Коллектив авторов - Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет

Под редакцией директора Института проблем правового регулирования НИУ ВШЭ, канд. юрид. наук А. С. Дупан (Гутниковой)

Авторский коллектив:

директор Института проблем правового регулирования НИУ ВШЭ, канд. юрид. наук А.С. Дупан (Гутникова) (подразд. 1.11, гл. 3, подразд. 5.1.3, 5.2, 5.8, 6.1 (совместно с С.В. Титовой), 6.4, 6.5, гл. 8

(совместно с А.Б. Жулиным));

заместитель заведующего кафедрой инновации и бизнеса в сфере ИТ факультета бизнес-информатики НИУ ВШЭ,

канд. юрид. наук, доцент И.А-. Жарова (подразд. 1.3, 1.7);

заместитель заведующего кафедрой информационной безопасности факультета бизнеса и менеджмента НИУ ВШЭ,

канд. пед. наук В.М. Елин (подразд. 1.10);

директор Центра анализа деятельности органов исполнительной власти ИГМУ НИУ ВШЭ, канд. экон. наук А.Б. Жулин (гл. 8 совместно с А. С. Дупан (Гутниковой));

научный сотрудник Института проблем правового регулирования НИУ ВШЭ Ю.С. Бикбулатова (подразд. 1.1, 2.1.2,

2.2.1 (совместно с Т.И. Бикбулатовым), 5.1.4, 5.7, гл. 7);

научный сотрудник Института проблем правового регулирования НИУ ВШЭ Т.И. Бикбулатов (подразд. 1.2, 1.9,

2.2.1 (совместно с Ю.С. Бикбулатовой));

аналитик Института проблем правового регулирования НИУ ВШЭ

С.В. Титова (подразд. 1.5, 1.6, 1.8, 2.1.1, 2.1.3, 2.2.2, 2.3, 5.1, 5.1.1, 5.1.2, 5.3–5.6, 6.1 (совместно с А.С. Дупан (Гутниковой), 6.2, 6.3);

адвокат Германии (Германия, Kollegienwall, 24, 49074 Osnabrück) Д. Римша (подразд. 1.4).

Свободный обмен информацией лежит в основе современной экономики. В то же время все более широкое использование и передача персональных данных создают повышенные риски с точки зрения неприкосновенности частной жизни. Постоянно трансформирующиеся способы и подходы обработки данных изменяют и категории рисков нарушения прав вовлеченных в формирующиеся правоотношения субъектов, что, в свою очередь, требует корректировки или даже полного изменения системы государственного регулирования данной сферы.

В контексте колоссально ускоряющихся темпов развития информационных технологий требуется выработка новой модели регулирования обработки персональных данных, которая, во-первых, обеспечила бы их адекватную защиту, а во-вторых, соответствовала бы принципу свободного обмена информацией.

Как и в любой другой сфере, где тесно переплетены право и технологии, подходы, меры государственного регулирования персональных данных нельзя признать сформированными в полной мере ни в одном государстве. Происходящее в настоящее время изменение подхода регулирования защиты персональных данных в различных странах мира обусловлено как общей тенденцией реформирования законодательства информационной отрасли в условиях цифровой эпохи отношений, так и особой политической ситуацией.

Система защиты персональных данных в Европейском союзе (как имеющая место в настоящий момент, так и планируемая к вступлению в силу после принятия нового генерального регламента) представляет собой комплексный стремящийся к сбалансированности механизм, выработка которого осуществлялась достаточно длительный период. Данная система не исчерпывается только законодательными актами, будучи детализируемой в многочисленных документах правового, технического, организационного характера (решения, резолюции, соглашения, документы и пр.).

Регулирование отношений в сфере персональных данных в Российской Федерации традиционно проводится с опозданием в сравнении с Европейским союзом, модель регулирования которого была взята за основу в России. В связи с этим требуется новый подход к регулированию персональных данных в Российской Федерации, основанный на изучении опыта зарубежных стран, чтобы обеспечить и защиту прав субъектов персональных данных, и выполнение международных обязательств Российской Федерации в данной сфере.

На наднациональном уровне регулирование персональных данных включает следующие основные для данной сферы правовые акты:

1) Директиву Европейского союза от 24 октября 1995 г. № 95/46/ ЕС о защите физических лиц при обработке персональных данных и о свободном перемещении таких данных (далее – Директива 95/46/ ЕС);

2) Регламент Европейского союза № 45/2001 о защите персональных данных при их обработке органами и учреждениями Европейского союза, который отразил основные положения Директивы 1995 г.;

3) Директиву ЕС от 8 июня 2000 г. № 2000/31/ЕС о некоторых правовых аспектах информационных услуг на внутреннем рынке, в частности, об электронной коммерции.

25 января 2012 г. Европейской комиссией был опубликован проект Регламента Европейского союза о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных (далее – проект Регламента)[1]. 15 июня 2015 г. после более чем трехлетнего периода Советом Европейского союза был согласован законопроект о защите персональных данных. Начало процесса трехсторонних переговоров между Еврокомиссией, Европарламентом и Советом, известного как «трилог» (trilogue), было положено в июне 2015 г. Как отметила Европейская комиссия в своем заявлении, «есть совместное желание достичь окончательного соглашения к концу 2015 г.»[2]. Новый порядок защиты персональных данных в Европейском союзе вступит в силу в 2017 г. и заменит устаревшие и нередко критично различающиеся нормативные правовые акты государств в этой области[3].

Проект Директивы Европейского парламента и Совета Европейского союза о защите физических лиц при обработке персональных данных компетентными органами в целях предотвращения, расследования, обнаружения или судебного преследования уголовных преступлений или исполнения уголовных наказаний и свободного движения таких данных (далее – проект Директивы), как и вышеупомянутый проект Регламента, является частью глобальной реформы защиты персональных данных граждан Евросоюза, который должен заменить Директиву Европейского союза от 24 октября 1995 г. № 95/46/ЕС о защите физических лиц при обработке персональных данных и о свободном перемещении таких данных.

Пункт (а) ст. 2 Директивы 95/46/ЕС о защите физических лиц при обработке персональных данных и о свободном перемещении таких данных определяет персональные данные как любую информацию, относящуюся к определенному или определяемому физическому лицу («субъекту данных»). При этом определяемым является лицо, которое может быть определено прямо или косвенно, в частности, через идентификационный номер либо через один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности.

Приведенное определение схоже с определением персональных данных, установленным п. 1 ст. 3 российского Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ, Закон о персональных данных), если рассматривать его в совокупности с определением субъекта данных. Представляется, что дефиниция «персональные данные» должна анализироваться в данном случае именно так (совокупно), поскольку характеристики данных, которые способны идентифицировать лицо (идентификационный номер либо один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности), содержатся именно в определении субъекта данных.

Проект Регламента в п. 1 ст. 4 дополняет перечень идентификаторов, с помощью которых возможно определение личности конкретного физического лица. В частности, перечень ранее установленных идентификаторов дополнен именем субъекта персональных данных, сведениями о месте его нахождения и онлайн-идентификаторами (id).

Такого рода дополнения в российском законодательстве пока не предвидятся.

За счет последующего пояснения в п. 1 ст. 4 Директивы понятия «субъект данных», определяющего виды информации, при помощи которых лицо может быть установлено (идентификационный номер либо один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности), персональные данные возможно условно группировать. Но дефиницию, представленную в Директиве 95/46/ЕС о защите физических лиц при обработке персональных данных и свободном перемещении таких данных, нельзя признать конкретной, поскольку перечисление видов персональных данных (ФИО, пол, дата рождения и пр.) данным актом не закреплено.