Защита персональных данных в процессе использования таргетированной рекламы

Васильева Яна Валерьевна ORCID: 0000-0001-9434-7563 кандидат юридических наук доцент кафедры административного и финансового права Северо-Западного института (филиала) Университета имени О.Е. Кутафина (МГЮА) 160000, Россия, Вологодская область, г. Вологда, ул. Марии Ульяновой, 18, оф. 203 Vasileva Yana Valeryevna PhD in Law Associate Professor of the Department of administrative and financial law, North-West Institute (branch) of the Kutafin Moscow State Law University (MSAL) 160000, Russia, Vologda region, Vologda, Maria Ulyanova str., 18, office 203 yana.vasileva@list.ru Другие публикации этого автора

Шалегин Степан Павлович ORCID: 0000-0002-6452-6306 студент; Северо-Западный институт (филиал) Московского государственного юридического университета имени О.Е. Кутафина (МГЮА) 160000, Россия, Вологодская область, г. Вологда, ул. Марии Ульяновой, 18 SHalegin Stepan Pavlovich Student; Northwestern Institute (branch) O.E. Kutafin Moscow State Law University (MGUA) 160000, Russia, Vologda region, Vologda, Maria Ulyanova str., 18 yana.vasileva@list.ru

В современную цифровую эпоху экономического развития регулярно внедряются новейшие способы и средства продвижения товаров и услуг в сети Интернет. Реклама является ключевым источником привлечения покупателей для успешного ведения предпринимательской деятельности и играет важную роль в реализации экономических, социальных, образовательных и иных функций. Интернет-реклама играет ключевую роль в онлайн-платформах и пользовательском взаимодействии. Рост числа пользователей Интернета увеличил важность регулирования рекламы в коммуникационной сети. Баланс между эффективной рекламой и положительным пользовательским опытом важен и для потребителей, и для рекламодателей. Регулирующие меры способствуют социально ответственной рекламе и защите конфиденциальности пользователей. Уважение к приватности помогает формировать доверие и использовать онлайн-сервисы. Нормативные акты и формирующаяся практика защиты данных пользователей обеспечивают их конфиденциальность.

Защита частной жизни – важная часть демократии и гражданских свобод. Пользователи должны контролировать свои данные и быть защищенными от необоснованного мониторинга и вмешательства. Конфиденциальность связана с кибербезопасностью, и нарушение может привести к мошенничеству и киберпреступлениям. Нормы и правила должны обеспечивать безопасность пользовательских данных.

Содержание Интернет-торговли, ее роль, место и значение в экономической системе раскрыли известные отечественные авторы, как Е. М. Азарян, Д. В. Валько, А. Н. Германчук, А. Н. Соколова, О. А. Третьяк, В. В. Царев и другие ученые. Различные подходы к понятию таргетированной рекламы описали исследователи: И. В. Ермакова, А. В. Здорнова, Е. А. Кожемякин, В. Г. Ловягина, Е. И. Немчинова, Н. А. Сошнева и другие. Вопросы правового регулирования обработки и защиты персональных данных в сети Интернет затронули в научных трудах авторы: И. З. Аюшеева, К. В. Бородин, А. Ю. Бурова, А. И. Геращенко, К. А. Зюбанов, Л. Л. Кошелева, В. А. Передня, А. И. Рыбин, А. И. Савельев, Ю. Севастьянова, А. М. Туркиашвили, П. Е. Чумакова, и другие. Анализ научных трудов выявил, что, несмотря на большое количество работ, связанных с правовым обеспечением безопасности обработки персональных данных в сети Интернет, вопросы защиты персональных данных в процессе использования таргетированной рекламы недостаточно изучены, что определило постановку цели и задач настоящего исследования.

