ИСТОРИЯ, СМЫСЛ И ПЕРСПЕКТИВЫ ИНСТИТУТА ПЕРСОНАЛЬНЫХ ДАННЫХ 4 страница

Третье направление реализовывало интерес в свободном обмене данными как неотъемлемой основе информационного общества, общем благе. Несмотря на то что данные о гражданах циркулируют на том, что в ЕС называется "общий рынок", нельзя сказать, что данные здесь выступают материальным активом, товаром. Данные - условие для функционирования общего рынка, без него рынок невозможен. Поэтому сами данные как объект регулирования, конечно, выступают как своего рода актив, но по сути своей нематериальный. Меры по защите системы интересов, связанных со свободным обменом данными, складываются в minimum rules, о которых говорилось выше. В текущем состоянии это направление представлено Регламентом 2016 г. в Европейском союзе, калифорнийским Актом о приватности потребителей 2018 г. в США, Законом о персональных данных в России.

Если систематизировать данные направления по критерию защищаемого интереса (данные о гражданине и его частной жизни воспринимаются как благо, т.е. актив, или как угроза, т.е. пассив) и мер защиты (материальных или нематериальных), обнаружится место для еще одного направления развития законодательства.

Благо (актив)	Угроза (пассив)
II. Права знаменитостей, право на изображение, права исполнителей	I. Приватность (защита частной жизни)	Материальный характер
III. Персональные данные	IV. ?	Нематериальный характер

Свободное место - "четвертая четверть" данной системы координат - подчеркивает особенности сложившихся направлений законодательства о защите частной жизни и персональных данных, а также их недостатки, или, точнее, пределы.

Приватность не дает ответа на вопрос о границах "невторгаемой сферы" в информационном обществе, где данные о частной жизни практически всегда обрабатываются третьими лицами - операторами связи, информационными посредниками, разработчиками мобильных приложений и устройств Интернета вещей, облачными провайдерами и т.п. "Приватность, какой мы ее знаем в настоящее время, потеряна" <81>. Но это, строго говоря, не является сугубо законодательной проблемой, поскольку норма права здесь выступает лишь закреплением представлений о приватности, сложившихся в обществе. "Большинство людей согласны выполнять правила, установленные правовыми нормами, лишь тогда и постольку, когда и поскольку по разным причинам эти правила представляются им верными и разумными" <82>. Вопрос, таким образом, заключается в том, что является верным и разумным при определении границ частной жизни в цифровую эпоху... при использовании социальных сетей, покупках в интернет-магазинах и т.п. Только лишь в рамках "первой четверти" законодательства дать уверенный и понятный ответ на этот вопрос пока не удается.

--------------------------------

<81> Holtzman D.H. Privacy Lost: How Technology Is Endangering Your Privacy. San Francisco, CA: Jossey-Bass, 2015.

<82> Фогельсон Ю.Б. Указ. соч. С. 172.

"Вторая четверть" законодательства, имея наиболее узкую сферу применения, также не может дать общего ответа на вопрос, что можно делать с данными о гражданине, что нельзя и почему. Ответ на этот вопрос, но опять же формально дает законодательство о персональных данных, "третья четверть" законодательного регулирования в данной области. Но, во-первых, и оно "черпает себя" из права на неприкосновенность частной жизни, т.е. приватности <83>. Во-вторых, напомним, оно устанавливает в качестве собственного базиса, что обработка должна соответствовать принципам, установленным законом (если ориентироваться на европейский Регламент, их насчитывается семь групп), и осуществляться только в случаях, установленных законом (таковых в европейском Регламенте шесть). Однако при внимательном рассмотрении большинство из этих элементов не относятся к сути вопроса "что можно, что нельзя, и почему". Законность - универсальное требование, а потому оно опирается на предположение о справедливости и разумности законодателя (что не всегда соответствует действительности). Транспарентность, ограниченность времени хранения данных, точность, целостность и конфиденциальность данных, подотчетность оператора являются принципами-гарантиями, обеспечивающими выполнение того самого главного требования, что с персональными данными чего-то делать нельзя. Случаи (основания) обработки данных отчасти дублируют принцип законности - в их число входит исполнение правового обязательства, публичной функции или задачи, вытекающей из публичного интереса. Договор как "закон для двоих" тоже может выступать как основание, и здесь также возникает вопрос о разумности и справедливости такого договора. По сути, дает ответ на поставленный выше вопрос лишь такое основание, как "защита жизненных интересов человека", но оно, к счастью, редко применяется.

