Директива о защите данных, официально Директива 95/46/EC, принятая в октябре 1995 года, представляла собой директиву Европейского Союза , которая регулировала обработку персональных данных в Европейском Союзе (ЕС) и свободное перемещение таких данных. Директива о защите данных была важным компонентом законодательства ЕС о конфиденциальности и правах человека .
Принципы, изложенные в Директиве о защите данных, были направлены на защиту основных прав и свобод при обработке персональных данных. [1] Общий регламент по защите данных , принятый в апреле 2016 года, заменил Директиву о защите данных и вступил в силу 25 мая 2018 года. [2]
Право на неприкосновенность частной жизни является высокоразвитой областью права в Европе. Все государства-члены Совета Европы (СЕ) также подписали Европейскую конвенцию по правам человека (ЕКПЧ). [3] Статья 8 ЕКПЧ обеспечивает право на уважение «частной и семейной жизни, жилища и корреспонденции» с некоторыми ограничениями. Европейский суд по правам человека в своей судебной практике дал этой статье очень широкое толкование.
В 1973 году американский ученый Уиллис Уэр опубликовал отчет «Записи, компьютеры и права граждан» — доклад, который должен был оказать влияние на направления, в которых будут развиваться эти законы. [4] [5]
В 1980 году, стремясь создать комплексную систему защиты данных по всей Европе, Организация экономического сотрудничества и развития (ОЭСР) опубликовала «Рекомендации Совета относительно руководящих принципов, регулирующих защиту конфиденциальности и трансграничных потоков персональных данных». ". [6] Семью принципами, регулирующими рекомендации ОЭСР по защите персональных данных, были:
Однако руководящие принципы ОЭСР не имели обязательной силы, а законы о конфиденциальности данных по -прежнему сильно различались по всей Европе. Между тем, Соединенные Штаты, одобрив рекомендации ОЭСР , ничего не сделали для их реализации внутри Соединенных Штатов. [7] Однако первые шесть принципов были включены в Директиву ЕС. [7]
В 1981 году государства-члены Совета Европы приняли Конвенцию о защите физических лиц при автоматической обработке персональных данных (Конвенция 108) во исполнение статьи 8 ЕКПЧ. Конвенция 108 обязывает подписавшиеся стороны принять законодательство, касающееся автоматической обработки персональных данных, и в 2018 году она была модернизирована и усилена и стала «Конвенцией 108+». [8]
В 1989 году, после воссоединения Германии, данные, собранные тайной полицией Восточной Германии ( Штази ), стали широко известны, что увеличило спрос на конфиденциальность в Германии. В то время в Западной Германии уже действовали законы о конфиденциальности с 1977 года ( Bundesdatenschutzgesetz ). Европейская комиссия осознала, что различия в законодательстве о защите данных в государствах-членах ЕС препятствуют свободному потоку данных внутри ЕС, и, соответственно, предложила Директиву о защите данных. [ нужна цитата ]
Директива регулирует обработку персональных данных независимо от того, автоматизирована такая обработка или нет.
Персональные данные определяются как «любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу («субъекту данных»); идентифицируемое лицо — это лицо, которое может быть идентифицировано прямо или косвенно, в частности, путем ссылки на идентификационный номер или на один или несколько факторы, специфичные для его физической, физиологической, психической, экономической, культурной или социальной идентичности» (статья 2 а).
Это определение должно быть очень широким. Данные являются «персональными данными», когда кто-то может связать информацию с человеком, даже если лицо, владеющее данными, не может сделать эту ссылку. Некоторые примеры «личных данных»: адрес, номер кредитной карты , банковские выписки, судимость и т. д.
Понятие «обработка» означает «любую операцию или набор операций, которые выполняются с персональными данными, независимо от того, с помощью автоматических средств или нет, такие как сбор, запись, организация, хранение, адаптация или изменение, извлечение, консультирование, использование, раскрытие путем передачи, распространение». или иным образом предоставлять доступ, выравнивание или объединение, блокирование, стирание или уничтожение» (статья 2 b).
Ответственность за соблюдение требований лежит на «контролере», то есть физическом или юридическом лице , государственном органе, агентстве или любом другом органе, который самостоятельно или совместно с другими определяет цели и средства обработки персональных данных (статья 2). г).