В современном мире экономически выгодным считается институт таргетированной рекламы. Указанный нестандартный способ рекламного позиционирования позволяет разместить необходимую информацию в непосредственной близости от точки продажи. Что касается понятия таргетированной рекламы вопрос в законодательстве не решен. Ученые и практики раскрывают лишь некоторые признаки и элементы указанного вида рекламной деятельности. Так, по мнению И. В. Ермаковой, суть таргетированной рекламы в функционировании посредством использования технологий «cookies», которые позволяют направлять персонифицированные предложения конкретному пользователю, учитывая информацию об их поисковых запросах, просмотре ими определенных сайтов и другое ^{[1, с. 29-47.]}. С позиции Е. И. Немчиновой и А. В. Здорновой, таргетированная реклама позволяет демонстрировать объявления определенным пользователям сети Интернет ^{[2, с. 129-131]}. В рамках исследований других авторов ^{[3, с. 3-28]} также отмечается ключевая особенность таргетированной рекламы – персонализированный характер её контента: целевая аудитория получает и находит в таргетированных рекламных предложениях то, что соответствует ее социально-демографическим, социально-экономическим, геолокационным и культурным характеристикам, а также ее предыдущим запросам в Интернете, аффилиации с сообществами, откликам в социальных сетях и другое. Кроме того, исследователи А. И. Геращенко, А. И. Рыбин, К. А. Зюбанов указывают, что несмотря на отсутствие термина «таргетированная реклама» в российском законодательстве он широко используется в судебной практике ^{[4, с. 87-102.]}. Также понятие данного вида рекламы авторы рассматривают через понятие таргетинг (от англ. target – цель) в рекламе – механизм, который позволяет онлайн-платформам посредством использования cookies и других технологий анализировать цифровой след (поисковые запросы, просмотр определенных сайтов) пользователя ^{[5, с. 108-113]}. Соответственно, проанализировав предлагаемые в научной литературе отдельные признаки таргетированной рекламы, в рамках настоящего исследования, авторы предлагают следующее определение понятия «таргетированная реклама» - информация, распространенная в информационно-телекоммуникационной сети «Интернет», в форме персонализированных и целенаправленных сообщений, с использованием средств вычислительной техники, адресованная определенному кругу потенциальных потребителей, учитывая их интересы и потребности и направленная на привлечение внимания к объекту рекламирования, формирование или поддержание интереса к нему и его продвижение на рынке. С учетом представленного авторского определения понятия, можно сделать вывод, что таргетированная реклама является ключевым инструментом цифрового продвижение товаров и услуг.

В настоящее время активно ставится вопрос о наличии конфиденциальности информации при использовании рекламодателем таргетированной рекламы. Действующий Федеральный закон «О персональных данных» слабо охватывает данный момент. Касаемо взаимодействия с пользователями, закон обязывает любого оператора данных лишь обозначить в отдельном документе политику конфиденциальности (обработки персональных данных), включения на всех формах, где пользователи вводят свои персональные данные, чек-бокса, требующего активного согласия на обработку данных, а также уведомления пользователей сайта об использовании cookie-файлов. Обработка персональных данных без согласия субъекта персональных данных влечет наложение административного штрафа в размере для юридических лиц от трехсот тысяч до семисот тысяч рублей (часть 2 статьи 13.11 КоАП РФ), отсутствие описания условий обработки cookie-файлов – от шестидесяти тысяч до ста тысяч рублей (часть 1 статьи 13.11 КоАП РФ).

