15. Международная защита персональных данных

1. Материально-правовое регулирование

• Директива Организации по экономическому сотрудничеству и развитию о защите неприкосновенности частной жизни и международных обменов персональными данными;

• Международная конвенция «Об охране личности в отношении автоматизированной обработки персональных данных» 1981 года;

• Европейская конвенция о защите физических лиц при автоматизированной обработке персональных данных;

• Конвенция Совета Европы № 108 о защите личности в связи с автоматической обработкой персональных данных;

• Директива 95/46/ЕС и № 2002/58/ЕС от 24 октября 1995 Европейского парламента и Совета Европейского Союза о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных;

• Директива 97/66/ЕС от 15 декабря 1997 года по обработке персональных данных и защите конфиденциальности в телекоммуникационном секторе.

• Модельный закон о персональных данных (Принят в г. Санкт-Петербурге 16.10.1999 Постановлением 14-19 на 14-ом пленарном заседании Межпарламентской Ассамблеи государств-участников СНГ)

2. Коллизионное регулирование:

• ФЗ о Персональных данных

• Фз об информации

Защита персональных данных – условный термин, применяемый для обозначения права индивида на доступ к своему персональному досье, имеющемуся в распоряжении государственных или частных «пользователей информации», с целью обеспечения точности, своевременности и соотносимое™ имеющейся информации с целями, для которых она хранится, и проверки того, не может ли получить доступ к информации лицо, не обладающее соответствующими полномочиями. Таким образом, защита персональных данных связана также с личным характером информации.

Необходимость защиты персональных данных базируется на одном из фундаментальных прав человека: защите от вмешательства в личную жизнь. В статье 12 Всеобщей декларации прав человека (принята и провозглашена резолюцией 217 А (III) Генеральной Ассамблеи от 10 декабря 1948 года) указывается: «Никто не может подвергаться произвольному вмешательству в его личную и семейную жизнь, произвольным посягательствам на неприкосновенность его жилища, тайну его корреспонденции или на его честь и репутацию. Каждый человек имеет право на защиту закона от такого вмешательства или таких посягательств».

Неспособность гарантировать право на защиту личных данных ставит под удар другие смежные права и свободы, включая свободу выражения, свободу мирных собраний, свободу доступа к информации, принцип недискриминации, а, в конечном счете, стабильность конституционных демократий. Поэтому в статье 17 Международного Пакта о гражданских и политических правах (далее - МПГПП) (Нью-Йорк, 19 декабря 1966 г.) эта формулировка была расширена в части незаконных вмешательств и посягательств и звучит так: «Никто не может подвергаться произвольному или незаконному вмешательству в его личную и семейную жизнь, произвольным или незаконным посягательствам на неприкосновенность его жилища или тайну его корреспонденции или незаконным посягательствам на его честь и репутацию. Каждый человек имеет право на защиту закона от такого вмешательства или таких посягательств».

В 60-х и 70-х годах с приходом информационных технологий стал возрастать интерес к приватности. Возможность использования мощных компьютеров для слежки и контроля означала необходимость принятия особых правил, регулирующих сбор и обработку персональных данных. Во многих странах новые конституции отразили это право. Процесс обновления законодательства в данной области можно проследить со времени появления первого закона о защите данных, изданного в Германии в земле Гессен в 1970 г. После этого были приняты законы в Швеции (1973), Соединенных Штатах (1974), Германии (1977) и Франции (1978).

Из этих законов «выросли» два важных международных документа. Первый – Конвенция Совета Европы о защите прав личности в связи с автоматической обработкой персональных данных. Второй – Руководящие принципы Организации по экономическому сотрудничеству и развитию о защите приватности в связи с трансграничной передачей персональных данных. Эти положения определяют персональную информацию как данные, которые нуждаются в защите на каждом этапе от сбора до хранения и распространения. Право граждан на доступ к своим данным и внесение в них изменений стало главной составляющей этих правил.

В разных законах и правилах по-разному определяются условия защиты данных. Повсеместно принято считать, что персональная информация должна быть:

• получена честным и законным путем;

• использована только для заранее определенных целей;

• соответствовать задаче, ради которой она собиралась;

• точной и свежей;

• обрабатываться только с согласия субъектов ее получения;

• доступна субъекту данных;

• защищена от несанкционированного доступа;

• уничтожена после того, как цель достигнута.

Два упомянутых соглашения сильно повлияли на развитие законодательства во всем мире. Почти 30 стран признали Конвенцию Совета Европы и еще несколько государств собираются сделать это в ближайшем будущем. Государственная Дума РФ ратифицировала эту конвенцию в ноябре 2001 года, а 20 декабря 2005 года Президент  В. Путин подписал ФЗ »О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных». Руководящие принципы Организации по экономическому сотрудничеству и развитию также широко используются законодателями разных стран, в том числе и не входящих в эту международную структуру.

Мировой опыт позволяет назвать три главные причины для принятия специальных законов о защите приватности и персональных данных:

1.Приведение законодательства значительного числа стран к общемировым цивилизованным стандартам, отражающим высокий уровень защиты прав человека.

