Политика конфиденциальности — это заявление или юридический документ (в законодательстве о конфиденциальности), который раскрывает некоторые или все способы, которыми сторона собирает, использует, раскрывает и управляет данными клиента или заказчика. [1] Персональной информацией может быть все, что может быть использовано для идентификации личности, не ограничиваясь именем человека, адресом, датой рождения, семейным положением, контактной информацией, выдачей удостоверения личности и датой истечения срока действия, финансовыми записями, кредитной информацией, историей болезни, местами путешествий и намерениями приобретать товары и услуги. [2] В случае бизнеса это часто заявление, которое объявляет политику стороны в отношении того, как она собирает, хранит и раскрывает личную информацию, которую она собирает. Оно информирует клиента о том, какая конкретная информация собирается и сохраняется ли она конфиденциальной, передается ли она партнерам или продается другим фирмам или предприятиям. [3] [4] Политика конфиденциальности обычно представляет собой более широкое, более обобщенное обращение, в отличие от заявлений об использовании данных, которые, как правило, более подробны и конкретны.
Точное содержание определенной политики конфиденциальности будет зависеть от применимого законодательства и может потребовать рассмотрения требований, выходящих за рамки географических границ и правовых юрисдикций. В большинстве стран есть собственное законодательство и руководящие принципы относительно того, кто подпадает под действие политики, какая информация может собираться и для чего она может использоваться. В целом, законы о защите данных в Европе охватывают как частный, так и государственный сектор. Их законы о конфиденциальности применяются не только к государственным операциям, но и к частным предприятиям и коммерческим транзакциям.
В 1968 году Совет Европы начал изучать влияние технологий на права человека , осознавая новые угрозы, создаваемые компьютерными технологиями, которые могли связывать и передавать данные способами, ранее не имевшими широкого распространения. В 1969 году Организация экономического сотрудничества и развития (ОЭСР) начала изучать последствия выезда личной информации за пределы страны. Все это привело к тому, что Совет рекомендовал разработать политику защиты персональных данных, хранящихся как в частном, так и в государственном секторе, что привело к принятию Конвенции 108. В 1981 году была принята Конвенция о защите лиц при автоматизированной обработке персональных данных (Конвенция 108). Одним из первых законов о конфиденциальности, принятых когда-либо, был Закон Швеции о данных 1973 года, за которым последовал Закон Западной Германии о защите данных 1977 года и Закон Франции об информатике, банках данных и свободах 1978 года. [5]
В Соединенных Штатах беспокойство по поводу политики конфиденциальности, начавшееся примерно в конце 1960-х и 1970-х годов, привело к принятию Закона о честной кредитной отчетности . Хотя этот закон не был разработан как закон о конфиденциальности, он дал потребителям возможность проверять свои кредитные файлы и исправлять ошибки. Он также наложил ограничения на использование информации в кредитных записях. Несколько исследовательских групп Конгресса в конце 1960-х годов изучали растущую легкость, с которой автоматизированная личная информация могла быть собрана и сопоставлена с другой информацией. Одной из таких групп был консультативный комитет Министерства здравоохранения и социальных служб США , который в 1973 году разработал кодекс принципов под названием «Практика честной информации». Работа консультативного комитета привела к принятию Закона о конфиденциальности в 1974 году. Соединенные Штаты подписали руководящие принципы Организации экономического сотрудничества и развития в 1980 году. [5]
В Канаде должность Комиссара по вопросам конфиденциальности была учреждена в соответствии с Законом о правах человека в Канаде в 1977 году. В 1982 году назначение Комиссара по вопросам конфиденциальности стало частью нового Закона о конфиденциальности. Канада подписала руководящие принципы ОЭСР в 1984 году. [5]
Существуют значительные различия между законами ЕС о защите данных и законами США о конфиденциальности данных. Эти стандарты должны соблюдаться не только компаниями, работающими в ЕС, но и любой организацией, которая передает персональную информацию, собранную в отношении граждан ЕС. В 2001 году Министерство торговли США работало над обеспечением правового соответствия для организаций США в рамках программы Safe Harbor. FTC одобрила eTRUST для сертификации оптимизированного соответствия программе Safe Harbor США-ЕС.