Правила защиты данных применяются не только в том случае, если контролер находится на территории ЕС, но и всякий раз, когда контролер использует оборудование, расположенное на территории ЕС, для обработки данных. (ст. 4) Контролеры из-за пределов ЕС, обрабатывающие данные в ЕС, должны будут соблюдать правила защиты данных. В принципе, любая онлайновая торговля с резидентами ЕС будет обрабатывать некоторые персональные данные и использовать оборудование в ЕС для обработки данных (т. е. компьютер клиента). Как следствие, оператор веб-сайта должен будет соблюдать европейские правила защиты данных. Директива была написана до прорыва Интернета, и на сегодняшний день существует мало судебной практики по этому вопросу.
Персональные данные не должны обрабатываться вообще, за исключением случаев, когда соблюдены определенные условия. Эти условия делятся на три категории: прозрачность, законная цель и соразмерность.
Субъект данных имеет право на получение информации о том, когда его персональные данные обрабатываются. Контролер должен указать свое имя и адрес, цель обработки, получателей данных и всю другую информацию, необходимую для обеспечения честности обработки. (ст. 10 и 11)
Данные могут обрабатываться только в том случае, если выполняется хотя бы одно из следующих условий (статья 7):
Персональные данные могут обрабатываться только для определенных явных и законных целей и не могут обрабатываться в дальнейшем способом, несовместимым с этими целями. (статья 6 b) Персональные данные должны быть защищены от неправомерного использования и уважать «определенные права владельцев данных, которые гарантируются законодательством ЕС». [9]
Персональные данные могут обрабатываться только в той мере, в какой они адекватны, актуальны и не чрезмерны по отношению к целям, для которых они собираются и/или подвергаются дальнейшей обработке. Данные должны быть точными и, при необходимости, обновляться; необходимо предпринять все разумные меры для обеспечения того, чтобы данные, которые являются неточными или неполными, с учетом целей, для которых они были собраны или для которых они подвергаются дальнейшей обработке, были удалены или исправлены; Данные не должны храниться в форме, позволяющей идентифицировать субъектов данных, дольше, чем это необходимо для целей, для которых данные были собраны или для которых они в дальнейшем обрабатываются. Государства-члены ЕС должны установить соответствующие меры защиты персональных данных, хранящихся в течение более длительных периодов времени для исторического, статистического или научного использования. (ст. 6).
При обработке конфиденциальных персональных данных (могут быть: религиозные убеждения, политические взгляды, здоровье, сексуальная ориентация, раса, членство в прошлых организациях) применяются дополнительные ограничения. (ст. 8).
Субъект данных может в любое время возразить против обработки персональных данных в целях прямого маркетинга. (ст. 14)
Алгоритмическое решение, которое приводит к юридическим последствиям или существенно влияет на субъекта данных, не может быть основано исключительно на автоматизированной обработке данных. (статья 15) При использовании автоматических процессов принятия решений должна быть предусмотрена форма апелляции.
Каждое государство-член должно создать надзорный орган, независимый орган, который будет контролировать уровень защиты данных в этом государстве-члене, давать рекомендации правительству об административных мерах и правилах, а также начинать судебное разбирательство в случае нарушения правил защиты данных. (статья 28) Физические лица могут подавать жалобы о нарушениях в надзорный орган или в суд.
Контролер должен уведомить надзорный орган, прежде чем он начнет обрабатывать данные. Уведомление содержит как минимум следующую информацию (статья 19):
Эта информация хранится в государственном реестре.
Третьи страны – это термин, используемый в законодательстве для обозначения стран за пределами Европейского Союза . Персональные данные могут быть переданы в третью страну только в том случае, если эта страна обеспечивает адекватный уровень защиты данных. Предусмотрены некоторые исключения из этого правила, например, когда сам контролер может гарантировать, что получатель будет соблюдать правила защиты данных.
В соответствии со статьей 29 Директивы была создана «Рабочая группа по защите физических лиц в отношении обработки персональных данных», широко известная как « Рабочая группа по статье 29 ». Рабочая группа дает рекомендации об уровне защиты в Европейском Союзе и третьих странах.
Рабочая группа провела переговоры с представителями США о защите персональных данных, результатом которых стали «Принципы безопасной гавани» . По мнению критиков, «Принципы безопасной гавани» не обеспечивают адекватного уровня защиты, поскольку содержат меньше обязательств для контролера и допускают договорной отказ от определенных прав.
