В качестве целей Доклада авторы обозначили информирование общества о состоянии дел в данной сфере, фиксацию внимания общества на том, что сфера использования персональных данных расширяется, привлечение к разрешению указанных проблем компетентных специалистов, прежде всего ученых, а также заинтересованных общественных, политических, деловых, религиозных и иных организаций и групп граждан.

Доклад открыт для дополнений и будет переиздан в декабре 2006 г. с учётом изменившихся к тому времени фактических обстоятельств и поступивших замечаний и предложений со стороны новых участников этой работы. Любые особые мнения к раскрываемым в Докладе темам будут опубликованы вместе с Докладом.

25 ноября 2005 г. Государственная Дума ратифицировала "Конвенцию Совета Европы “О защите физических лиц при автоматизированной обработке персональных данных" (далее Европейская Конвенция) одновременно с этим были приняты в первом чтении представленные официальным представителем Правительства России министром информационных технологий и связи России Леонидом Рейманом законопроекты – "О персональных данных", "О внесении изменений в некоторые законодательные акты Российской Федерации в связи с принятием Федерального закона "О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных" и Федерального закона "О персональных данных" и "Об информации, информационных технологиях и защите информации".

Наибольший общественный, политический, социальный, юридический и технологический интерес из совокупности перечисленных законов представляет закон “О персональных данных”, поскольку, вне всякого сомнения, этот закон коснётся всех слоёв населения России от новорожденных до мигрантов, а также всех сфер общественной жизни от политики до религии.

Широкая дискуссия вокруг закона “О персональных данных” не прекращалась со дня его принятия в первом чтении, однако достигнуть взаимопонимания и согласия между инициаторами этого закона и общественными институтами не удалось.

Прежде всего, авторы отмечают насущность и жизненную необходимость урегулирования отношений связанных со сбором и использованием персональных данных. В этом смысле, инициатива Правительства России, направленная на издание отдельного закона, устанавливающего порядок и ограничения в этой сфере, приветствуется и заслуживает одобрения, как объективно отражающая реалии и требования современного общества.

Однако, предложенная Правительством и отражённая в текущем тексте закона “О персональных данных” концепция регулирования этих отношений представляется непродуманной и угрожающей как правам человека, так и основам общественного обустройства России.

При всей своевременности и актуальности этих инициатив Правительства, вызывает тревогу отсутствие сколь ни будь значимых научных и общественных исследований в этой области.

Предметом особых опасений стали также многочисленные, выявленные в ходе дискуссий и работы над Докладом, противоречия этой концепции нормам Конституции России, международному праву и культурным традициям российского общества.

При принятии подобных норм, следовало бы учесть не только российский, но и международный опыт внедрения новых технологий государственного управления, который однозначно свидетельствует о многоплановости и необратимости изменений, которые привносятся в системы государственного и общественного устройства с внедрением новых технологий управления. Наглядным тому примером служит опыт СССР-России в области паспортизации населения, а также опыт скандинавских стран в области автоматизации управления.

Во всех случаях подобных инициатив наблюдалось не только чрезвычайное влияние единожды внедрённых стандартов управления на общественные отношения, но и невозможность последующего изменения этих стандартов в случае их вхождения в противоречия с общественными нормами.

Вместе с тем авторы настоящего Доклада отмечают, что ни в коей мере не претендуют на отражение всех общественных позиций, а работа по консолидации общественных позиций и выработке приемлемых для российского общества решений требует более широкого обсуждения и участия практически всего Российского общества.

ПЕРСОНАЛЬНЫЕ ДАННЫЕ

Давид Горелишвили

Закон определяет, что персональные данные – любая информация, относящаяся к определенному или поддающемуся определению физическому лицу.

Определение крайне неудачное, но именно так определены персональные данные в ст.2 в Европейской Конвенции от 28.01.1981 г. “О защите частных лиц в отношении автоматизированной обработки данных личного характера”.

Основной же недостаток закона в том, что он на концептуальном уровне не отражает важнейшие отличия персональных данных от любой иной информации.

Данные о людях имеют несколько иную правовую природу, чем любые другие данные, поскольку любой человек независимо от своего общественного или государственного статуса во всех случаях обладает правоспособностью и правосубъектностью.

Персональные данные не подлежат отчуждению и не могут быть объектами гражданского оборота. Иными словами, данные о людях не могут стать предметом купли продажи или извлечения прибыли ни прямо, ни косвенно. Это не исключает оказание всякого рода справочных услуг или иное использование персональных данных в случаях, когда это установлено законом или соответствует волеизъявлению самих граждан, чьи персональные данные используются. Так же, как изъятые из гражданского оборота и не подлежащие отчуждению человеческие органы используются в медицинских и иных целях по воле граждан, но не могут быть предметом купли-продажи или иного коммерческого использования.