В 1995 году Европейский союз (ЕС) ввел Директиву о защите данных [6] для своих государств-членов. В результате многие организации, ведущие бизнес в ЕС, начали разрабатывать политику, соответствующую этой Директиве. В том же году Федеральная торговая комиссия США (FTC) опубликовала Принципы честной информации [7] , которые предоставили набор необязательных руководящих принципов для коммерческого использования личной информации . Хотя эти принципы не предписывали политику, они служили руководством для развивающихся проблем, связанных с тем, как разрабатывать политику конфиденциальности.
В Соединенных Штатах нет специального федерального регулирования, устанавливающего всеобщую реализацию политик конфиденциальности. Конгресс время от времени рассматривал всеобъемлющие законы, регулирующие сбор информации в Интернете, такие как Закон об улучшении конфиденциальности потребителей в Интернете [8] и Закон о защите конфиденциальности в Интернете 2001 года [9] , но ни один из них не был принят. В 2001 году FTC заявила о явном предпочтении «большего правоприменения, а не большего количества законов» [10] и способствовала дальнейшему фокусированию на саморегулировании отрасли .
Во многих случаях FTC обеспечивает соблюдение положений политики конфиденциальности в качестве обещаний, данных потребителям, используя полномочия, предоставленные Разделом 5 Закона FTC , который запрещает недобросовестные или обманные методы маркетинга. [11] Полномочия FTC в некоторых случаях законодательно ограничены; например, авиакомпании подчиняются полномочиям Федерального управления гражданской авиации (FAA), [12] а операторы сотовой связи подчиняются полномочиям Федеральной комиссии по связи (FCC). [13]
В некоторых случаях частные лица обеспечивают соблюдение положений политики конфиденциальности путем подачи коллективных исков, которые могут привести к урегулированию или вынесению судебных решений. Однако такие иски часто невозможны из-за арбитражных положений в политике конфиденциальности или других соглашениях об условиях обслуживания . [14]
Хотя общеприменимых законов не существует, некоторые федеральные законы регулируют политику конфиденциальности в определенных обстоятельствах, например:
Некоторые штаты ввели более строгие правила для политик конфиденциальности. Закон Калифорнии о защите конфиденциальности в Интернете от 2003 года – разделы 22575-22579 Кодекса бизнеса и профессий требуют, чтобы «любые коммерческие веб-сайты или онлайн-сервисы, которые собирают личную информацию о жителях Калифорнии через веб-сайт, открыто публиковали политику конфиденциальности на сайте». [26] И в Небраске, и в Пенсильвании есть законы, рассматривающие вводящие в заблуждение заявления в политике конфиденциальности, опубликованной на веб-сайтах, как обманную или мошенническую деловую практику. [27]
Федеральный закон Канады о конфиденциальности , применимый к частному сектору, официально именуется Законом о защите личной информации и электронных документах (PIPEDA). Целью закона является установление правил, регулирующих сбор, использование и раскрытие личной информации коммерческими организациями. Организация имеет право собирать, раскрывать и использовать объем информации в целях, которые разумный человек посчитает подходящими в данных обстоятельствах. [28]
Закон устанавливает Комиссара по вопросам конфиденциальности Канады в качестве омбудсмена для рассмотрения любых жалоб, поданных против организаций. Комиссар работает над разрешением проблем посредством добровольного соблюдения, а не жесткого принуждения. Комиссар расследует жалобы, проводит аудиты, повышает осведомленность и проводит исследования по вопросам конфиденциальности. [29]
Право на неприкосновенность частной жизни является высокоразвитой областью права в Европе. Все государства-члены Европейского Союза (ЕС) также подписали Европейскую конвенцию о правах человека (ЕКПЧ). Статья 8 ЕКПЧ предусматривает право на уважение «частной и семейной жизни, жилища и корреспонденции» с учетом определенных ограничений. Европейский суд по правам человека дал этой статье очень широкое толкование в своей юриспруденции. [30]
