Личные данные в законе: что будет однозначно запрещено с 25 мая (1)

Право «быть забытым»

Что делать с социальными сетями и поисковиками? Статья 17 регулы предусматривает, что у любого человека есть право быть стертым (или забытым), если это касается исключения из системы обработки данных. Например, так можно «стереться» из поиска Google. 
65-й пункт преамбулы предусматривает, что у каждого есть право на удаление или исправление данных, если тот, кто их хранит, нарушает закон. Особенно подчеркивается право быть стертым, если данные более не нужны для первоначальных целей, если субъект отозвал свое согласие на обработку или возражает против обработки. Кроме того, особенно важно, что удалить данные нужно, если согласие дал ребенок, который полностью не отдавал себе отчета в своих действиях. Право «стереться» есть у такого человека, даже если он перестал быть ребенком. Для дальнейшего хранения «оспоренных» данных нужно законное обоснование, например, в связи с правом на свободу слова и информации, чтобы выполнить юридические обязанности, какие-то обязанности в интересах общества. Основания для того, чтобы быть «стертым», подробно перечислены в 17-й статье регулы.

Что касается поиска Google, то, как пишет Jurista vards, он уже озаботился даже специальной формой для изъятия данных из всемирной паутины. Но Google подчеркивает, что следит за обоснованностью запроса на «забвение» и соблюдением общественных интересов. В результате устаревшую информацию могут удалить, а вот, например, сведения о преступлениях — нет. Поисковик просит прислать документы и обоснование для изъятия каждой из ссылок, которая вас не устраивает. Кроме того, известно, что Google часто отказывает тем, кто просит стереться, на основании защиты общественных интересов. С оговоркой: «Если вас что-то не устраивает, можете судиться». Возможно, с вступлением регулы в силу что-то изменится.

Приведем в этой связи показательный пример: в апреле Google проиграл дело в Лондоне, пишет The Guardian.

Бизнесмен, которого приговорили к шести месяцам тюрьмы в 1990-х за вмешательство в коммуникации, добился права исключить эту информацию из общего доступа. Правда, его коллега по делу, осужденный на четыре года за подделку счета, проиграл. Судья объяснил свое решение: выигравший бизнесмен проявил раскаяние, тогда как второй продолжал упорствовать. Суд также отклонил все требования компенсаций. Судья говорит, что, по его убеждению, информация об обвинениях первого бизнесмена перестала быть важной для публики, потеряла срок годности.

Однако та же статья 17 предусматривает, что «стирание» не применяют, если обработка нужна, чтобы защитить право на свободу слова и информации; чтобы выполнить юридический долг; на основании интересов общества в сфере здравоохранения; для архивирования в общественных, научных и исторических интересах; чтобы защитить законные требования.

Что с видеорегистраторами и камерами?

Ранее, как многие водители знают, нужно было регистрировать камеры видеонаблюдения и видеорегистраторы в Госинспекции данных. Однако более этого делать не нужно — с 25 мая они будут на вашей совести и ответственности.

Регула не требует ничего делать, если ваш регистратор просто фиксирует, что происходит вокруг в автоматическом режиме. Если же вы заглянули в запись и начали данные как-то обрабатывать, то будьте внимательнее, чтобы ничьих прав не нарушить!

Проблемы могут возникнуть с видеокамерами в публичных местах. Для тогочтобы видеонаблюдение в местах общего пользования осуществлялось законно, нужно обязательно уведомить субъектов, что оно ведется. Например, соответствующей табличкой. Но просто значка камеры недостаточно. На табличке нужно указать цель наблюдения — например:«Безопасность, предотвращение преступлений». Кроме того, там же должен быть указан тот, кто отвечает за обработку данных, правовое обоснование, юридический адрес, получатели данных. В общем, серьезный документ получается.

(см. фото).

О штрафах и сроках

Еще немного пояснений с сайта Еврокомиссии.

Как долго можно хранить данные? Как можно меньше. Для принятия сроков стоит учитывать причины обработки данных, какие обязанности наложены на предприятие и учреждение. Долго хранить можно данные только с целью архивации, обеспечения общественных, научных и исторических интересов — но если проведена анонимизация, шифровка и так далее.

При этомданные нужно регулярно обновлять. Еврокомиссия приводит такой пример: агентство по найму собирает CV кандидатов, но никак их не обновляет. При этомпланирует хранить документы 20 лет. Это нарушение, так как из-за отсутствия обновлений CV работников становятся бесполезными — информация не соответствует действительности.

Регула требует сурово карать нарушителей. За неправильное хранение и распространение данных можно «попасть» на штраф до 20 миллионов евро или 4% от оборота предприятия.

Подробнее об условиях применения санкций написано в статье 83 регулы. Однако там подчеркивается, что каждый случай должен рассматриваться индивидуально и в соответствии с законодательством конкретной страны.

Робот больше не может решать, давать ли кредит

Что еще стоит учитывать. Отныне клиент банка или другой финансовой организации может опротестовать решение, которое принято на основе математических алгоритмов, то есть без участия человека.

Как известно, банки, страховые компании, больницы и прочие организации хранят о своих клиентах огромный объем информации, базирующийся на личных данных. На основе этих данныхдля упрощения работы может приниматься множество решений. К примеру, пользователь интернет-банка может подать заявку на потребительский кредит. Система оценивает запросы на небольшие кредиты без участия человека. То есть автоматически рассчитывается доход человека, его поступления и траты, а также кредитная нагрузка. В итоге система принимает решение, давать кредит или нет.

С 25 мая принятое таким образом решение можно оспорить и попросить банк, чтобы ваше заявление на кредит рассматривалось не в автоматическом режиме, а с участием работника банка. И отказать в этом вам не имеют права.

Это указано в 71-м пункте преамбулы регулы: субъект данных имеет право не быть субъектом решения, которое принимается на основании автоматизированной обработки и которое имеет юридические последствия для субъекта.

Есть и исключения: если профилирование недвусмысленно разрешено законами конкретной страны, если речь идет о надзоре за налогами и борьбе с мошенничеством в этой сфере, если субъект данных дал недвусмысленно согласие на такую обработку данных. Однако все равно субъекту данных нужно обеспечить участие человека, право высказать свое мнение, получить пояснение, оспорить решение.

Куда обращаться с вопросами

Если у вас возникли вопросы, Госинспекция данных дает консультации с 13.00 до 15.00 по телефону 67223131.

Николай Кудрявцев, "Сегодня"