Приводя многочисленные факты торговли персональными данными в качестве одного из основных аргументов необходимости принятия данного закона, Правительство России, не включило в закон ни одной нормы, прямо устанавливающей изъятие персональных данных из гражданского оборота. Более того, в силу п.11 ст. 3 закона, персональные данные граждан, хранящиеся в информационной системе, являются её составной частью. Соответственно, по смыслу закона, персональные данные могут быть использованы владельцем системы по своему усмотрению, поскольку в силу п.3 ст.3 закона, цели, содержание и применение результатов обработки персональных данных определяет оператор, т.е. фактический владелец информационной системы.

Особый характер персональных данных и недопустимость распространения авторских и иных информационных прав на информационные массивы, содержащие персональные данные людей, косвенно признаётся законом в рамках целого ряда разрозненных норм, устанавливающих право граждан на доступ к информации о своих персональных данных. Однако эти нормы представляются авторам настоящего Доклада неявными и недостаточными.

Так, устанавливая, что персональные данные являются составной частью информационных систем, закон практически никак не регулирует порядок сбора персональных данных и включения их в эти информационные системы, хотя и оговаривает недопустимость использования персональных данных в целях, противоречащих целям, заявленным при их сборе. При этом, закон устанавливает заявительный порядок определения целей обработки персональных данных, что допустимо только в случаях, когда обеспечивается полная добровольность предоставления человеком своих персональных данных и только при условии полной осведомлённости гражданина обо всех последующих действиях с этими данными.

Во всех остальных случаях, в особенности, в случаях сбора данных в интересах государственного управления или в случаях, когда предоставление персональных данных является обязательным условием заключения публичного договора, цели сбора могут устанавливаться исключительно федеральным законом.

Если закон устанавливает обязательность соответствия производимых с персональными данными действий целям их сбора, то органы государственной власти и коммерческие организации, выступающие с публичными офертами, ни при каких обстоятельствах не должны обладать правом самостоятельного установления целей сбора персональных данных.

Устанавливая, что обработкой персональных данных являются любые действия с этими данными от сбора до уничтожения, закон в дальнейшем оперирует исключительно понятием “обработка”, что вносит дополнительную неясность во все последующие нормы и неминуемо приведёт к путанице в правоприменительной практике.

В Российском праве нет ни одного случая объединения в одно понятийное определение такого количества принципиально различающихся юридически значимых действий.

Такие действия, как сбор персональных данных и обезличивание этих данных имеют совершенно различную правовую природу и, соответственно, должны иметь различный порядок регулирования. Объединение всех этих понятий под одним определением “обработка”, приведёт к полной невозможности исполнения этого закона как в части защиты прав граждан, так и в части реализации интересов государства.

Положение усугубляется ещё и тем, что закон не делает никаких различий не только по существу совершаемых с персональными данными действий, но и по существу самих данных. Например, обработкой будут называться как манипуляции с различными данными одного человека, так и действия с однородными массивами персональных данных сколь угодно большого числа граждан.

Так в разных нормах закона неоднократно приводится требование о согласии гражданина на обработку его персональных данных без уточнения того, в чём эта обработка выражается. Например, если человек даёт согласие на сбор его персональных данных, то это вовсе не означает, что он согласен и на дальнейшее распространение этих данных, однако, в силу рассматриваемого закона, и сбор, и распространение являются обработкой. Соответственно, соглашаясь на обработку своих персональных данных, человек может оказаться в полной зависимости от того, насколько добросовестно и разумно будет трактовать слово “обработка”, тот, кто эти данные собирает.

Вызывает обоснованные опасения также и отсутствие в законе норм, ограничивающих возможность сбора и использования персональных данных человека без его ведома. Современный уровень технического развития позволяет собирать, комбинировать и использовать собранные данные о людях настолько скрытно и неявно, что человек оказывается полностью беззащитным.

В этих условиях необходимы особые гарантии того, что данные человека не будут без его ведома собираться государственными органами, юридическими и физическими лицами. Равно как необходимы гарантии того, что персональные данные, собранные в рамках одной информационной системы не будут без ведома гражданина передаваться и использоваться в других информационных системах. При этом в ряде случаев представляется вполне допустимым сбор, передача и использование персональных данных без согласия человека, но с обязательным его уведомлением.

Закон не содержит ни одной нормы, направленной на защиту одного из фундаментальных конституционных прав – права на убеждения, хотя очевидно, что, ввиду особого статуса персональных данных в системе права и широты сфер приложения норм этого закона, при его реализации неминуемо будет затронуто, в том числе, и право граждан на убеждения.

Случаи ущемления права человека иметь убеждения и действовать в соответствии с ними исключены из сферы регулирования закона, что создаёт предпосылку для создания систем тотальной слежки и контроля за обществом, а также ограничения естественного права на свободу совести.