В 1980 году, стремясь создать всеобъемлющую систему защиты данных по всей Европе, Организация экономического сотрудничества и развития (ОЭСР) опубликовала свои «Рекомендации Совета относительно руководящих принципов, регулирующих защиту конфиденциальности и трансграничные потоки персональных данных». [31] Семь принципов, регулирующих рекомендации ОЭСР по защите персональных данных, были следующими:
Однако руководящие принципы ОЭСР не были обязательными, и законы о конфиденциальности данных по-прежнему сильно различались по всей Европе. США, одобряя рекомендации ОЭСР , ничего не сделали для их внедрения в Соединенных Штатах. [32] Однако все семь принципов были включены в Директиву ЕС. [32]
В 1995 году ЕС принял Директиву о защите данных , которая регулирует обработку персональных данных в ЕС. Существовали значительные различия между защитой данных ЕС и эквивалентными законами США о конфиденциальности данных. Эти стандарты должны соблюдаться не только предприятиями, работающими в ЕС, но и любой организацией, которая передает личную информацию, собранную в отношении гражданина ЕС. В 2001 году Министерство торговли США работало над обеспечением правового соответствия для организаций США в рамках программы Safe Harbor с возможностью выбора . [33] FTC одобрила ряд поставщиков из США для сертификации соответствия программе Safe Harbor между США и ЕС. С 2010 года Safe Harbor подвергается критике, особенно со стороны немецких публично назначенных защитников конфиденциальности, поскольку желание FTC утверждать определенные правила не было реализовано надлежащим образом даже после выявления несоответствий. [34]
С 25 мая 2018 года Директива о защите данных заменяется Общим регламентом по защите данных (GDPR), который гармонизирует правила конфиденциальности во всех государствах-членах ЕС. GDPR налагает более строгие правила на сбор личной информации, принадлежащей субъектам данных ЕС, включая требование о том, чтобы политики конфиденциальности были более краткими, четко сформулированными и прозрачными в раскрытии любого сбора, обработки, хранения или передачи персонально идентифицируемой информации . Контролеры данных также должны предоставлять возможность переносить свои данные в общем формате и стирать их при определенных обстоятельствах. [35] [36]
Закон о конфиденциальности 1988 года обеспечивает правовую основу для конфиденциальности в Австралии. [37] Он включает в себя ряд национальных принципов конфиденциальности. [38] В Законе о конфиденциальности содержится тринадцать принципов конфиденциальности. [39] Он контролирует и регулирует сбор, использование и раскрытие личной информации людей, следит за тем, кто несет ответственность в случае нарушения, а также права людей на доступ к своей информации. [39]
Закон об информационных технологиях (поправка) 2008 года внес существенные изменения в Закон об информационных технологиях 2000 года , введя раздел 43A. Этот раздел предусматривает компенсацию в случае, если юридическое лицо небрежно относится к внедрению и поддержанию разумных методов и процедур безопасности и тем самым причиняет неправомерные убытки или неправомерную выгоду любому лицу. Это применяется, когда юридическое лицо владеет, имеет дело или обрабатывает любые конфиденциальные персональные данные или информацию в компьютерном ресурсе, которым оно владеет, управляет или управляет.
В 2011 году правительство Индии предписало Правила в области информационных технологий (разумные методы и процедуры безопасности и конфиденциальные персональные данные или информация) 2011 года [40], опубликовав их в Официальном вестнике. [41] Эти правила требуют от юридического лица предоставить политику конфиденциальности для обработки или работы с персональной информацией, включая конфиденциальные персональные данные или информацию. [42] Такая политика конфиденциальности должна включать следующую информацию в соответствии с правилами:
Политика конфиденциальности должна быть опубликована на веб-сайте юридического лица и должна быть доступна для просмотра поставщикам информации, предоставившим персональные данные в соответствии с законным договором.
