Правовое обеспечение защиты права на безопасность личных данных в Европейском Союзе

ПРАВОВОЕ ОБЕСПЕЧЕНИЕ ЗАЩИТЫ ПРАВА НА БЕЗОПАСНОСТЬ ЛИЧНЫХ ДАННЫХ В ЕВРОПЕЙСКОМ СОЮЗЕ

Информационный обмен является одной из наиболее важных составляющих реализации межгосударственного сотрудничества. В связи с этим особого внимания заслуживает исследование нормативно-правовых стандартов осуществления передачи личных данных в Европейском Союзе, который является одним из главных стратегических партнеров Республики Беларусь.

В настоящее время информационные технологии, обладающие большой мощностью и возможностями для обработки личных данных, широко используются в различных сферах жизнедеятельности. Успешное развитие на международном уровне услуг, связанных с ними, зависит среди прочего и от уверенности пользователей в том, что их частная жизнь не будет находиться в опасности, а личные данные — под угрозой противоправного использования. Поэтому изучение опыта Европейского Союза в соответствующей области является достаточно актуальным. Тем не менее исследуемый вопрос не получил достаточного отражения в научных статьях, монографиях.

Право на защиту личных данных является достаточно важным. В некоторой степени его можно назвать «правом постиндустриального общества», поскольку, как бы проистекая из права на уважение частной и семейной жизни, особое значение оно приобретает на современном этапе развития, когда информационные технологии внедрены во все сферы человеческой жизнедеятельности, а скорость и объемы информационного обмена многократно возросли. В связи с этим субъекты хозяйствования, государственные органы, учреждения, которые обладают сведениями личного характера (в сфере медицины, финансов, биологии (генетический материал), уголовного правосудия и т. д.), должны принять соответствующие меры по их охране. В противном случае данные личного характера могут оказаться под угрозой несанкционированного доступа киберпреступников к ним, а также неправомерного использования. Именно поэтому соответствующее нормативно-правовое регулирование в данной области является действительно необходимым.

Таким образом, целью данной работы является исследование проблем правового обеспечения права на безопасность личных данных в Европейском Союзе, их теоретическое осмысление.

Следует отметить, что конфиденциальность коммуникаций гарантируется, прежде всего, Конвенцией Совета Европы по защите физических лиц в отношении автоматической обработки данных, имеющих личный характер, от 28 января 1981 г. (далее — Конвенция 1981 года), которая была ратифицирована всеми государствами-членами [1], а также Хартией основных прав Европейского Союза.

Статья 8 Хартии содержит следующие положения: «Каждый человек имеет право на охрану касающихся его сведений личного характера. Эти сведения должны использоваться в соответствии с установленными правилами в определенных целях и на основании разрешения заинтересованного лица либо на иных правомерных основаниях, предусмотренных законом. Каждый человек имеет право на доступ к относящимся к нему собранным сведениям и добиваться внесения в них исправления. Соблюдение этих правил подлежит контролю со стороны независимого органа».

На основании статьи 286 консолидированного текста Договора об учреждении Европейских Сообществ (далее — Договор) и в соответствии с Конвенцией 1981 года, а также Хартией основных прав Европейского Союза от 24 октября 1995 г. Европейским Парламентом и Советом была принята Директива № 46 по защите лиц в отношении обработки личных данных и свободном обращении таких данных (далее — Директива 95/46).

Данная Директива является первым основополагающим документом в данной области, который был принят в рамках Европейского Союза. Его структура во многом повторяет соответствующее строение Конвенции 1981 года. Однако следует отметить, что Директива 95/46 является более детальным нормативным правовым актом. Например, она содержит только более 72 пунктов вводной части (преамбулы), в которых содержатся причины, цели, нормативные основы, а также обоснование необходимости принятия документа. В частности, пункт 2 включает в себя положение о том, что Директива 95/46 принята с учетом того, что «системы обработки данных созданы для того, чтобы служить человеку; безотносительно национальности или места жительства физических лиц они должны уважать его фундаментальные права и свободы, особенно право на частную жизнь, а также способствовать экономическому и социальному развитию, росту торговли и благосостоянию людей».