Следует отметить, что право человека жить по совести в современных условиях приобретает всё большее значение. Так именно это право обеспечивает возможность не служить в вооруженных силах тем гражданам, кто в силу своих убеждений не может брать в руки оружие или давать клятвы (принимать воинскую присягу), равно как именно это право положено в основу недопустимости принуждения человека к даче показаний против себя и своих близких.

СВЕДЕНИЯ О ЧАСТНОЙ ЖИЗНИ

Давид Горелишвили

Одним из наиболее существенных и тревожных недостатков закона “О персональных данных” остаётся отсутствие норм, направленных на защиту сведений о частной жизни.

Из ч.1 ст. 23 Конституции России следует, что каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени. Той же 23 ст. Конституции России установлено, что каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, а ограничение этого права допускается только на основании судебного решения. В развитие этих норм, ч.1 ст. 24 Конституции России устанавливает, что сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются.

Таким образом, в силу ст.ст.23, 14 Конституции, наиболее защищённой в государстве информацией, наряду с информацией, составляющей государственную тайну, являются сведения о частной жизни человека, которые могут быть собраны и использованы либо с согласия самого человека, либо по решению суда.

В силу приведённого в Европейской Конвенции определения персональных данных, сведения о частной жизни являются персональными данными. Однако Европейская Конвенция не содержит никаких норм, ограничивающих порядок обработки сведений о частной жизни.

Вместе с тем, Конвенция специально оговаривает необходимость особой защиты ряда персональных данных, автоматизированная обработка которых может привести к существенному ущемлению прав и интересов некоторых категорий лиц.

В частности, к специальным (особым) персональным данным относятся данные, касающиеся расовой принадлежности, политических взглядов или религиозных или других убеждений, а также персональные данные, касающиеся здоровья или половой жизни, а также данные о судимости граждан. Согласно ст. 6 Европейской Конвенции, эти данные не могут подвергаться автоматизированной обработке, если нет соответствующих гарантий, установленных национальным законодательством.

Очевидно, что специальная или особая (в разных редакциях закона “О персональных данных” приводилось разное определение этих данных) категория персональных данных, приведённая в Европейской Конвенции и законе, не относится к сведениям о частной жизни.

Это следует из того, что, в силу Конституции России, сведения о частной жизни не могут быть собраны и использованы без согласия человека или решения суда. А Европейская Конвенция и закон “О персональных данных” прямо предполагают автоматизированную обработку (включая сбор) даже специальных (особых) категорий персональных данных, что практически исключает получение предварительного согласия человека или решения суда.

Соответственно, утверждение о том, что специальные (особые) категории данных являются сведениями о частной жизни было бы равносильно утверждению о том, что Европейская Конвенция противоречит Конституции России. Однако в этом случае, в силу ст.ст.22, 34 закона России “О международных договорах России”, Европейская Конвенция не могла быть ратифицирована без внесения изменений в Конституцию России.

Кроме того, очевидно, что данные о расовой или этнической принадлежности, равно как и данные о судимости, в отличие от сведений о почтовой и электронной переписке человека, а также телефонных переговоров, не относятся к сведениям о частной жизни, хотя и нуждаются в защите не в меньшей степени.

Таким образом, персональные данные человека делятся на три группы, одна из которых защищается в общем для всех персональных данных порядке, а две другие в силу Конституции России и Европейской Конвенции требуют особого порядка правовой защиты.

Та часть требующих особой защиты персональных данных, которая охраняется Европейской Конвенцией, особо, хотя и недостаточно, охраняется и законом “О персональных данных”, а защищённые Конституцией сведения о частной жизни в законе даже не упоминаются.

ОБЪЕДИНЕНИЕ СИСТЕМ УЧЁТА НАСЕЛЕНИЯ

Константин Гордеев

Закон “О персональных данных” предусматривает создание государственного регистра населения (ГРН) РФ (ст.24 з/п, принятого в первом чтении) – особой базы данных, выступающей в качестве интегрирующего звена для отраслевых и региональных реестров и регистров, хранящих персональные данные о соответственно учитываемом населении. Предполагается, что ГРН должен будет “содержать идентификаторы персональных данных всех физических лиц, постоянно или временно проживающих или пребывающих на территории Российской Федерации” (ст.24 п.2).

Следует отметить, что под давлением критики при подготовке закона ко второму чтению формулировки были смягчены, но суть ГРН осталась неизменной. Так в п.5 ст.13 одной из последующих редакций приводится следующая норма: “В целях обеспечения реализации прав субъектов персональных данных в связи с обработкой их персональных данных в государственных и муниципальных информационных системах персональных данных могут создаваться государственные регистры населения, правовой статус и порядок работы с которыми устанавливаются федеральным законом с учетом правил обработки персональных данных, установленных настоящим Федеральным законом”.