Онлайн-программы сертификации или «печати» являются примером отраслевого саморегулирования политик конфиденциальности. Программы печати обычно требуют внедрения добросовестной информационной практики, как определено программой сертификации, и могут потребовать постоянного контроля за соблюдением. TRUSTArc (ранее TRUSTe), [43] первая онлайн-программа печати конфиденциальности, включала более 1800 участников к 2007 году. [44] Другие онлайн-программы печати включают программу Trust Guard Privacy Verified, [45] eTrust , [46] и Webtrust . [47]
Некоторые веб-сайты также определяют свою политику конфиденциальности с помощью P3P или Ассоциации рейтинга интернет-контента (ICRA), позволяя браузерам автоматически оценивать уровень конфиденциальности, предлагаемый сайтом, и разрешая доступ только в том случае, если практика конфиденциальности сайта соответствует настройкам конфиденциальности пользователя. Однако эти технические решения не гарантируют, что веб-сайты действительно следуют заявленным политикам конфиденциальности. Эти реализации также требуют от пользователей минимального уровня технических знаний для настройки собственных настроек конфиденциальности браузера. [48] Эти автоматизированные политики конфиденциальности не были популярны ни среди веб-сайтов, ни среди их пользователей. [49] Чтобы уменьшить бремя интерпретации индивидуальных политик конфиденциальности, Йосангом, Фричем и Малером были предложены повторно используемые сертифицированные политики, доступные на сервере политик. [50]
Многие критики критиковали эффективность и легитимность политик конфиденциальности, найденных в Интернете. Существуют опасения относительно эффективности политик конфиденциальности, регулируемых отраслью. Например, отчет FTC 2000 года Privacy Online: Fair Information Practices in the Electronic Marketplace обнаружил, что, хотя подавляющее большинство обследованных веб-сайтов имели тот или иной способ раскрытия конфиденциальности, большинство из них не соответствовало стандарту, установленному в Принципах FTC. Кроме того, многие организации оставляют за собой прямое право в одностороннем порядке изменять условия своих политик. В июне 2009 года веб-сайт EFF TOSback начал отслеживать такие изменения на 56 популярных интернет-сервисах, включая мониторинг политик конфиденциальности Amazon , Google и Facebook . [51]
Также есть вопросы о том, понимают ли потребители политику конфиденциальности и помогают ли они потребителям принимать более обоснованные решения. В отчете Стэнфордской лаборатории убедительных технологий за 2002 год утверждалось, что визуальный дизайн веб-сайта имел большее влияние, чем политика конфиденциальности веб-сайта, когда потребители оценивали надежность веб-сайта. [52] Исследование Университета Карнеги-Меллона за 2007 год утверждало, что «когда не представлена заметная информация о конфиденциальности...», потребители «...скорее всего, совершат покупки у поставщика с самой низкой ценой, независимо от политики конфиденциальности этого сайта». [53] Однако то же исследование также показало, что когда информация о политике конфиденциальности представлена четко, потребители предпочитают розничных продавцов, которые лучше защищают их конфиденциальность, и некоторые готовы «платить больше, чтобы покупать на сайтах с большей защитой конфиденциальности». Кроме того, исследование 2007 года в Калифорнийском университете в Беркли показало, что «75% потребителей думают, что если у сайта есть политика конфиденциальности, это означает, что он не будет делиться данными с третьими лицами», путая существование политики конфиденциальности с обширной защитой конфиденциальности. [54] Исходя из распространенной природы этого недопонимания, исследователь Джозеф Туроу заявил Федеральной торговой комиссии США , что термин «политика конфиденциальности» представляет собой обманную торговую практику и что вместо него следует использовать альтернативную формулировку, например «как мы используем вашу информацию». [55]
Политики конфиденциальности в целом страдают от недостатка точности, особенно по сравнению с новой формой Заявления об использовании данных. В то время как заявления о конфиденциальности предоставляют более общий обзор сбора и использования данных, заявления об использовании данных представляют собой гораздо более конкретную трактовку. В результате политики конфиденциальности могут не соответствовать возросшему спросу на прозрачность, который обеспечивают заявления об использовании данных.
Критики также задаются вопросом, читают ли потребители политику конфиденциальности или понимают ли они то, что читают. Исследование, проведенное в 2001 году организацией Privacy Leadership Initiative, показало, что только 3% потребителей внимательно читают политику конфиденциальности, а 64% бегло просматривают ее или вообще никогда не читают. [56] Средний пользователь веб-сайта, однажды прочитав заявление о конфиденциальности, может иметь больше сомнений относительно надежности веб-сайта, чем раньше. [57] [58] Одной из возможных проблем является длина и сложность политики. Согласно исследованию Carnegie Mellon 2008 года , средняя длина политики конфиденциальности составляет 2500 слов и требует в среднем 10 минут для прочтения. В исследовании говорится, что «политику конфиденциальности трудно читать» и, как следствие, «читают нечасто». [59] Однако любые попытки сделать информацию более презентабельной упрощают ее до такой степени, что она не передает степень, в которой данные пользователей передаются и продаются. [60] Это известно как «парадокс прозрачности».
Исследователи провели множество исследований для оценки политики конфиденциальности веб-сайтов компаний. В одном исследовании обработка естественного языка и глубокое обучение используются в качестве предлагаемого решения для автоматической оценки эффективности политики конфиденциальности компаний, чтобы помочь пользователям стать более осведомленными. [61]
{{cite book}}: CS1 maint: числовые имена: список авторов ( ссылка ){{cite web}}: CS1 maint: архивная копия как заголовок ( ссылка ){{cite journal}}: Цитировать журнал требует |journal=( помощь )