В Директиве 95/46 содержатся определения таких понятий, как «личные данные», «обработка личных данных», «контролер», «процессор», «файловая система личных данных», «получатель», «согласие субъекта данных».

При этом данный нормативный правовой акт определяет личные данные как любую информацию, относящуюся к опознанному или опознаваемому лицу (субъект данных). В свою очередь, опознаваемым лицом является то, которое может быть прямо или косвенно идентифицировано, в частности по идентификационному номеру или по одному или нескольким признакам, характерным его физической, психологической, интеллектуальной, экономической, культурной или социальной особенности, составляющей его индивидуальность.

Приведенное выше определение в подобной формулировке содержится и в иных актах, принятых позднее в рамках ст. 286 Договора.

Контролером согласно Директиве 95/46 является физическое или юридическое лицо, государственный орган, агентство или иной орган, который самостоятельно или совместно с иными органами определяет цели и средства обработки личных данных. Процессор — это физическое или юридическое лицо, государственный орган, агентство или иной орган, который осуществляет обработку личных данных по поручению контролера.

В свою очередь, обработка личных данных — это операция или совокупность операций, которые производятся над личными данными автоматическими или иными средствами в целях сбора, фиксации, организации, хранения, изменения, восстановления, ознакомления, использования, раскрытия путем их передачи, распространения (или иным образом, который делает их доступными), группировки или комбинирования, блокирования, уничтожения или разрушения.

Директива 95/46 подробно описывает процедуру обработки личных данных, сущность которой заключается в следующем: в случаях, предусмотренных Директивой, для обработки личных данных контролер дает процессору указание, содержащее необходимые компоненты, осуществить обработку данных. При этом личные данные могут быть получены как непосредственно через субъекта данных, так и без его привлечения.

Особо хотелось бы отметить положение документа о том, что в любом случае такой субъект имеет право на то, чтобы получить подтверждение:

обработки его личных данных;

целей, для которых они получены, получателей данных;

освещения в доступной форме процедуры, которой будут подвергнуты данные;

логического построения автоматического процесса принятия решения в его отношении на основе личных данных;

права на изменение данных ввиду таких их свойств, как некорректность или неполнота, затрудняющих осуществление обработки данных.

Директива 95/46 также устанавливает принципы качества данных, условия для производства законной обработки данных, специальные категории данных, право субъекта данных на доступ к информации.

Нормативный правовой акт содержит исключения из установленного порядка обработки личных данных: указанные в Директиве 95/46 права могут быть ограничены в случае необходимости, касающейся: национальной безопасности, обороны, общественной безопасности; предупреждения, расследования, обнаружения и осуществления уголовного преследования либо нарушения кодексов норм этики для определенных профессий.

Также она предоставляет право лицу не быть предметом решения, принимаемого в отношении его средствами автоматической обработки и затрагивающего его личные качества, в частности о возможности эффективного выполнения должностных обязанностей, о кредитоспособности, о надежности и т. д. (ст. 15). На наш взгляд, данная норма носит прогрессивный гуманистический характер, поскольку каждый человек обладает неповторимым набором индивидуальных качеств, каждое из которых также самобытно. В связи с этим недопустимо оценивать их исключительно компьютерными средствами на основе математических моделей. Директива устанавливает необходимость обеспечения мер безопасности в отношении всего процесса обработки личных данных.

В соответствии с Директивой 95/46 личные данные могут быть переданы третьим странам, если они способны обеспечить должный уровень их защиты. Во внимание принимаются тип данных, цели и срок осуществления операции, страна происхождения и страна назначения, действующее законодательство в этих странах. Кроме того, Директива обязывает государства-члены сообщать о странах, которые не могут поддерживать надлежащий уровень защиты личных данных.

Документ предусматривает следующий механизм по имплементации его норм: государства-члены должны наделить государственные органы полномочиями по контролю за исполнением документа. Кроме того, на уровне Сообщества создается рабочая группа с контрольно-надзорными полномочиями по защите прав человека в отношении обработки личных данных.