Однако такого рода изменения лишь усугубляют положение, т.к., вместо федерального закона для введения ГРН достаточно будет Указа Президента или даже Распоряжения Правительства, а объединение созданных по единому стандарту регистров населения в единую информационную систему станет техническим мероприятием.

Мининформсвязи в настоящее время именно этим и занимается, создавая информационную систему, поддерживающую единое пространство социальных карт, основанных на уже созданных без всякого закона (и также без всякого закона внедряемых) так называемых региональных “социальных регистрах населения” (см. например, http://www.e-rus.ru/site.shtml?id=7&n_id=3834).

Впрочем, никакого законодательно-правового обоснования создания ресурса, объединяющего существующие системы учета, не предлагается ни в законе о “Персональных данных”, ни за его пределами. Существует ряд подзаконных актов, вроде Постановлений и Решений Правительства (одно из последних, например, Распоряжение от 9 июня 2005 г. № 748-р об утверждении Концепции Системы персонального учета населения (СПУН)). Существует также и ссылка на ратифицированную Россией “Конвенцию Совета Европы о защите физических лиц при автоматизированной обработке персональных данных”.

Однако ни одна из заявленных в законопроекте целей регистра населения РФ не отвечает положению упомянутой Конвенции о накоплении личных данных только для точно определенных целей.

Трудно переоценить значимость последствий создания интегрированной посредством ГРН распределенной регионально-отраслевой базы данных, охватывающей практически всю социально значимую информацию о всяком человеке, пребывающим на территории России.

Вызывает тревогу неизбежность нарушений, как ст. ст. 23, 24, 56 Конституции РФ, так и Доктрины информационной безопасности РФ, определяющей соблюдение прав и свобод человека и гражданина согласно указанным статьям Конституции, как первую и основную составляющую национальных интересов РФ в информационной сфере.

Основанием для такого вывода служит то, что Госрегистр населения РФ, как заявлено в принятой в первом чтении версии закона “О персональных данных”, призван обеспечивать непротиворечивость сведений о населении страны в регионально-отраслевых базах данных. Иначе говоря, он должен выступить, как интегрирующий элемент, превращающий совокупность локализованных баз данных в единую территориально-распределенную информационную систему. Наглядным тому подтверждением служит определение распределенной БД – http://www.glossary.ru/cgi-bin/gl_sch2.cgi?RBgn:!kgtt:.

Как бы ни была построена работа такой информационной структуры – в непрерывном или дискретно-сэссионном режиме обмена сведениями, через единый сервер или через интегрированную совокупность узловых серверов-коммутаторов – и как бы ни была организована режимность доступа в нее, возникает принципиальная возможность получения с одного произвольного терминала (точки доступа) аккумулированной информации обо всех социально-значимых действиях любой внесенной в нее персоналии, а также о ее статусе в обществе, здоровье, финансовом и имущественном состоянии, а по косвенным признакам и о ее мировоззрении, убеждениях, круге общения, потенциально возможных поступках.

При этом периметр информационной безопасности системы расширяется настолько, что утечка персональных данных становится гарантированной, как через несанкционированные вторжения злоумышленников, так и продажу сведений управленцами и операторами БД.

Возможность знать о человеке практически все и прогнозировать его реакции на внешние события создает возможность осуществления беспрецедентного контроля и манипулирования поведением человека. Причем уже существующие технические и технологические возможности таковы, что последнее вполне осуществимо непрерывно и в режиме реального времени.

Кроме того, информация о членах общества, сконцентрированная подобным образом и открытая для коммутации с зарубежными БД при ее трансграничной передаче, существенно облегчает утечку данных, создающих угрозу суверенитету и национальной безопасности.

Существенно облегчается также использование такой локально-распределенной информационной системы в целях концентрации власти в государстве в руках узкой преступной группы лиц, совершения государственного переворота и установления сверхтоталитарной диктатуры.

К сказанному можно добавить также и другие, менее очевидные, но не менее значимые по последствиям для стабильности и развития общества аспекты. Фактический отказ (и, соответственно, изменение Конституции) от принципа “презумпции невиновности”, от права на имя (которое заменит присваиваемый информационной системой персональный идентификатор), от индетерминированности разрешенного и многое другое, связанное с ограничением свободы личности регламентами, созданными внутри управляющей ею информационной системы.

С точки зрения международного опыта, создание подобных интегрированных информационных ресурсов не является чем-то новым. В той или иной степени работа над ними ведется в разных странах по всему миру.

Изучая тенденции к объединению баз данных о людях, международные гуманитарные и правозащитные организации регулярно высказывают тревоги и претензии, аналогичные перечисленным выше.

Так в 1991 году с критическим исследованием “Введение и использование личных идентификационных номеров: вопрос защиты данных” выступил Комитет экспертов Совета Европы по вопросам защиты данных в границах полномочий Европейского Комитета правового сотрудничества, а в 1996 г. свой доклад “Идентификационные карточки. Наиболее часто возникающие вопросы” опубликовал Саймон Девис, генеральный директор Prіvacy Іnternatіonal и научный сотрудник Лондонской Школы экономики.