Последние несколько лет персональные данные приобрели для корпораций новую ценность. Практически любое взаимодействие с крупной компанией приводит к сбору данных о потребителе. Отчасти это объясняется тем, что увеличение количества данных ведет к улучшению отслеживания в Интернете, профилированию поведения и целевому маркетингу на основе данных. Но есть и другая сторона. Стоит согласиться с И. З. Аюшеевой, которая указывает, что, например, «ООО «ВКонтакте», как и большинство других владельцев технологических платформ, - коммерческая организация и получает прибыль от своей деятельности. Возможность пользования сервисами платформы «обменивается» на данные о пользователях – компания получает в свое распоряжение большие пользовательские данные, которые необходимы для получения прибыли при продаже таргетированной рекламы ^{[6, с. 56-65]}. Также авторов привлекает внимание мнение А. И. Савельева, который рассматривать персональные данные в качестве валюты для оплаты «бесплатных» интернет-сервисов, также они являются топливом для использования технологий наподобие искусственного интеллекта ^{[7, с. 104-129]}. Избыток ценных данных в сочетании с минимальным регулированием увеличивает вероятность неправомерного использования или неправильного обращения с конфиденциальной информацией (A. S. Gillis, B. Lutkevich. What is customer experience management (CXM)? Ultimate guide // [Электронный ресурс] URL: https://www.techtarget.com/searchdatamanagement/definition/consumer-privacy (дата обращения 25.03.2024)).

Вопрос обеспечения баланса между персонализацией рекламы и конфиденциальностью требует отдельного обсуждения. С юридической точки зрения, в федеральный закон «О персональных данных» необходимо внести следующие изменения:

1) Детально регламентировать процедуру выражения пользователями согласия на обработку персональных данных в целях таргетинга в сети Интернет. Также необходимо запретить администрации сайта отказывать в доступе к информации пользователю по мотивам его отказа от получения таргетированных рекламных объявлений ^{[8, с. 200-203]}. Следует отметить, указанные нормы следует внести и в Федеральный закон «О рекламе».

Без конкретно обозначенных правил и процедур пользователи могут не знать о том, как их персональные данные используются для рекламы. Указанное может привести и к непропорциональному сбору и использованию персональных данных указанных лиц. Это нарушает принципы прозрачности и конфиденциальности. Возможность отказаться от таргетированной рекламы – важное право пользователя, которое должно соблюдаться. Если владельцы сайтов могут отказывать пользователям в доступе только на основании их отказа от данной рекламы, это ограничивает право на свободный доступ к информации и услугам, что также может привести к монополистическому поведению и незаконному контролю над информацией, особенно если такие условия нарушаются множеством сайтов.

2) Рекламодатель должен сразу в момент получения согласия или отказа чётко объяснять, что и как из собираемых данных будет использоваться в рекламе. Сюда должна входить информация о типах собираемых данных, целях, для которых они будут использоваться, а также о любых третьих лицах, которые могут иметь доступ к данным. Предоставляя эту информацию заранее, пользователи могут принимать обоснованные решения о том, желают ли они согласиться на сбор данных.

Без четких разъяснений о методах сбора и использования данных, пользователи не имеют представления о том, как их данные будут использоваться в рекламных целях, а это подрывает доверие пользователей и нарушает их право контролировать свою личную информацию.

3) Рекламодатели должны уделять приоритетное внимание безопасности данных для защиты личной информации пользователей от несанкционированного доступа, использования или раскрытия. Это включает в себя внедрение надежных мер безопасности, таких как шифрование, контроль доступа и регулярный аудит данных для защиты пользовательских данных от потенциальных нарушений.

В отсутствие нормативного обязательства рекламодатели могут не уделять первоочередного внимания внедрению надежных мер безопасности для защиты персональных данных пользователей. Отсутствие чётких требований о применении соответствующих мер безопасности затрудняет привлечение рекламодателей к ответственности за возможные утечки данных или инциденты, связанные с их охраной.

Обращая внимание на институт конфиденциальности, вытекающий из безопасности хранения персональных данных, необходимо сделать акцент на возможность его нарушения ввиду утечки данных. В качестве понятного примера можно привести такой способ, занимающий важную долю в распространении интернет-рекламы, как онлайн рассылки по электронной почте. Утечка одного лишь адреса электронной почты способна породить его владельцу такие проблемы, как направления в его адрес спама или мошеннических писем, компрометации других аккаунтов, использующих данный адрес электронной почты, и прочее.

