2.3 Поиск решений в этике данных

Когда мы говорим о документах и актах, фиксирующих этические принципы применения цифровых технологий, важно понимать, что во многих сферах (в медицине, правосудии и т. д.) давно существуют свои профессиональные кодексы этики. Их нужно учитывать при создании новых документов, регулирующих применение цифровых технологий. Разработка единого и универсального кодекса этики вряд ли возможна в обозримом будущем. Такой кодекс будет либо слишком общим и кратким, не отвечающим полностью потребностям конкретных отраслей и неприменимым на практике ни в одной из них, либо чересчур подробным и даже противоречивым.

Публичные обсуждения, кейсы на основе применения тех или иных принципов и идей на практике, разбор успешных вариантов и ошибок позволяют детально исследовать область этики данных. Каждый год разрабатываются новые этические кодексы, фреймворки, гайдлайны, прочие рекомендаций по работе с данными. Соответственно, их можно классифицировать:

Законодательство о защите ПД уже принято или подготавливается во многих странах, причем все больше развитых государств склоняется к модели достаточно жесткой регуляторной и правоприменительной модели. На основе различных базовых ценностей можно выделить условно три модели регулирования обработки ПД: европейскую, американскую и китайскую. Правоприменительная практика в отношение одной и той же технологии может кардинально различаться, что наглядно демонстрирует разногласие по поводу применения технологии распознавания лиц (см. раздел 5.2.2).

Суть европейского подхода наиболее конкретно выражена в Генеральном регламенте о защите персональных данных (General Data Protection Regulation, GDPR), принятом в ЕС и вступившем в силу в 2018 году. Сегодня GDPR широко обсуждается не только в Европе, но и во всем мире. Его отличают чрезвычайно высокие штрафы за нарушения предписаний регламента: в зависимости от того, какие именно статьи нарушены, штрафы доходят до 20 млн евро, или 4% от мирового годового оборота компании. Кроме того, значима экстратерриториальность этого акта: GDPR обязаны соблюдать все операторы, работающие на территориях стран — участниц ЕС и ЕЭС, а также любые компании в любой точке мира, которые обрабатывают ПД граждан ЕС и ЕЭС. Регламент предоставляет субъекту ПД широкий спектр прав и в целом сильнее, чем подобные законы в других странах, ограничивает возможности бизнеса по обработке данных физических лиц. Например, по запросу гражданин может получить полную копию тех данных о себе, которые хранятся у компании, и потребовать полностью удалить их. И наконец, GDPR обязывает операторов ПД назначать специальное должностное лицо (data protection officer), уполномоченное следить за соблюдением требований GDPR в компании и обладающее широкими полномочиями.

Значимым международным документом, содержащим обязательные правовые нормы о приватности данных, является Конвенция Совета Европы о защите частных лиц в отношении автоматизированной обработки данных личного характера 1981 года (Конвенция 108). В настоящее время находится в процессе подписания текст Конвенции 108+, который приводит нормы исходной конвенции в соответствие с новыми реалиями цифрового мира и включает:

Развивая и дополняя стандарты Конвенции 108 применительно к конкретным технологиям и сферам жизни, Совет Европы разработал «Руководящие принципы защиты лиц в связи с обработкой ПД в мире больших данных». В документе отражена необходимость этичного использования данных, применение встроенного алгоритма конфиденциальности, обеспечение анонимизации и регулярная оценка рисков реидентификации ПД, обозначена роль человека при принятии решений на основе больших данных и др. В целом тема защиты ПД подробно разработана в общеевропейском праве, а также в национальном праве государств — членов ЕС.

В США, с одной стороны, сильное журналистское сообщество и некоммерческий сектор, с другой стороны, довольно большая свобода в использовании данных. На федеральном уровне действует ряд отраслевых актов о конфиденциальности и безопасности данных, в том числе акты в отношении финансовых учреждений, акты о данных в области здравоохранения и др. Компании имеют значительно бóльшую свободу в использовании данных, кроме наиболее чувствительных. На уровне штатов приняты сотни разнообразных актов о защите ПД. Один из наиболее обсуждаемых сейчас — новый закон штата Калифорнии «О защите частной жизни потребителей» (California Consumer Privacy Act, CCPA), который вступает в силу с 2020 года. Он применяется в разных секторах экономики, предусматривает значительный объем прав субъектов данных (включая право на удаление данных) и вводит новые обязанности компаний при работе с данными, а также ограничения при обработке, использовании и раскрытии ПД. Как и Европейский GDPR, CCPA применяется к широкому кругу компаний, а не только к компаниям, зарегистрированным в Калифорнии.

