Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет

а) «данные» означают информацию, которая обрабатывается и записывается автоматически с помощью оборудования, является частью соответствующей системы или доступной записью, в том числе находится в распоряжении государственного органа;

б) «контролер данных», «субъект данных», «обработчик данных»;

в) «персональные данные»;

г) «переработка» (в отношении информации или данных) означает получение, запись или сохранение информации или данных, а также проведение какой-либо операции или набора операций с этими данными или информацией, в том числе при организации, адаптации или изменении информации или данных, в случае поиска, консультации или использования информации или данных, в случаях раскрытия информации или данных путем их передачи, распространения или иным образом, что делает эти данные или информацию доступными, а также комбинирование, блокирование, стирание или уничтожение информации или данных.

Примечательно, что указанный закон распространяется на информацию, которая:

а) должна быть обработана с помощью оборудования, работающего автоматически, либо

б) является частью соответствующей системы.

Независимо от того, предназначается информация для обработки или является частью системы, существует требование закона, по которому информация может быть передана за пределы Европейской экономической зоны только после ее обработки на территории Великобритании.

Персональные данные обрабатываются только в целях, определенных «Актом о защите данных». Закон определяет специальные цели и цели, определенные контролером данных. Так, в соответствии с и. 4 раздела 1 «Акта о защите данных» к специальным целям обработки данных относятся цели, преследуемые журналистами, художественные цели и литературные цели.

Остальные цели специально не регламентированы, однако они связаны с принципами обработки информации, которые должны быть заявлены контролером данных в каждом конкретном случае. Обработка данных возможна, если контролер данных (информации) принимает разумные меры для обеспечения соблюдения требований о безопасности и надежности систем, содержащихся в «Акте о защите данных». Обработка осуществляется на основании письменного договора.

«Акт о свободах» (Freedoms Act 2012) принят в связи с Законом 2008 г. (Great Repeal Bill), и к персональным данным имеет отношение только глава 1 данного «Акта». Глава регулирует вопросы уничтожения, сохранения и использования отпечатков пальцев, обуви и образцов ДНК, профили, принятые в ходе расследования уголовного дела. В соответствии с указанным законом отпечатки пальцев и ДНК-профили, полученные от арестованных лиц, подлежат уничтожению в случае оправдательного приговора.

Защита персональных данных в уголовном процессе осуществляется на основании Уголовного кодекса (The Criminal Justice and Data Protection (Protocol No. 36) Regulations 2014). При этом Уголовный кодекс имеет территориальные ограничения: глава 2 и правила 19 и 20 распространяются только на Англию и Уэльс; глава 3, Приложение 1 и правила 21 и 22 – только на Шотландию; глава 4, Приложение 2 и правила 23 и 24 – только на Северную Ирландию.

1.3.2. Определение персональных данных

«Акт о защите данных» 1998 г. оперирует следующими терминами:

1) «персональные данные» – это любые данные, относимые к живому человеку, на основании которых он может быть идентифицирован, или иная информация, которая находится в распоряжении контролера данных или может ему поступить для обработки, а также любое выражение мнения об индивидуальных особенностях лица или его личности;

2) «чувствительные данные» [50] , которые являются разновидностью персональных данных и к которым относится информация:

50

В законе используется термин «sensitive personal data», который переводится на русский язык как «чувствительные данные». В части 1 данного закона к sensitive personal data отнесены перечисленные в абзаце категории информации. Дословно в «Акте о защите данных» указано: «In this Act “sensitive personal data” means personal data consisting of information as to…» В целях разграничения «чувствительных данных» и конфиденциальной информации в разделе по Великобритании используется термин «чувствительные данные».

а) о расовом или этническом происхождении субъекта данных;

б) о политических взглядах;

в) о религиозных убеждениях или иных убеждениях аналогичного характера;

г) о том, является ли человек членом профсоюза;

д) о физическом или психическом здоровье человека или о его состоянии;

е) о его сексуальной жизни;

ж) о совершенном или предполагаемом совершении человеком какого-либо преступления;

з) о любых процедурах, связанных с преступлениями, совершенными или совершаемыми, в том числе о решениях по таким разбирательствам или о приговорах любого суда по такому делу.

Очевидно, что вышеуказанные термины схожи с российскими терминами «персональные данные» и «специальные категории персональных данных».

В настоящий момент в Великобритании рассматриваются поправки к дефиниции «персональные данные»: предлагается расширить определение персональных данных – так, чтобы в него попали IP-адреса и cookie. Предлагается следующее определение: «персональные данные – это данные, с помощью которых физическое лицо может быть идентифицировано прямо или косвенно на основании средств, которые могут быть использованы контролером данных… в том числе применительно к идентификационным номерам, данным о местоположении, онлайн-идентификаторам» [51] .

51

Сайт законодательства UK. URL:The%20Data%20Protection%20Act

Понятие «персональные данные» в Великобритании имеет абстрактный характер, будучи конкретизированным только в части чувствительных (sensitive) данных.

1.3.3. Субъекты отношений в области обеспечения конфиденциальности персональных данных

Основным субъектом обеспечения конфиденциальности персональных данных в Великобритании является контролер данных – лицо, которое (самостоятельно или совместно с другими лицами) определяет цели и средства обработки персональных данных. Вместе с тем если контролер данных привлекает для обработки третье лицо – обработчика данных (любое лицо, не являющееся субъектом персональных данных, которое обрабатывает персональные данные от имени контролера данных), то обработчик данных несет такую же ответственность за обеспечение конфиденциальности персональных данных, как и контролер.

Субъект данных имеет право самостоятельно определять, как, кому и на каких условиях предоставлять данные. Соответственно, нормативно установленных обязанностей по обеспечению конфиденциальности персональных данных у субъекта данных нет.

Департамент правительства Великобритании по делам культуры, СМИ и спорта (DCMS) взял на себя ответственность за формирование политики защиты данных Великобритании [52] .

1.3.4. Ответственность за нарушения в области персональных данных и запрет на передачу данных третьим лицам

52

DCMS takes on responsibility for UK data protection policy and sponsorship of the ICO. От 18 сентября 2015 г. URL: http://www.out-law.com/en/articles/2015/sep-tember/dcms-takes-on-responsibility-for-uk-data-protection-policy-and-sponsorship-of-the-ico/

В Великобритании установлена серьезная административная и уголовная ответственность за указанные нарушения.

Совершение данных нарушений наказывается в Великобритании штрафом до 500 тысяч фунтов. Также предусматриваются административные санкции за несвоевременное устранение нарушений и повторное нарушение, а при преднамеренном характере нарушений, которые привели к серьезным последствиям, установлена уголовная ответственность в виде лишения свободы. Аналогичный подход применяется и в России [53] .

53

Елин B.M., Жарова A.K. О выделении информационных объектов в самостоятельную категорию объекта преступления // Труды Института государства и права Российской академии наук. 2009. № 5. С. 205–229; Елин В.М. Мошенничество в сфере компьютерной информации как новый состав преступления // Бизнес-информатика. 2013. № 2 (24). С. 70–76.

Кроме того, существует требование к интернет-провайдерам об уведомлении комиссара по персональным данным без неоправданной задержки, а в некоторых случаях и абонентов о случаях любых инцидентов с их персональными данными. Неуведомление может привести к штрафу в размере 1000 фунтов стерлингов.

В соответствии с законодательством Великобритании данные могут быть обработаны с помощью третьей стороны, если третья сторона предоставит достаточные гарантии относительно технической и организационной безопасности.