Международные стандарты защиты персональных данных в условиях информационного общества

Фомина Лилия Юрьевна кандидат юридических наук доцент, кафедра организации судебной и правоохранительной деятельности, федеральное государственное бюджетное образовательное учреждение высшего образования "Российский государственный университет правосудия" 117418, Россия, г. Москва, ул. Новочеремушинская, 69 Fomina Liliya Yurievna PhD in Law Docent, the department of Arrangement of Judicial and Law Enforcement Activity, Russian Academy of Justice 117418, Russia, g. Moscow, ul. Novocheremushinskaya, 69 fominalilja@mail.ru Другие публикации этого автора

Исследование выполнено при финансовой поддержке РФФИ в рамках научного проекта № 18-011-01080

Развитие информационного общества, то есть общества, в котором информация и уровень ее применения и доступности кардинальным образом влияют на экономические и социокультурные условия жизни граждан ^{[1, п. 4]}, невозможно без широкого использования информационных технологий, предполагающих обработку самых разных персональных данных. Не случайно обеспечение правомерного использования персональных данных в Стратегии развития информационного общества в Российской Федерации на 2017-2030 годы названо в качестве одного из национальных интересов в области цифровой экономики ^{[1, п. 42]}.

Особенно важны в этом смысле международные стандарты защиты персональных данных, воплощающие в себе ее основополагающие начала, находящие впоследствии отражение в национальном законодательстве.

Можно сказать, что к настоящему времени сложилось определенное международное регулирование данной сферы, говоря о которой представляется необходимым обратить внимание на следующие важные аспекты.

Во-первых, вопросы защиты персональных данных преимущественно рассматриваются в качестве одного из аспектов сферы частной жизни. Это положение нашло отражение в актах главных органов ООН ^{[2, п. 6,10]}, в актах и документах иных органов, действующих в сфере защиты прав человека на универсальном уровне ^{[3, п. 10]}.

Подобный подход характерен и для межрегиональных и региональных международных организаций. Например, Конвенция о защите прав человека и основных свобод 1950 г. (далее – ЕКПЧ, Европейская конвенция, Конвенция) ^[4], принятая в рамках Совета Европы, в статье 8 гарантирует право на уважение частной и семейной жизни. Европейский суд по правам человека (далее также – Суд, ЕСПЧ) в своей практике в рамках второго элемента частной жизни – конфиденциальности – защищает в том числе персональные данные ^{[5, p. 159-172]}. Парламентская Ассамблея Совета Европы, определяя право на уважение личной жизни указывает на дополнение его правом на контроль личных данных лица ^{[6, п. 5]}.

Те же позиции демонстрируются в рамках Организацииэкономического сотрудничества и развития (далее – ОЭСР) ^{[7, с. 125]}.

Важно обратить внимание на определенные особенности регулирования вопросов защиты персональных данных в Европейском союзе. В праве Европейского союза право на защиту персональных данных гарантируется в качестве самостоятельного права статьей 8 Хартии ЕС об основных правах ^[8], статьей 16 Договора о функционировании Европейского союза ^[9]. Кроме того, указанная сфера достаточно детально регламентирована в актах вторичного права Европейского союза ^{[10; 11; 12; 13]}. Основным таким документом является Регламент «О защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС» от 27 апреля 2016 г. № 2016/679 (далее также – Регламент ЕС) ^[10], основные положения которого достаточно подробно рассмотрены в юридической литературе ^{[7, с. 127–131; 14; 15; 16]}.

Второе, на что необходимо обратить внимание, – это наличие единственной в своем роде специальной Конвенции, посвященной вопросам защиты персональных данных, – Конвенции о защите физических лиц при автоматизированной обработке персональных данных 1981 г. (Конвенция № 108) ^[17]. Указанная конвенция применяется в отношении автоматизированных файлов персональных данных и автоматизированной обработки персональных данных в государственной и частной сферах (п. 1 ст. 3) ^[17]. В настоящее время данный документ модернизируется. 10 октября 2018 г. подписан Протокол о внесении изменений в Конвенцию о защите физических лиц при автоматизированной обработке персональных данных ^[18], предполагающий распространение ее действия на обработку персональных данных в целом. Россия является участником Конвенции № 108 с 02.01.2006 г. ^[19], Протокол от 10.10.2018 г. подписала ^[20], но пока не ратифицировала.

