Текст книги "Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет"

Согласно ст. 19 проекта Регламента субъект персональных данных наделяется правом возразить на аргументированных основаниях в отношении обработки своих персональных данных. Оператор обработки данных должен прекратить такую обработку, если не докажет, что имеются законные основания, которые выше интересов и аргументов субъекта персональных данных. При обработке персональных данных в целях прямого маркетинга субъект персональных данных должен иметь право возразить в любой момент против обработки своих персональных данных. Информация о данном праве должна предоставляться субъекту персональных данных предельно понятно и отдельно от любых других сведений. Если субъект персональных данных против обработки собственных персональных данных в целях прямого маркетинга, персональные данные больше не могут обрабатываться в указанных целях.

Статьей 25 Директивы не в качестве исключения, а в качестве правила устанавливается, что государства – члены ЕС могут разрешить передачу в третью страну персональных данных, только если соответствующая третья страна обеспечивает достаточный уровень защиты. Необходимо оговориться о критериях и порядке оценки уровня защиты при составлении перечня стран для беспрепятственного обмена данными согласно Директиве 95/46/ЕС.

Согласно и. 2 ст. 25 достаточность уровня защиты, предоставляемого третьей страной, оценивается в свете всех обстоятельств, связанных с операцией по передаче или с последовательностью операций по передаче данных. Особое внимание уделяется характеру данных, цели и продолжительности предлагаемой операции или операций по обработке, стране происхождения и стране конечного назначения, законодательным правилам – как общим, так и отраслевым, – действующим в соответствующей третьей стране, а также профессиональным правилам и мерам безопасности, соблюдаемым в этой стране.

Однако иных нормативных документов, разъясняющих вышеуказанное положение об определении «адекватности» или «неадекватности» стран для передачи персональных данных, не принято. Методологические критерии для оценки режима передачи персональных данных изложены в документе рекомендательного характера, адресованном непосредственно публичным органам власти по вопросу понимания органами ЕС и странами – участницами ЕС критериев определения «адекватности» или «неадекватности» стран при передаче персональных данных, содержащихся в Директиве 95/46/ЕС и в других международных правовых актах. Рабочая группа по защите частных лиц в связи с обработкой персональных данных, созданная на основании Директивы 95/46/ЕС (ст. 29), издала руководящие принципы в помощь осуществления оценки:

1) WP 4 (5020/97) «Рабочий документ, содержащий первые ориентиры относительно передачи персональных данных третьим странам – возможные пути продвижения в оценке соответствия», документ для обсуждения, принятый Рабочей группой 26 июня 1997 г.;

2) WP 7 (5057/97) «Оценка саморегулирования отрасли: в каких случаях она вносит значимый вклад в уровень защиты данных в третьей стране?», рабочий документ, принятый Рабочей группой 14 января 1998 г.;

3) WP 9 (3005/98) «Предварительные мнения относительно использования договорных положений в контексте передачи персональных данных третьим странам», рабочий документ, принятый Рабочей группой 22 апреля 1998 г.;

4) WP 12 «Передачи персональных данных третьим странам: применение статей 25 и 26 Директивы ЕС о защите данных», рабочий документ, принятый Рабочей группой 24 июля 1998 г.[11]11
  WP 4 (5020/97) «Рабочий документ, содержащий первые ориентиры относительно передачи персональных данных третьим странам – возможные пути продвижения в оценке соответствия» от 26 июня 1997 г.; WP 7 (5057/97) «Оценка саморегулирования отрасли: в каких случаях она вносит значимый вклад в уровень защиты данных в третьей стране?» от 14 января 1998 г.; WP 9 (3005/98) «Предварительные мнения относительно использования договорных положений в контексте передачи персональных данных третьим странам» от 22 апреля 1998 г.; WP 12 «Передачи персональных данных третьим странам: применение статей 25 и 26 Директивы ЕС о защите данных» от 24 июля 1998 г. // Интернет-источник: URL: europa. eu.int/comm/internal_markt/en/media.dataprot/wpdocs/wpl2/en.


[Закрыть]

Если обобщить критерии признания стран как предоставляющих адекватный уровень защиты данных, то можно заключить, что к таковым может быть отнесено государство, в котором действуют соответствующие нормы права, сформирован уполномоченный орган, а также обеспечивается правовая защита граждан в сфере персональных данных.