Следующим важным нормативным правовым актом, одной из целей принятия которого была защита права на безопасность личных данных, стала Директива Европейского Парламента и Совета от 15 декабря 1997 г. № 66 относительно обработки личных данных и защиты частной жизни в телекоммуникационном секторе (далее — Директива 97/66). Она перевела принципы, изложенные в Директиве 95/46, в разряд обязательных для телекоммуникационного сектора. Однако с широким внедрением, а также постоянным совершенствованием информационных технологий на рынке телекоммуникационных услуг в целях обеспечения равного уровня защиты личных данных и частной жизни для пользователей общественных услуг в секторе электронных коммуникаций независимо от используемых технологий Директива 97/66 была заменена Директивой Европейского Парламента от 12 июля 2002 г. № 58 о конфиденциальности информации и электронных коммуникациях (далее — Директива 2002/58).

В преамбуле Директивы 2002/58 говорится, что юридические, организационные и технические меры, принятые государствами-членами относительно защиты личных данных, частной жизни и законных интересов юридических лиц в электронном секторе коммуникации, должны быть согласованы, чтобы избежать препятствий внутреннему рынку для электронной коммуникации в соответствии со ст. 14 Договора. Гармонизация должна быть ограничена необходимыми требованиями, гарантирующими отсутствие препятствий к развитию новых электронных услуг коммуникаций и сетей между государствами-членами.

На наш взгляд, важным положением вводной части Директивы является необходимость обеспечить пользователей информацией не только о достоинствах тех или иных электронных устройств и инструментов, но и о рисках, которым они подвергаются используя их (это касается, например, таких инструментов, как «cookies¹»). У пользователей должна быть возможность отказаться от подобных инструментов. При этом методы такого отказа должны быть максимально просты для них.

Целью Директивы № 58 о конфиденциальности информации и электронных коммуникациях является обеспечение равнозначной степени защиты, своеобразный компромисс между основными правами и свободами и, в частности, правом на защиту частной жизни в части обработки личных данных в сфере электронных коммуникаций и свободным движением таких данных, а также использованием электронных средств связи и услуг в Сообществе.

Данный документ устанавливает обязанность провайдера принимать необходимые организационные технические меры по защите своих услуг. В случае же возникновения риска нарушения безопасности системы он обязан предупредить об этом подписчиков, а когда данный риск лежит вне мер, которые могут быть предприняты сервис-провайдером, — о возможных способах устранения неполадок, включая связанные с этим вероятные издержки (статья 4). Кроме того, Директива обязывает государства-члены предусмотреть в национальном законодательстве нормы, запрещающие прослушивание, перехват, накопление или контроль информации, передаваемой в процессе осуществления коммуникаций, и связанный с ней поток данных лицами, не являющимися добросовестными пользователями. Также для провайдеров устанавливается обязанность уничтожать или анонимизировать данные, относящиеся к пользователям, когда они больше не нужны для целей передачи. Предусматривается право пользователя (подписчика услуг) получать недетализированные платежные документы.

Директива закрепляет право каждого пользователя телефонных линий скрыть свое место нахождения, а также запретить идентификацию своей линии (сокрытие телефонного номера). В свою очередь, адресат имеет право отказаться от звонков, если номер не отображается. Кроме того, при формировании телефонных справочников любое лицо (физическое или юридическое) может отказаться от включения в них своих данных. При этом все указанные права должны быть реализованы бесплатно. Значение этого положения заключается в том, чтобы, с одной стороны, ограничить доступ к сведениям личного характера, а с другой — создать механизм защиты частной жизни для той категории физических лиц, которые имеют основания предполагать возможность вмешательства в нее.

Нормативный правовой акт запрещает использование автоматических устройств дозвона, электронной почты, факсов, включая SMS, без явно выраженного на это согласия пользователей в целях директ-маркетинга. Также запрещается рассылка электронных сообщений в указанных целях с сокрытием или подделкой адреса таким образом, что получатель не может отказаться от рассылки. Данные меры распространяются на физических лиц, тем не менее существует обязательство государств-членов предпринять соответствующие меры и для защиты юридических лиц. Таким образом, можно сделать вывод о том, что по сути данная норма запрещает спам, хотя и не содержит дефиниции данного явления.

