Борзунов К.К. Системы защиты информации в ведущих зарубежных странах Ч. 1

41

За последние 30 лет более чем в 20 европейских государствах были приняты нормативные акты по защите персональных данных, в которых были закреплены реальные механизмы правового регулирования оборота персональных данных. Следует отметить, что разработка нормативных правовых актов в данной сфере шла самостоятельно, наряду с развитием законодательства о защите права на неприкосновенность частной жизни.

Аналитики делят развитие правовой базы в области защиты персональных данных в европейских государствах и хронологию разработки соответствующих нормативных документов на несколько поколений в зависимости от степени их зрелости.

Во второй половине 1960-х годов было положено начало становлению правовой базы в области защиты персональных данных. По мнению исследователей проблем глобализации, в этот период развитие мирового сообщества достигло такого уровня, когда для управления развивающимся глобальным социальным государством потребовались огромное количество информации и новые технологии для ее обработки. Именно в этот период государства и международные корпорации начали использовать ЭВМ для обработки персональных данных.

Первое поколение законов о защите личных данных появилось в то время, когда вычислительные системы мало кто использовал, и в основном это делали государственные контролеры данных.

Второе поколение законодательства о защите персональных данных родилось благодаря решению Федерального конституционного суда Германии в декабре 1983 г., которое гласило, что некоторые изменения, внесенные в закон о защите данных, не соответствуют положениям конституции Германии, в которых каждому человеку гарантируется право самоопределения в использовании, передаче и раскрытии его личных данных. Кроме того, суд постановил, что право самоопределения должно быть соответствующим образом обеспечено при электронной обработке личных данных, так как «нет никакой необходимо-

сти отказываться от современных технологий и переходить на бу-

мажные картотеки». Но все же при электронной обработке персональных данных возникают существенные угрозы для права самоопределения, так как нельзя с полной уверенностью сказать, что в настоящий момент происходит с данными. Следовательно, личные данные, которые обрабатываются в электронной форме, должны быть защищены более надежно, чем те же бумажные картотеки.

42

С 1998 г. в странах Европейского союза был взят курс на создание унифицированной системы защиты персональных данных. В целом можно выделить следующие общие черты национального законодательства европейских стран, регулирующего отношения, связанные со сбором, хранением, автоматической обработкой и использованием персональных данных:

–защита персональных данных лиц от несанкционированного доступа к ним со стороны других лиц, в том числе представителей государственных органов и служб, не имеющих на то необходимых полномочий;

–обеспечение сохранности, целостности и достоверности данных

впроцессе работы с ними, в том числе при передаче по международным телекоммуникационным системам;

–обеспечение надлежащего правового режима этих данных при работе с ними для различных категорий субъектов персональных данных;

–обеспечение контроля за использованием персональных данных со стороны самого субъекта;

–создание специальной независимой структуры, обеспечивающей эффективный контроль за соблюдением прав субъекта персональных данных(например, уполномоченный позащитеперсональных данных).

Европейское право в области защиты персональных данных прошло долгий путь и претерпело множество модернизаций. Этот процесс не прекращается и в настоящее время. Европейское право дает защиту тем субъектам и объектам, которым она нужна, и в той мере, которая является экономически целесообразной.

Всовременный период вопросы защиты персональных данных детально регламентируются директивами Европарламента и Совета Европейского союза. Это директивы № 95/46/EC «О защите прав частных лиц применительно к обработке персональных данных и о

свободном движении таких данных» от 24 октября 1995 г., № 2002/58/EC «Об обработке персональных данных и охране тайны частной жизни в секторе электронных коммуникаций» от 12 июля 2002 г.1, № 97/66/EC «Об обработке персональных данных и охраны тайны частной жизни в телекоммуникационном секторе» от 15 декабря 1997 г.2 и другие документы.

1URL:http://www.internet-law.ru/law/intlaw/EC/2002.58EC.htm.

2URL: http://www.privasy.itp-lc.ru /law/foreign/directive-9766ec.html.

44

соответствующих требований и деятельностью держателей баз данных, содержащих информацию персонального характера, как правило, осуществляют независимые органы.

Принципы обработки персональных данных в зарубежном за-

конодательстве. Широкое распространение компьютерных технологий привело к разработке и применению базовых правовых принципов обработки (сбора, хранения, передачи и т.п.) персональных данных для защиты частной жизни и личных свобод индивидуума в связи со сбором, обработкой и использованием данных.

