Руководство по GDPR

Европейский Союз: основные права физических лиц на защиту персональных данных. История развития права.

Законодательные акты ЕС, в которых закреплены понятия прав физического лица, объектов и субъектов права.

Ограничение права на защиту персональных данных.

Преследуемые цели в защите прав физических лиц, принципы достижения целей и их влияние на правоприменительную практику.

Законодательная и судебная власть ЕС и РФ в области защиты данных.

Право на неприкосновенность частной жизни и

защиту персональных данных физических лиц

Право на неприкосновенность частной жизни и право на защиту персональных данных в ЕС тесно связаны между собой, но являются отдельными правами. Право на неприкосновенность частной жизни впервые было упомянуто в 1948 году во Всеобщей декларации прав человека. С юридической точки зрения, данное право является одним из наиболее защищенных прав человека.

В 1950 году право на неприкосновенность частной жизни было подтверждено Европейской конвенцией по правам человека, юридически обязательным документом для ратифицировавших ее сторон. Европейская конвенция по правам человека предусматривает, что каждый человек имеет право на уважение личной и семейной жизни, жилища и переписки. Вмешательство в это право со стороны государственных органов запрещено за исключением случаев, когда вмешательство осуществляется в соответствии с законом, преследует важные и законные общественные интересы и необходимо в демократическом обществе.

Всеобщая декларация прав человека и Европейская конвенция по правам человека были приняты задолго до развития технологий и современного состояния информационного общества. Наравне с комфортом, повышением качества жизни и производительностью труда технологии привнесли с собой и новые риски для современного общества. В свою очередь, это потребовало создания новых регулирующих правил, в том числе и в отношении права физического лица на неприкосновенность и уважение частной жизни. Новые правила призваны регулировать сбор и использование личной информации на законодательном уровне. Возникновение концепции конфиденциальности данных предопределило разработку законодательных норм для защиты персональных данных.

В 80-х годах прошлого века некоторые государства закрепили на законодательном уровне правила, регулирующее обработку персональных данных государственными органами и крупными компаниями. Позднее инструменты защиты данных были внедрены на европейском уровне и с годами защита данных превратилась в отдельную норму, которая не определяется правом на неприкосновенность частной жизни. В правовом поле Европейского Союза защита данных признана в качестве основного права, отдельного от фундаментального права на неприкосновенность частной жизни. Такое разделение поднимает вопрос о взаимоотношениях и различиях между этими двумя правами.

Право на неприкосновенность частной жизни и право на защиту персональных данных тесно связаны. Они защищают основные ценности человека, такие как автономия физического лица и человеческое достоинство, предоставляя субъекту персональную сферу, в которой он может развивать свою личность, свободно мыслить и формировать свое мнение.

Таким образом, они являются важной предпосылкой для осуществления других основных свобод, таких как свобода выражения мнений, свобода мирных собраний и ассоциаций, свобода вероисповедания.

Два права различаются по своей формулировке и содержанию. Право на неприкосновенность частной жизни состоит из общего запрета на вмешательство с учетом некоторых критериев общественного интереса, которые в определенных случаях могут оправдывать вмешательство. Право на защиту персональных данных создает систему сдержек и противовесов для защиты физических лиц при обработке их персональных данных. Обработка должна соответствовать основным компонентам защиты персональных данных, а именно независимому надзору и соблюдению прав субъектов данных.

Статья 8 Хартии основных прав ЕС содержит определение основного права на защиту личных данных и утверждает основные ценности, связанные с этим правом. Нормы Хартии предусматривают обработку персональных данных в соответствии с определенными целями, на справедливой основе, с согласия соответствующего лица или на ином законном основании.

Физические лица должны иметь право доступа к своим личным данным и возможность их корректировки, соблюдение таких прав должно контролироваться независимым органом.

Право на защиту личных данных, возникающее при обработке персональных данных, применяется чаще и имеет более широкую трактовку в силу своего правового значения, чем право на неприкосновенность частной жизни. Любая операция по обработке персональных данных подлежит защите. Защита касается всех видов персональных данных и обработки, независимо от степени конфиденциальности. Для срабатывания механизма защиты не требуется факта нарушения права, защита данных является превентивной мерой.