Директива 2002/58 ссылается на Директиву 95/46 в части предусмотренных изъятий в области предоставляемых прав, к которым был добавлен «несанкционированный доступ к телекоммуникационным системам». Рабочая группа, учрежденная Директивой 95/46, уполномочивается выполнять контрольные функции и в рамках Директивы 2002/58.

Директива Европейского Парламента и Совета от 15 марта 2006 г. № 24 о хранении данных, созданных или обработанных с помощью общедоступных электронных услуг коммуникаций или общественных систем коммуникаций, и внесении изменений и дополнений в Директиву 2002/58 имеет отношение только к данным, созданным или обработанным с помощью коммуникаций или возникших как следствие обслуживания коммуникаций, и не касается данных, которые являются содержанием сообщенной информации (далее — Директива 2006/24). Она говорит о том, что данные личного характера должны сохраняться таким способом, чтобы избежать повторного сохранения.

В соответствии со ст. 8 Европейской Конвенции о защите прав человека и основных свобод каждый имеет право на уважение его частной жизни и его корреспонденции. На основании Директивы 2006/24 власти могут ограничить данное право только в соответствии с законом, а также в интересах национальной или общественной безопасности для предотвращения общественных беспорядков или преступления или для защиты прав и свобод других лиц. Поскольку задержание данных, как оказалось, оказывает незаменимую помощь при расследовании преступлений (например, организованная преступность и терроризм), необходимо гарантировать, что сохраненные данные будут доступны правоохранительным органам в течение определенного периода.

Прослушивание коммуникаций в оперативно-розыскных целях регулируется иным нормативно-правовым актом — Резолюцией Совета от 17 января 1995 г. о законном прослушивании телекоммуникаций. В ней содержатся подробные требования, которые предъявляются к правоохранительным органам для получения возможности в рамках разрешенного законодательством права осуществлять перехват или прослушивание телекоммуникаций. Кроме того, следует отметить, что документ характеризуется наличием в нем исчерпывающих перечней и подробного описания полномочий правоохранительных органов и тех сведений, которые могут быть им доступны, процесса их получения. На наш взгляд, этот пример свидетельствует о глубоком уважении права на защиту личных данных в Европейском Союзе, поскольку такое нормативно-правовое регулирование совершенно не оставляет возможности для дискреции.

Что же касается сотрудничества правоохранительных органов при расследовании транснациональных преступлений, то передача личных данных Европолом будет осуществляться на основании Акта Совета от 12 марта 1999 г., устанавливающего правила управления передачей личных данных Европолом третьим странам или иным органам.

Наряду с Директивами 95/46 и 2002/58 существует Регламент Европейского Парламента и Совета от 18 декабря 2000 г. № 45 по защите лиц в отношении обработки личных данных институтами Сообщества и органами и обеспечении свободного движения таких данных, который вступил в силу в 2001 году (далее — Регламент 2001/45). В соответствии с Регламентом 2001/45 учреждается специальный надзорный орган — Европейский инспектор по защите данных.

Регламент 2001/45 устанавливает условия, в соответствии с которыми обработка личных данных является законной. К ним относятся обработка данных в интересах народа; на базе соглашений, учреждающих Европейские Сообщества, или других правовых инструментов; в рамках выполнения полномочий должностного лица в соответствии с законным правом института или органа Сообщества или третьей стороны, в интересах которой данные раскрыты, или обработка в случае необходимости в соответствии с юридическим обязательством контролера; обработка для выполнения обязательства в соответствии с контрактом, в котором субъект данных сторона, или для того, чтобы принять меры по предшествующему запросу субъекта данных в целях заключения контракта; если субъект данных однозначно выразил на это свое согласие; обработка для того, чтобы защитить жизненные интересы субъекта данных.

Регламентом предусмотрены правила передачи личных данных между институтами или органами Сообщества, а также возможность передачи данных субъектам иным, чем институты и органы Сообщества (в рамках национального законодательства по исполнению Директивы 95/46 или иных).