2.Создание благоприятных условий для развития электронного бизнеса.

3.Приведение национального законодательства в соответствие с европейскими соглашениями.

Принципы работы с персональными данными:

• персональные данные должны собираться и обрабатываться (храниться, использоваться, раскрываться, стираться и т.д.) только в соответствии с законом и наделенными соответствующими полномочиями органами;

• персональные данные должны быть адекватными заранее определенным целям и распоряжение ими должно ограничиваться по срокам, соответствующим указанным целям;

• персональные данные должны быть точны;

• персональные данные должны обрабатываться только с согласия субъектов этих данных;

• персональные данные должны быть доступны субъектам этих данных, в том числе и для внесения уточнения в эти данные;

• персональные данные должны быть должным образом защищены.

В 1995 году была принята Директива Европейского парламента и Совета Европейского Союза от 24 октября 1995 года № 95/46/ЕС «О защите физических лиц при обработке персональных данных и о свободном обращении таких данных» (в редакции Регламента Европейского парламента и Совета ЕС 1882/2003 от 29 сентября 2003 года). Основная цель — создание единого внутреннего рынка.

Третье поколение законодательства о персональных данных представлено в Европе Директивой Европейского Парламента и Совета Европейского Союза от 12 июля 2002 года № 2002/58/ЕС «В отношении обработки персональных данных и защиты конфиденциальности в секторе электронных средств связи» (Директива о конфиденциальности и электронных средствах связи) (в редакции Директивы 2006/24/ЕС Европейского парламента и Совета ЕС от 15 марта 2006 г., Директивы 2009/136/ЕС Европейского парламента и Совета ЕС от 25 ноября 2009 г.). Директива обеспечивает гармонизацию национальных положений, необходимых для гарантии соответствующего уровня защиты основных прав и свобод, и, в частности, права на частную жизнь и конфиденциальность информации о частной жизни в связи с обработкой персональных данных в сфере электронных коммуникаций, и для обеспечения свободного движения таких данных, передвижения оборудования для электронной связи и услуг электронной связи в Сообществе. Основной тренд этого поколения документов направлен на обеспечение права самоопределения человека при автоматизированной обработке его персональных данных в условиях глобализации современного мира, когда все границы стерты: в Директиве 2002/58/ЕС говорится о минимизации персональных данных в пользовательских сетях и их анонимности везде, где это возможно.

В Декларации Комитета министров о правах человека и верховенстве права в Информационном Обществе от 13 мая 2005 года CM (2005) 56 final подчеркивается, что Государства-члены должны поддерживать условия для саморегулирования и совместного регулирования со стороны частного сектора в целях защиты права на частную жизнь и тайну переписки. Ключевым принципом поддержки такого регулирования должно быть то, что любая обработка персональных данных госорганами или частным сектором должна быть совместимой с правом на частную жизнь; исключения ограничены рамками параграфа 2 Статьи 8 Конвенция о защите прав человека и основных свобод (Рим, 4 ноября 1950 г.) и параграфа 2 Статьи 9 Конвенции о защите граждан при автоматической обработке персональных данных.

Таким образом, на сегодняшний день, Европейское право в области защиты персональных данных, прошедшее через долгий путь становления и модернизации, не прекращающийся и по сей день, является весьма прагматичным: оно дает защиту тем объектам и субъектам, которым эта защита необходима, и ровно настолько, насколько эта защита экономически оправдана.

В рамках СНГ был разработан Модельный закон «О персональных данных» (принят на четырнадцатом пленарном заседании Межпарламентской Ассамблеи государств-участников СНГ, постановлением от 16 октября 1999 года № 14-19), в основу которого положен европейский подход к персональным данным. Кроме того, в Москве 28 октября 2010 года был подписан Меморандум о сотрудничестве уполномоченных органов по защите прав субъектов персональных данных, правда, без участия представителей РК.

Что касается, биометрических данных, то следует отметить, что в 2002 году 118 стран мира подписали под эгидой ICAO Новоорлеанское соглашение «Doc 9303. Машиносчитываемые проездные документы. Часть 1 Машиносчитываемые паспорта. Том 2. Спецификации на электронные паспорта со средствами биометрической идентификации», которое признает биометрику лица (на остальные параметры большинство стран пока не согласились из-за дороговизны мероприятия) основой идентификации для загранпаспортов и въездных виз следующего поколения.

Вопросы защиты персональных данных находятся в призме внимания мирового сообщества и в последнее время. Так, в Довильской декларации «Группы восьми» «Неизменная приверженность свободе и демократии» (27 мая 2011 года) говорится: «Мы призываем разработать общие подходы, с учетом национальных законодательств и на основе соблюдения основных прав, которые защищали бы персональные данные, в то же время позволяя осуществлять законную передачу данных».

В Мадридской декларации о защите личных данных «Глобальные стандарты по защите личных данных для глобального мира» (3 ноября 2009 года) предупреждается, что законодательство в области защиты личных данных и институты, работающие в этом направлении, не могут в полной мере учитывать новые методы наблюдения, применяемые на практике, включая «поведенческий таргетинг», базы данных ДНК и других биометрических показателей, объединение данных государственного и частных секторов, а также особые факторы риска, которым подвержены уязвимые группы населения (дети, мигранты, представители меньшинств).

