Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет
Шрифт:
В законе Нидерландов дефиниция не детализируется и не поясняется с помощью примеров или перечислений составных элементов, поэтому носит абстрактный характер. Однако из последующего текста Закона можно вывести отдельную категорию «особых» («чувствительных») и «непрямых чувствительных данных». В российском законе они соответствуют специальным категориям персональных данных. Под чувствительными – точнее, особо выделенными персональными – данными закон Нидерландов подразумевает данные о религии, жизненной философии, расе, политических убеждениях, здоровье, сексуальной жизни и членстве в профсоюзе, обращение с которыми требует более строгого режима (что совпадает с определением специальных персональных данных в российском законе). В ст. 16 закона устанавливается
В законе Нидерландов определение персональных данных, как и в России, носит максимально широкий характер, что, по мнению исследователей, является, скорее, недостатком, чем достоинством.
Как отмечают комментаторы российского закона о персональных данных, «при буквальном толковании (применяемом в правоприменительной практике по умолчанию) рассматриваемой нормы к понятию “персональные данные” можно отнести широкий круг информации, в том числе выходящий за рамки разумно ожидаемого в данном контексте. В частности, в нем нет указания на связь между информацией и прямой или косвенной определенностью или “определяемостью” физического лица. Соответственно, отсутствует однозначное понимание того, в каких случаях собираемые и обрабатываемые данные будут относиться к персональным, а в каких – нет». Поэтому члены специальной рабочей группы, созданной по инициативе Роскомнадзора для обсуждения данного вопроса, согласились в том, что, «если совокупность данных необходима и достаточна для идентификации лица, такие данные следует считать персональными данными, даже если они не включают данные документов, удостоверяющих личность. При этом данные нельзя считать персональными в том случае, если без использования дополнительной информации они не позволяют идентифицировать физическое лицо. Изложенный подход допустимо рассматривать как учитывающий баланс интересов всех участников отношений»81.
Рабочая группа также обратила внимание на не вполне ясную природу идентификатора персональных данных (что делает его таковым – однозначное формальное определение в качестве идентификатора или фактическая возможность идентифицировать субъекта данных) и пришла к выводу о затруднительности формулирования адекватного (менее широкого) определения персональных данных.
1.5.3. Субъекты отношений в области обеспечения конфиденциальности персональных данных
Согласно ст. 1 нидерландского закона «субъект данных» означает лицо, к которому относятся персональные данные. В российском же законе данный термин поясняется косвенно через определение понятия персональных данных, что, возможно, не совсем верно, так [81] как это ключевое понятие в законе, направленном на защиту его прав.
Что касается прав субъекта персональных данных, то они связаны с предоставлением ему юридической возможности контролировать обращение со своими данными. Право контроля в первую очередь обосновано его условным согласием на их последующую обработку (условным, т. е. не абсолютным, а ограниченным заявленными целями и объемами) и возможностью отозвать это согласие в случае нарушения порядка обработки или потребовать его соблюдения.
81
Федеральный закон «О персональных данных»: научно-практический комментарий (постатейный) / Гафурова А.X., Доротенко Е.В., Контемиров Ю.Е. и др.; под ред. А.А. Приезжевой. М.: Библиотечка «Российской газеты», 2015. Вып. 11. СПС «КонсультантПлюс».
Это ключевое положение в законе, реализация которого требует установления соответствующих обязанностей других субъектов закона, прежде всего оператора. Так как субъект данных доверяет управление своими данными на определенных условиях, закон возлагает обязанность на оператора по информированию об изменениях условий обработки данных.
В ст. 1 нидерландского закона вместо термина «оператор данных» употребляется термин «ответственное лицо» (как и во французском законе, например), означающий физическое лицо, юридическое лицо, административный орган или любую другую организацию, которые самостоятельно или совместно с другими определяют цели и средства обработки персональных данных.
Согласно ст. 1 закона Нидерландов «обработчик» – это лицо или орган, которые обрабатывают персональные данные для ответственного лица, не находясь в его прямом подчинении.
Следует отметить, что в Нидерландах, в отличие от России, функции по определению целей обработки персональных данных, т. е. по организации собственно такой деятельности, и по технической обработке разделены. Так, Закон о защите персональных данных разграничивает таких субъектов, как «ответственная сторона» и «обработчик». Первый означает «физическое лицо, юридическое лицо, административный орган или любое другое юридическое лицо, которые самостоятельно или совместно с другими определяют цели и средства обработки персональных данных», второй – «лицо или орган, которые обрабатывают персональные данные для ответственной стороны, не находясь в ее непосредственном подчинении» (ст. 1). В России же возможно, что оператор организует «и (или)» осуществляет обработку данных, «а также» определяет цель обработки (ст. 1 Федерального закона), что не вполне логично с точки зрения последовательности действий и конечной ответственности за обращение с данными. Технический обработчик несет ответственность перед оператором, а последний – перед субъектом данных.
Возможно, следовало бы обозначить оператора в российском законодательстве в первую очередь как лицо, определяющее цели обработки, и только затем как организатора обработки данных и (или) обработчика, если невозможно разделить функции оператора и обработчика.
Согласно ст. 4 закона его нормы распространяются на обработку персональных данных в рамках деятельности ответственного лица (государственного органа в том числе), учрежденного в Нидерландах, либо если обработка совершается средствами, расположенными в Нидерландах (за исключением трансграничной передачи данных). В российском законе это выражено не так явно и акцент сделан на регулируемых субъектах, а не на деятельности. Таким образом, не вполне ясно, как регулируется обработка данных российских граждан за рубежом или иностранных граждан в России.
Закон требует предварительно уведомлять Надзорный орган по защите персональных данных (Dutch Data Protection Authority – College bescherming persoonsgegevens [82] ) о факте частичной или полной автоматизированной обработки данных, не ожидая санкционирования таких действий. Поскольку Надзорный орган по защите данных несет ответственность прежде всего перед субъектом данных, это требование вполне логично. Отсутствие же уведомления о факте обработки создает презумпцию ненадлежащей обработки.
82
Официальный сайт органа: URL: https://www.cbpweb.nl/en
В ст. 1 закона «третье лицо» означает любое лицо, кроме субъекта данных, ответственного лица, обработчика или любого лица, находящегося в непосредственном подчинении ответственного лица или обработчика, которое имеет право на обработку персональных данных.
Конечную ответственность за действия третьего лица несут ответственное лицо и обработчик. Именно они отвечают перед субъектом персональных данных и надзорным органом в силу положений нидерландского закона об обязанностях указанных лиц (в частности, по обеспечению надлежащего обращения с данными).