Коллектив авторов - Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет

В ст. 1 нидерландского закона вместо термина «оператор данных» употребляется термин «ответственное лицо» (как и во французском законе, например), означающий физическое лицо, юридическое лицо, административный орган или любую другую организацию, которые самостоятельно или совместно с другими определяют цели и средства обработки персональных данных.

Согласно ст. 1 закона Нидерландов «обработчик» – это лицо или орган, которые обрабатывают персональные данные для ответственного лица, не находясь в его прямом подчинении.

Следует отметить, что в Нидерландах, в отличие от России, функции по определению целей обработки персональных данных, т. е. по организации собственно такой деятельности, и по технической обработке разделены. Так, Закон о защите персональных данных разграничивает таких субъектов, как «ответственная сторона» и «обработчик». Первый означает «физическое лицо, юридическое лицо, административный орган или любое другое юридическое лицо, которые самостоятельно или совместно с другими определяют цели и средства обработки персональных данных», второй – «лицо или орган, которые обрабатывают персональные данные для ответственной стороны, не находясь в ее непосредственном подчинении» (ст. 1). В России же возможно, что оператор организует «и (или)» осуществляет обработку данных, «а также» определяет цель обработки (ст. 1 Федерального закона), что не вполне логично с точки зрения последовательности действий и конечной ответственности за обращение с данными. Технический обработчик несет ответственность перед оператором, а последний – перед субъектом данных.

Возможно, следовало бы обозначить оператора в российском законодательстве в первую очередь как лицо, определяющее цели обработки, и только затем как организатора обработки данных и (или) обработчика, если невозможно разделить функции оператора и обработчика.

Согласно ст. 4 закона его нормы распространяются на обработку персональных данных в рамках деятельности ответственного лица (государственного органа в том числе), учрежденного в Нидерландах, либо если обработка совершается средствами, расположенными в Нидерландах (за исключением трансграничной передачи данных). В российском законе это выражено не так явно и акцент сделан на регулируемых субъектах, а не на деятельности. Таким образом, не вполне ясно, как регулируется обработка данных российских граждан за рубежом или иностранных граждан в России.

Закон требует предварительно уведомлять Надзорный орган по защите персональных данных (Dutch Data Protection Authority – College bescherming persoonsgegevens [82] Официальный сайт органа: URL: https://www.cbpweb.nl/en ) о факте частичной или полной автоматизированной обработки данных, не ожидая санкционирования таких действий. Поскольку Надзорный орган по защите данных несет ответственность прежде всего перед субъектом данных, это требование вполне логично. Отсутствие же уведомления о факте обработки создает презумпцию ненадлежащей обработки.

В ст. 1 закона «третье лицо» означает любое лицо, кроме субъекта данных, ответственного лица, обработчика или любого лица, находящегося в непосредственном подчинении ответственного лица или обработчика, которое имеет право на обработку персональных данных.

Конечную ответственность за действия третьего лица несут ответственное лицо и обработчик. Именно они отвечают перед субъектом персональных данных и надзорным органом в силу положений нидерландского закона об обязанностях указанных лиц (в частности, по обеспечению надлежащего обращения с данными).

В связи с утечками данных и нарушениями Закона о персональных данных в 2014 г. Надзорный орган Нидерландов оштрафовал на 15 млн евро компанию Google за использование персональных данных пользователей в целях создания персонализированной рекламы [83] СВР issues sanction to Google for infringements privacy policy. URL: https:// cbpweb.nl/en/news/cbp-issues-sanction-google-infringements-privacy-policy .

Поскольку передача третьим лицам персональных данных требует согласия субъекта, а сохранность данных обеспечивают оператор и обработчик, именно они несут первостепенную ответственность за нарушение режима обращения с данными. В случае любого его нарушения Надзорный орган по защите данных может проводить расследования инцидентов как по просьбе затронутых лиц, так и по собственной инициативе.

26 мая 2015 г. был принят Закон о нарушении персональных данных, в соответствии с которым операторы данных (т. е. субъекты, определяющие цель и способы их обработки) должны уведомлять Надзорный орган по защите данных и затронутых лиц о произошедшем или потенциальном инциденте и его характере. Данный закон повышает штраф за нарушение Закона о нарушении персональных данных до 810 тыс. евро или до 10 % чистого годового оборота за прошедший год. Штрафу могут быть подвержены как оператор данных, так и обработчик [84] New Dutch Law Introduces General Data Breach Notification Obligation and Higher Sanctions. URL: https://www.huntonprivacyblog.eom/2015/06/02/new-dutch-law-introduces-general-data-breach-notification-obligation-higher-sanctions/; NETHERLANDS – Legislation on mandatory data breach notification adopted by the Dutch Senate. URL: http://blogs.dlapiper.com/privacymatters/netherlands-legislation-on- mandatory-data-breach-notification-adopted-by-the-dutch-senate/ .

В российском законодательстве отсутствует прямой аналог нормы об обязательном информировании уполномоченного органа и субъекта данных об инциденте, что с учетом именно общей направленности на «обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных» (ст. 2) снижает возможность надлежащей обработки данных. Как указано выше, своевременное уведомление создает презумпцию того, что действия были совершены надлежащим образом, и уменьшает вину оператора или обработчика.

По общему правилу, обработка, в том числе передача, персональных данных требует согласия субъекта данных.

Во исполнение закона Нидерландов принят Указ об изъятиях, который устанавливает категории данных, в отношении которых при обработке не требуется предварительное уведомление. Например, обработка данных должников и кредиторов, клиентов не влечет обязательного уведомления. При этом изъятия не действуют, если при трансграничном перемещении данных в зарубежной стране за пределами ЕС не установлен адекватный уровень их защиты. В самом законе устанавливаются исключения, связанные с государственной безопасностью, расследованием уголовных преступлений, значительными экономическими или финансовыми интересами государства или защитой самого субъекта или других лиц (ст. 43).

Правила обработки данных также схожи с правилами Директивы 1995 г.: основным принципом остается законный интерес в качестве основания для обработки нечувствительных персональных данных.