Право на неприкосновенность частной жизни возникает в ситуациях, когда личные интересы или «частная жизнь» человека были скомпрометированы. Понятие «частная жизнь», в прецедентном праве ЕС, включает в себя конфиденциальные данные, профессиональную жизнь, а также информацию, которая может нанести ущерб репутации человека в обществе и иные сведения, относящиеся к понятию «частная жизнь». Оценка того, имеет ли место вмешательство в «частную жизнь» или нет, зависит от контекста и фактов каждого индивидуального случая.

Например, работодатель регистрирует информацию, касающуюся имен и вознаграждений, выплачиваемых работникам. Простая запись этой информации не может рассматриваться как нарушение неприкосновенности частной жизни, но в случае передачи такой информации третьим лицам, неприкосновенность частной жизни будет нарушена. В любом случае работодатель обязан соблюдать правила защиты данных, поскольку запись информации работников представляет собой обработку персональных данных.

Международная правовая база

Организация Объединенных Наций

Организация Объединенных Наций не признает право на защиту личных данных в качестве основного права, хотя право на неприкосновенность частной жизни является основополагающим правом в международном правопорядке.

Всеобщая декларация прав человека об уважении частной и семейной жизни является международным документом, закрепляющим право человека на защиту своей частной сферы от вторжений третьих лиц, особенно со стороны государства. Несмотря на то, что Декларация не имеет статуса юридического документа, она имеет особый статус в качестве основополагающего инструмента международного права. Декларация послужила основой при разработке других документов по правам человека в ЕС.

Международный пакт о гражданских и политических правах вступил в силу в 1976 году. Он провозглашает, что никто не может нарушать неприкосновенность частной жизни, жилища или переписки, а также незаконно посягать на честь и репутацию человека. Международный пакт о гражданских и политических правах является международным договором, обязывающим 169 участников уважать и обеспечивать осуществление гражданских прав физических лиц, включая конфиденциальность.

Организация Объединенных Наций приняла две резолюции по вопросам конфиденциальности под общим названием «Право на неприкосновенность частной жизни в цифровую эпоху». Резолюции были приняты как ответ на разработку новых технологий и откровений о массовом наблюдении, предпринятом в США (откровения Эдварда Сноудена). Резолюции решительно осуждают массовое наблюдение и подчеркивают влияние, которое такое наблюдение может оказать на основные права, на неприкосновенность частной жизни и свободу выражения мнений, а также на функционирование динамичного и демократичного общества. Хотя резолюции и не имели юридического статуса, они вызвали важные международные политические дебаты о конфиденциальности, новых технологиях и надзоре на высоком уровне. Организация Объединенных Наций ввела должность Специального докладчика по вопросам права на неприкосновенность частной жизни с мандатом по защите этого права. Конкретные задачи докладчика включают сбор информации о национальной практике и опыте в отношении конфиденциальности и проблем, возникающих в связи с новыми технологиями, обмен передовым опытом и популяризацию защиты права.

В то время как в предыдущих резолюциях основное внимание уделялось негативным последствиям массового надзора и ответственности государств за ограничение полномочий разведывательных органов, более поздние резолюции отражают ключевые тезисы в обсуждение вопросов конфиденциальности в рамках Организации Объединенных Наций. В резолюциях, принятых в 2016 и 2017 годах, подтверждается необходимость ограничить полномочия спецслужб и осудить массовое наблюдение. Тем не менее они также прямо заявляют, что «расширяющиеся возможности коммерческих организаций по сбору, обработке и использованию персональных данных могут представлять риск для осуществления права на неприкосновенность частной жизни в эпоху цифровых технологий». В дополнение к ответственности государственных органов в резолюциях указывается на ответственность частного сектора за соблюдение прав человека и содержится призыв к компаниям информировать пользователей о сборе, использовании, обмене и хранении персональных данных, а также принимать прозрачные политики обработки данных.

