Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет

Модернизированный вариант Конвенции СЕ № 108 предлагает урегулировать основы статуса национальных контролирующих органов по защите персональных данных. В частности, предлагается раскрыть содержание основного элемента статуса такого органа – его независимость:

а) установить, что орган или члены коллегиального органа не могут получать от кого-либо инструкции;

б) установить обязанность каждой стороны Конвенции обеспечить контролирующему органу адекватные кадровые, технические, финансовые и инфраструктурные возможности для эффективного выполнения им своих обязанностей.

Независимость контролирующего органа предполагает также его самостоятельность при принятии кадровых решений и гарантии в случае реорганизации. Взаимодействие контролирующих органов предполагает в том числе координацию их деятельности по расследованию и вмешательству в обработку данных, проведение совместных действий, обмен информацией о законодательстве и об административной практике защиты персональных данных.

Статьей 23 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» установлена компетенция уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор). Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение.

Пунктом 5.15 постановления правительства РФ от 16 марта 2009 г. № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций» установлено, что Роскомнадзор взаимодействует в установленном порядке с органами государственной власти иностранных государств и с международными организациями в установленной сфере ведения.

1.2.8. Регулирование таргетированной (адресной, основанной на персональных данных и запросах лица) рекламы

В Рекомендации Совета министров CM/Rec(2010)13 используется понятие «профилирование», которое позволяет осуществлять адресную рекламу. Обработка запросов пользователей в Интернете позволяет осуществить классификацию пользователей в зависимости от их предпочтений для дальнейшего распространения рекламы. При этом такие запросы могут не содержать персональных данных, однако в совокупности позволяют идентифицировать лицо и его предпочтения для направления адресной рекламы.

В тех случаях, когда личные данные собираются в контексте профилирования, контролер должен представить субъектам данных следующую информацию:

1) что их данные будут использоваться в контексте профилирования;

2) о целях проведения профилирования;

3) о категориях персональных данных;

4) о контролере и при необходимости о ее/его представителе;

5) о наличии надлежащих гарантий.

Также контролер должен предоставить указанным лицам всю информацию, необходимую для гарантий добросовестности при проведении профилирования, такую как:

6) категории лиц или органов, которым могут быть переданы персональные данные, и в каких целях;

7) возможность, когда это целесообразно, для субъекта данных отказать в публикации или отозвать согласие на публикацию и о последствиях отзыва;

8) условия применения права доступа, возражения или поправок, а также о праве подать жалобу в компетентные органы;

9) лица или органы, от которых личные данные собираются или будут собираться;

10) обязательный или факультативный характер ответов на вопросы, которые будут использованы для сбора персональных данных, а также последствия для субъектов данных в случае отказа отвечать на такие вопросы;

11) длительность хранения;

12) предполагаемые последствия присвоения профиля субъекту данных.

1.2.9. Трансграничная передача данных

Статья 12 Конвенции СЕ № 108 устанавливает следующие требования к трансграничной передаче персональных данных: сторона (страна, подписавшая Конвенцию СЕ № 108) не должна запрещать или обусловливать специальным разрешением трансграничные потоки персональных данных, идущие на территорию другой стороны, с единственной целью защиты частной жизни.

Тем не менее каждая сторона вправе отступать от вышеуказанного положения:

1) в той степени, в какой ее внутреннее законодательство включает специальные правила в отношении определенных категорий персональных данных или автоматизированных файлов персональных данных в силу характера этих данных или этих файлов, за исключением случаев, когда правила другой стороны предусматривают такую же защиту;

2) когда передача осуществляется с ее территории на территорию государства, не являющегося стороной настоящей Конвенции, через территорию другой стороны, в целях недопущения такой передачи, которая позволит обойти законодательство страны – участницы Конвенции.

1.3. Великобритания

1.3.1. Регулирование

Наднациональное регулирование Великобритании определяется членством данной страны в Совете Европы и в ЕС, в связи с чем нормы Конвенции СЕ № 108 «О защите прав физических лиц в отношении автоматизированной обработки персональных данных» и Директивы ЕС 95/46/ЕС имплементированы в национальное законодательство данной страны.

Кроме того, Великобритания входит в Организацию по экономическому сотрудничеству и развитию и выполняет требования Директивы ОЭСР о защите неприкосновенности частной жизни и международных обменов персональными данными [44] .

44

Основные положения Организации по экономическому сотрудничеству и развитию (ОЭСР) о защите неприкосновенности частной жизни и международных обменов персональными данными. URL: http://www.uipdp.com/upload/legis-lation/international/directiveoesrl.pdf

Среди основных национальных нормативных актов, которые регламентируют вопросы защиты персональных данных в Великобритании, можно назвать следующие:

Акт о защите данных 1998 г. (Data Protection Act 1998) [45] , принятый во исполнение Директивы ЕС 95/46/ЕС;

Акт о свободе информации (Freedom of Information Act 2000) [46] ;

Акт о свободах 2012 (The Protection of Freedoms Act 2012, включающий положения об уничтожении, удалении и использовании биометрических данных, а также дополнения к данному акту, касающиеся передачи данных (Amendment) (No. 2) Order 2013) [47] ;

45

Data Protection Act 1998. URL:contents

46

Freedom of Information Act 2000. URL:2000/36/contents

47

Protection of Freedoms Act 2012. URL:2012/9/contents/enacted

Кодекс об уголовных преступлениях (The Criminal Justice and Data Protection (Protocol No. 36) Regulations 2014) [48] ;

Регламент о свободе информации и защите данных (необходимые ограничения и штрафы) (The Freedom of Information and Data Protection (Appropriate Limit and Fees) Regulations 2004 [49] ).

В п. 1 ч. 1 «Акта о защите данных» представлены следующие определения, имеющие значение для настоящего исследования:

48

The Criminal Justice and Data Protection (Protocol No. 36) Regulations 2014. URL: http://www.legislation.gov.uk/ukdsi/2014/9780111122723/contents

49

The Freedom of Information and Data Protection (Appropriate Limit and Fees) Regulations 2004. URL:uksi_20043244_en.pdf