Personas datu aizsardzības pieeju un prakses salīdzinājums Krievijā un ES
Faktiski ar jebkuru darbību, ko lietotājs veic internetā, notiek sava veida manipulācijas ar lietotāja personas datiem.
Mēs nemaksājam par daudziem pakalpojumiem, ko saņemam internetā: par informācijas meklēšanu, e-pastu, par datu glabāšanu mākonī, par saziņu sociālajos tīklos utt. Tomēr šie pakalpojumi ir tikai nosacīti bezmaksas: mēs maksājam viņiem ar mūsu datiem , kurus šie uzņēmumi pēc tam pārvērš naudā, galvenokārt izmantojot reklāmu.
Šobrīd dati par dzimumu, vecumu un dzīvesvietu, meklēšanas vēsturi -
pamats tiešsaistes reklāmas industrijai, kuras vērtība ir miljardiem dolāru un eiro. Tas ir, no juridiskā viedokļa personas dati ir materiāli uzņēmējdarbības veikšanai. Attiecīgi uzņēmumi pieliek milzīgas pūles un tērē ievērojamus līdzekļus, lai iegūtu un apstrādātu personas datus. 2018. gadā veiktās aptaujas liecina, ka lietotāji, izprotot savu personas datu vērtību, ir arvien vairāk neapmierināti ar to, kā uzņēmumi rīkojas ar saviem personas datiem.
Lietotāju datu izmantošanas segmenta regulējums vēl nav izveidojies un atpaliek no tehnoloģiju attīstības ne tikai Krievijā, bet visā pasaulē, tāpēc patērētāju un uzņēmumu interešu līdzsvars "naudas - pakalpojuma - datos". - nauda” modelis šodien tiek veidots gan no Regulatoru puses, gan ar sabiedrības un uzņēmumu klusām vienošanām. Regulatori ierobežo IT uzņēmumu iespējas un paplašina lietotāju tiesības: ievieš jaunus likumus, kas lietotājiem dod lielāku kontroli pār viņu sniegto informāciju.
Interesanti ir salīdzināt Eiropas valstu un Krievijas regulatoru pieejas. Krievijā galvenie noteikumi, kas regulē personas datu apstrādi, ir Federālais likums par personas datu aizsardzību (152-FZ) un Administratīvo pārkāpumu kodekss, kas tieši nosaka konkrētu naudas sodu apmēru par personas datu apstrādes procedūras pārkāpšanu. . Kopš 1. gada 2017. jūlija būtiski pieauguši administratīvie sodi. Vienlaikus tika noteikti jauni naudas sodi atkarībā no izdarītā pārkāpuma veida. Tādējādi amatpersonām var uzlikt naudas sodu no 3000 līdz 20 000 rubļu, individuālajiem uzņēmējiem - no 5000 līdz 20 000 rubļu, organizācijām - no 15 000 līdz 75 000 rubļu. Turklāt viņus var saukt pie atbildības par dažādiem pārkāpumiem. Attiecīgi vienam uzņēmumam par dažādiem pārkāpumiem var tikt piemēroti vairāki dažādi naudas sodi. Bet atbildība paredzēta tieši par formālu prasību neievērošanu, piemēram, ja trūkst nepieciešamo papīru. Tas ne vienmēr ir tieši saistīts ar reālu informācijas aizsardzību. Piemēram, noplūde pati par sevi nav pamats sodiem, ja vien netiek pārkāpti citi likumi. Interesanti, ka ievērojams skaits konstatēto pārkāpumu personas datu apstrādes jomā satur saturu, kas paredzēts Krievijas Federācijas Administratīvo pārkāpumu kodeksa 19.7 pantā: “Neiesniegšana vai savlaicīga iesniegšana valsts iestādei (Roskomnadzor) - informācija (informācija), kuras iesniegšana ir paredzēta likumā un ir nepieciešama šīs institūcijas tiesiskās darbības īstenošanai...” Interesanti, ka daudz lielāka atbildība ir paredzēta nevis par personas datu apstrādes kārtības pārkāpumiem (kā norādīts iepriekš, tas ir vidēji 30-50 tūkstoši rubļu), bet gan tieši par informācijas nesniegšanu (aizkavēšanos, nepilnīgu iesniegšanu) par personas datu apstrādi. par personas datu apstrādes procedūru Roskomnadzor var uzlikt naudas sodu līdz 200.000 XNUMX rubļu. Tie. Krievijas likumdošanā un tās piemērošanas praksē dominē tendence "galvenais, lai uzvalks der" un valsts vajadzības ir apmierinātas. iestādes dažādos ziņojumos. Lietotāju reālās tiesības un viņu personas datu drošība internetā ir vāji aizsargātas. Vienāds naudas sodu apmērs nekādi nekorelē ar dažu uzņēmumu saņemto labumu apmēru, pārkāpjot personas datu apstrādi internetā, un neveicina šo noteikumu ievērošanu.