Следует отметить, что мнения Рабочей группы фактически легализуются в результате принятия Европейской комиссией решений по квалификации уровня защиты данных в тех или иных странах в соответствии с рекомендуемыми критериями. Решение, основанное на документе рекомендательного характера, становится правовым актом, имеющим юридическую силу (к примеру, Решение 11/2011 об адекватности уровня безопасности персональных данных в Новой Зеландии от 4 апреля 2011 г. и т. д.). Критерии «адекватности» сформировали важную отправную точку для принятия решений Европейской комиссии по адекватности режимов третьих стран.

В результате проведенной оценки составляется перечень государств, обеспечивающих адекватный уровень защиты данных согласно Директиве 95/46/ЕС. Оговаривается, что государства – члены ЕС и Европейская комиссия должны уведомлять друг друга о случаях несоответствия уровня защиты данных в стране декларируемому. Причем в случае последующего выявления недостаточного уровня защиты данных при их обработке Европейской комиссией государства – члены ЕС должны принять меры по предотвращению любой передачи данных того же типа в соответствующую третью страну. Либо, напротив, третья страна в силу ее внутреннего законодательства или международных обязательств может быть признана Европейской комиссией как обеспечивающая достаточный уровень защиты.

Между тем Директивой устанавливается ряд исключений из описанного общего принципа передачи данных только в страны, уровень защиты данных в которых признан адекватным (ст. 26).

Прежде всего стоит перечислить фиксированные исключения, согласно которым передача или последовательность передач персональных данных в третью страну, не обеспечивающую достаточный уровень защиты по смыслу Директивы, может совершаться при условии, что:

1) субъект данных однозначно дал свое согласие на предполагаемую передачу данных;

2) передача необходима для исполнения договора между субъектом данных и оператором или для осуществления преддоговорных мер, принимаемых по просьбе субъекта данных;

3) передача необходима для заключения или исполнения договора, заключенного в интересах субъекта данных между оператором и третьим лицом;

4) передача необходима или требуется на основании закона в связи с особой общественной важностью данных либо для установления, осуществления или защиты правовых требований;

5) передача необходима в целях защиты жизненно важных интересов субъекта данных;

6) или передача осуществляется из реестра, который в соответствии с законами или подзаконными актами предназначен для предоставления информации общественности и который открыт для доступа как общественности в целом, так и любого лица, могущего продемонстрировать законный интерес, в той мере, в какой в конкретном случае выполняются условия, установленные законодательством о доступе.

Но особую значимость в условиях принятия и опыта применения положений Директивы сыграли оговорки о возможных средствах обеспечения безопасности данных при передаче за пределы ЕС.

Так, в соответствии с и. 2 ст. 26 государство – член ЕС может разрешить передачу или последовательность передач персональных данных в третью страну, которая не обеспечивает достаточный уровень защиты, когда оператор представляет достаточные гарантии в отношении защиты частной жизни и основных прав и свобод физических лиц; такие гарантии могут, в частности, следовать из соответствующих условий договора. При этом Европейская комиссия может признать отдельные стандартные договорные условия в качестве достаточных гарантий достаточной защиты персональных данных.

Данные оговорки действительно обладают колоссальной значимостью, в том числе ввиду следующих обстоятельств. Несмотря на то что Соединенные Штаты Америки, как и Европейский союз, декларируют аналогичные принципы защиты персональных данных, практикуемые ими подходы регулирования отношений и защиты прав весьма отличны. А именно, в Соединенных Штатах Америки имеет место секторальный подход, базирующийся на комбинации законодательного регулирования, иных форм публичного регулирования и саморегулирования. Между тем подход защиты персональных данных, практикуемый Европейским союзом, подразумевает по большей части законодательное регулирование указанной сферы отношений. При этом на уровне закона устанавливается необходимость создания независимых государственных органов по защите данных, регистрации баз данных этими учреждениями, а в некоторых случаях – получения предварительного одобрения любой обработки персональных данных. Наличие подобных регулятивных отличий обусловило проблематичность участия американских обработчиков данных в уже сложившихся на тот момент правоотношениях. С принятием Директивы 95/46/ЕС, потребовавшей составления перечня стран, предоставляющих адекватный уровень защиты данных при их обработке, США (как и другие государства, оказавшиеся в аналогичной ситуации), которые не признаны такой страной, могли фактически выпасть из экономических отношений.