Кроме того, в 2001 году Комиссией были приняты два решения: Решение Комиссии о стандартных условиях соглашения о передаче личных данных третьим странам в соответствии с Директивой 95/46 от 15 июня 2001 г. и Решение Комиссии о стандартных условиях соглашения о передаче личных данных процессору, находящемуся в третьих странах, в соответствии с Директивой 95/46 от 21 декабря 2001 г. В них компактно изложены требования к передаче личных данных, закрепленные нормами Директивы 95/46.

Что же касается ответственности, то в этом контексте статья 24 Директивы 95/46 налагает обязательство на государства-члены установить санкции за нарушения условий, принятых в соответствии с этой Директивой. Статья 15 Директивы 2002/58 содержит то же самое требование относительно национальных условий, принятых в соответствии с Директивой 2002/58. Решение Совета 2005/222 об атаках на информационные системы от 24 февраля 2005 г. устанавливает, что умышленный противоправный доступ к информационным системам, включая и данные, сохраненные там, должен быть криминализован.

Во всем мире происходит объективное изменение вектора развития общества: от индустриального к информационному, от национальных стратегий развития к международным. Социальные перемены, связанные с широким использованием информационно-коммуникационных технологий, требуют уточнения системы прав человека: корректировки общепризнанных прав или дополнения их новыми в соответствии с реалиями времени. В этой связи нормативно-правовое закрепление и обеспечение права на защиту личных данных является прогрессивным шагом.

Право на защиту личных данных, провозглашенное в Европейской хартии основных прав, Договоре об учреждении Европейских Сообществ, получило свое закрепление в актах институтов Европейского Союза. В частности, основой нормативно-правового обеспечения данного права являются три документа: Директива 95/46, Директива 2002/58 и Регламент 2001/45. Иные рассмотренные в статье акты дополняют, уточняют, конкретизируют в отдельных областях нормы трех указанных нормативных правовых актов. Их анализ показывает достаточно широкую трактовку права на защиту личных данных, содержащуюся в них, но в то же время дает детальное описание полномочий государственных органов, которые могут в предусмотренных законодательством случаях ограничивать данные права. Кроме того, важной целью принятия данных нормативных правовых актов является гармонизация законодательства государств — членов Европейского Союза ввиду существенного различия в обеспечении права на защиту личных данных.

Проведенное исследование позволяет сделать вывод о том, что для институтов Европейского Союза при решении различных государственно-правовых задач приоритетным остается глубинное изучение мотивации и потребностей человека.

Гарантируя права человека, требующие своего закрепления в соответствии с современным положением социальных отношений, законодатели преследуют не только гуманистическую цель или цель обеспечения стабильности в обществе, повышения доверия к системе государственного управления, но также решают таким образом комплекс задач социально-экономического развития региона в рамках построения информационного общества.

На наш взгляд, наиболее важным достижением в области обеспечения права на безопасность личных данных в Европейском Союзе является юридическое закрепление: формализованной процедуры обработки личных данных; необходимости обеспечения пользователей информацией о рисках, которым они подвергаются, пользуясь теми или иными электронными устройствами и инструментами; права лица скрыть свое место нахождения или запретить идентификацию линии связи; обязанности уничтожения или анонимизации сведений, имеющих личный характер, после завершения коммуникационного процесса. Прогрессивно в данной связи и установление запрета на использование автоматических устройств дозвона, электронной почты, факсов, включая SMS, без явно выраженного на это согласия пользователей в целях директ-маркетинга и связанные с этим правовые положения.

Правовое закрепление рассматриваемого права и средств его обеспечения в нормативно-правовой системе Республики Беларусь позволило бы повысить доверие физических и юридических лиц к информационно-коммуникационным технологиям, что является актуальной проблемой на современном этапе развития. Кроме того, сближение стандартов в области обработки личных данных может стать основой для более продуктивного решения многих трансграничных проблем.

информационный европейский защита конфиденциальность

1. Сonvention for the protection of individuals with regard to automatic processing of personal data of 28.I.1981, Strasbourg // [Electronic resource]. — Mode of access: http://conventions.coe.int/Treaty/RUS/Treaties/html/108.htm. — Date of access: 14.02.2009.

2. Charter of Fundamental Rights of the European Union // Official Journal C 364, 18/12/2000 P. 0001 — 0022 // [Electronic resource]. — Mode of access: http://www.europarl.europa.eu/charter/pdf/text_en.pdf. — Date of access: 14.02.2009.