Анализируя научную литературу, можно констатировать достаточное количество исследований отечественных и зарубежных ученых, посвященных проблеме защиты от утечек информации (Д. П. Зегжда, В. П. Лось, Е. Ю. Павленко, Д. Массей, А. Р. Хакпур и другие). Однако, следует констатировать отсутствие в научных работах полного определения понятие рассматриваемого явления. Сжатое, на взгляд авторов, определение процессу дает в своем диссертационном исследовании А. А. Спирин: утечка информации – нарушение безопасности защищаемой информации, а именно нарушение свойства конфиденциальности (Защита от утечки информации на основе разделения зашифрованных и сжатых данных: диссертация ... кандидата технических наук: 05.13.19 / Спирин Андрей Андреевич. – Орел, 2022. – 131 с.). Подобная мысль получила свое развитие в научной работе И. О. Силантьева и И. В. Аникина, под утечкой конфиденциальной информации авторы понимают негативное событие, при котором информация, содержащая ценные сведения, без согласия владельца становится доступной лицу или группе лиц, не имеющих разрешения на доступ к этой информации ^{[9, с. 15]}. В исследуемой проблематике центральными для авторов становится анализ трендов в области утечек конфиденциальных данных и социальных оснований данной проблемы, так П. С. Швыряев рассматривает институт утечки конфиденциальных данных как массовую, комплексную и важную проблему в мире и особенно в России, оказывающую прямое влияние на важные аспекты жизнедеятельности социума: состояние делового климата, уровень доверия населения к цифровым продуктам, состояние киберпреступности, характер развития научного-технического прогресса, экономическое благополучие граждан ^{[10, с. 226-241]}. «Большой проблемой в цифровую эпоху» называет утечку персональных данных в научной статье и исследователь А. П. Иванова ^{[11, с. 100-107]}. Следует отметить, что некоторые положения, высказанные здесь, носят аналитический характер и не исключают других точек зрения на содержание понятия «утечка персональных данных». По смыслу же норм федерального закона «О персональных данных», утечкой можно назвать факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекший нарушение прав субъектов персональных данных. Таким образом, для настоящего исследования под утечкой данных авторы предлагают рассматривать невыполнение оператором персональных данных обязанности по соблюдению условий, обеспечивающих сохранность личных данных, повлекшее неправомерный или случайный доступ к данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение либо иные неправомерные действия в отношении указанных данных.

В действующем законодательстве предусмотрено несколько видов ответственности за утечку персональных данных: дисциплинарная, гражданско-правовая, административная, уголовная. Так как этот аспект является предметом самостоятельного исследования, выходящего за рамки нашей работы, мы ограничимся кратким рассмотрением лишь института административной ответственности. Так, КоАП РФ предусматривает ответственность в рамках статьи 13.11. Нарушение законодательства Российской Федерации в области персональных данных: по части 1 за обработку персональной информации в случаях, которые не предусматриваются законом; по части 2 за проведение обработки персональных сведений без письменного согласия; по части 4 за непредставление сведений владельцу касающихся порядка и целей обработки, предоставленных им сведений личного характера; по части 6 за утечку информации и попадание ее к третьим лицам.

Следует обратить внимание на важную проблему, обозревающую одну, но весомую причину попустительства крупных компаний к массовым утечкам персональных данных, которой является назначение «мягких» наказаний. Для понимания реальной сущности проблемы можно вспомнить любой пример с крупными утечками персональных данных. Так, 19 октября 2023 года Роскомнадзор подтвердил утечку персональных данных клиентов «МТС Банка» (Роскомнадзор подтвердил утечку персональных данных клиентов «МТС Банка» // [Электронный ресурс] URL: https://ria.ru/20231019/dannye-1903771403.html (дата обращения 25.03.2024)). В свободном доступе оказался 1 миллион строк с фамилией, именем и отчеством, номером телефона, датой рождения, полом, ИНН и гражданством клиентов. В другом файле найдено 3 миллиона строк с частичным номером банковской карты, датами выпуска и истечения карты и типом карты. В третьем файле обнаружено 1,8 миллиона уникальных номеров телефонов, 50 тысяч уникальных адресов электронной почты и числовые идентификаторы. Компанию привлекли к административной ответственности по части 1 статьи 13.11 КоАП РФ, назначено наказание в виде административного штрафа в размере 60 тысяч рублей, это минимально возможный штраф по данной статье на юридическое лицо, максимальный мог составить 100 тысяч рублей. Таким образом, де-факто компания понесла лишь репутационный ущерб, что, впрочем, тоже сомнительно ввиду далеко не первой крупной утечки персональных данных и, соответственно, привычке российских пользователей к частым подобным явлениям и ненаказуемых надлежащим образом.

