5.1 Приватность человека и защита его персональных данных

Приватность — многозначный термин, мы ограничимся ее пониманием как личной жизни человека, его частной сферы. В нее входят телесность, эмоции, отношения с родственниками, друзьями и сексуальными партнерами, предпочитаемое времяпрепровождение, внешний вид и одежда, выбор жизненного пути, личная история, идентичность и многое другое. Растущее проникновение цифровых технологий вызывает следующие риски для автономии и приватности:

Люди предпочитают защищать свою частную сферу от вторжений. Речь идет не только о защите от прямого вмешательства, например в виде переселения в другое жилье или, скажем, принудительных медицинских процедур. Чаще всего люди хотят, чтобы частная сфера была закрыта от внимания посторонних, информация об их личности и частной жизни оставалась тайной или хотя бы не распространялась бесконтрольно. Контроль за распространением информации о себе и своей частной жизни — неотъемлемый элемент приватности.

Цифровые технологии обострили вопрос о защите информации о частной жизни. Это в первую очередь вызвано тем, что в цифровой среде информация о частной жизни (как, впрочем, и любая другая) распространяется гораздо шире и гораздо быстрее, чем раньше. Кроме того, технологии позволяют фиксировать такой объем сведений о личности, который раньше невозможно было представить, а его обработка дает возможность сделать такие выводы о человеке и его жизни, которые он сам не в состоянии сделать. Контролировать распространение и использование информации о себе и таким образом защищать свою частную сферу от вторжений становится сложнее. Риски нарушения приватности растут. Почему эти риски так беспокоят? Причин несколько:

Как люди будут приспосабливаться к возросшей прозрачности своей частной жизни? Возможный вариант поведения в такой ситуации — это самоограничение, отказ от своих предпочтений, если они расходятся с общепринятыми взглядами. Но такая самоцензура жизни делает человека менее счастливым. Кроме того, унификация образа жизни в долгосрочной перспективе делает общество менее стабильным и адаптивным. Возможно, люди сформируют иммунитет к осуждению со стороны других, а также станут считать допустимым и приемлемым гораздо более широкий спектр вариантов поведения и образа жизни, чем сейчас.

Приватность тесно переплетена с автономией личности, то есть с волей и свободой выбора. Сейчас данные о человеке, о его предпочтениях, реакциях, повседневном поведении, потребностях, составе семьи, организации быта, привычных маршрутах перемещения собираются и используются, чтобы подталкивать его к покупкам каких-нибудь товаров или услуг (см. раздел 5.2).

В целом продавцы стараются ориентироваться на потребности и желания покупателя. Индивидуальные рекомендации, основанные на анализе информации о жизни человека, экономят значительное количество его времени и сил на поиск нужных товаров и услуг. Тем не менее возникает вопрос: до какой степени анализ и подбор подходящих вариантов, составление рекомендаций являются помощью, а с какого момента — манипулированием и давлением на человека? Этот вопрос становится еще острее, если вспомнить, что государство, работодатели и другие субъекты могут использовать данные о человеке, чтобы подталкивать его к совершению определенных действий (так называемый nudge), в том числе с помощью различных систем скоринга (см. раздел 5.3). Во всех ли случаях они будут действовать во благо человека? И даже если во благо, насколько приемлемо лишать человека свободы выбора и возможности проявить свою волю?

Наибольшее количество этических проблем при обороте данных связано с персональными данными (ПД). В России их защита затруднена несовершенством законодательства и особенностями его правоприменения. Обработку персональных данных регулируют: Федеральный закон «О персональных данных», Трудовой кодекс, законы, указы Президента Р Ф, постановления Правительства, приказы Роскомнадзора, нормативно-правовые акты (НПА) субъектов РФ, всего более 15 000 НПА. Многие НПА регулируют отдельные частные случаи вплоть до того, как работать с ПД специалисту на конкретной должности.

Так как, согласно определению, информация — это сведения (сообщения, данные) независимо от формы их предоставления, то ПД могут быть представлены/выражены в любой форме (текст, графика, фото, видео и т. д.) и на любых носителях.

Хотя к ПД относятся не только сведения в цифровой форме, но и данные на бумажных носителях, наибольшую озабоченность вызывает именно обработка цифровых данных, поскольку «цифра» позволяет автоматизированно обрабатывать большие массивы данных как на национальном, так и на наднациональном уровне. С одной стороны, данное положение дел экономически привлекательно для операторов, а с другой — создает наибольшую угрозу для права человека на тайну частной жизни.