--------------------------------

<83> Здесь, конечно, надо оговориться, что в Хартии Европейского союза об основных правах (Страсбург, 12 декабря 2007 г.) право на уважение к частной жизни и право на защиту персональных данных разведены по разным статьям и Регламент в ст. 1 ссылается только на право на защиту персональных данных - это подчеркивает тот факт, что каждое из них стало самостоятельным. Но целью российского Закона о персональных данных (ст. 2) до сих пор является "в том числе" защита прав на неприкосновенность частной жизни, личную и семейную тайну.

В сухом остатке законодательство о персональных данных сводит вопрос о возможности обработки персональных данных к условиям справедливости такой обработки, соответствия ее целям, и к наличию интереса в обработке, выраженного субъектом (в виде согласия на обработку) либо оператором. Логично предположить, что эти элементы (цель, интерес сторон, справедливость как результирующий итог) связаны между собой и именно в этой связи стоит искать саму норму права, т.е. критерий юридической возможности того или иного поведения.

Здесь большую помощь может оказать концепция Хелен Ниссенбаум, в соответствии с которой информация о человеке раскрывается в определенном контексте, связана правилами и нормами этого контекста и может использоваться только в этом контексте <84>. Например, фотография с дружеской вечеринки, посланная в группу этих друзей в мессенджере, остается в контексте дружеского общения и не может причинить какого-либо вреда. Та же фотография, опубликованная в журналистском расследовании, если одним из изображенных на ней друзей является высокопоставленный государственный служащий, может стоить этому человеку должности и даже свободы. Связанность информации о человеке определенным контекстом означает не просто его право давать или не давать согласие на использование информации. Это свобода человека внутри контекста: свобода общения с людьми, входящими в контекст, и свобода от общения с людьми, в него не входящими. Нарушение этой свободы, т.е. произвольное перемещение информации между контекстами, приводит к нарушению самой личности человека.

--------------------------------

<84> Nissenbaum H. Privacy as Contextual Integrity // Washington Law Review. 2004. Vol. 79. Iss. 1. P. 119 - 158.

Если переводить данную концепцию в термины законодательства о персональных данных, справедливость обработки обеспечивается ограниченностью целей. Цель - это юридический эвфемизм контекста. Отсюда и вопрос о совместимых и несовместимых целях обработки персональных данных, столь важный для эпохи больших данных. Совместимые цели обработки - те, что оставляют информацию внутри контекста. Несовместимые - связанные с перемещением информации в другой контекст (например, продажа товара вместо трудоустройства) либо объединением информации из разных контекстов. Согласие субъекта персональных данных на обработку сведений о нем обеспечивает связь между субъектом и контекстом. Согласие представляет собой волеизъявление, и именно волеизъявление является краеугольным камнем для формирования "четвертой четверти" законодательства о защите частной жизни и персональных данных. В отличие от обстоятельств, приведших к формированию законодательства "третьей четверти", задачей которого было закрепить отчуждение данных от личности, сейчас обстоятельства требуют решения обратной задачи - формирования "цифрового двойника" человека, связанного с его реальной личностью. Это необходимо потому, что в цифровой экономике волеизъявление более не является односторонним процессом. Не только человек выражает свою волю относительно использования своих данных, но и данные влияют на формирование воли человека и, следовательно, на изъявление воли.

Исследования Ниссенбаум демонстрируют, что человек формирует разные личности в зависимости от контекстов взаимодействия (с семьей, с друзьями, с коллегами). Смешение контекстов нарушает это - во многом базовое - свойство человеческой личности, создавая условия для ее взлома, внешнего управления ею. Данные о наших передвижениях (один контекст) и покупках (второй контекст) могут быть, при их объединении, использованы, чтобы "подсунуть" нам нужный магазин или кафе в рекламе на сайте или в мобильном приложении <85>. Данные о посещенных нами сайтах и поисковых запросах (один контекст) скроют от нас или покажут нам определенные записи в соцсети <86> (второй контекст), что может, как известно, повлиять даже на наше голосование на выборах.

