Коллектив авторов - Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет

Другим важнейшим документом является разрабатываемый вариант модернизированной Конвенции о защите персональных данных Совета Европы (CAHDATA, Модернизированный вариант Конвенции № 108) [40] Ad hoc Committee on Data Protection (CAHDATA). URL: https://www.coe.int/ t/dghl/standardsetting/dataprotection /TPD_documents/CAHDATA%203_Report_ CM(2015)40_En.pdf. . Так, 30 ноября 2012 г. Комитет сторон Конвенции СЕ о защите физических лиц в отношении автоматизированной обработки персональных данных от 28 января 1981 г. завершил подготовку предложений по модернизации Конвенции и направил их на рассмотрение Комитета министров СЕ. Инициатива по модернизации Конвенции предполагает отражение в ее тексте современного уровня развития информационных и иных технологий, учет состояния общественных отношений в сфере использования персональных данных, современных вызовов и угроз, обусловленных постоянно расширяющимися возможностями обработки данных большого числа индивидов, возможностями использования специфических персональных данных, полученных путем их автоматизированной обработки (выводы, характеризующие поведение человека, его ценностные и иные установки, политические, потребительские предпочтения). Подготовленные Комитетом сторон Конвенции предложения отличает общая концептуальная направленность на унификацию положений Конвенции с правилами, действующими в Европейском союзе.

В ст. 2 Конвенции СЕ № 108 указано, что под персональными данными понимается информация, касающаяся определенного лица или лица, которое может быть идентифицировано с помощью данной информации.

CAHDATA под персональными данными понимает любую информацию об определенном или определяемом лице (о субъекте данных).

Конвенция СЕ № 108 не уточняет, какие именно сведения относятся к персональным данным. Таким образом, можно сделать вывод, что дефиниция носит абстрактный характер.

В то же время ст. 6 Конвенции СЕ № 108 устанавливает «особую категорию данных», к которым относятся: персональные данные о национальной принадлежности, политических взглядах либо о религиозных или иных убеждениях, а равно персональные данные, касающиеся здоровья или сексуальной жизни, судимости. Указанные персональные данные могут подвергаться автоматической обработке только в тех случаях, когда национальное право предусматривает надлежащие гарантии их защиты. Таким образом, происходит некоторая конкретизация понятия «персональные данные», описывается, какие сведения о человеке могут относиться к «особым» персональным данным, т. е. в любом случае являются персональными данными.

Рекомендация CM/Rec(2010)13 Комитета министров странам-членам по вопросам защиты частных лиц в связи с автоматизированной обработкой персональных данных в контексте профилирования граждан (утверждена Комитетом министров 23 ноября 2010 г. на заседании № 1099 постоянных представителей министров) [41] Recommendation CM/Rec(2010)13 of the Committee of Ministers to member states on the protection of individuals with regard to automatic processing of personal data in the context of profiling. URL: https://wcd.coe.int/ViewDoc.jsp?Ref=CM/ Rec(2010)13#. употребляет термин «чувствительные данные», под которыми понимаются персональные данные, раскрывающие расовое происхождение, политические взгляды, религиозные и иные верования, а также данные о состоянии здоровья, сексуальной жизни или уголовных судимостях и другие данные, определяемые как чувствительные местным законодательством.

CAHDATA предлагает расширить перечень чувствительных данных, включив в него генетические и биометрические данные (при этом в тексте предлагается сохранить оценочное требование об установлении надлежащих гарантий прав субъектов персональных данных при обработке таких данных).

Понятие субъекта персональных данных в Конвенции СЕ № 108 не раскрывается, однако по смыслу, в котором это понятие употребляется (идентификация субъекта данных, право быть осведомленным о существовании автоматизированной базы персональных данных, «право быть забытым» и др.), можно сделать вывод, что это – лицо, которое идентифицируется с помощью персональных данных и которому принадлежат персональные данные. Такой же подход применен и в российском законодательстве.

Среди дополнительных гарантий субъектов персональных данных в Конвенции СЕ № 108 выделяются следующие:

1) право быть осведомленным о существовании автоматизированной базы персональных данных, о ее главных целях, а также о контролере базы данных;

2) обращаться с запросом о том, накапливаются ли в автоматизированной базе данных касающиеся его персональные данные, и получать информацию о таких данных в доступной форме;

3) требовать уточнения или уничтожения таких данных, если они были обработаны с нарушением положений национального права, реализующих основные принципы ст. 5 и 6 Конвенции СЕ № 108;

4) прибегать к судебной защите персональных данных.

Кроме того, ст. 14 Конвенции предусматривает механизмы реализации прав для субъектов персональных данных, находящихся за рубежом.

Учитывая, что участие страны в Конвенции СЕ № 108 предполагает имплементацию ее ключевых положений в национальное законодательство, ст. 11 Конвенции СЕ № 108 оставляет возможность странам-участницам принимать нормы, обеспечивающие более широкую защиту, нежели предусмотренная Конвенцией.

В соответствии с предложениями CAHDATA в отношении прав субъектов персональных данных каждый человек должен иметь право:

а) не подвергаться решению, которое значительно затрагивает интересы субъекта персональных данных, основано исключительно на автоматизированной обработке данных, не учитывая встречное удовлетворение;

б) получить по запросу в разумный срок и без чрезмерных задержек и расходов подтверждение обработки персональных данных, касающихся субъекта, в доступной форме; в ответе должна содержаться вся доступная информация о происхождении, периоде сохранения, а также любая другая информация о персональных данных в соответствии с обязанностями оператора обеспечить прозрачность персональных данных;

в) получать информацию об обработке персональных данных, когда результат такой обработки позволяет идентифицировать субъекта персональных данных.

Конвенция предоставляет значительную свободу странам-участницам при организации обработки персональных данных. Конвенция предусматривает, что в разных национальных правовых системах должны содержаться точные критерии, позволяющие определить оператора данных. Конвенция оперирует термином «контролер данных», под которым понимается физическое или юридическое лицо, орган государственной власти, учреждение или любой другой орган, компетентный в соответствии с внутренним законодательством решать, какова должна быть цель автоматизированной обработки данных, какие категории персональных данных подлежат хранению или какие операции должны производиться с ними. Контролер данных упоминается также в Дополнительном протоколе к Конвенции СЕ № 108 от 8 октября 2001 г. [42] Additional Protocol to the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data regarding supervisory authorities and transborder data flows. URL: http://conventions.coe.int/Treaty/RUS/Reports/ Html/108.htm .