К ПД может быть отнесена любая информация, в том числе имеющая оценочный характер или недостоверная, полученная непосредственно от субъекта ПД или из любых других источников, созданная на основе другой информации и т. д. Предметом дискуссии являются представления о том, какую же информацию все-таки можно считать относящейся к прямо или косвенно определенному или определяемому физическому лицу, а какую — нет.

Те данные, связь которых с физическим лицом очевидна (имя, возраст, состояние здоровья, отпечатки пальцев, документ, удостоверяющий личность и т. д.), составляют лишь малую часть информации, которая обрабатывается операторами. В остальных случаях возникает вопрос, можно ли отнести конкретный набор сведений к ПД. Операторы стремятся вывести имеющиеся у них данные из-под действия Федерального закона «О персональных данных», поскольку это выгодно экономически и юридически. На практике в каждом конкретном случае вопрос решается adhoc представителем Роскомнадзора или судьей исходя из обстоятельств дела. В этом смысле определение ПД способно бесконечно расширяться, охватывая все больше сведений, которые perse могут напрямую и не определять субъекта ПД.

Субъект П Д — ключевая фигура в отношениях, связанных с обработкой ПД. Именно субъект ПД, действуя «своей волей и в своем интересе», принимает решение о предоставлении своих ПД оператору и дает согласие на их обработку. Федеральный закон «О персональных данных» наделяет субъекта ПД правами, позволяющими ему контролировать судьбу своих ПД (право на получение информации об обработке ПД, право отозвать согласие на обработку, право требовать уточнения, блокирования, уничтожения данных, право на судебную защиту). Оператор несет соответствующие обязанности (предоставлять информацию об обработке ПД, прекращать обработку, уточнять, уничтожать данные и т. д.).Однако на практике осуществлять реальный контроль над ПД, находящимися в распоряжении оператора, субъект ПД может только в той мере, в какой оператор позволяет ему. Такая ситуация характерна не только для России, но и для других стран.

Развитие информационных технологий привело к тому, что технические возможности массово собирать ПД без ведома субъектов ПД стали доступны множеству операторов. С точки зрения физического лица, вопрос о формальном соответствии такого сбора требованиям НПА не столь важен. Законно или нет оператор собирает данные без уведомления субъекта, результат один — субъект ПД не имеет возможности контролировать судьбу собранных сведений, поскольку не знает о самом факте сбора.

В современном мире ПД являются своеобразной валютой, которой физическое лицо «оплачивает» доступ к разного рода услугам, предоставляемым как государством, так и частными лицами. При этом оператор определяет объем и содержание запрашиваемых ПД на свое усмотрение. Отказ от предоставления ПД при получении услуги означает отказ от получения этой услуги. Даже трудоустройство можно рассматривать как некую услугу, которую субъект «оплачивает» своими ПД, поскольку работодатель свободно устанавливает (зачастую негласные) правила сбора и использования информации о кандидатах и работниках. Отказаться от соблюдения этих правил можно, лишь отказавшись от самого трудоустройства.

Технически П Д можно не только собирать (от субъекта, третьих лиц, из открытых источников) или иначе получать в готовом виде, но и создавать путем обработки уже имеющихся сведений. При этом сама по себе исходная информация не всегда относится к ПД и, соответственно, не подлежит особой защите по закону. После того как данные так или иначе оказались в распоряжении оператора, он может совершать с ними практически любые действия, достаточно, чтобы за пределами организации никто не знал о проводимой обработке ПД.

Защита прав субъектов ПД поручена Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). Роскомнадзор и его территориальные подразделения проверяют соблюдение операторами Федерального закона «О персональных данных» и имеют право требовать, чтобы оператор устранил допущенные нарушения законодательства о ПД, возбуждать дела об административном правонарушении по ст. 13.11 КоАП РФ, а также защищать права субъектов ПД в судебном порядке.

На сегодняшний день в профильном реестре содержится информация о более чем 400 000 операторах ПД, фактически их гораздо больше. Редкое юридическое лицо или индивидуальный предприниматель не обрабатывает ПД. Массовость обработки ПД неизбежно влечет за собой невозможность установить полный контроль со стороны государства за этим процессом.

