Как я пытался заблокировать SMS-спам от такси. Но ничего не вышло

29 Nov 2019, 15:30

Дмитрий Корчинский, старший юрист компании AVITAR, специалист по защите персональных данных, рассказал в колонке для AIN.UA о спаме, личных данных и том, как, к примеру, службы такси могут незаконно их собирать и использовать.

Вам когда-нибудь приходили сообщения с рекламой такси? Скорее всего, приходили и не раз. А знаете ли вы, что рассылка таких SMS является нарушением законодательства Украины? Да, предложение о «лучшем такси в городе» нарушает сразу три закона Украины:

Закон про рекламу (15.1. Реклама послуг, що надаються з використанням електрозв’язку, в тому числі телефонного, при розповсюдженні її в рекламних засобах має містити точну інформацію про повне ім’я, найменування, адресу надавача рекламованої послуги);
Закон про защиту потребителей (19.5.3. Як агресивні забороняються такі форми підприємницької практики здійснення постійних телефонних, факсимільних, електронних або інших повідомлень без згоди на це споживача);
Закон про защиту персональных данных (11.1.1. Підставами для обробки персональних даних є згода суб’єкта персональних даних на обробку його персональних даних).

Как юрист, который специализируется на защите персональных данных в рамках законодательства Европейского Союза, могу сказать, что наш закон во многом копирует уже устаревшую на территории ЕС директиву о защите персональных данных. Директива вступила в силу в 1995 году, однако вплоть до принятия GDPR в 2018 году именно она служила фундаментом защиты персональных данных европейцев. Потому, вооружившись нашим законом о защите персональных данных, я решил побороться с назойливыми сообщениями.

Первым делом я разослал на не менее 5 номеров такси сообщение следующего содержания:

«Добрый день!
С данного номера мне приходит реклама такси. Я обращаюсь с запросом на реализацию своих законных прав, согласно Закону Украину «О защите персональных данных» от 01.06.2010.
Пункт 2.1 статьи 8 Закона даёт мне право:
   •  знать источники сбора данных обо мне;
   •  место хранения моих данных;
   •  местонахождение или место проживания владельца или распорядителя данных.
Прошу вас предоставить мне указанную информацию. Согласно пункту 2.4 статьи 8 Закона я должен получить ответ в течение 30 календарных дней. Более того, я должен получить содержание моих данных, которые вы обрабатываете».

Как и следовало ожидать, в течение 30 календарных дней ответа не поступило. Я решил не опускать рук и обратился в Департамент в сфере защиты персональных данных — специальное подразделение Уполномоченного по правам человека. Одной из задач департамента является «прием жалоб от физических лиц по вопросам защиты персональных данных».

Я хотел оставить жалобу, но все оказалось не так просто, как я думал. От сотрудника департамента я узнал, что эти сообщения — это спам и нужно блокировать номера, с которых они приходят. Кстати, в США есть федеральный закон, который посвящен исключительно борьбе со спамом, называется CAN-SPAM Act от 2003 года. Что касается моей жалобы — ее не смогли обработать по нескольким причинам:

Во-первых, такси не обязательно получать предварительное согласие на обработку данных, ведь сообщение, скорее всего, было отправлено «случайным подбором цифр».
Во-вторых, не персонализированные сообщения, то есть такие, которые не обращаются к вам по имени, не считаются обработкой персональных данных. Виной этому определение персональных данных, которое прописано в нашем законе: «відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована». Сам по себе номер телефона не позволяет конкретно идентифицировать личность.
В-третьих, игнорирование моего запроса на протяжении более чем 30 дней тоже не может быть взято во внимание, ведь сообщение, скорее всего, отправил бот, потому не считается, что мое сообщение достигло адресата-человека.

После того, как я получил эту аргументацию, я решил узнать, как реализовать мои законные права. На что получил ответ от Департамента, что нужно отправить заказное письмо с уведомлением о вручении на юридический адрес службы такси, к которой у меня претензия. Однако мой поиск адреса не дал результатов. Ни на сайте (где эта информация должна быть согласно требованию законодательства), ни в открытых источниках я не смог найти нужную мне информацию. Другими словами, я достиг тупика и восстановить справедливость мне не удалось.

Как бы эта ситуация выглядела на территории ЕС?

Службе такси пришлось бы выслать мне предварительное письмо о том, что мои данные собираются использовать в маркетинговых целях, и у меня было бы право отказаться от их рассылки.

Мой номер телефона считался бы персональными данными, потому что согласно GDPR персональные данные — это данные, которые могут быть использованы для прямой или косвенной идентификации.

Я бы смог отправить жалобу в орган, который занимается обработкой персональных данных. Этот орган уже занимался бы восстановлением моих прав, в том числе, поиском нарушителя.

Итого, таков путь украинца к защитите своих прав в сфере персональных данных:

найти адрес нарушителя;
отправить заказное письмо с уведомлением о вручении;
получить уведомление о вручении, ждать 30 дней;
по истечении 30 дней обратиться в департамент по защите данных;
департамент составит протокол и направит его в суд;
судиться с нарушителем.

Путь европейца выглядит кое-что проще:

подать жалобу в регулирующий орган;
дождаться ответа регулятора (до 30 дней);
обратиться в суд.

В обоих случаях нужно обращаться в суд. Однако, на территории ЕС за нарушение в сфере обработки персональных данных придется рассчитываться дважды: первый раз — административным штрафом за нарушение законодательства, второй — компенсацией лицу (лицам), чьи права были нарушены.

Пока что в Украине ситуация с защитой персональных данных оставляет желать лучшего. Но уже сейчас создаются разные инициативы, направленные на улучшение этой ситуации. Возможно, в скором времени эти инициативы помогут положить конец спаму и другим проблемам в сфере защиты персональных данных.

Автор: Дмитрий Корчинский, старший юрист компании AVITAR, специалист по защите персональных данных.