В рамках Африканского союза принята Конвенция о кибербезопасности и защите личных данных (Конвенция Малабо) ^[21], но она до настоящего времени не вступила в силу ввиду отсутствия необходимого количества ратификаций ^[22].

В остальном международные стандарты защиты персональных данных получили выражение в основном в практике межгосударственных органов, действующих в рамках применения норм, гарантирующих защиту сферы частной жизни, международных актах и документах, принятых органами ООН, иных международных организаций и объединений (Совета Европы, Европейского союза, ОЭСР и др.).

Третий важный аспект регулирования вопросов персональных данных на международном уровне, – это возможность распространения определенных норм и рекомендаций на государства, не являющиеся членами соответствующих организаций, а также на граждан и организации из таких государств. Например, в отношении правил, выработанных ОЭСР, Коллегия Евразийской экономической комиссии рекомендует государствам-членам рассмотреть возможность учета наилучших практик данной организации, в том числе опыта, направленного на определение единых подходов к установлению минимальных требований к обработке и защите персональных данных ^[23]. В свою очередь, уже указанный Регламент ЕС распространяет свое действие в ряде случаев на физические и юридические лица из третьих стран, в том числе России. Скажем, если речь идет о предоставлении товаров и услуг субъектам данных в ЕС вне зависимости от того, требуется ли оплата от указанного субъекта данных ^{[10, п. 3 (2)]}.

Далее, говоря о международных стандартах защиты персональных данных, содержащихся в указанных источниках, представляется необходимым определить само понятие персональных данных.

Конвенция № 108 определяет персональные данные как любую информацию об определенном или поддающемся определению физическом лице («субъекте данных») (ст. 2) ^[17]. Именно это определение используется ЕСПЧ в процессе применения статьи 8 ЕКПЧ в части защиты персональных данных ^{[24, § 65]}. Хотя к контрольному механизму Конвенции № 108 ЕСПЧ не относится, некоторые ее статьи он применяет для оценки обстоятельств по делу ^{[25, с. 41]}, а также руководствуется ее принципами при определении того, имело ли место вмешательство в реализацию права на уважение частной и семейной жизни ^{[25, с. 25]}. Аналогичные определения используются и в документах иных международных организаций ^{[10, ст. 4; 26, p. 13; 27, ст. 2]}, и в российском законодательстве ^{[28, ст. 3]}.

В некоторых случаях определение может содержать примерный перечень данных, отнесенных к персональным. Например, Регламент ЕС указывает следующие возможные идентификаторы лица: имя, идентификационный номер, сведения о местоположении, идентификатор в режиме онлайн, один или несколько признаков, характерных для физической, психологической, генетической, умственной, экономической, культурной или социальной идентичности указанного физического лица ^{[10, п. 4 (1)]}. В определении персональных данных в Конвенции о кибербезопасности и защите личных данных 2014 г. также содержится указание на идентификационный номер или на один или несколько факторов, характерных для физической, физиологической, психической, экономической, культурной или социальной идентичности человека (ст.1) ^[21].

Существовал такой примерный перечень и в первоначальной редакции Федерального закона «О персональных данных» ^[29].

Отдельная информация, подлежащая защите в качестве персональных данных, также может быть названа в тексте соответствующего документа ^{[17, ст. 6; 28, ст. 10, 11]}.

Применяя сложившийся на основании Конвенции № 108 подход к пониманию персональных данных, ЕСПЧ в своей практике в качестве таковых рассматривал, например, сведения о состоянии здоровья, ДНК, политической деятельности, судимости, местонахождении, а также сведения, содержащиеся в банковских документах, вообще любые сведения о лице, собранные и хранящиеся в различных базах данных, и т.д. ^{[5, п. 139-151]}.