В октябре 2015 года Европейский суд постановил, что режим «Безопасной гавани» недействителен в результате иска, поданного австрийским борцом за конфиденциальность в отношении экспорта данных подписчиков европейским бизнесом Facebook в Facebook в США. [10] Власти США и Европы работали над заменой «Безопасной гавани», и в феврале 2016 года было достигнуто соглашение, в результате которого 12 июля 2016 года Европейская комиссия приняла концепцию «Щита конфиденциальности» между ЕС и США. Это соглашение также было признано недействительным в 2020 году и заменено Рамочной программой конфиденциальности данных ЕС-США в 2023 году.
В июле 2007 года между США и ЕС было подписано новое спорное [11] соглашение о записи имен пассажиров (PNR). [12]
В феврале 2008 года Джонатан Фаулл , глава Комиссии внутренних дел ЕС, пожаловался на двустороннюю политику США в отношении PNR. [13] [14] [ недостаточно конкретно, чтобы проверить ] США подписали в феврале 2008 года меморандум о взаимопонимании [15] (MOU) с Чешской Республикой в обмен на схему безвизового режима, без предварительной консультации с Брюсселем. [11] Напряженность в отношениях между Вашингтоном и Брюсселем вызвана главным образом более низким уровнем защиты данных в США, тем более что иностранцы не пользуются преимуществами Закона США о конфиденциальности 1974 года . Другие страны, к которым обратились за двусторонними меморандумами о взаимопонимании, включали Великобританию, Эстонию (Германию) и Грецию . [16] [ недостаточно конкретно, чтобы проверить ]
Директивы ЕС адресованы государствам-членам и в принципе не являются юридически обязательными для отдельных лиц. Государства-члены должны перенести директиву во внутреннее законодательство. Директива 95/46/EC о защите персональных данных должна была быть транспонирована к концу 1998 года. Все государства-члены приняли свои собственные законы о защите данных.
25 января 2012 года Европейская комиссия (ЕК) объявила, что будет унифицировать закон о защите данных на территории единого Европейского Союза с помощью закона, называемого « Общим регламентом защиты данных ». Цели ЕС в этом законодательстве включали: [17]
Первоначальное предложение также предусматривало, что закон теоретически «применится ко всем компаниям, не входящим в ЕС, но не имеющим представительства в ЕС, при условии, что обработка данных будет направлена на резидентов ЕС», что является одним из самых больших изменений в новом законодательстве. [17] Это изменение действовало до окончательного утверждения закона 14 апреля 2016 года и затронуло предприятия по всему миру. «Регламент применяется к обработке за пределами ЕС, которая связана с предложением товаров или услуг субъектам данных (физическим лицам) в ЕС или мониторингом их поведения», — заявил У. Скотт Блэкмер из InfoLawGroup, хотя и добавил: «[ Сомнительно, что европейские надзорные органы или потребители действительно попытаются подать в суд на американских операторов за нарушения Регламента». [2] Дополнительные изменения включают более строгие условия согласия, более широкое определение конфиденциальных данных, новые положения о защите частной жизни детей и включение «прав, которые следует забыть». [2]
Затем ЕС установил дату соответствия - 25 мая 2018 года, предоставив предприятиям по всему миру возможность подготовиться к соблюдению требований, пересмотреть формулировки о защите данных в контрактах, рассмотреть возможность перехода на международные стандарты, обновить политику конфиденциальности и пересмотреть маркетинговые планы.