3. Consolidated version of the Treaty establishing the European Community // Official Journal C 325, 24/12/2002 P. 0011 — 0012 // Electronic resource]. — Mode of access: http://eup-lex.europa.eu/en/treaties/dat/12002E/pdf/12002E_EN.pdf. — Date of access: 16.02.2009.

4. Directive of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data // Official Journal L 281, 23/11/1995 P. 0031 — 0050 // [Electronic resource]. — Mode of access: http://eur-lex.europa.eu/lexuriserv/lexuriserv.do?uri=celex:31995l0046:en:not. — Date of access: 18.02.2009.

5. Council Decision of 31 March 1992 in the field of security of information systems // Official Journal L 123, 08/05/1992 P. 0019 — 0025 // [Electronic resource]. — Mode of access: http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=celex:31992d0242:en:not. — Date of access: 14.02.2009.

6. Directive of The European Parliament and of the Council of 15 December 1997 concerning the processing of personal data and the protection of privacy in the telecommunications sector // Official Journal L 024, 30/01/1998 P. 0001 — 0008 // [Electronic resource]. — Mode of access: http://eur-lex.europa.eu/lexuriserv/lexuriserv.do?uri=celex:31997l0066:en:not. — Date of access: 14.02.2009.

7. Directive of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) // Official Journal L 201, 31/07/2002 P. 0037 — 0047 // [Electronic resource]. — Mode of access: http://eur-lex.europa.eu/lexuriserv/lexuriserv.do?uri=celex:32002l0058:en:not. — Date of access: 14.02.2009.

8. Directive 2006/24/EC of the European Parliament and of the Council of 15 March 2006 on the retention of data generated or processed in connection with the provision of publicly available electronic communications services or of public communications networks and amending Directive 2002/58/EC // Official Journal L 105, 13/04/2006 P. 0054 — 0063 // [Electronic resource]. — Mode of access: http://eur-lex.europa.eu/lexuriserv/lexuriserv.do?uri=celex:32006l0024:en:not. — Date of access: 14.02.2009.

9. Council Resolution of 17 January 1995 on the lawful interception of telecommunications // Official Journal C 329, 04/11/1996 P. 0001 — 0006 // [Electronic resource]. — Mode of access: http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=celex:31996g1104:en:not. — Date of access: 17.02.2009.

10. Council Act of 28 February 2002 amending the Council Act of 12 March 1999 adopting the rules governing the transmission of personal data by Europol to third States and third bodies // Official Journal C 076, 27/03/2002 P. 0001 — 0002 // [Electronic resource]. — Mode of access: http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=celex:32 002×0327(01):en:not. — Date of access: 13.02.2009.

11. Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data // Official Journal L 008, 12/01/2001 P. 0001 — 0022 // [Electronic resource]. — Mode of access: http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=celex:32001r0045:en:not. — Date of access: 14.02.2009.

12. Commission Decision of 15 June 2001 on standard contractual clauses for the transfer of personal data to third countries, under Directive 95/46/EC (Text with EEA relevance) (notified under document number C (2001) 1539) // Official Journal L 181, 04/07/2001 P. 0019 — 0031 // [Electronic resource]. — Mode of access: http://eur-lex.europa.eu/lexUriServ/lexUriServ.do?uri=celex:32001d0497:en:not. — Date of access: 14.02.2009.

13. Commission Decision of 27 December 2001 on standard contractual clauses for the transfer of personal data to processors established in third countries, under Directive 95/46/EC (Text with EEA relevance) (notified under document number C (2001) 4540) // Official Journal L 006, 10/01/2002 P. 0052 — 0062 // [Electronic resource]. — Mode of access: http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=celex:32002d0016:en:not. — Date of access: 04.03.2009.

14. Council Framework Decision of 24 February 2005 on attacks against information systems // Official Journal L 069, 16/03/2005 P. 0067 — 0071 // [Electronic resource]. — Mode of access: http://eur-lex.europa.eu/lexuriserv/lexuriserv.do?uri=celex:32005f0222:en:not. — Date of access: 04.03.2009.