Коллектив авторов - Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет

• Название: Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет
• Автор: Коллектив авторов
• Жанр: Прочая научная литература
• Год: 2016
• ISBN: 978-5-7598-1386-6

В монографии представлено исследование актуальных проблем регулирования отношений по оказанию услуг операторами доверенных сервисов (прежде всего идентификация и аутентификация лиц при электронном взаимодействии) и по доверительному управлению информацией на международном уровне, в зарубежных странах и в Российской Федерации, а также проблем защиты персональных данных в Интернете, в том числе в условиях применения новых методов обработки больших массивов данных и использования технологии облачных вычислений.

Книга адресована сотрудникам государственных органов, осуществляющих регулирование информационных отношений и (или) обеспечивающих защиту персональных данных, и компаний, являющихся операторами доверенных сервисов, оказывающих услуги по обработке больших массивов данных, предоставляющих услуги с помощью Интернета, а также операторам персональных данных. Она будет интересной и при изучении курса информационного права в учреждениях высшего образования.

---

Рабочая группа также обратила внимание на не вполне ясную природу идентификатора персональных данных (что делает его таковым – однозначное формальное определение в качестве идентификатора или фактическая возможность идентифицировать субъекта данных) и пришла к выводу о затруднительности формулирования адекватного (менее широкого) определения персональных данных.

1.5.3. Субъекты отношений в области обеспечения конфиденциальности персональных данных

Согласно ст. 1 нидерландского закона «субъект данных» означает лицо, к которому относятся персональные данные. В российском же законе данный термин поясняется косвенно через определение понятия персональных данных, что, возможно, не совсем верно, так [81] как это ключевое понятие в законе, направленном на защиту его прав.

Что касается прав субъекта персональных данных, то они связаны с предоставлением ему юридической возможности контролировать обращение со своими данными. Право контроля в первую очередь обосновано его условным согласием на их последующую обработку (условным, т. е. не абсолютным, а ограниченным заявленными целями и объемами) и возможностью отозвать это согласие в случае нарушения порядка обработки или потребовать его соблюдения.

Это ключевое положение в законе, реализация которого требует установления соответствующих обязанностей других субъектов закона, прежде всего оператора. Так как субъект данных доверяет управление своими данными на определенных условиях, закон возлагает обязанность на оператора по информированию об изменениях условий обработки данных. Поэтому информация о произошедшем или возможном инциденте должна быть сообщена субъекту данных в любом случае, и это требование стало одним из последних в регулировании рассматриваемой области.

В ст. 1 нидерландского закона вместо термина «оператор данных» употребляется термин «ответственное лицо» (как и во французском законе, например), означающий физическое лицо, юридическое лицо, административный орган или любую другую организацию, которые самостоятельно или совместно с другими определяют цели и средства обработки персональных данных.

Согласно ст. 1 закона Нидерландов «обработчик» – это лицо или орган, которые обрабатывают персональные данные для ответственного лица, не находясь в его прямом подчинении.

Следует отметить, что в Нидерландах, в отличие от России, функции по определению целей обработки персональных данных, т. е. по организации собственно такой деятельности, и по технической обработке разделены. Так, Закон о защите персональных данных разграничивает таких субъектов, как «ответственная сторона» и «обработчик». Первый означает «физическое лицо, юридическое лицо, административный орган или любое другое юридическое лицо, которые самостоятельно или совместно с другими определяют цели и средства обработки персональных данных», второй – «лицо или орган, которые обрабатывают персональные данные для ответственной стороны, не находясь в ее непосредственном подчинении» (ст. 1). В России же возможно, что оператор организует «и (или)» осуществляет обработку данных, «а также» определяет цель обработки (ст. 1 Федерального закона), что не вполне логично с точки зрения последовательности действий и конечной ответственности за обращение с данными. Технический обработчик несет ответственность перед оператором, а последний – перед субъектом данных.

Возможно, следовало бы обозначить оператора в российском законодательстве в первую очередь как лицо, определяющее цели обработки, и только затем как организатора обработки данных и (или) обработчика, если невозможно разделить функции оператора и обработчика.

Согласно ст. 4 закона его нормы распространяются на обработку персональных данных в рамках деятельности ответственного лица (государственного органа в том числе), учрежденного в Нидерландах, либо если обработка совершается средствами, расположенными в Нидерландах (за исключением трансграничной передачи данных). В российском законе это выражено не так явно и акцент сделан на регулируемых субъектах, а не на деятельности. Таким образом, не вполне ясно, как регулируется обработка данных российских граждан за рубежом или иностранных граждан в России.