Утечкам подвержены и собираемые рекламодателями данные для контекстной рекламы, о сборе которых пользователи существенно реже задумываются, поэтому помимо регулирования сбора сведений рекламодателями необходимо разрешить вопрос о наказании за халатность при обработке и ненадлежащем хранении данных.

Одним из стимуляторов ответственного подхода компаний к обеспечению всеобъемлющих мер охраны персональных данных является введение разумных наказаний за допущение утечки. На данный момент с различным обоснованием предлагается как введение уголовной ответственности, так и оборотных штрафов. Не менее логичным является и предоставление пострадавшим компенсаций в обмен на снижение размера штрафа.

Стоит также отметить определенные шаги в реформировании указанного направления. Так, банковский юрист Ю. Севастьянова в начале 2023 года указывает на тенденцию ужесточения ответственности за утечку и незаконную обработку персональных данных ^{[12, с. 104-109]}. Ученый А. Ю. Бурова анализирует изменения в законодательстве об административных правонарушениях, предполагающие дифференциацию административной ответственности в зависимости от количества субъектов персональных данных и идентификаторов, в отношении которых произошла утечка ^{[13, с. 143-155]}. Согласно же Федеральному закону от 12.12.2023 № 588-ФЗ, в разы выросла административная ответственность за обработку персональных данных без письменного согласия граждан, когда такое согласие в обязательном порядке надо получать в соответствии с законом. Выросли штрафы и за обработку персональных данных с нарушением требований к составу сведений, включаемых в письменное согласие.

В настоящее время при усилении информатизации общества, развития передовых технологий и цифровой среды процесс использование персональных данных в сети Интернет неминуем. Посредством обеспечения безопасности персональных данных происходит обеспечение процессов как гарантии защищенности данных, так и сохранения особенностей информации при единовременном обеспечении ее конфиденциальности, целостности и доступности ^{[14, с. 285-288]}.

В цифровом мире Интернет-реклама, несомненно, стала мощной силой, формирующей наш опыт работы в сети. Однако на первый план выходят проблемы, связанные с неприкосновенностью частной жизни, что требует всесторонней доработки, а если необходимо, то и пересмотра правовой базы, регулирующей эту сферу рекламы.

Так, необходимо урегулировать процесс получения согласия пользователя на таргетированную рекламу, обеспечивающий прозрачность и защиту конфиденциальности частной жизни. Кроме того, необходимо запретить администраторам сайтов закрывать доступ на основании отказа пользователя от целевой рекламы. Эти поправки должны быть включены в действующее законодательство о персональных данных и рекламе.

Рекламодателям также необходимо заранее, в момент получения согласия, в понятной форме объяснять характер и цели использования собранных данных в рекламных целях. Это позволит пользователям принимать взвешенные решения и сохранять контроль над своей личной информацией.

Безопасность данных должна быть одним из главных приоритетов рекламодателей, поскольку именно на операторе персональных данных лежит ответственность за защиту конфиденциальной информации пользователей от несанкционированного использования.

Данный комплексный подход позволит решить насущные проблемы неприкосновенности частной жизни в правовом контексте Интернет-рекламы, способствуя созданию более безопасной и прозрачной цифровой экосистемы.