Их выводы однозначны: заявленные правительствами цели посредством создаваемых информационных монстров – “регистров населения” – в полноте не достигаются, а права и свободы граждан поражаются с неизбежностью.

ИДЕНТИФИКАТОРЫ

Константин Гордеев

В качестве целей создания Государственного регистра населения РФ законопроект “О персональных данных” называет (а) “обеспечение непротиворечивости содержащихся в информационных системах персональных данных”, и (б) хранение “идентификаторы персональных данных всех физических лиц, постоянно или временно проживающих или пребывающих на территории Российской Федерации” (ст. 24 текста закона “О персональных данных”, принятого в первом чтении).

В свою очередь, в ст. 23 этого же закона заявляется лишь, что они являются “уникальными и постоянными для каждого лица”, формируются в соответствии с законодательством и применяются согласно “нормативным правовым актам Российской Федерации, и при соблюдении требований к обеспечению конфиденциальности персональных данных”.

Еще 15 лет назад в Исследовании Комитета экспертов Совета Европы по вопросам защиты данных в границах полномочий Европейского Комитета правового сотрудничества “Введение и использование личных идентификационных номеров: вопрос защиты данных” (http://www.khpg.org/publication/svoboda/buf3_4/005.html) четко перечислена совокупность целей введения идентификационных номеров и социальные издержки, сопутствующие их реализации.

Согласно этому исследованию, всеобщая компьютеризация учетных процессов и инвентаризация всего и вся ведут к тому, что:

• введение личного идентификационного номера (ЛИН) является гарантией избежания осложнений при совпадении имен лиц;
• ЛИН может обеспечить органы власти правдивой и надежной информацией, которая заносится в административный реестр, картотеки или базы данных;
• ЛИН позволяет контролировать и проверять информацию, которая подается лицом в орган власти с целью установления оснований для пользования определенными правами, преимуществами и льготами (социальное обеспечение, гранты, компенсации и т.д. ), или с целью их отстранения от определенных взысканий или других наказаний (налоги, общественные обязательства и т.д. );
• ЛИН, превращенный в универсальный идентификатор значительно упрощает процесс редактирования и сверки информации, который при автоматизированной обработке проводится в реальном времени
• ЛИН, как средство доступа к персональной информации, является явной преградой на пути несанкционированных системой действий со стороны личности.

Однако, несмотря на кажущуюся привлекательность перечисленных качеств личных идентификационных номеров, они всегда встречали критику со стороны правозащитных и даже государственных контролирующих организаций, поскольку явным образом составляли угрозу правам и сводом личности.

Самым впечатляющим среди выступлений противников ЛИН является решение Конституционного Суда Германии о том, что введение универсальных личных идентификационных номеров может создать угрозу для человеческого достоинства, открывая пути для контроля за обществом через возрастающие возможности обмена информацией между базами данных при сборе и обработке персональных данных.

Таким образом, создается опасность, что значимость людей будет сведена к “номерам”. Следуя этим вывода Конституционного Суда ФРГ, можно заключить, что государство создает для себя возможность перестать относиться к своим гражданам, как к человеческим личностям, заслуживающим уважения, и имеет тенденцию постепенно развиться в оруэлловское, построенное на тотальном контроле с широкими возможностями постоянного наблюдения за каждым из членов общества.

Все негативные последствия введения личных идентификационных номеров, отмеченные правозащитниками, можно свести к следующему перечню:

• существуют опасения по поводу неконтролируемого использования ЛИН;
• использование ЛИН создает угрозу для конфиденциальности частной информации;
• личные идентификационные номера (в особенности единый многоцелевой идентификатор) вместе с автоматизированной обработкой данных (в особенности в реальном времени) являются средством усиления органов власти;
• накопление информации путем информационного обмена между базами данных (БД) через использование единых идентификаторов выключает субъекта этих данных из информационного круга, т.к. разрешает властным структурам собирать персональную информацию, используя ту, которая накоплена в БД, созданных с иными целями другими административными органами;
• тотальное, не ограниченное чисто административными функциями, использование ЛИН (в особенности универсального ЛИН) ставит вопросы, связанные с индивидуальными свободами и контролем, поскольку номер наносит ущерб анонимности граждан – он может быть присвоен лицу на все жизнь, упрощая властным структурам определения места нахождение, путей передвижения лица и т.д. , сбор информации из разных баз персональных данных без ведома лица, принятие решений относительно этого лица на основании полученной информации (причем, все это реализуемо как на индивидуальном, так и на групповом уровнях);
• ЛИН может содержать внутри себя закодированную информацию, открытую должностным лицам, которым она предоставлена, и скрытую от непосвященных в нее “субъектов учета”;
• ЛИН открывает доступ к информации сугубо конфиденциального свойства;
• ЛИН и информация, с ними ассоциированная, могут в течение жизни человека кардинально изменяться при том, что не существует механизмов гарантированного уничтожения прежних сведений;
• существует опасность персонификации посредством ЛИН декларативно обезличенной информации конфиденциального свойства;
• существует опасность шантажа, посредством установления зависимости от предъявления ЛИН возможности совершения неких социальных действий;
• существует возможность (которая как раз великолепно реализуется посредством введения регистра населения РФ и соответствующей ему совокупности идентификаторов персональных данных) того, что ЛИН приобретет свойства универсального и неограниченного во времени и пространстве маркера социального статуса.