Закон требует предварительно уведомлять Надзорный орган по защите персональных данных (Dutch Data Protection Authority – College bescherming persoonsgegevens[82]) о факте частичной или полной автоматизированной обработки данных, не ожидая санкционирования таких действий. Поскольку Надзорный орган по защите данных несет ответственность прежде всего перед субъектом данных, это требование вполне логично. Отсутствие же уведомления о факте обработки создает презумпцию ненадлежащей обработки.

В ст. 1 закона «третье лицо» означает любое лицо, кроме субъекта данных, ответственного лица, обработчика или любого лица, находящегося в непосредственном подчинении ответственного лица или обработчика, которое имеет право на обработку персональных данных.

Конечную ответственность за действия третьего лица несут ответственное лицо и обработчик. Именно они отвечают перед субъектом персональных данных и надзорным органом в силу положений нидерландского закона об обязанностях указанных лиц (в частности, по обеспечению надлежащего обращения с данными).

1.5.4. Ответственность за нарушения в области персональных данных и запрет на передачу данных третьим лицам

В связи с утечками данных и нарушениями Закона о персональных данных в 2014 г. Надзорный орган Нидерландов оштрафовал на 15 млн евро компанию Google за использование персональных данных пользователей в целях создания персонализированной рекламы[83].

Поскольку передача третьим лицам персональных данных требует согласия субъекта, а сохранность данных обеспечивают оператор и обработчик, именно они несут первостепенную ответственность за нарушение режима обращения с данными. В случае любого его нарушения Надзорный орган по защите данных может проводить расследования инцидентов как по просьбе затронутых лиц, так и по собственной инициативе.

26 мая 2015 г. был принят Закон о нарушении персональных данных, в соответствии с которым операторы данных (т. е. субъекты, определяющие цель и способы их обработки) должны уведомлять Надзорный орган по защите данных и затронутых лиц о произошедшем или потенциальном инциденте и его характере. Данный закон повышает штраф за нарушение Закона о нарушении персональных данных до 810 тыс. евро или до 10 % чистого годового оборота за прошедший год. Штрафу могут быть подвержены как оператор данных, так и обработчик[84].

В российском законодательстве отсутствует прямой аналог нормы об обязательном информировании уполномоченного органа и субъекта данных об инциденте, что с учетом именно общей направленности на «обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных» (ст. 2) снижает возможность надлежащей обработки данных. Как указано выше, своевременное уведомление создает презумпцию того, что действия были совершены надлежащим образом, и уменьшает вину оператора или обработчика.

По общему правилу, обработка, в том числе передача, персональных данных требует согласия субъекта данных.

Во исполнение закона Нидерландов принят Указ об изъятиях, который устанавливает категории данных, в отношении которых при обработке не требуется предварительное уведомление. Например, обработка данных должников и кредиторов, клиентов не влечет обязательного уведомления. При этом изъятия не действуют, если при трансграничном перемещении данных в зарубежной стране за пределами ЕС не установлен адекватный уровень их защиты. В самом законе устанавливаются исключения, связанные с государственной безопасностью, расследованием уголовных преступлений, значительными экономическими или финансовыми интересами государства или защитой самого субъекта или других лиц (ст. 43).

Правила обработки данных также схожи с правилами Директивы 1995 г.: основным принципом остается законный интерес в качестве основания для обработки нечувствительных персональных данных.

Режим защиты персональных данных распространяется на любую обработку данных, в результате которой можно получить информацию о лице.

Например, запрет обработки чувствительных данных распространяется и на «непрямые чувствительные данные», т. е. на данные, из которых можно вывести прямые. Так, например, письмо из религиозной организации раскрывает данные о религиозной принадлежности адресата (ст. 17 закона). В отношении чувствительных данных действует общий запрет на их обработку с разумными исключениями (например, религиозные организации могут проводить обработку данных в целях, связанных с их деятельностью).

1.5.5. Регулирование порядка анализа результатов обработки данных (метаданных)

Анализ метаданных в Нидерландах регулируется не Законом о персональных данных, а Законом о сохранении данных о нагрузке линий связи (Telecommunications Data Retention Act) 2009 г.[85], принятым в рамках имплементации Директивы 2006/24/ЕС о сохранении данных. Принятие же Директивы было вызвано терактами, случившимися в Мадриде в 2004 г. и в Лондоне в 2005 г.