Европейская конвенция по правам человека

Совет Европы был образован после Второй мировой войны в целях обеспечения верховенства закона, демократии, прав человека и социального развития в объединенных государствах Европы. С этой целью в 1950 году была принята Европейская конвенция по правам человека, которая вступила в силу в 1953 году.

Стороны, ратифицировавшие Конвенцию, принимают на себя международное обязательство соблюдать ее. Все государства – члены Совета Европы в настоящие время имплементировали положения Европейской конвенции по правам человека в свое национальное законодательство. Государство должно уважать права, предусмотренные в Конвенции, при осуществлении какой-либо деятельности или полномочий. Существуют прецедентные решения Европейского суда по правам человека о вмешательстве государства в личную жизнь человека, в которых Суд утверждает, что деятельность государства по наблюдению за физическими лицами представляет собой нарушение неприкосновенности частной жизни.

В целях соблюдения международных обязательств, в рамках Европейской конвенции о правах человека в 1959 году был создан Европейский суд по правам человека. Европейский суд по правам человека обеспечивает соблюдение государствами своих обязательств, согласно Европейской конвенции по правам человека, занимается рассмотрением жалоб физических лиц и групп лиц, негосударственных организаций или юридических лиц, утверждая своим решением факт нарушения Конвенции. Европейский суд по правам человека также может рассматривать межгосударственные дела, возбужденные одним или несколькими государствами-членами Совета Европы против другого государства, принявшего на себя международные обязательства по соблюдению Конвенции.

По состоянию на 2020 год в состав Совета Европы входят 47 договаривающихся сторон, 28 из которых являются государствами Евросоюза. Заявитель в Европейский суд по правам человека не обязательно должен быть гражданином одной из договаривающихся сторон, хотя предполагаемые нарушения должны иметь место в пределах юрисдикции одного из государств, ратифицировавших Конвенцию.

Право на защиту персональных данных является частью прав, охраняемых согласно статье 8 Европейской конвенции о правах человека, которая гарантирует право на уважение частной и семейной жизни, жилища и тайны переписки и устанавливает условия, при которых ограничения этого права допускается.

Европейский суд по правам человека рассмотрел множество споров, связанных с вопросами защиты данных. К ним относятся перехват сообщений, различные формы наблюдения со стороны как частного, так и государственного секторов и защита от хранения персональных данных государственными органами. Уважение частной жизни не является абсолютным правом, поскольку осуществления права на неприкосновенность частной жизни может поставить под угрозу другие права, такие как свобода выражения мнений и доступ к информации и наоборот. Следовательно, Суд стремится найти баланс между различными правами. Суд пояснил, что статья 8 Европейской конвенции о правах человека не только обязывает государства воздерживаться от любых действий, которые могут нарушать это право Конвенции, но и накладывает обязательства по активному обеспечению эффективного соблюдения неприкосновенности частной и семейной жизни.

Конвенция Совета Европы

С началом стремительного развития информационных технологий в 60-х годах прошлого столетия возникла потребность в более детализированных правилах защиты персональных данных. В период с 60-е по 80-е годы Комитеты Совета Европы приняли несколько профильных резолюций о защите персональных данных. В 1981 году Совет Европы утвердил единый документ о защите данных физических лиц в отношении автоматической обработки персональных данных – Конвенция 108. Конвенция о защите данных физических лиц в отношении автоматической обработки персональных данных была и остается единственным юридически обязывающим международным документом по защите данных.

Положения Конвенция 108 распространяются на любые операции по обработке персональных данных, осуществляемых как в частном, так и в государственном секторе, включая обработку данных судебными и правоохранительными органами. Цели Конвенции направлены на защиту операций по обработке персональных данных и регулирование трансграничной передачи данных.

Принципы, изложенные в Конвенции 108, касаются, в частности, справедливого и законного сбора данных и применения автоматизированной обработки в определенных целях. Принципы раскрываются в следующих требованиях:

– запрет на использование обработки для целей, несовместимых с законными целями;

– запрет на хранение персональных данных дольше, чем это необходимо для целей законной обработки;

– принцип качества данных, который включает в себя понятия адекватности и актуальности данных;

– соразмерность обрабатываемых данных заявленным целям и их точность.