В качестве дополнения к последнему случаю необходимо отметить, что такой маркер обладает всеми свойствами системного имени (социальная универсальность, уникальность, ключ для достоверного распознавания в системе ее субъекта и связанных с ним признаков). А потому ЛИН вступает также и в неразрешимый конфликт с религиозными правами и свободами, ограничивая верующих в их праве носить признаваемое обществом имя в соответствии со своими убеждениями, например, христианское, мусульманское и пр.

ИДЕНТИФИКАЦИЯ ЧЕЛОВЕКА И УСТАНОВЛЕНИЕ ЛИЧНОСТИ ГРАЖДАНИНА

Давид Горелишвили

Как следует из закона “О персональных данных”, идентификаторы служат для идентификации персональных данных, а персональные данные, в свою очередь, используются или могут использоваться для определения человека. При этом закон не содержит никаких норм, раскрывающих порядок определения самого человека, или поясняющих что означает словосочетание “определенное или поддающееся определению физическое лицо”.

В совокупности, неоднозначность и невнятность этих фраз может привести к многочисленным нарушениям прав человека в правоприменительной практике, поскольку они могут трактоваться в качестве норм, позволяющих идентифицировать человека в ходе автоматизированной обработки его персональных данных.

Следует пояснить, что идентификация, по сути, представляет собой установление идентичности (син. тождество или равнозначность), в то время как человек не равен своим персональным данных, хотя они и относятся к нему. Человек не может быть идентифицирован, поскольку не идентичен ничему кроме самого себя.

Вместе с тем, в праве давно устоялось и широко используется такое ёмкое понятие, как личность. Причём установление личности во всех случаях сопряжено с оценкой совокупности достаточных для совершаемого юридического действия обстоятельств. Иными словами, установление личности всегда представляет собой процедуру принятия ответственного решения, которое не может быть результатом исключительно автоматизированной обработки персональных данных.

В зависимости от значимости принимаемого решения, процедура установления личности может быть сложной или упрощённой, но устанавливать личность может только человек. Это обусловлено тем, что никакие механические или электронные системы не могут принимать ответственные решения и давать оценку персональным данным, хотя вполне могут идентифицировать, т.е. сравнивать между собой отдельные персональные данные.

Эту особенность обработки персональных данных следовало бы отразить в законе отдельной нормой, прямо запрещающей идентификацию человека, как в автоматизированном режиме, так и путём формального сравнения его персональных данных. Иное может привести к случаям автоматического и непреодолимого незаконного ограничения прав граждан.

Надо учесть также и то, что не может быть исчерпывающего перечня персональных данных, позволяющего однозначно установить личность человека. Даже при всей уникальности биометрических данных, известны случаи крайней схожести отпечатков пальцев разных людей, не говоря уже о ДНК человека, которое полностью совпадает у однояйцевых близнецов. Вместе с тем, ДНК одного и того же человека в редких случаях также может с течением жизни изменяться вследствие болезни или воздействия внешних обстоятельств (например, интенсивная химиотерапия при лечении онкологических заболеваний или облучение жёстким радиационным излучением). Стоит также упомянуть и такие стремительно развивающиеся отрасли медицины, как трансплантология и пластическая хирургия. На сегодняшний день нет ничего сенсационного в пересадке рук, изменении формы лица и даже смене пола. Уже известен случай успешной пересадки лица, а на медицинских конференциях всерьёз обсуждается возможность пересадки глаз. Не исключаются также и несоответствующие действительности ошибочные или умышленные изменения самих персональных данных в системах управления.

В качестве наглядного примера недопустимости идентификации человека можно привести многочисленные нарушения в московском общественном транспорте, где в нарушение федерального законодательства, с введением оборудованных турникетами автоматизированных валидаторов, пенсионеры без необязательной социальной карты не могут попасть в транспортное средство, даже имея на руках документы, подтверждающие их право на бесплатный проезд. А злоумышленники беспрепятственно пользуются бесплатными услугами городского транспорта с помощью чужих социальных карт.

Происходит это потому, что за невозможностью автоматизированной идентификации человека или установления его личности, идентифицируется лишь его социальная карта, т.е. его персональные данные, что вполне возможно.

