Коллектив авторов - Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет

• Название: Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет
• Автор: Коллектив авторов
• Жанр: Прочая научная литература
• Год: 2016
• ISBN: 978-5-7598-1386-6

В монографии представлено исследование актуальных проблем регулирования отношений по оказанию услуг операторами доверенных сервисов (прежде всего идентификация и аутентификация лиц при электронном взаимодействии) и по доверительному управлению информацией на международном уровне, в зарубежных странах и в Российской Федерации, а также проблем защиты персональных данных в Интернете, в том числе в условиях применения новых методов обработки больших массивов данных и использования технологии облачных вычислений.

Книга адресована сотрудникам государственных органов, осуществляющих регулирование информационных отношений и (или) обеспечивающих защиту персональных данных, и компаний, являющихся операторами доверенных сервисов, оказывающих услуги по обработке больших массивов данных, предоставляющих услуги с помощью Интернета, а также операторам персональных данных. Она будет интересной и при изучении курса информационного права в учреждениях высшего образования.

---

Примечательно, что указанный закон распространяется на информацию, которая:

а) должна быть обработана с помощью оборудования, работающего автоматически, либо

б) является частью соответствующей системы.

Независимо от того, предназначается информация для обработки или является частью системы, существует требование закона, по которому информация может быть передана за пределы Европейской экономической зоны только после ее обработки на территории Великобритании.

Персональные данные обрабатываются только в целях, определенных «Актом о защите данных». Закон определяет специальные цели и цели, определенные контролером данных. Так, в соответствии с и. 4 раздела 1 «Акта о защите данных» к специальным целям обработки данных относятся цели, преследуемые журналистами, художественные цели и литературные цели.

Остальные цели специально не регламентированы, однако они связаны с принципами обработки информации, которые должны быть заявлены контролером данных в каждом конкретном случае. Обработка данных возможна, если контролер данных (информации) принимает разумные меры для обеспечения соблюдения требований о безопасности и надежности систем, содержащихся в «Акте о защите данных». Обработка осуществляется на основании письменного договора.

«Акт о свободах» (Freedoms Act 2012) принят в связи с Законом 2008 г. (Great Repeal Bill), и к персональным данным имеет отношение только глава 1 данного «Акта». Глава регулирует вопросы уничтожения, сохранения и использования отпечатков пальцев, обуви и образцов ДНК, профили, принятые в ходе расследования уголовного дела. В соответствии с указанным законом отпечатки пальцев и ДНК-профили, полученные от арестованных лиц, подлежат уничтожению в случае оправдательного приговора.

Защита персональных данных в уголовном процессе осуществляется на основании Уголовного кодекса (The Criminal Justice and Data Protection (Protocol No. 36) Regulations 2014). При этом Уголовный кодекс имеет территориальные ограничения: глава 2 и правила 19 и 20 распространяются только на Англию и Уэльс; глава 3, Приложение 1 и правила 21 и 22 – только на Шотландию; глава 4, Приложение 2 и правила 23 и 24 – только на Северную Ирландию.

1.3.2. Определение персональных данных

«Акт о защите данных» 1998 г. оперирует следующими терминами:

1) «персональные данные» – это любые данные, относимые к живому человеку, на основании которых он может быть идентифицирован, или иная информация, которая находится в распоряжении контролера данных или может ему поступить для обработки, а также любое выражение мнения об индивидуальных особенностях лица или его личности;

2) «чувствительные данные»[50], которые являются разновидностью персональных данных и к которым относится информация:

а) о расовом или этническом происхождении субъекта данных;

б) о политических взглядах;

в) о религиозных убеждениях или иных убеждениях аналогичного характера;

г) о том, является ли человек членом профсоюза;

д) о физическом или психическом здоровье человека или о его состоянии;

е) о его сексуальной жизни;

ж) о совершенном или предполагаемом совершении человеком какого-либо преступления;

з) о любых процедурах, связанных с преступлениями, совершенными или совершаемыми, в том числе о решениях по таким разбирательствам или о приговорах любого суда по такому делу.

Очевидно, что вышеуказанные термины схожи с российскими терминами «персональные данные» и «специальные категории персональных данных».