Это вызвано потенциальной опасностью последствий использования по халатности или преднамеренно неточных, недостоверных и устаревших данных, их искажения или уничтожения, что требует соблюдения принципов качества используемых персональных данных и, кроме того, связано со скрытным (с точки зрения человека) процессом автоматизированной обработки и хранения персональных данных. Сбор многих сведений о частной жизни можно вести без ведома субъекта данных, если применять современные средства тайного наблюдения и методы расследования. Поэтому, чтобы субъект данных мог знать о сборе и хранении относящихся к нему данных, а также контролировать качество этих данных, способы и цели их использования, были сформулированы права субъекта данных.

Принципы качества персональных данных и права субъекта данных в совокупности получили название принципов защиты данных и явились основой для построения национальных систем правовой защиты персональных данных.

В существующих национальных и международных нормативных актах декларируемые ими принципы защиты данных имеют незначительные различия, что является результатом гармонизирующих инициатив международных организаций и указывает на универсальную природу этих принципов. Общий перечень принципов защиты данных ограничивается принципами, приведенными ниже.

Принципы качества данных. Персональные данные, подвергающиеся автоматизированной обработке, должны:

1)быть получены на законных основаниях и обработаны добро-

совестным и законным способом (принцип законности получения и обработки данных);

2)накапливаться для точно определенных и законных целей и не использоваться каким-либо образом, не совместимым с этими целя-

ми (принцип законности целей обработки данных);

45

3)быть адекватными, имеющими прямое отношение к делу и не быть избыточными применительно к целям, для которых они накап-

ливаются (принцип адекватности и релевантности (соответствия) данных);

4)быть точными и, в случае необходимости, своевременно об-

новляемыми (принцип достоверности и актуальности данных);

5)храниться в форме, позволяющей идентифицировать субъектов данных только в той мере, в какой этого требуют цели, для которых эти данные накапливаются (принцип анонимности данных).

Права субъекта данных. Любому человеку должно быть предоставлено право:

1)быть осведомленным о существовании автоматизированного файла персональных данных, о его главных целях, а также о контролере этого файла, его месте жительства либо юридическом адресе

(право на информацию о наличии собранного на индивида файла персональных данных);

2)получать через разумные интервалы времени, без излишних затрат времени и средств, как в ответ на свой запрос, так и без запроса, сообщение о том, накапливаются ли персональные данные о нем в автоматизированном файле данных (право на извещение о сборе данных);

3)получать доступ к личным персональным данным, хранимым держателем или пользователем данных (право на доступ к личным персональным данным);

4)требовать исправления или уничтожения недостоверных персональных данных, а также персональных данных, обработанных с нарушением положений национального права, реализующих прин-

ципы защиты данных (право на исправление или уничтожение недостоверных или незаконно обработанных личных данных);

5)прибегать к судебной защите нарушенного права субъекта дан-

ных (право судебной защиты).

Что касается прав субъекта данных, то они конкретизируют (применительно к сфере автоматизированной обработки данных) право индивида контролировать циркуляцию «чувствительной» информации о самом себе, столь важное для правовой защиты сферы частной жизни, что оно вошло во многие определения как шестой принцип – право на невмешательство в частную жизнь.

Кроме того, необходимо отметить, что существует еще одно право субъекта данных, которое признается и применяется далеко не во

46

всех национальных и международных системах защиты персональ-

ных данных, – седьмой принцип – «согласия субъекта данных», вы-

ступающий в качестве критерия допустимости обработки и использования данных. Этот принцип представляет собой право индивида контролировать циркуляцию «чувствительной» информации о самом себе как право самостоятельно решать, предоставлять или не предоставлять кому-либо сведения о своей частной жизни (т.е. персональные данные).

Основной дилеммой «компьютерного информационного общества» стало противоречие между стремлением как можно больше использовать компьютерные персональные данные в интересах всего общества и желанием максимально защитить право субъекта данных на невмешательство в его частную жизнь. Целью правового регулирования обработки и использования персональных данных является обеспечение баланса интересов права субъекта на защиту и контроль за относящимися к нему персональными данными и законных интересов общества в осуществлении права свободного доступа к информации.

Правовые основания для раскрытия персональных данных.