В результате, в условиях, где вместо установления личности предпринимаются попытки идентифицировать человека, всё чаще и с большим размахом совершаются такие преступные деяния, которые в совокупности можно было бы назвать присвоением личности.

В настоящее время УК России, даже не содержит подобных норм, поскольку только после введения закона "О персональных данных" всякого рода информационные системы приобретут юридическое значение, а значит приобретут правовые последствия и попытки идентификации человека, что и создаст условия, в которых станет возможным присвоение личности человека в наиболее ответственных и значимых правоотношениях.

Таким образом, отсутствие в законе норм, запрещающих идентификацию человека, при обработке его персональных данных создаёт предпосылки для таких посягательств на права человека, которые даже не квалифицируются как преступления, хотя могут нанести человеку значительный материальный и нематериальный ущерб.

МЕХАНИЗМЫ ЗАЩИТЫ ПРАВ ГРАЖДАН ПРИ СБОРЕ И ИСПОЛЬЗОВАНИИ ИХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Давид Горелишвили

Закон “О персональных данных” крайне размыто и неявно отражает современные тенденции в области защиты информационных прав граждан, хотя именно возросшие технические возможности, создающие угрозу свободам и правам личности вызвали необходимость принятия данного закона.

Прежде всего, следует отметить, что к настоящему времени уровень информационных технологий и их распространённость достигли того предела, когда самозащита информационных прав уже не является эффективным средством против посягательств на приватность и частную жизнь. Современный человек уже физически не способен скрыться от всего многообразия явно или неявно применяемых в отношении него технических устройств сбора и технологий обработки данных о людях.

С развитием средств электронной коммерции и доступных средств массовой информации возросли также и возможности злоупотреблений в области использования собранной и накопленной информации о человеке. Появились и эффективно используются злоумышленниками средства интеграции и быстрой обработки персональных данных, создающие угрозу правам и законным интересам человека.

В этих условиях приобретают чрезвычайную актуальность иные механизмы защиты прав человека, не зависящие от возможностей и усилий самого человека. К наиболее эффективным средствам такого рода следует отнести введение общих ограничений на сбор и использование персональных данных человека без его ведома и согласия.

Охрана законом частной жизни, приватности и информационных прав граждан могла бы в некоторой степени восстановить баланс интересов участников общественной жизни и компенсировать безудержный рост эффективности современных технологий, используемый в интересах одних лиц в ущерб интересам других лиц.

Введение ограничений на сбор персональных данных и их использование в ущерб интересам граждан, с одной стороны, служило бы эффективным сдерживающим средством, т.к. любое незаконное использование персональных данных могло бы уже в силу закона обернуться против того, кто в нарушение закона посягает на персональные данные граждан. С другой стороны, позволило бы создать эффективные правоприменительные инструменты защиты информационных прав граждан.

Закон “О персональных данных” не привносит никаких значимых изменений в этой сфере, хотя и влечёт узаконивание ряда новых технологий сбора и использования персональных данных.

В результате, создание новых эффективных правоприменительных институтов затруднено, поскольку эти институты при любой степени оснащённости, добросовестности и широты полномочий, физически не способны защищать какие бы то ни было права, если эти права не будут защищены законом.

Вместе с тем, предусмотренное законом “О персональных данных” узаконивание ряда технологических решений в области сбора и использования персональных данных создаёт новые юридические возможности использования персональных данных граждан, что неминуемо приведёт к новым формам злоупотреблений персональными данными, как со стороны органов государственной власти, так и со стороны коммерческих институтов.

ОБ УПОЛНОМОЧЕННОМ ОРГАНЕ ПО ЗАЩИТЕ ПРАВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

Экспертный текст об уполномоченном органе подготовлен по просьбе авторов доклада координатором Межрегиональной группы "Правозащитная сеть" Сергеем Смирновым.

Законопроект "О персональных данных" в статьях, затрагивающих Уполномоченный орган, частично следует европейским традициям и требованиям Конвенции № 108 (включая Дополнительный протокол). Компетенция Уполномоченного органа изложена полно и подробно. Учитывается право Уполномоченного предлагать шаги по совершенствованию действующего законодательства. Упомянута и регулярная отчетность, задача которой – обеспечить прозрачность действий нового надзорного органа. Его полномочия достаточно широки для эффективной защиты персональных данных.