По состоянию на 2003 год [update]в США не существует единого закона о защите данных, сопоставимого с Директивой ЕС о защите данных. [18]
Законодательство США о конфиденциальности, как правило, принимается на разовой основе, при этом законодательство возникает, когда этого требуют определенные отрасли и обстоятельства (например, Закон о защите конфиденциальности видео 1988 года, Закон о защите и конкуренции кабельного телевидения 1992 года, [19] Закон о справедливой кредитной политике ). Закон об отчетности и Закон о переносимости и подотчетности медицинского страхования 1996 года , HIPAA (США)). Таким образом, хотя некоторые отрасли уже могут соответствовать требованиям Директивы ЕС, большинство из них этого не делает. [20] Соединенные Штаты предпочитают так называемый «отраслевой» подход [21] к законодательству о защите данных, которое опирается на сочетание законодательства, регулирования и саморегулирования, а не только на государственное регулирование. [22] [23] Бывший президент США Билл Клинтон и бывший вице-президент Эл Гор в своей «Концепции глобальной электронной коммерции» прямо рекомендовали, чтобы частный сектор был лидером, а компании должны осуществлять саморегулирование в ответ на проблемы, вызванные Интернет-технологии. [24]
Обоснование этого подхода связано как с американской экономикой невмешательства , так и с различными социальными перспективами. [25] Первая поправка к Конституции США гарантирует право на свободу слова. [26] Хотя свобода слова является явным правом, гарантированным Конституцией Соединенных Штатов, неприкосновенность частной жизни — это подразумеваемое право, гарантированное Конституцией в интерпретации Верховного суда США , [27] хотя это часто является явным правом в конституциях многих штатов. [28]
Широкое регулирование конфиденциальности в Европе оправдано с учетом опыта фашистских правительств времен Второй мировой войны и послевоенных коммунистических режимов, где широко распространено бесконтрольное использование личной информации. [29] [30] [31] Вторая мировая война и послевоенный период были временем в Европе, когда раскрытие расовой или этнической принадлежности приводило к тайным доносам и конфискациям, которые отправляли друзей и соседей в трудовые лагеря и концентрационные лагеря. [7] В эпоху компьютеров охрана европейцами секретных правительственных файлов привела к недоверию к корпоративным базам данных, и правительства в Европе предприняли решительные шаги для защиты личной информации от злоупотреблений в годы после Второй мировой войны. [32] (Германия) и Франция, в частности, приняли всеобъемлющие законы о защите данных. [33]
Критики европейской политики в отношении данных, однако, заявляют, что она препятствует возможности Европы монетизировать данные пользователей в Интернете и является основной причиной того, что в Европе нет крупных технологических компаний, а большинство из них находятся в Соединенных Штатах. . [34] Более того, благодаря тому, что Alibaba и Tencent в последние годы вошли в число 10 самых ценных технологических компаний мира, [35] даже Китай опережает Европу по показателям своей цифровой экономики, [36] которая оценивалась в 5,09 доллара США. трлн в 2019 году (35,8 трлн юаней). [37]
Между тем, озабоченность Европы по поводу США, вероятно, в первую очередь неуместна, поскольку европейские политики все чаще называют Китай и Россию агрессорами «гибридной угрозы», которые используют комбинацию пропаганды в социальных сетях и хакерских атак для намеренного подрыва функционирования европейских институтов. . [38]
Сегодня мало кто узнает имя Уиллиса [Уэра]; больше людей знакомы с Директивой Европейского Союза о защите данных, которая является прямым потомком отчета его комитета Министерства социальных служб США. Уиллис хотел бы, чтобы именно так: акцент был сделан на идеях, а не на его имени.
Министр здравоохранения, образования и социального обеспечения Эллиот Ричардсон был обеспокоен огромным количеством личных данных, которые правительство хранит о своих гражданах. ... Он поручил Консультативному комитету секретаря по автоматизированным системам персональных данных изучить этот вопрос и попросил об участии Уиллиса Уэра (который только что завершил свою работу в отделе безопасности DSB) в качестве человека, хорошо осведомленного о безопасности системы... Уэр стал председатель комитета, который он описал коллеге как «наиболее политически сбалансированную группу, с которой я работал». У нас были молодые и зрелые люди, представители всех этнических групп, юристы и неюристы, эксперты и непрофессионалы, мужчины и женщины, политически активные люди и политически пассивные». [В] 1972 году был представлен отчет комитета... [Он] достиг нескольких важных целей:[курсив добавлен]
- Он разработал и определил Кодекс добросовестной информационной практики, который стал основой закона о конфиденциальности личной информации и доктрины конфиденциальности в Соединенных Штатах и во всем мире (например, позиция Европейского Союза) .
- Кодекс устанавливает отношения – можно назвать это правилами взаимодействия – между (1) организациями, собирающими личную информацию, и системами данных, в которых она хранится, и (2) отдельным гражданином, о котором были собраны персональные данные.
- Он обеспечил интеллектуальную основу для Закона о конфиденциальности 1974 года , который, в свою очередь, установил основу для других законов; Была создана Комиссия по изучению защиты конфиденциальности (PPSC).
{{cite web}}: CS1 maint: unfit URL (link){{cite journal}}: CS1 maint: multiple names: authors list (link)