В настоящий момент в Великобритании рассматриваются поправки к дефиниции «персональные данные»: предлагается расширить определение персональных данных – так, чтобы в него попали IP-адреса и cookie. Предлагается следующее определение: «персональные данные – это данные, с помощью которых физическое лицо может быть идентифицировано прямо или косвенно на основании средств, которые могут быть использованы контролером данных… в том числе применительно к идентификационным номерам, данным о местоположении, онлайн-идентификаторам»[51].

Понятие «персональные данные» в Великобритании имеет абстрактный характер, будучи конкретизированным только в части чувствительных (sensitive) данных.

1.3.3. Субъекты отношений в области обеспечения конфиденциальности персональных данных

Основным субъектом обеспечения конфиденциальности персональных данных в Великобритании является контролер данных – лицо, которое (самостоятельно или совместно с другими лицами) определяет цели и средства обработки персональных данных. Вместе с тем если контролер данных привлекает для обработки третье лицо – обработчика данных (любое лицо, не являющееся субъектом персональных данных, которое обрабатывает персональные данные от имени контролера данных), то обработчик данных несет такую же ответственность за обеспечение конфиденциальности персональных данных, как и контролер.

Субъект данных имеет право самостоятельно определять, как, кому и на каких условиях предоставлять данные. Соответственно, нормативно установленных обязанностей по обеспечению конфиденциальности персональных данных у субъекта данных нет.

Департамент правительства Великобритании по делам культуры, СМИ и спорта (DCMS) взял на себя ответственность за формирование политики защиты данных Великобритании[52].

1.3.4. Ответственность за нарушения в области персональных данных и запрет на передачу данных третьим лицам

В Великобритании установлена серьезная административная и уголовная ответственность за указанные нарушения.

Совершение данных нарушений наказывается в Великобритании штрафом до 500 тысяч фунтов. Также предусматриваются административные санкции за несвоевременное устранение нарушений и повторное нарушение, а при преднамеренном характере нарушений, которые привели к серьезным последствиям, установлена уголовная ответственность в виде лишения свободы. Аналогичный подход применяется и в России[53].

Кроме того, существует требование к интернет-провайдерам об уведомлении комиссара по персональным данным без неоправданной задержки, а в некоторых случаях и абонентов о случаях любых инцидентов с их персональными данными. Неуведомление может привести к штрафу в размере 1000 фунтов стерлингов.

В соответствии с законодательством Великобритании данные могут быть обработаны с помощью третьей стороны, если третья сторона предоставит достаточные гарантии относительно технической и организационной безопасности.

Передача данных возможна, если контролер данных принимает разумные меры для обеспечения соблюдения «Акта о защите данных».

Обработка осуществляется на основании письменного договора только по поручению контролера или в рамках выполнения обязательств, эквивалентных тем, которые накладываются на контролера данных в соответствии с «Актом о защите данных».

Законом определены следующие требования об условиях собирания и обработки данных контролером[54]:

а) контролер информации может обрабатывать данные только в рамках заранее полученного согласия субъекта данных или в процессе выполнения договорных обязательств;

б) обработка данных соответствует обязательствам контролера обработки данных;

в) обработка направлена на защиту жизненно важных интересов субъекта данных;

г) обработка требуется в связи с целями «Акта о защите данных».

Данные могут быть собраны и обработаны правительством Великобритании при выполнении следующих условий:

а) обработка требуется для обеспечения безопасности общества, осуществления правосудия; или

б) имеются законные основания для обработки данных;

в) обработка не нарушает права и свободы субъекта данных или другого законного представителя.

Чувствительные персональные данные могут быть собраны и обработаны в случае выполнения следующих условий:

а) получение явного согласия субъекта данных;

б) обработка необходима для целей осуществления или выполнения каких-либо прав или обязательств, предусмотренных или налагаемых законом на контролера данных;

в) обработка необходима для того, чтобы защитить жизненно важные интересы субъекта персональных данных или другого человека;

г) обработка осуществляется любым судебным органом в его законной деятельности;

д) информация была обнародована самим субъектом персональных данных в результате его деятельности;

е) обработка необходима для целей или в связи с осуществлением судопроизводства, с получением юридической консультации либо защитой законных прав субъекта;

ж) обработка необходима для отправления правосудия или для осуществления функций определенных государственных органов, за некоторыми исключениями;

з) обработка необходима для целей предотвращения мошенничества;

и) обработка необходима для медицинских целей и связана с конкретными лицами.