--------------------------------

<85> https://meduza.io/feature/2018/10/24/proshli-mimo-kafe-a-vam-tut-zhe-pokazali-ego-reklamu-eto-ne-paranoyya

<86> European Data Protection: In Good Health? / Ed. by S. Gutwirth, R. Leenes, P. de Hert, Y. Poullet. Dordrecht: Springer, 2012. P. 36.

Законодательство о персональных данных, с одной стороны, содержит все необходимые инструменты для того, чтобы противодействовать такой практике: цели обработки явно разные, следовательно, нужно получить согласие пользователя и на обработку в каждой из целей, и на передачу персональных данных третьим лицам, и проинформировать пользователя, какие данные о нем и как обрабатываются... Но, с другой стороны, если соблюсти все указанные - формальные - моменты, то окажется, что данные из разных контекстов можно объединять. А по факту объединять их нельзя, поскольку это нарушает базовые модели идентичности личности <87>, и любое соблюдение формальных требований в этой ситуации будет лишь следствием обмана или манипуляции.

--------------------------------

<87> Goffman E. The Presentation of Self in Everyday Life. Garden City, N.Y.: Doubleday, 1959.

Законодательство о персональных данных как "третья четверть" здесь достигает своего предела, поскольку, как рассматривалось выше, оно создавалось в целях реализации иного интереса (обеспечения свободы оборота данных как условия функционирования общеевропейского рынка) и обеспечивалось правовыми инструментами совершенно иной природы (административно-правовыми, поскольку изначально было направлено против деятельности правоохранительных органов государства). "Четвертая четверть" же (назовем ее условно "правом на личность") призвана замкнуть цикл развития правовой охраны частной жизни и информации о человеке, связав на новом уровне инструменты и подходы, разработанные в рамках законодательства о персональных данных с необходимостью охраны не просто информации, а личности как таковой.

Систематический подход, используемый в настоящей работе, опирается на два критерия: защищаемый интерес и правовой инструментарий защиты. Право на личность как четвертое, складывающееся в настоящее время, направление развития законодательства о частной жизни и информации о человеке защищает интерес личности в цифровом мире, где любая информация обрабатывается информационными посредниками <88>, - интерес в создании идентичности, соответствующей контексту, и, как следствие, в отсутствии смешения информации из разных контекстов. Этот интерес, как и в конце XIX в., носит характер не актива, а угрозы: речь идет не о пользовании общественным благом, а о защите от вторжения. В защите этого интереса нуждаемся все мы, пользователи цифровых платформ, перед которыми мы, надо признаться, совершенно беззащитны. Цифровые платформы, такие как Facebook, Google, Alibaba и Яндекс, объединяют в себе качества бизнеса (в том плане, что они нацелены на получение прибыли) и государства (поскольку по факту обладают такими признаками, как население, право и даже собственные деньги). Возможности платформ не всегда может ограничить даже законодательство, поскольку законодательству большинства стран, где к ним есть доступ, они просто не подчиняются <89>. Наш интерес - сохранить нашу идентичность, нашу свободу выбора, свободу волеизъявления.

--------------------------------

<88> Прохоров А., Коник Л. Цифровая трансформация. Анализ, тренды, мировой опыт. М.: Альянс-Принт, 2019. С. 22 - 25.

<89> Digital Dividends: World Development Report 2016 // http://www.worldbank.org/en/publication/wdr2016.

Доступный для защиты данного интереса правовой инструментарий отчасти существует в рамках законодательства о персональных данных, но это не административные штрафы и не компенсация морального вреда. Если государство не может применить свое законодательство против цифровой платформы, не получится и взыскать с них что-либо, разве что можно заблокировать. Кроме того, поскольку речь идет о влиянии на автономию воли человека, на его идентичность, любая материальная компенсация не будет адекватной мерой. Задачи превенции здесь имеют наибольшую значимость.

