД, требования к поручению обработки, реализация прав субъекта ПД (кроме отдельных прав, привязанных к конкретному основанию, например права на переносимость ПД по ст. 20 GDPR).
Ко второй категории относятся немногочисленные требования, связанные именно с применением ПС как правового основания.
Роль принципов обработки ПД в определении границ правомерности использования ПС
Между этими категориями распределены случаи применения принципов обработки ПД, которые и играют наиболее важную роль в определении границ правомерности использования ПС.
Далее используется перечень принципов, представляющий синтез законодательства о ПД Российской Федерации, Республики Беларусь, иных государств региона и европейского регулирования; сопоставимые принципы объединены.
Законность и наличие правового основания (англ. lawfulness). Этот принцип предполагает соответствие всей деятельности по обработке ПД требованиям применимого законодательства, включая и само законодательство о ПД, и является основной предпосылкой к определению правового основания обработки ПД.
Применительно к ПС этот принцип не устанавливает самостоятельных специальных требований, отсылая к более ранним этапам анализа или к требованиям второго этапа.
Нарушением будет несоблюдение требований гражданского и иного законодательства (например, заключение договора под влиянием обмана). DPA могут использовать принцип законности в качестве «прокси» для заключений других уполномоченных органов, но не подменять их функционал.
Соразмерность и справедливость (англ. proportionality and fairness). Этот принцип предполагает обоснованную целесообразность обработки ПД, отказ от возложения избыточных обязанностей на участников правоотношений и недопустимость злоупотребления правом.
Применительно к ПС этот принцип предполагает наличие в каждый момент времени подтверждения разумной связи между обработкой ПД и ПС (его заключением, исполнением, изменением или расторжением).
Нарушением будет ссылка на ПС в отсутствие такой связи или договорное ограничение каналов направления запросов субъектов ПД.
При этом добровольное возложение оператором ПД на себя дополнительных обязательств не должно рассматриваться как нарушение принципа справедливости.
Ограничение цели (англ. purpose limitation). Принцип предполагает определение оператором ПД конкретных целей обработки и их декларирование до начала обработки ПД. Цель — то самое why, на которое отвечает оператор ПД, и поэтому она предшествует практически всем остальным атрибутам обработки ПД.
Когда основанием являются согласие или договор, цель определяется на этапе проектирования сервиса и обуславливает содержание ПС. Корректное определение цели предотвращает Guidelines 05/2020 on consent under Regulation 2016/679 // European Data Protection Board. [Электронный ресурс]. URL: https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_en.pdf (дата обращения — 10.11.2025) Постатейный комментарий к Закону Республики Беларусь «О защите персональных данных» от 07.05.2021 № 99-З // Национальный центр защиты персональных данных Республики Беларусь. [Электронный ресурс]. URL: https://cpd.by/pravovaya-osnova/metodologicheskiye-dokumenty-rekomendatsii/postatejnyj-kommentarij-k-zakonu-respubliki-belarus-o-zashhite-personalnyh-dannyh/ (дата обращения — 10.11.2025)
Своевременная декларация целей предотвращает и purpose shopping (по аналогии с Виноградов А. А. Forum Shopping и право Европейского союза // Московский журнал международного права. — 2020. — № 4. — С. 141–154
Применительно к ПС данный принцип предполагает учет целей при составлении ПС и предоставление субъекту возможности ознакомиться с условиями обработки ПД до начала использования сервиса. Нарушением будет неполное отражение в ПС функционала, требующего обработки ПД, или включение в ПС положений, требующих обработки ПД, в принципе не связанной с предоставлением сервиса.
ПС может предусматривать несколько целей, если каждая сформулирована конкретно и снабжена надлежащим правовым основанием (в частности, зависящим от действий субъекта ПД, например, «тогла» в интерфейсе), а тест совместимости применяется лишь к обработке за пределами заявленных целей.
Запрет избыточности и минимизация ПД (англ. data minimisation). Если принцип соразмерности ставит вопрос о том, нужна ли обработка в целом, то данный принцип (далее — принцип минимизации) задает его в отношении каждого атрибута ПД. Состав ПД следует из цели, поэтому принцип воздействует на обработку, как правило, до завершения работы над ПС.
Применительно к ПС влияние принципа косвенное: ПС не должно вести к избыточной обработке (например, открытые перечни ПД или загрузка в отзыв любых фотоизображений без требований к ним). Кроме того, в тексте ПС не следует указывать ПД, если этого прямо не требует законодательный акт (например, абз. 2 п. 10 постановления Совета Министров Республики Беларусь от 15.01.2009 № 31), — это ведет к их неправомерному распространению. Нарушением будет, например, указание в ПС именного имейла сотрудника, выполняющего функции DPO, при наличии ролевого адреса dpo@company.
Отсутствие в ПС детализированного «поатрибутного» описания обработки ПД само по себе нарушением не является — основным документом здесь выступает политика оператора ПД.
Вместе с тем, как отмечают Вудроу Хартцог и Дэниел Дж. Солоув, использование политики как обязывающего соглашения недопустимо, а договорные инструменты не обеспечивают Hartzog W., Solove D. J. Privacy as Contract? // SSRN. 2026. [Электронный ресурс]. URL: https://papers.ssrn.com/sol3/papers.cfm?abstract_id=6081773 (дата обращения — 03.05.2026)
Ограничение хранения (англ. storage limitation) — временное «измерение» минимизации: срок жизни ПД всегда должен быть определен.
