Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет
Шрифт:
Пункт 2 ст. 17 Директивы 95/46/ЕС устанавливает, что оператор должен, когда обработка осуществляется от его имени, выбирать обработчика, предоставляющего достаточные гарантии в отношении мер технической безопасности и организационных мер, регулирующих осуществляемую обработку, и должен обеспечить соблюдение этих мер.
Проект Регламента предусматривает получение персональных данных не только от субъекта персональных данных, право на доступ субъекта к собранным персональным данным, право субъекта на исправление и удаление его персональных данных. Проект Регламента устанавливает, что оператор обработки данных обязан стереть персональные данные без неоправданной задержки. Проект Регламента
Проектом Регламента субъект персональных данных наделяется правом возразить на аргументированных основаниях в отношении обработки своих персональных данных. Оператор обработки данных должен прекратить такую обработку, если не докажет, что имеются законные основания, которые выше интересов и аргументов субъекта персональных данных.
Оператор обработки данных обязуется согласно проекту Регламента обеспечивать получение однозначного согласия субъекта персональных данных на обработку его данных. Причем субъект данных должен иметь право отозвать согласие в любое время. Какое бы согласие ни было необходимо для обработки данных, проект Регламента указывает, что оно должно быть дано однозначно, а не подразумеваться.
Оператор должен обеспечить необходимые технические и организационные меры в соответствии с проектом Директивы 95/46/ЕС таким образом, чтобы гарантировать защиту прав субъекта данных.
Оператору следует выбирать обработчика исходя из достаточности гарантий при осуществлении технических и организационных мер, соответствующих требованиям проекта Директивы и обеспечивающих защиту персональных данных.
Оператор обработки персональных данных должен предоставлять субъекту персональных данных сведения о том, где и когда его персональные данные были собраны. В дополнение к указанным сведениям оператор обработки данных должен предоставить субъекту персональных данных информацию о целях обработки персональных данных, о получателях или категориях получателей персональных данных, уведомлять о намерениях передачи персональных данных за пределы Европейского союза или в международную организацию, а также информировать о наличии права субъекта персональных данных обращаться к оператору с просьбой исправить или удалить персональные данные, ограничить или исключить их обработку, обращаться в уполномоченный надзорный орган и т. д.
Отметим при этом, что проект Директивы предусматривает право государств – членов ЕС принимать законодательные меры, отлагающие, ограничивающие или опускающие обязательства по предоставлению информации субъекту данных в той степени и так долго, как, к примеру, частичное или полное ограничение прав субъекта данных является необходимым и соразмерным мерам в демократическом обществе, с должным вниманием к законным интересам соответствующего человека, включая случаи:
1) исключения препятствий по официальным или юридическим запросам, расследованиям или процедурам;
2) исключения нанесения ущерба при предотвращении, обнаружении, расследовании и судебном преследовании уголовных преступлений или для исполнения уголовных наказаний;
3) защиты общественной безопасности;
4) защиты национальной безопасности;
5) защиты прав и свобод других лиц.
При этом государствам – членам ЕС предоставляется право определить категории обработки данных, которые могут полностью или частично подпадать под перечисленные выше категории.
Проект Регламента устанавливает, что по общему правилу обработка персональных данных не требует идентификации. Так, если цели, с которыми оператор обработки персональных данных обрабатывает данные, не требуют идентификации субъекта персональных данных оператором, то оператор не должен запрашивать дополнительную информацию
Обработчик данных обязуется обеспечить письменное уведомление субъекта данных о любом отказе или об ограничении доступа, о причинах отказа и о возможностях его обжалования в надзорном или судебном органе.
Проект Регламента предусматривает также право субъектов персональных данных подать жалобу в надзорный орган, право юридических лиц и субъектов персональных данных на судебную защиту против надзорного органа, право субъекта персональных данных подать в суд на оператора и обработчика персональных данных, право любой персоны на компенсацию за несоответствующую обработку принадлежащих ей персональных данных.
1.1.4. Ответственность за нарушения в области персональных данных и запрет на передачу данных третьим лицам
В Европейском союзе установлена ответственность как за раскрытие персональных данных неограниченному кругу лиц, так и за раскрытие данных конкретным третьим лицам (ст. 16, 17 Директивы 95/46/ЕС), а также предусмотрена ответственность за непринятие мер по защите персональных данных (ст. 23 Директивы 95/46/ЕС).
Статья 16 Директивы 95/46/ЕС устанавливает принципиальное требование конфиденциальности обработки персональных данных. Любое лицо, действующее под руководством оператора или обработчика, включая самого обработчика, которое имеет доступ к персональным данным, не может их обрабатывать, кроме как по поручению оператора, если оно не обязано это делать по закону.
Статья 17 Директивы 95/46/ЕС устанавливает, что оператор должен осуществлять надлежащие технические и организационные меры для защиты персональных данных от случайного или неправомерного разрушения, либо от случайной потери, изменения, несанкционированного раскрытия или доступа, в частности, когда обработка включает передачу данных по сети, и от всех иных неправомерных форм обработки.
Проект Регламента устанавливает запрет передачи персональных данных третьим лицам, осуществляющим предпринимательскую деятельность. Кроме того, устанавливается, что доступ к персональным данным не продается и не предоставляется по подписке.
1.1.5. Режим защиты персональных данных при обработке больших данных, позволяющих при сопоставлении получать персональные данные
Данная сфера правоотношений не регулируется специальными нормами права. Между тем она является предметом особого внимания европейских регуляторов. Так, 16 сентября 2014 г. Рабочей группой по защите физических лиц при обработке персональных данных WP29 было опубликовано Заявление EC14/EN WP 221 о влиянии развития больших данных на защиту физических лиц в отношении обработки их персональных данных. В частности, указывается, что вызовы, бросаемые технологиями «больших данных», требуют инновационного подхода к толкованию и применению базовых принципов законодательства о персональных данных, а также их дальнейшего совершенствования, хотя, по их мнению, на данном этапе рано говорить о том, что эти принципы абсолютно не действуют в новых реалиях.
В рамках проекта новых Рекомендаций Y.3600 МСЭ-Т «Требования и технические возможности использования облачных вычислений для обработки больших данных» (далее – Рекомендации) при определении требований, технических возможностей и вариантов использования облачных вычислений для обработки больших данных не устанавливаются специфические требования к защите персональных данных при обработке больших данных в облачной среде, однако определяется конкретный субъект, который обеспечивает защиту всех данных, в том числе персональных данных, в целом при обработке больших данных в облачной среде.