Обработка персональных данных, включая публичное раскрытие этих данных, должна быть оценена на соответствие условиям легитимности, перечисленным в ст. 7 директивы от 24 октября 1995 г. № 95/46/EC «О защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных» (Евродирективы). Соответственно нужно помнить, что публичное раскрытие особых персональных данных возможно в подавляющем большинстве случаев только на основании согласия субъекта этих данных. Рассмотрим указанные в этой статье правовые основания для раскрытия государственным ведомством персональных данных.

Субъект данных недвусмысленно дал свое согласие. В этом слу-

чае госведомство вправе раскрывать персональные данные, учитывая при этом, что субъект персональных данных, в свою очередь, вправе в любой момент и без объяснения причин отозвать свое согласие. При отсутствии согласия или если оно отозвано, госведомство должно рассмотреть возможность применения других правовых оснований для публичного раскрытия этих данных.

Обработка необходима для исполнения контракта, в котором субъект данных является стороной или для принятия мер до заключения контракта по просьбе субъекта данных. На основе этого по-

47

ложения госведомство может раскрывать персональные данные тем, кто реально действует как агент администрации во исполнение своих контрактных обязательств. В качестве примера можно назвать раскрытие данных госслужащего банку, через который госслужащий получает свое жалованье. Однако в общем случае затруднительно правовым образом опираться на возможность, предоставляемую данным положением.

Обработка необходима для выполнения определенного законом обязательства, субъектом которого является контролер. В неко-

торых случаях госведомства обязаны по закону предоставлять доступ к персональным данным, находящимся в его распоряжении, тем, кто покажет свой законный интерес. Однако, учитывая тот факт, что публичный доступ к документам ограничен требованиями защиты персональных данных, неограниченный и автоматизированный доступ на этом основании в принципе не может быть признан законным. Другими словами, обязанность госведомства по закону предоставлять персональные данные не означает предоставление этих данных вне рамок каких-либо ограничений.

Электронный контроль за деятельностью работника. Ранее были рассмотрены базовые понятия и правовые основания, заложенные в систему взаимоотношений работников и работодателей. Большинство из рассмотренных ситуаций касались тех обстоятельств, которые очевидно вытекают из специфики трудовых отношений и характерны для всех предприятий.

За рамками подробного рассмотрения остались вопросы, вытекающие из неизбежных претензий работодателей на свои особые права, связанные, прежде всего, с защитой своих прав как собственников. Эти вопросы в комплексе сводятся к правовым основаниям и возможностям слежения за действиями работников.

Это слежение, очевидно, может преследовать несколько целей:

−защиту собственности от посягательств работников;

−обеспечение порядка на предприятии;

−ограничения, накладываемые на использование работниками собственности работодателя в своих личных целях.

Принимая решение об использовании средств слежения за действиями работников для достижения перечисленных целей, работодатель стоит перед необходимостью во всех случаях ответить для себя на несколько вопросов:

48

1.Нужно ли непрерывное слежение? Не может ли работодатель достичь тех же результатов с помощью традиционных методов надзора за действиями работников?

2.Адекватен ли выбранный способ слежения преследуемым целям?

3.Является ли слежение за работниками прозрачным для них?

4.Осуществляется ли слежение честным образом по отношению к работникам?

Отвечая на перечисленные вопросы, работодатель может и должен ориентироваться на те правовые стандарты, которые содержатся

взаконодательстве о персональных данных.

Слежение за электронными почтовыми сообщениями, если это возможно исходя из потребностей работодателя, должно ограничиваться фиксированием почтового трафика и времени. Если, тем не менее, необходим доступ к содержимому почтовых сообщений, следует учитывать то обстоятельство, что подобные действия нарушают неприкосновенность тех лиц, которые, являясь респондентами работника, находятся вне предприятия и согласие которых на просмотр сообщения не может быть получено.

Единственной мерой, доступной работодателю в данной ситуации, является автоматическое генерирование в любых сообщениях, посылаемых вовне предприятия, предупреждения о том, что содержимое отправлений подвергается мониторингу.

Существующие технологии предоставляют работодателю большие возможности по мониторингу почтового потока без контроля над содержимым. К числу этих возможностей относятся: число отосланных и получаемых сообщений, формат присоединенных к сообщениям документов и др. Таким же образом, используя современные технологии, работодатель может вместо слежения за содержимым Интернет-сайтов, посещаемых работником, установить систему блокировки доступа к определенным категориям сайтов.

