Правовые механизмы защиты персональных данных в GDPR

Защита персональных данных является одним из ключевых направлений правового регулирования в условиях цифровизации. Увеличение объёма данных, обрабатываемых с использованием информационных технологий, приводит к росту рисков их неправомерного использования, утечек и нарушения прав субъектов персональных данных. В связи с этим особое значение приобретает анализ зарубежных моделей регулирования, позволяющий выявить механизмы, которые могут быть использованы для совершенствования российского законодательства.

Одним из наиболее разработанных актов в данной сфере является Общий регламент Европейского союза по защите данных — General Data Protection Regulation [2]. Данный акт закрепляет подробные правила обработки персональных данных, права субъектов, обязанности контролёров и процессоров, а также значительные меры ответственности за нарушение требований законодательства.

Одной из существенных особенностей GDPR является его экстерриториальный характер. Регламент может применяться не только к организациям, находящимся на территории Европейского союза, но и к лицам за его пределами, если их деятельность связана с предложением товаров или услуг лицам, находящимся в Европейском союзе, либо с мониторингом их поведения.

В статье 4 GDPR персональные данные определяются как любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу. При этом Регламент раскрывает возможные способы идентификации: по имени, идентификационному номеру, данным о местоположении, онлайн-идентификатору, а также по признакам, характеризующим физическую, физиологическую, генетическую, психическую, экономическую, культурную или социальную идентичность лица. В отличие от российского законодательства, где определение персональных данных носит более обобщённый характер, GDPR содержит более детализированную формулировку [1]. Это снижает риск неоднозначного толкования и позволяет относить к персональным данным, например, отдельные онлайн-идентификаторы.

Принципы обработки персональных данных закреплены во второй главе GDPR. К ним относятся законность, справедливость и прозрачность обработки; ограничение цели обработки; минимизация данных; точность; ограничение срока хранения; целостность и конфиденциальность. Указанные принципы определяют общие пределы допустимой обработки персональных данных. Так, данные должны собираться только для заранее определённых и законных целей, не должны быть избыточными, должны поддерживаться в актуальном состоянии и храниться не дольше, чем это необходимо для достижения целей обработки.

Особое значение в GDPR имеет закрепление прав субъектов персональных данных. Глава III Регламента предусматривает право субъекта на получение информации об обработке данных, право доступа к своим данным, право на исправление неточных сведений, право на удаление данных, право на ограничение обработки, право на переносимость данных, право возражать против обработки, а также право не подвергаться решениям, основанным исключительно на автоматизированной обработке. Такая система прав позволяет субъекту активнее контролировать использование своих персональных данных.

Существенным элементом европейской модели является высокий уровень ответственности за нарушение требований GDPR. Статья 83 Регламента предусматривает административные штрафы, размер которых зависит от характера нарушения. За нарушение отдельных обязанностей контролёра или процессора штраф может достигать 10 млн евро или 2% годового мирового оборота компании. За нарушение основных принципов обработки, прав субъектов данных или правил передачи персональных данных штраф может составлять до 20 млн евро или до 4% годового мирового оборота компании в зависимости от того, какая сумма является большей.

Одним из важных отличий GDPR является разграничение статусов контролёра и процессора. Контролёр определяет цели и средства обработки персональных данных, принимает ключевые решения об их использовании и несёт основную ответственность за соблюдение требований Регламента. Процессор, в свою очередь, осуществляет обработку по поручению контролёра и в пределах его инструкций. Российское законодательство использует категорию оператора персональных данных. Оператор может поручить обработку другому лицу, однако обязанность обеспечить соблюдение требований законодательства перед субъектом персональных данных сохраняется за оператором.

Таким образом, GDPR представляет собой более детализированную и риск-ориентированную модель регулирования персональных данных. Его особенности выражаются в широком и конкретизированном определении персональных данных, закреплении развернутого перечня прав субъектов, разграничении статусов контролёра и процессора, установлении обязанности оперативного уведомления об утечках, а также введении значительных административных штрафов.

Сравнение GDPR с российским законодательством показывает, что Федеральный закон «О персональных данных» закрепляет базовые гарантии защиты персональных данных, однако отдельные механизмы требуют дальнейшей конкретизации. В частности, российское регулирование может быть усовершенствовано за счёт расширения практических механизмов реализации прав субъектов, повышения прозрачности обработки данных, уточнения обязанностей лиц, участвующих в обработке, и усиления превентивной роли ответственности за нарушения.