В сфере оборота ПД традиционный modus operandi государства: издавать обязательные нормы, контролировать их соблюдение и наказывать за нарушения — уже не является достаточно эффективным. Сегодня вопрос, какие действия в отношении ПД допустимы, а какие — нет, уже не удастся решить раз и навсегда путем принятия НПА. С одной стороны, в любой момент могут появиться технические возможности, вчера еще недоступные и законодательством не учтенные, с другой — формально вполне законные действия могут представлять собой злоупотребление правом со стороны более «сильного» участника отношений, и наконец, поймать каждого нарушителя просто не хватит ресурсов.

По мнению Экономического и социального совета ООН, необходимо внести определенность, кому принадлежит право собственности на данные, чтобы обеспечить ответственное использование данных, защиту конфиденциальности, подотчетность и непредвзятость в социальных сетях, на основанных на массовом участии платформах и порталах онлайновой торговли. В конечном итоге это должно укрепить доверие и стабильность в цифровом пространстве.

Какая ценность должна лечь в основу регулирования оборота ПД в России? Конституция РФ устанавливает, что высшей ценностью является человек, его права и свободы. Именно они определяют смысл, содержание и применение законов, деятельность законодательной и исполнительной власти и обеспечиваются правосудием. В сфере обработки ПД это означает, что приоритетом являются права субъекта ПД. Любой юридический и этический конфликт, связанный с обработкой ПД, следует разрешать, исходя из положений Конституции Р Ф, определивших базовые ценности нашего государства.

В России много лет существует проблема утечек из правоохранительных органов: любые базы данных очень быстро оказываются на «черном рынке», где продаются целые базы госорганов с миллионами записей. Если расследование доходит до наказания отдельных сотрудников, то эти редкие случаи демонстрируют, что приоритетом служит не максимальный размер ущерба, а простота доказательства вины. Наказание за несанкционированный доступ к данным с целью получить выгоду обычно несут рядовые сотрудники МВД, например за доступ к данным 10 человек.

Правоприменительная практика даже более явно, чем законодательная деятельность, показывает, какие ценности на самом деле стремится защитить государство в сфере ПД и как соответствующие инициативы воспринимает население.

В настоящее время в связи с разработкой Единой биометрической системы, которая будет содержать биометрические ПД граждан России, обработка ПД регулируется многочисленными постановлениями, приказами, изданными в течение 2018 года. Следовательно, немало и ответственных лиц. И то и другое усложняет соблюдение законодательства, повышает риск утечек из-за несогласованности действий участвующих сторон и не повышает доверия граждан к технологии.

Массовый сбор биометрических данных для использования при предоставлении новых услуг начался в банковской сфере (там применение биометрии уже очевидно востребовано). Не имея достаточной информационной поддержки и достаточного уровня доверия, банковские сотрудники прибегают к манипулированию показателями. Предупреждая клиента о том, что его будут фотографировать или собирать образцы его голоса, сотрудник очень часто умалчивает, что это процедура сбора биометрических данных, она добровольна и от нее можно отказаться, что, соглашаясь на процедуру, клиент передает данные банку на длительный период, он также не сообщает, как будут храниться и защищаться данные.

Государственные органы и учреждения, действуя как операторы ПД, обнаруживают невысокую компетенцию в вопросах организации обработки ПД. По информации Роскомнадзора, государственные и муниципальные учреждения часто грешат нарушениями прав субъектов ПД, что подтвердилось в ходе проверок и косвенно свидетельствует о дефиците компетентных
специалистов.

Хотя нормативное регулирование и применение санкций к нарушителям не являются достаточно эффективными инструментами «тонкой настройки» оборота ПД, эти методы не утратили своей актуальности. Необходимо повышать качество нормативного регулирования (меньше норм, но лучше законодательная техника) и, что еще более важно, качество правоприменения (оно должно быть неформальным, предсказуемым, справедливым и опираться на конституционные принципы).

В совокупности действующие НПА и их применение контрольно-надзорными органами и судами призваны создавать такие условия, когда этичное использование ПД и соблюдение прав субъектов ПД станут выгоднее, чем неэтичное и противоправное, причем как для мелкого и среднего бизнеса и физических лиц, так и для крупных корпораций и государства.