Одним из наиболее многообещающих инструментов защиты является концепция встроенной приватности, или приватности по умолчанию (privacy by design/default), Анны Кавукян <90>. В соответствии с ней информационные системы и бизнес-процессы уже на этапе проектирования и конструирования должны учитывать интересы приватности, т.е. не допускать смешения контекстов использования информации. В основе архитектуры информационных систем и бизнес-процессов должны находиться пользователь и его интересы, при этом интересы приватности должны сочетаться с бизнес-интересами (так называемая стратегия win-win). Закрытость информации о пользователе по умолчанию должна сочетаться с транспарентностью самих информационных процессов в системе, что в совокупности с защитой информации от самого начала до самого конца ее обработки обеспечивает уверенность пользователя в собственной защищенности.

--------------------------------

<90> "Privacy-Enhancing Technologies" report by a joint team of the Information and Privacy Commissioner of Ontario, Canada, the Dutch Data Protection Authority and the Netherlands Organization for Applied Scientific Research (1995) // www.privacybydesign.ca.

Приватность по умолчанию и встроенная приватность предусмотрены европейским Регламентом в ст. 25. Однако, как видно из приведенного описания, это скорее концептуальный подход, нежели законодательное требование. Такой же характер носят и некоторые другие новеллы Регламента, например оценка воздействия на защиту данных (ст. 35) и сертификация (ст. 42). Эти два механизма направлены не на формальное исполнение требований законодательства, а на понимание того, как бизнес-процессы влияют на интересы человека. В первом случае (оценка воздействия) - это собственное понимание оператора, во втором случае (сертификация) - это публичная демонстрация безопасности обработки для интересов граждан, проводимая независимой третьей стороной. Поэтому такого рода правовые инструменты имеют двойственную или даже тройственную сущность: с одной стороны, это (в случае с европейским Регламентом) правовая норма, обеспеченная государственным принуждением; с другой - это своего рода "лучшая практика" ведения бизнеса и построения информационных систем, со временем это может стать стандартом или даже обычаем; с третьей - это элемент того самого права цифровых платформ, их локальных норм, регулирующих их деятельность и взаимодействие с пользователями. В сочетании эти три аспекта в состоянии обеспечить защиту интересов граждан, связанных с их правом на личность, т.е. обеспечить разграничение контекстов, в которых используется информация, и выстроенных для каждого контекста ролей.

Законодательство о защите частной жизни и информации о человеке должно по сути своей относиться к частному праву, поскольку защищает частные интересы <91>. Но при этом законодательство о персональных данных защищает публичные интересы государства и общества, вследствие чего оно, конечно, является институтом публичного (преимущественного административного) права. Точно так же и формирующееся право на личность будет носить комплексный характер, включающий в себя как законодательные (что уже произошло в Европейском союзе), так и иные механизмы (международные стандарты, локальные акты, обычай и т.п.). Для успешного формирования "четвертой четверти" системы координат важно понимание связанности интересов субъектов данных и операторов. Формирование права на неприкосновенность частной жизни как основы всего данного института является хорошим примером. Оно выросло не из закона и даже не из судебных решений. Оно появилось из понимания всеми участниками отношений того факта, что без этого права дальше нельзя развиваться, и было закреплено сначала Проссером в качестве деликта, а затем Хамфри и Кассеном во Всеобщей декларации прав человека. Понимание необходимости права на личность есть уже сейчас - значительным свидетельством этого является заявление Марка Цукерберга <92>, обсуждающее идеи по удалению вредоносного контента, защите выборов, переходу на новые правила защиты приватности, дающие контроль над собственной персональной информацией, а также идеи по обеспечению переносимости данных как залога конкуренции. Хочется верить, что это понимание будет только распространяться.

--------------------------------

<91> См.: Дмитрик Н.А. О правовой природе согласия на обработку персональных данных // Законодательство. 2018. N 5. С. 41 - 47.

<92> Zuckerberg M. Four Ideas to Regulate the Internet // https://newsroom.fb.com/news/2019/03/four-ideas-regulate-internet/.