В российской судебной практике персональными признавались данные о месте жительства, телефонах, паспортных данных, ИНН, СНИЛС, уровне заработной платы, семейном положении ^[30], адресе электронной почты, привязанный к конкретному телефонному номеру ^[31], об уголовных делах, возбужденных по заявлению определенных лиц или в отношении определенных лиц ^[32].

Таким образом, подобная позиция не предполагает наличие какого-либо закрытого перечня персональных данных, что отличается, к примеру, от подхода США, основанного на перечислении «на уровне нормативного регулирования конкретных сведений, совокупность которых образует персональные данные в той или иной сфере» ^[33].

Конечно, наличие исчерпывающего перечня данных, которые являются персональными, облегчает процесс правоприменения, но, представляется, что в современных условиях сформировать таковой вряд ли удастся. Верно и то, что «косвенно к определенному физическому лицу при таком подходе может относиться абсолютно любая информация» ^[33], но важным критерием отнесения данных к персональным является именно возможность идентификации конкретного лица, а не категории лиц, в том числе и посредством использования различных технических средств. Даже многие имена не являются уникальными, для установления личности человека могут потребоваться дополнительные признаки, чтобы гарантировать, что человек не будет принят за кого-то другого ^{[34, p. 90]}.

В европейском праве проводится разграничение анонимных данных, не относящихся к идентифицированному или идентифицируемому физическому лицу, или предоставленных анонимно таким образом, что субъект данных не идентифицируется (п. 26 Преамбулы Регламента ЕС) ^[10], и псевдонимизированных данных, которые не могут быть больше отнесены к определенному субъекту данных без использования дополнительной информации, при условии, что дополнительная информация хранится отдельно и подлежит техническим и организационным мерам, гарантирующим, что персональные данные не отнесены к идентифицированному или идентифицируемому физическому лицу (ст. 4 (5) Регламента ЕС) ^[10]. Соответственно первый вид указанных данных не подлежит защите в качестве персональных, второй – подлежит. При разграничении указанных категорий данных и оценке возможности идентификации конкретного лица учитываются необходимые на нее расходы, количество времени с учетом имеющихся на момент обработки технологий и технологических разработок (п. 26 Регламента ЕС) ^[10].

В иных документах, принятых на международном уровне, подобный подход развивается, выделяются идентифицированные, псевдонимизированные, несвязанные псевдонимизированные, анонимизированные и агрегированные (статистические) данные ^[35].

В российском праве в настоящее время используется термин «обезличивание персональных данных» ^{[28, ст. 3]}, указанные выше термины не используются. В этой связи в юридической литературе справедливо отмечается, что в случае появления категории анонимных данных в российском законодательстве «у оператора появляется выбор: придерживаться консервативного подхода и относить определенный массив данных к персональным или же заготовить аргументы в пользу того, что этот массив является анонимными данными, и коммерциализировать его по своему усмотрению» ^[36].

В соответствии с указанными выше международными и национальными актами и документами можно выделитьследующие требования, которые должны соблюдаться при обработке персональных данных.

Прежде всего, нужно оговориться, что в обобщенное содержание понятия «обработка персональных данных» включаются любые действия с использованием таких данных. В модернизированной Конвенции № 108 «обработка данных» означает любую операцию или набор операций, произведенных в отношении персональных данных, например: сбор, накопление, хранение, изменение, исправление, распространение, разглашение, удаление или уничтожение, а также осуществление логических и/или арифметических операций с этими данными (ст. 3 (b)) ^[17]. В практике ЕСПЧ рассматриваются вопросы сбора персональных данных, хранения, использования, раскрытия, доступа к ним, удаления или уничтожения ^[37].