Однако в законопроекте отсутствует принцип независимости. Вкупе с тем, что известно в настоящее время экспертам и наблюдателям, можно предположить, что функции Уполномоченного органа будут переданы Правительством одному из действующих органов исполнительной власти. Это ставит под сомнение независимость Уполномоченного органа и его способность беспристрастно отстаивать право граждан на неприкосновенность частной жизни. Отсутствие каких-либо (даже минимальных) требований к членам и сотрудникам Уполномоченного органа позволяет предположить, что эти должности могут быть заполнены людьми как со знаниями и опытом в области неприкосновенности частной жизни, так и без оных. Таким образом, смысл и характер Уполномоченного органа не вполне определяются федеральным законом, а будут установлены Правительством. Само по себе это не является катастрофой, но вселяет тревогу. Было бы логично и последовательно конкретизировать важнейшие принципы в законодательстве. Это сделало бы более реальными и прозрачными контрольно-надзорные, просветительские и иные функции Уполномоченного органа. Как следствие, это позволило бы ему завоевать доверие у людей. Отсутствие в законодательстве целого ряда важных моментов, непосредственно касающихся Уполномоченного органа, наоборот, не прибавляет ему авторитет.

Конечно, нельзя ожидать, что в такой запущенной (в смысле защиты права на неприкосновенность частной жизни) ситуации, какая сложилась в России к 2006 году, Уполномоченный орган в первые же месяцы своей деятельности достигнет впечатляющих результатов. Предстоит большая работа: изучение проблемы защиты приватности, привлечение специалистов, налаживание контактов с общественными организациями и бизнесом, разъяснение политики защиты приватности в разных сферах человеческих взаимоотношений, просветительские шаги, анализ законодательной базы и многое другое. Немаловажно, чтобы в начале своей работы Уполномоченный орган опирался на уже достигнутые (пусть и скромные) результаты. Так, в просветительской деятельности Уполномоченный орган может воспользоваться брошюрами, статьями и другими материалами, которые были подготовлены ранее некоммерческими организациями, академическим сообществом, независимыми юристами. Силами общественных активистов проводились международные конференции, посвященные информационным правам, а также обучающие семинары. На русский язык переведено много интересных и полезных материалов (многое из перечисленного доступно в Интернете на сайте "Приватность"). Таким образом, Уполномоченный орган начинает свою работу не с нуля. Он может опереться на общественные инициативы в области защиты права на неприкосновенность частной жизни.

(полную версию материала см. http://privacy.hro.org/pers/pro/gov)

ЗАКЛЮЧЕНИЕ

Ввиду высокой значимости персональных данных в современной жизни и широты областей правоотношений, затрагиваемых законом “О персональных данных”, сделать какие либо выводы обо всех аспектах влияния данного закона на общество в одном докладе невозможно. Выше отмечались лишь наименее исследованные и наиболее тревожные проблемы, перед которым поставлено общество вследствие принятия закона “О персональных данных”. За рамками настоящего исследования остались неминуемо затрагиваемые этим законом такие фундаментальные права человека, как право на убеждение, право человека на информацию о себе, приватность и т.д.

Авторы не коснулись вопросов государственного обустройства и обороноспособности страны. Также не были затронуты вопросы информационной безопасности граждан и технические проблемы, требующие разрешения с введением данного закона. Эти и многие другие стороны затрагиваемых законом общественных и государственных отношений требуют отдельного, пристального и совместного изучения, государственных, общественных, политических, научных и религиозных институтов.

В этом свете наибольшую тревогу вызывает отсутствие необходимых для такого значимого нормативного акта, экспертиз и заключений, включая заключение о соответствии закона Конституции России, не говоря уже об отсутствии опубликованных научных трудов в этой области.

Отмечаются и процедурные особенности принятия данного закона, исключающие саму возможность влияния гражданского общества на ход его принятия. Попытки достичь общественного согласия, предпринятые органами государственной власти уже после принятия закона в первом чтении, безусловно, заслуживают одобрения. Однако, эти попытки представляются недостаточными хотя бы в силу их направленности на сохранение в неизменном виде концепции закона, в то время, как такого рода масштабные изменения в праве требуют учёта интересов и мнений максимально широкого круга заинтересованных лиц.

В целом, авторы настоящего Доклада приходят к выводу о неприемлемости данной концепции закона и необходимости скорейшей выработки консолидированной, приемлемой для всего российского общества концепции закона, что требует широкого и публичного обсуждения.

Наиболее целесообразной формой такого обсуждения представляется направление законопроекта на Всенародное Обсуждение, предусмотренное п. 6. ст. 119 Регламента Государственной Думы Федерального Собрания России с последующей публикацией текста закона “О персональных данных” в официальных изданиях и создания временного органа собирающего и обобщающего мнения любых заинтересованных лиц.

Одновременно авторы заявляют об открытости данного Доклада для уточнений и особых мнений со стороны любых заинтересованных лиц, равно как и о намерении переиздать Доклад не позднее 1 декабря 2006 г. с учётом изменившихся к тому времени обстоятельств и поступивших предложений. Авторы призывают всех заинтересованных лиц принять участие в подготовке следующего издания Доклада и заявляют о намерении публиковать при переиздании Доклада все особые мнения к любому разделу вместе с основным текстом