В завершение данной работы нет смысла приводить предложения по изменению законодательства. Даже применительно к российскому Закону о персональных данных, существенная критика которого была приведена выше, можно отметить, что он уже содержит необходимые элементы для реализации как третьего, так и четвертого направления развития законодательства о защите частной жизни и информации о человеке. Однако необходимо, во-первых, полное переосмысление данного Закона как правоприменительными органами, так и операторами, во-вторых, дополнение его на практике подходами, реализующими приватность по умолчанию и оценку воздействия на приватность. Немаловажным фактором должна стать и прямая борьба граждан за свои интересы в судебном порядке, что требует, как уже упоминалось, внедрения практики компенсаций в достаточном размере за нарушение прав, связанных с защитой частной жизни и обработкой персональных данных.

Само законодательство о персональных данных также ни в коей мере не утрачивает своей актуальности. Стоит отметить лишь, что оно исторически было рассчитано не на бизнес, а на государство с его административными регламентами и формальными процедурами. Еще в большей мере это проявляется по мере развития цифровой экономики. Как известно, "процедура - это логика, вынесенная вовне, она создает для проявления разума социальный институт как своего рода "искусственный интеллект" <93>. Но если есть собственно искусственный интеллект как информационная технология, то зачем нужна процедура? Поэтому в перспективе законодательство о персональных данных (и похожие на него законодательные акты, такие как Закон о защите данных Индии <94> и Закон о кибербезопасности Китая вместе с Национальным стандартом защиты данных <95>), как и американское отраслевое законодательство о защите данных, будет, скорее всего, намного более эффективно в отношении обработки данных государством, нежели бизнесом.

--------------------------------

<93> Мусхелишвили Н.Л., Сергеев В.М., Шрейдер Ю.А. Ценностная рефлексия и конфликты в разделенном обществе // Вопросы философии. 1996. N 11. С. 6 - 7.

<94> The Personal Data Protection Bill, released on 27 July 2018 // https://meity.gov.in/writereaddata/files/Personal_Data_Protection_Bill%2C2018_0.pdf.

<95> www.npc.gov.cn

Ну и конечно же никто не может подвергаться произвольному вмешательству в его личную и семейную жизнь, произвольным посягательствам на неприкосновенность его жилища, тайну его корреспонденции или на его честь и репутацию. Каждый человек имеет право на защиту закона от такого вмешательства или таких посягательств.

References

Войниканис Е.А. Право интеллектуальной собственности в цифровую эпоху: парадигма баланса и гибкости [Voinikanis E.A. The Intellectual Property Law in the Digital Age: The Paradigm of Balance and Flexibility] (in Russian). Moscow: Iurisprudentsiia, 2013.

Дмитрик Н.А. О правовой природе согласия на обработку персональных данных [Dmitrik N.A. On the Legal Nature of Consent to the Processing of Personal Data] (in Russian) // Legislation. 2018. No. 5.

Дозорцев В.А. Интеллектуальные права: Понятие. Система. Задачи кодификации: сборник статей [Dozortsev V.A. Intellectual Rights: Concept. System. The Tasks of Codification: Collection of Articles] (in Russian). Moscow: Statut, 2005.

Кувыркова А.Ю. Осуществление исключительных интеллектуальных смежных прав: дис. ... канд. юрид. наук [Kuvyrkova A.Iu. Realization of Exclusive Intellectual Related Rights: Thesis for a Candidate Degree in Law Sciences] (in Russian). Moscow, 2010.

Мусхелишвили Н.Л., Сергеев В.М., Шрейдер Ю.А. Ценностная рефлексия и конфликты в разделенном обществе [Muskhelishvili N.L., Sergeev V.M., Shreider Iu.A. Value Reflection and Conflicts in a Divided Society] (in Russian) // Philosophy Issues. 1996. No. 11.

Прохоров А., Коник Л. Цифровая трансформация. Анализ, тренды, мировой опыт [Prokhorov A., Konik L. Digital Transformation. Analysis, Trends, World Experience] (in Russian). Moscow: AliansPrint, 2019.

Савельев А.И. На пути к концепции регулирования данных в условиях цифровой экономики [Saveliev A.I. On the Way to the Concept of Data Regulation in the Digital Economy] (in Russian) // Law. 2019. No. 4.