Принципы Конвенции 108 указывают на запрет обработки специальных категорий персональных данных в отсутствии адекватных правовых гарантий и обязательств по обеспечению безопасности персональных данных, к таким данным относятся:

– этническое происхождение,

– политические взгляды,

– данные о здоровье,

– вероисповедание,

– сексуальная жизнь,

– информация о наличии судимости.

Конвенция также закрепляет право человека знать, какая информация хранится о нем, и право на внесение в нее исправлений. Ограничение прав и свобод субъекта данных возможно только в случае угрозы государственной безопасности. Положения Конвенции 108 направлены на регулирование потоков персональных данных между сторонами, ратифицировавшими Конвенцию, и диктуют определенные ограничения для передачи в страны, где правовое регулирование не обеспечивает адекватной защиты данных.

На сегодняшний день участниками Конвенции 108 является 51 страна. К ним относятся все государства – члены Совета Европы (47 стран), Уругвай (первая неевропейская страна, присоединившаяся в августе 2013 года), Маврикий, Сенегал и Тунис, которые присоединились в 2016 и 2017 годах. Российская Федерация ратифицировала Конвенцию и некоторые протоколы в марте 1998 года. Протоколы 6, 12, 13, и 16 не были ратифицированы РФ.

Следует отметить, что Конвенция 108 открыта для присоединения и является обязательным документом для государств, которые ее ратифицировали. Она не подлежит судебному надзору со стороны Европейского суда по правам человека, но ее требования учитываются Судом в контексте статьи 8 Европейской конвенции по правам человека. Практика Европейского Суда указывает, что защита личных данных является важной частью права на неприкосновенность частной жизни. В своей деятельности судебные органы руководствуются принципами Европейской конвенции по правам человека при определении факта вмешательства в основные права.

Для модернизации общих принципов и правил, изложенных в Конвенции 108, Комитеты Совета Европы приняли несколько рекомендаций, не имеющих статуса юридического документа, но тем не менее оказывающих влияние на развитие законодательства о защите данных в Европе.

На протяжении многих лет единственным документом ЕС в части использования персональных данных в правоохранительном секторе были рекомендации полицейского департамента. Положения, содержащиеся в рекомендациях, касаются способов хранения данных и необходимости осуществления регулирования для доступа к данным субъектов. В последующем данные принципы легли в основу законодательных актов по защите данных в ЕС.

В 2001 году был принят дополнительный протокол к Конвенции 108. В рамках протокола были введены положения о трансграничных потоках данных государств, не являющихся сторонами Конвенции (так называемые третьи страны) и об обязательном создании надзорных органов по защите данных.

В 2011 году по итогам публичных консультаций были закреплены две основные цели: усиление защиты конфиденциальности пропорционально развитию технологий и укрепление механизма последующей деятельности в рамках Конвенции. Процесс модернизации был направлен на достижение этих целей и завершился принятием протокола о внесении изменений в Конвенцию 108 (Протокол СДСЕ №223). Работы проводились параллельно с другими реформами международных инструментов защиты данных, а также с реформой правил защиты данных ЕС.

Регуляторы на уровне Совета Европы и ЕС приложили все усилия для обеспечения последовательности и совместимости между двумя правовыми системами. Модернизация позволила сохранить общий и гибкий характер Конвенции 108, и усилила ее потенциал как универсального инструмента в области законодательства о защите данных. Модернизированная Конвенция поддерживает важные принципы и предоставляет новые права субъектам данных, нацелена на повышение уровня ответственности организаций, обрабатывающих персональные данные и поднадзорность таких действий. Лица, чьи персональные данные обрабатываются, имеют право на получение информации о причинах такой обработки и право на возражение против такой обработки. В целях соблюдения прав субъектов данных Конвенция устанавливает право физического лица возражать против принятия решения на основе исключительно автоматизированной обработки без учета мнения субъекта данных. Одним из ключевых аспектов Конвенции 108 является эффективное соблюдение правил защиты данных независимыми надзорными органами ратифицировавших ее сторон. Статьи Конвенции 108 прямо указывают на эффективность полномочий, функций и независимость надзорных органов при осуществлении свой деятельности.