Итак, обработка персональных данных должна осуществляться с учетом ряда требований: быть справедливой, законной и транспарентной; основываться на информировании лиц, чьи персональные данные проходят обработку, об их обработке, ее обстоятельствах, характере и масштабах; осуществляться на основании свободного, конкретного, осознанного и недвусмысленного согласия затронутых лиц или ином законном основании, предусмотренном в законе; быть необходимой и соразмерной законной цели, которая должна быть указана субъектом, осуществляющим эту обработку и др. ^{[38, п. 29]}.

Конечно, указанные требования и их содержание, исходя из потребностей общества и уровня развития информационных технологий, могут корректироваться. В эпоху Больших данных это может быть, к примеру, дебюрократизация требований к согласию на обработку персональных данных ^[39].

Субъектам персональных данных международными актами и документами, национальным законодательством должны предоставляться определенные права. К субъектам персональных данных относятся физические лица ^{[34, p. 85]}, но здесь важно обратить внимание на следующие аспекты.

Во-первых, международные акты и национальное законодательство о персональных данных могут не применяться в отношении умерших лиц. Подобное положение предусмотрено, к примеру, Регламентом ЕС, но его государствам-членам предоставлено право предусмотреть соответствующие положения в национальном законодательстве (п. 27 Преамбулы) ^[10].

В-вторых, во внимание могут быть приняты и законные интересы юридических лиц. Защита интересов юридических лиц возможна в соответствии с национальным законодательством (п. 27 Преамбулы Регламента ЕС) ^[10]. Кроме того, может быть принят во внимание законный интерес юридического лица в обеспечении защиты частной жизни их работников ^{[40, § 107]}.

Что касается минимальных прав субъектов персональных данных, то к ним относятся следующие: знать о сборе и обработке данных; иметь к ним доступ; исправлять неточные или устаревшие данные и уничтожать или исправлять данные, которые хранятся незаконно или необоснованно; возражать против обработки личных данных, по крайней мере в тех случаях, когда осуществляющая обработку организация не смогла доказать наличия законных и веских оснований для такой обработки ^{[38, п. 30]}.

В свою очередь, у субъектов, осуществляющих обработку личных данных, есть определенные обязанности. Прежде всего, конечно, речь идет о соблюдении ими существующих принципов и правил обработки персональных данных. «Эти требования охватывают не только организационные аспекты, такие как создание внутреннего механизма надзора, но и обязательные меры, такие как уведомления о нарушении конфиденциальности данных и оценки воздействия на неприкосновенность частной жизни» ^{[38, п. 31]}. Также к ним отнесены требования, касающиеся разработки продуктов и услуг, таких как обеспечение встроенной конфиденциальности и конфиденциальности по умолчанию ^{[38, п. 31]}.

Наконец, определенные обязанности возлагаются и на государства, включая и те случаи, когда они не участвуют в обработке персональных данных.

Государства в рамках обеспечения защиты сферы частной и семейной жизни несут позитивные обязательства, направленные на недопущение вмешательства со стороны физических или юридических лиц, принятие действенных законодательных и других мер в этом направлении ^{[41, п. 1, 9]}.

Государствам рекомендуется, например: уделять особое внимание предоставлению надежной защиты от нарушений права на неприкосновенность частной жизни, связанных с профилированием и автоматизированным принятием решений [38. п. 30], сосредоточить внимание на способах защиты личных данных, передаваемых другому государству ^{[38, п. 32]}; создать независимые надзорные органы в сфере обработки личных данных, обеспечив их деятельность соответствующей законодательной базой, необходимыми техническими, финансовыми и людскими ресурсами, предоставив им достаточные полномочия для выполнения своих функций ^{[38, п. 33]}.

Таким образом, в настоящее время на международном уровне выработаны определенные нормы и созданы механизмы для обеспечения защиты персональных данных, соблюдение и использование которых имеет большое значение для обеспечения минимального уровня защиты основных прав человека в эпоху цифровых технологий, воплощение которых в национальной юридической практике, безусловно, будет способствовать самому высокому уровню защиты основных прав и свобод.