Фогельсон Ю.Б. Российское гражданское право с точки зрения социологической юриспруденции [Fogelson Iu.B. Russian Civil Law from the Point of View of Sociological Jurisprudence] (in Russian) // Law. 2019. No. 4.

Bates E. The Evolution of the European Convention on Human Rights. Oxford: Oxford University Press, 2010.

Beverley-Smith H., Ohly A., Lucas-Schloetter A. Privacy, Property and Personality: Civil Law Perspectives on Commercial Appropriation. Cambridge, UK; New York: Cambridge University Press, 2005.

Collected Edition of the "Travaux " of the European Convention on Human Rights. Vol. IV: Third and Fourth Sessions of the Committee of Ministers, Conference of Senior Officials (30 March - 17 June 1950). The Hague: Martinus Nijhoff, 1977.

Cooley T.M. A Treatise on the Law of Torts or the Wrongs Which Arise Independent of Contract. 2^nd ed. Littleton, CO: F.B. Rothman, 1993.

Diggelmann O., Cleis M.N. How the Right to Privacy Became a Human Right // Human Rights Law Review. 2014. Vol. 14. Iss. 3.

European Data Protection: In Good Health? / Ed. by S. Gutwirth, R. Leenes, P. de Hert, Y. Poullet. Dordrecht: Springer, 2012.

Friedman L.M. Guarding Life's Dark Secrets: Legal and Social Controls over Reputation, Propriety, and Privacy. Stanford, CA: Stanford University Press, 2007.

Gareis C. Das juristische Wesen der Autorrechte, sowie des Firmen- und Markenschutzes // Archiv Theorie und Praxis. 1877. Bd. 35.

Gierke O. von. Deutsches Privatrecht. Bd. 1. Leipzig: Duncker & Humblot, 1895.

Goffman E. The Presentation of Self in Everyday Life. Garden City, N.Y.: Doubleday, 1959.

Gutwirth S. Privacy and the Information Age. Lanham, MD: Rowman & Littlefield, 2002.

Holtzman D.H. Privacy Lost: How Technology Is Endangering Your Privacy. San Francisco, CA: Jossey-Bass, 2015.

Maurer S.M. Across Two Worlds: Database Protection in the United States and Europe // https://www.researchgate.net/publication/228794091_Across_Two_Worlds_Database_Protection_in_the_United_States_and_Europe.

Nicastro D. What is the California Consumer Privacy Act of 2018 and How Does it Affect Marketers? // https://www.cmswire.com/customer-experience/what-is-the-california-consumer-privacy-act-of-2018-and-how-does-it-affect-marketers/.

Nissenbaum H. Privacy as Contextual Integrity // Washington Law Review. 2004. Vol. 79. Iss. 1.

Ordemann H.-R., Schomerus R. Bundesdatenschutzgesetz mit . 2. Aufl. : C.H. Beck, 1978.

Perreau E.H. Des droits de la // Revue trimestrielle de droit civil. 1909. No. 8.

Prosser W.L. Privacy // California Law Review. 1960. Vol. 48. No. 3.

Riccardi L. The German Federal Data Protection Act of 1977: Protecting the Right to Privacy? // Boston College International and Comparative Law Review. 1983. Vol. 6. Iss. 1.

Richards N.M., Solove D.J. Prosser's Privacy Law: A Mixed Legacy // California Law Review. 2010. Vol. 98. No. 6.

Simao J.R. Article 12 of the Universal Declaration of Human Rights // https://www.linkedin.com/pulse/20141031055326-241662330-article-12-of-the-universal-declaration-of-human-rights/.

Right of Privacy and Rights of the Personality: A Comparative Survey. Stockholm: Norstedt, 1967.

Warren S.D., Brandeis L.D. The Right to Privacy // Harvard Law Review. 1890. Vol. 4. No. 5.

Westin A.F., Baker M.A. Databanks in a Free Society: Computers, Record-Keeping, and Privacy. New York: Quadrangle Books, 1972.

Zuckerberg M. Four Ideas to Regulate the Internet // https://newsroom.fb.com/news/2019/03/four-ideas-regulate-internet/.

Подписано в печать

15.07.2020

⇐ Предыдущая 1 2 345 Следующая ⇒