Нормативное правовое регулирование со стороны государства является лишь одним из возможных средств решения этических проблем. Другим средством можно считать коллективную работу общественных организаций и сообществ профессионалов с целью создать кодексы этики.

Также Accenture предлагает 10 принципов этики обмена большими данными, нацеленные на соблюдение права граждан на приватность и обеспечение безопасности данных.

Поскольку тема данных (в первую очередь больших данных) неразрывно связана с ИИ, многие рекомендации по этичному использованию данных содержатся в этических кодексах, касающихся применения ИИ и робототехники, среди них — «Азиломарские принципы ИИ», инициатива Института инженеров электротехники и электроники (Institute of Electrical and Electronics Engineers, IEEE) по разработке стандартов на этичные ИС, пять из которых прямо касаются работы с данными (см. раздел 3.5).

В декабре 2019 года был принят первый российский «Кодекс этики использования данных». Кодекс ориентирован в основном на этику больших данных и недостаточно описывает меры защиты прав пользователей и правила доступа граждан к их данным, уделяя больше внимания интересам корпораций. Идеи кодекса оказались ближе к американской модели, нежели к европейской, несмотря на то что законодательство о ПД в России во многом следует именно европейскому GDPR.

Наконец, свои корпоративные кодексы этики (или кодексы поведения) есть у многих крупных организаций, особенно у технологических гигантов и дата-корпораций: Microsoft, Google, Twitter, Apple, Amazon, Сбербанк и др. При этом независимо от содержания кодекса этики его принципы и провозглашенные компаниями правила не имеют статуса обязательных, и при их нарушении компании не всегда несут даже репутационный ущерб, не говоря уже о финансовом.

В итоге этический аспект регулирования на рынке данных пока нельзя назвать достаточно проработанным: нет общепринятых хотя бы на уровне большинства стран документов, главного международного авторитетного органа или организации, способной привести страны к общему согласию. В перспективе отсутствие обязательства учитывать этический аспект в работе с данными чревато появлением серьезных этических проблем, связанных с различными формами скрытой дискриминации. В России наибольшие риски могут породить автоматизированные системы принятия решений на основе данных, которые практически неизбежно рано или поздно будут применены в социальной сфере: в здравоохранении, в образовании, в системе социального обеспечения, а также утечка данных, особенно чувствительных, ошибки в системах принятия решений из-за несовершенства инфраструктуры и низкого качества данных.

Госслужащим необходимо быть очень внимательными и просчитывать на несколько шагов вперед возможные последствия принятия решений, связанных с данными и этикой их оборота. Даже в сходных ситуациях последствия могут быть совершенно различными: от отсутствия реакции общества до буйного социального протеста. При заимствовании решений и методов, успешно сработавших в аналогичных ситуациях в других регионах, тем более в других странах, надлежит предварительно изучать ситуацию (а именно правовой, технологический, социальный, культурный, иные контексты) на месте.

В некоторых странах государственные органы создают в госсекторе новые должности, куда приглашают специалистов по работе с данными, защите приватности, по этике данных и др. Например, в Новой Зеландии внедрена должность руководителя по приватности (Chief Privacy Officer, CPO), который исполняет примерно те же функции, что и специалист по приватности (Certified Information Privacy Professional, CIPP) в крупных частных корпорациях. Он отвечает за разработку и соблюдение правил работы с данными, защищающих приватность граждан и обеспечивающих доступность данных, которые собирает, обрабатывает и создает организация.

Простым и понятным примером руководства для госслужащих при принятии решений на основе данных является документ «Принципы безопасного и эффективного использования данных и аналитики», созданный уполномоченным по вопросам невмешательства в частную жизнь и главным советником по вопросам государственных данных в Новой Зеландии. Он содержит шесть простых рекомендаций, например обеспечение общественного блага, фокусировку на нуждах граждан, поддержку прозрачности работы с данными.

Для госслужащих Великобритании разработан фреймворк этики данных, содержащий похожие рекомендации, в частности:

Как уже упоминалось выше, этические принципы работы с данными, как минимум на уровне идей, должны закладываться в национальную стратегию работы с данными. После принятия подобного кодекса этики общество не может рассчитывать на быструю перестройку культуры работы с данными, но начать этот процесс необходимо. К тому же недостаточно разработать и спустить сверху вниз этический кодекс как закон, обязательный к исполнению. В течение длительного периода его внедрение необходимо поддерживать на практике, демонстрируя примеры его использования в разных госорганах и ведомствах. Понимание интересов сторон на рынке данных, культура работы с данными и ориентиры в виде этического кодекса должны помочь российским госслужащим решать этические проблемы и находить разумный баланс на практике.