ES situācija ir nedaudz atšķirīga. Kopš 2018. gada maija Eiropā darbu ar personas datiem regulē Personas datu apstrādes noteikumi, kas noteikti Vispārīgajā datu aizsardzības regulā (ES regula 2016/679 datēts ar 27. gada 2016. aprīli vai GDPR — Vispārīgā datu aizsardzības regula). Regulai ir tieša iedarbība visās 28 ES valstīs. Regula nodrošina ES iedzīvotājiem pilnīgu kontroli pār saviem personas datiem. Saskaņā ar GDPR ES pilsoņiem un iedzīvotājiem ir ļoti plašas tiesības kontrolēt savus personas datus. Eiropas lietotājiem ir tiesības pieprasīt apstiprinājumu tam, ka viņu dati tiek apstrādāti, apstrādes vietu un mērķi, apstrādājamo personas datu kategorijas, kurām trešajām personām personas dati tiek izpausti, laika posmu, kurā dati tiek apstrādāti. tiks apstrādāti, kā arī precizēt organizācijas personas datu saņemšanas avotu un pieprasīt to labošanu. Turklāt lietotājam ir tiesības pieprasīt, lai viņa datu apstrāde tiktu pārtraukta.
Kopš 2018. gada maija atbildība naudas sodu veidā par personas datu apstrādes noteikumu pārkāpumiem: saskaņā ar GDPR soda nauda sasniedz 20 miljonus eiro (apmēram 1,5 miljardus rubļu) jeb 4% no uzņēmuma gada globālajiem ieņēmumiem.
Vissvarīgākais ir tas, ka tas viss darbojas: uzņēmumi, kas pārkāpj lietotāju tiesības, tiek saukti pie atbildības, un tiem tiek piemēroti ļoti nopietni sodi. Piemēram, 2019. gada 21. janvārī Francijas Nacionālā informātikas un pilsonisko tiesību komisija (CNIL) piesprieda amerikāņu uzņēmumam GOOGLE LLC 50 miljonu eiro sodu par GDPR pārkāpumu. Sods ir ļoti liels, skaidri parādot GDPR prasību neievērošanas sekas. Par ko tika piemērots sods? Francijas komisija noteica, ka mobilās ierīces sākotnējā konfigurācija operētājsistēmā Android (Google) nesniedz lietotājiem pilnīgu informāciju par to, ko Google dara ar viņu personas datiem. Uzņēmums nav izpildījis savus pienākumus nodrošināt pārredzamību personas datu apstrādē un informēt subjektus (VDAR 12. un 13. pants). Lietotāju datu glabāšanas periodi bija vāji regulēti. Uzņēmumam trūka nepieciešamā juridiskā pamata datu apstrādei (VDAR 6. pants). Google tika apsūdzēts arī par lietotāju piekrišanas neatbilstošu iegūšanu viņu datu apstrādei reklāmas personalizēšanai.
Citi piemēri: naudas sods no Vācijas regulatora LfDI uz tērzēšanas pieteikumu par iepazīšanos ar Knuddelu - 20.000 300 eiro; Portugāles slimnīca Barreiro slimnīca tika apsūdzēta par nepareizu piekļuves pārvaldību kritiskiem personas datiem (sods 100 tūkstošu eiro apmērā) un drošības un integritātes pārkāpšanu. dati (vēl 20 tūkstoši eiro ). Apvienotās Karalistes varas iestādes ir izteikušas brīdinājumu Kanādas uzņēmumam, kas nodarbojas ar analītisko izpēti. Uzņēmumam tika likts pārtraukt iedzīvotāju personas datu apstrādi, pretējā gadījumā tam draud 17000000 miljonu eiro sods. Kanādas digitālā mārketinga un programmatūras izstrādes uzņēmumam AggregateIQ tika uzlikts naudas sods 5280 XNUMX XNUMX mārciņu apmērā. Kādai kafejnīcai Austrijā par nelikumīgu videonovērošanu (kamera fiksēja daļu ietves) piemērots sods XNUMX eiro apmērā. Tie. jebkurai organizācijai, uz kuru attiecas GDPR, saskaņā ar vietējām tradīcijām nevajadzētu aprobežoties tikai ar normatīvās dokumentācijas izstrādi.
Starp citu, GDPR īpatnība ir tāda, ka tas attiecas uz visiem uzņēmumiem, kas apstrādā ES iedzīvotāju un pilsoņu personas datus, neatkarīgi no šāda uzņēmuma atrašanās vietas, tāpēc Krievijas uzņēmumiem šī regula būtu rūpīgi jāapsver, ja to pakalpojumi ir vērsti uz Eiropas tirgū
Avots: www.habr.com