Ограничение права на защиту персональных данных

Право на защиту персональных данных, в соответствии со статьей 8 Хартии основных прав ЕС, не является абсолютным правом, «но оно должно рассматриваться с точки зрения его применения в обществе». В статье 52 (1) Хартии говорится, что ограничения на права, аналогичные изложенным в статьях 7 и 8 Хартии основных прав ЕС, могут налагаться при условии, что:

– подобные ограничения предусмотрены законом;

– уважают суть этих прав и свобод;

– связаны с соблюдением принципа соразмерности;

– соответствуют целям, представляющим общий интерес, признанный в ЕС;

– существует необходимость защищать такие права.

Аналогичным образом Европейская конвенция о правах человека гарантирует защиту данных физических лиц при обработке. Осуществление данного права может быть ограничено для достижения законных целей.

Требования к обоснованному вмешательству в соответствии с Европейской Конвенцией о правах человека

Обработка персональных данных может представлять собой вмешательство в право субъекта данных на неприкосновенность частной жизни. Вопреки правовому порядку ЕС Европейская конвенция о правах человека не признает защиту персональных данных как фундаментальное право.

Действие статьи 8 Европейской конвенции о правах человека не распространяется на операции по обработке персональных данных, если не установлено, что частная жизнь человека была скомпрометирована.

В прецедентном праве Европейского суда по правам человека понятие «частная жизнь» охватывает также аспекты профессиональной деятельности и общественного поведения. Несмотря на широкое толкование понятия «частная жизнь», не все виды обработки сами по себе могут поставить под угрозу права, защищаемые статьей 8 Европейской конвенции о правах человека.

При рассмотрении дел о несоблюдении права на неприкосновенность частной жизни Европейскому суду по правам человека необходимо, установить являлось ли вмешательство оправданным. Право на неприкосновенность частной жизни не является абсолютным, но коррелирует с другими законными интересами и правами, будь то права других лиц (частные интересы) или общества в целом (общественные интересы).

Вмешательство может быть оправдано, если оно:

• осуществлено в соответствии с законом.

Согласно прецедентному праву, Европейский суд по правам человека осуществляет вмешательство на основании положений национального законодательства, которое определяет такое вмешательство. Закон должен быть «доступен для заинтересованных лиц и предсказуем в отношении его последствий». Прецедентным правом предусмотрено, что «правило сформулировано с достаточной точностью, для того чтобы дать возможность любому лицу определить свое поведение в той или иной ситуации». Кроме того, применение нормы закона в данном контексте будет зависеть от конкретного случая;

• преследовало законные цели.

Законные цели, которые могли бы оправдать вмешательство, в соответствии со статьей 8 (2) Европейской Конвенции о правах человека:

– интересы национальной безопасности;

– интересы общественной безопасности;

– интересы экономического благосостояния государства;

– предотвращение беспорядков и преступлений;

– охрана здоровья или нравственных устоев;

– защита прав и свобод других лиц;

• необходимо в демократическом обществе.

Европейский суд по правам человека заявил, что «понятие необходимости подразумевает, что вмешательство соответствует насущной социальной необходимости и соразмерно преследуемой законной цели».

При оценке необходимости вмешательства Европейский суд по правам человека изучает необходимость такого вмешательства и соответствие преследуемой цели. Также принимается во внимание, пытается ли вмешательство решить проблему, которая в случае бездействия может иметь негативные последствия для общества; есть ли доказательство того, что вмешательство может смягчить пагубный эффект и наличие общественного интереса.

Для определения соразмерности решения Европейский суд по правам человека всесторонне рассматривает необходимость и последствия подобного вмешательства. В прецедентном праве Европейского суда по правам человека пропорциональность рассматривается в рамках понятия необходимости. Соразмерность требует, чтобы вмешательство в права было пропорционально достижению законной цели.