Условия допустимости использования видеонаблюдения. Госу-

дарство и частный сектор интенсивно используют новейшие средства видеонаблюдения в различных обстоятельствах и для различных целей. Применяемые устройства и технологии обработки изображения, минитюаризация и «электронизация» значительно расширяют возможности видеонаблюдения, а использование для распространения изображения возможностей внутренних (Интранет) и глобальных (Интернет) сетей переводят проблемы, связанные с правовыми основаниями видеонаблюдения, на качественно новый уровень.

49

Различные системы видеонаблюдения устанавливаются:

−внутри и снаружи публичных и частных помещений для предотвращения правонарушений или актов вандализма;

−на стадионах и спортивных площадках для наблюдения за поведением больших масс людей;

−на транспорте и транспортных магистралях для контроля за транспортным потоком, скоростным режимом и нарушениями правил дорожного движения;

−в школах и вокруг них для осуществления мер по защите детей;

−в аэропортах, на вокзалах, на судах и т.п. не только для контроля за правопорядком, но и для поиска пропавших лиц;

−в больницах для обеспечения экстренной помощи пациентам;

−внутри и снаружи магазинов, особенно супермаркетов и магазинов, торгующих дорогими товарами, для предотвращения краж и порчи товаров;

−на территории жилых домов для обеспечения безопасности жильцов и охраны их собственности;

−в различных точках для создания видеоряда, передаваемого, в том числе через Интернет, для рекламных целей.

Целями видеонаблюдения могут быть:

−защита граждан;

−защита собственности;

−удовлетворение общественной потребности;

−выявление и предотвращение преступлений и правонарушений;

−сбор доказательной базы;

−прочие цели, основанные на законном интересе.

В глазах большинства граждан и при большинстве обстоятельств, когда требуются повышенные меры для обеспечения правопорядка и защиты граждан, видеонаблюдение рассматривается как полезная неизбежность.

Тем не менее, все полезное не только должно соответствовать пользе тех, в чьих интересах собирается и обрабатывается видеоинформация, но и соответствовать правам тех, кто является объектом наблюдения.

Несмотря на очевидные выгоды от видеонаблюдения, каждый, кто его осуществляет, должен отдавать себе отчет в том, что никакого видеонаблюдения «вообще» не существует, а есть только видеонаблюдение, обеспеченное законными основаниями. Конкретное

50

обоснование законности следует искать в национальном законодательстве или иных официальных документах.

Очевидно, что видеонаблюдение может осуществляться только для конкретных и заранее определенных целей. Эти цели должны быть обусловлены соответствующими национальными законами, так или иначе предлагающими для них правовые обоснования. Без должного обоснования цели видеонаблюдения оно заведомо оказывается вне рамок закона. Следует также помнить, что даже заранее определенные и обоснованные цели могут не позволить использование полученных данных для других целей, хотя и очевидных с точки зрения целесообразности (например, копирование видеоряда для использование его в других целях).

Наконец, следует помнить, что законность цели не существует в изоляции от конституционных прав граждан, в первую очередь от права на защиту частной жизни. Какой бы значимой ни была цель охраны собственности, достижение этой цели, например, в рамках обеспечения сохранности гостиничного оборудования, не допускает установки устройств видеонаблюдения в жилых помещениях (гостиных, спальнях, в ванных и туалетных комнатах и т.п.).

При осуществлении видеонаблюдения должен выполняться принцип пропорциональности, означающий, что достижение поставленной цели должно быть обеспечено адекватностью применяемых мер.

Наконец, специфика трудовых отношений исключает применение скрытых систем видеонаблюдения, если такое наблюдение не требуется в исключительных случаях, связанных со сбором доказательной базы в рамках расследования преступлений.

Использование персональных данных в трудовых отношениях.

Большинство граждан проводят большую часть своей жизни на работе. Это обстоятельство предопределяет важность рассмотрения того, каким образом их взаимоотношения с работодателем могут быть регламентированы в рамках законодательства о персональных данных.

Работник не оставляет свои права каждое утро перед порогом предприятия, на котором он работает. В связи с этим следует напомнить суждение, выраженное Европейским судом по правам человека в процессе Нимиц (Niemitz) против Германии относительно соотношения между частной жизнью и профессиональной жизнью: «…не всегда возможно четко различить, что в жизни человека относится к его профессиональной или деловой жизни, а что нет».