Подводя итоги, следует отметить, что при рассмотрении зарубежного опыта правового регулирования использования персональных данных обращает на себя внимание унифицированность, которая выражается в обеспечении безопасности собранных персональных данных; обеспечении механизмов, которые позволяют  субъекту  персональных данных узнавать о наличии и о содержании его персональных данных, а  также требовать их исправления; ограничение объема и использования персональных  данных перечнем целей, для которых они предназначены, которые не могут быть изменены без согласия субъекта персональных данных; указание  лиц и их реквизитов,  несущих ответственность  за  соблюдение  решений и правил, касающихся  защиты персональных данных и неприкосновенности частной жизни, а также создание специального органа, обеспечивающего контроль за соблюдением прав субъекта персональных данных (например, Комиссии, Управления и пр.), усиленный режим охраны особых категорий персональных данных (о национальной принадлежности, взглядах и убеждениях, здоровье и сексуальной жизни, судимостях).

Различия в национальных подходах, проявляющиеся в настоящее время в законах, законопроектах и законодательных предложениях, касаются таких аспектов, как масштаб действия законодательного акта, акцентирование в нем различных элементов системы защиты, детальное соблюдение вышеперечисленных принципов, а также система контроля за исполнением законодательства. Кроме того, в качестве примеров можно указать на различия в категоризации данных, не подлежащих разглашению, и в методах обеспечения открытости и индивидуального участия. Разумеется, традиционные различия между юридическими системами разных стран также служат источником несоответствий - как с точки зрения подходов к законотворчеству, так и в смысле детальной разработки регулятивных рамок для защиты персональных данных.

Законодательной базой любой национальной системы защиты персональных данных служит закон типа Data Protection Act (Закон о защите данных). В некоторых национальных системах защиты данных системообразующее законодательное ядро состоит не из одного, а из двух взаимодополняющих законов - закона типа Data Protecton Act и закона типа Information Freedom Act (Закон о свободе информации, принятие которого в РК постоянно откладывается), которые нередко даже разрабатываются и принимаются одновременно. В других системах принцип свободы доступа к информации непосредственно закладывается в положениях закона как Data Protecton Act.

Обобщенную структуру закона типа Data Protection Act составляют:

1) признаки персональных данных;

2) права субъекта данных в связи с обработкой и использованием данных о нем;

3) установленные законом правила доступа к чужим персональным данным, их раскрытия и передачи;

4) изъятие из правового регулирования данных в интересах государственной и общественной безопасности, в связи с расследованием преступлений и т. п.;

5) установленные законом меры правового регулирования сбора, хранения, обработки, передачи и использования персональных данных:

- учреждение национального органа власти (или системы органов власти) по защите персональных данных,

- регистрация (или лицензирование) обработки персональных данных; создание и ведение национальных регистров держателей и пользователей персональных данных,

- лицензирование передачи персональных данных за пределы национальной территории;

6) требования к организационно-техническим мерам по обеспечению безопасности данных при их сборе, обработке, использовании, передаче и хранении;

7) нормы, устанавливающие ответственность за нарушения принципов защиты данных и иных положений закона о защите данных.

Унифицированный международный подход также исходит из того, что обработка персональных данных в государственном и частном секторе должна осуществляться:

1) справедливо, законно и на пропорциональной основе для достижения конкретных, четко сформулированных и законных целей;

2) на основании прозрачной политики, адекватного информирования субъектов данных, и без какой-либо произвольной дискриминации в отношении них;

3) с соблюдением точности, приватности и безопасности данных, законности обработки, а также прав субъектов данных на доступ, исправление, уничтожение данных, а также на возражение против их обработки;

4) с соблюдением принципов подотчетности и ответственности, даже если обработка производится поставщиками услуг от имени государственных органов;

5) с обеспечением соответствующих гарантий, если данные являются уязвимыми (уязвимыми считаются следующие персональные данные: Данные, которые затрагивают наиболее интимные сферы жизни субъекта данных, или Данные, которые, в случае злоупотреблений, могут: Привести к незаконной или произвольной дискриминации, или Повлечь серьезный риск для субъекта данных);

6) с обеспечением того, чтобы персональные данные, передаваемые за границу, пользовались защитой, предусмотренной вышеупомянутыми стандартами;

7) при условии контроля со стороны независимых и беспристрастных надзорных органов, наделенных соответствующими полномочиями и ресурсами, а также обязанных сотрудничать между собой;

8) с применением современных профилактических мер, направленных, в частности, на предупреждение и выявление нарушений, основанных на назначении должностных лиц, ответственных за приватность, а также на эффективных проверках и оценках влияния на приватность.

Таким образом, законы о защите неприкосновенности частной жизни и индивидуальных свобод в сфере персональных данных стараются охватить все последовательные этапы цикла, начиная со сбора данных и заканчивая их уничтожением, и обеспечить при этом максимально полное информирование, участие и контроль со стороны индивидуума.