Применительно к ПС это касается и хранения подтверждений принятия ПС (логов), для которых также необходим предельный срок. Однако данный нюанс касается не столько ПС, сколько процесса подтверждения наличия правоотношений per se.
Нарушения данного принципа по большей части аналогичны нарушениям принципа минимизации.
Прозрачность (англ. transparency). Если большая часть принципов касается содержания обработки ПД, то этот принцип кристаллизует как ценность ее форму.
Субъекту ПД должно быть понятно, что происходит с его ПД, почему, кто в этом участвует, когда это закончится и как этим управлять, с учетом Дмитрик Н. А. История, смысл и перспективы института персональных данных // Вестник гражданского права. — 2020. — Т. 20. — № 3. — С. 43–82
Как было отмечено, в ПС не требуется указывать все детали обработки — для этого есть политика оператора ПД, — однако если обработка раскрывается в ПС, то надлежащим образом. Принципу соответствует и поддержка версионности ПС. Необоснованно открытые перечни ПД и слишком широкие формулировки нарушают принцип прозрачности не меньше, чем принцип минимизации.
Достоверность и точность (англ. accuracy). Этот принцип предполагает разумные меры по обеспечению достоверности, точности, актуальности и достаточности ПД.
Применительно к ПС он может быть интерпретирован как не допускающий попыток договорного усложнения каналов реализации права субъекта ПД на изменение ПД.
Защита ПД (англ. integrity and confidentiality). Этот принцип распространяется на любую обработку и lex specialis требований к ПС не содержит: ПС не может понизить императивно установленный уровень защищенности как прав субъектов ПД, так и самих ПД.
Подотчетность (англ. accountability). Этот принцип нужен для того, чтобы остальные принципы «перешли из теории в практику». Применительно к ПС он предполагает подтверждение принятия конкретной версии ПС и синхронизацию ПС с реестром обработок ПД и политикой оператора. Нарушением будет, например, невозможность подтвердить принятие ПС.
Изложенная позиция находит поддержку у Мартина Неттесхайма, который Nettesheim M. Data Protection in Contractual Relationships (Art. 6 (1) (b) GDPR) // SSRN. 2023. [Электронный ресурс]. URL: https://ssrn.com/abstract=4427134; DOI: 10.2139/ssrn.4427134 (дата обращения — ..____).
Наконец, во вторую категорию (второй этап) входят редкие lex specialis требования законодательства о ПД к договору с субъектом ПД.
П. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» требует, чтобы субъект ПД являлся стороной, выгодоприобретателем или поручителем, при этом принятие ПС не может совершаться бездействием и противоречить гражданскому законодательству.
Ст. 9 (4) (2) Закона Республики Армения от 18.05.2015 № ЗР-49 «О защите личных данных» указывает заключение договора в качестве способа получения согласия, а ст. 8 (2) Закона Республики Казахстан от 21.05.2013 № 94-V ЗРК «О персональных данных и их защите» ограничивает отзыв согласия при наличии неисполненного обязательства.
Ст. 114 Цифрового кодекса Кыргызской Республики от 31.07.2025 № 178 устанавливает требования к форме ПС, информированию до его заключения и порядку его изменения.
Ст. 6 (1) (b) GDPR в интерпретации Европейского совета по защите данных (Guidelines 2/2019) допускает обработку лишь в объеме, объективно необходимом для исполнения договора.
Законодательство Республики Беларусь (п. 1 ст. 6 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных») специальных требований к договору не устанавливает, оставляя его квалификацию гражданскому законодательству.
Специальные требования к договорам per se в рамках законодательства в области ПД, по нашему мнению, избыточны в условиях развитого гражданского законодательства. Вместе с тем само их появление показывает, что законодатель воспринимает договор не как «основание без границ», а как основание, границы которого требуют явного определения, — именно принципы обработки ПД позволяют определить эти границы.
Вывод
Баланс интересов обеспечивается эффективной имплементацией законодательства о ПД, а его нарушение всегда выражается в нарушении обязательных требований.
Особенности ПС как основания обработки ПД не являются критичными «проблемами de lege lata» при условии соблюдения обязательных требований — действующее законодательство содержит достаточный инструментарий работы с вызовами.
Для оценки баланса интересов может использоваться трехчастный тест: «нулевой этап» (требования, не связанные с ПД напрямую; нарушения выявляют иные уполномоченные органы), первый этап (общие требования законодательства о ПД, включая принципы) и второй этап (специальные требования к правовому основанию). На двух последних нарушения выявляют DPA.
Ключевую роль в оценке баланса интересов играет соблюдение принципов обработки ПД как специально-правовых принципов.
Баланс интересов недостижим без реального, а не формального следования законодательству о ПД.
Недостаточно просто разработать чек-лист или формальный тест: путь к балансу интересов лежит через системную и функциональную имплементацию принципов в деятельность оператора ПД.
Отвечая на вопрос, вынесенный в заглавие: ПС — основание с границами, однако эти границы задаются не самим ПС, а принципами обработки ПД.
Как Buttarelli G. The Accountability Principle in the New GDPR // Speech delivered at the Court of Justice of the European Union, Luxembourg, 30 September 2016. [Электронный ресурс] URL: https://www.edps.europa.eu/sites/default/files/publication/16-09-30_accountability_speech_en.pdf (дата обращения — 14.11.2025)
Авторы:
Кирилл Зюбанов
Chief Privacy & Awareness Officer RWB, автор проекта «ПЕРСОНЕМЫ», со-учредитель АНО «ПРО ПД», ассоциированный партнер Privacy Advocates
Евгения Казачковская
International Privacy Expert Wildberries