В связи с возникшей ситуацией необходимы были поиск нового подхода в международном сотрудничестве, обеспечение условий для преодоления указанных отличий правовых моделей регулирования, а также создание рациональных и экономически эффективных инструментов, позволяющих американским обработчикам данных соответствовать на достаточном уровне требованиям Директивы. Так, Департаментом торговли США в сотрудничестве с Европейской комиссией был разработан подход, отраженный в так называемых «Принципах защиты конфиденциальности персональных данных» / «Принципах безопасной гавани для тайны частной жизни»[12]12
  Safe Harbor Privacy Principles. URL: http://www.export.gov/safeharbor/ SHPRIN CIPLESFINAL.htm


[Закрыть] (Safe Harbor Privacy Principles, далее – «Принципы», Safe Harbor)[13]13
  Международное и зарубежное финансовое регулирование: институты, сделки, инфраструктура. В 2 ч. / под ред. А.В. Шамраева. М.: КноРус; ЦИПСиР, 2014. 4.2.


[Закрыть]. Указанные принципы соответствия требованиям информационной безопасности ЕС были приняты Министерством торговли США и, по сути, являются ответом на Директиву 95/46/ЕС. Будучи инициированы США, они приобрели дееспособность в отношениях по поводу передачи данных с ЕС особой волей ЕС. На тот момент указанное специальное Решение стало разрешением дискуссии между ЕС и США о принципах достаточности уровня защиты персональных данных: в 2000 г. Комиссией ЕС было принято специальное Решение от 26 июля 2000 г. № 2000/520/ЕС[14]14
  Official Journal L 215. 25.08.2000. Р. 0007–0047.


[Закрыть], в котором описаны условия передачи данных в США. Именно этим документом они признаны как обеспечивающие необходимую защиту.

Итак, соглашение было одобрено в 2000 г., это позволило избежать перерывов в сформировавшихся отношениях, предполагающих обработку данных, а также лишило основания для привлечения к ответственности американских обработчиков, как осуществляющих свою деятельность в нарушение Директивы (так как относились к категории стран с неадекватным уровнем защиты данных). Проведение сертификации обработчиков данных согласно положениям Соглашения Safe Harbor предоставляет гарантии для ЕС в адекватном уровне защиты обрабатываемых данных (в соответствии с Директивой), на более конкретизированном уровне – при их обработке конкретными американскими компаниями, прошедшими сертификацию.

Таким образом, Соглашение Safe Harbor обеспечило удовлетворение интересов обеих сторон. В частности, в случае участия в Программе Safe Harbor американские обработчики данных получали следующие преимущества:

1) все 28 государств – членов ЕС придерживаются определенных Европейской комиссией критериев адекватности уровня обработки данных;

2) участвующий в Программе Safe Harbor обработчик данных будет рассматриваться как соответствующий требованиям адекватной обработки данных согласно Директиве;

3) требование о получении предварительного одобрения трансграничной передачи данных будет отменено в отношении участвующего в Программе Safe Harbor обработчика или будет осуществляться автоматически;

4) требования Соглашения возможны к исполнению с минимальными ресурсозатратами, экономически эффективны, что особенно значимо для малых и средних предприятий.

Лицо, передающее данные американскому обработчику, приобретало гарантии соответствия данного обработчика критериям адекватной защиты данных только в том случае, если он участвует в Программе Safe Harbor, т. е. в данном случае осуществляется привязка к соответствию стандартов обработки данных уровню безопасности, обеспечиваемому конкретным лицом, а не всем государством. Проверку участия конкретного обработчика можно было осуществить путем просмотра списка Safe Harbor организаций, который находится в публичном доступе на сайте Министерства торговли США[15]15
  URL: http://safeharbor.export.gov/list.aspx


[Закрыть].

Наряду со странами – членами ЕС члены Европейского экономического союза (Исландия, Лихтенштейн и Норвегия) также признавали организации, сертифицированные по программе Safe Harbor, как обеспечивающие достаточный уровень конфиденциальности для передачи данных из своих стран в США. Швейцария заключила почти аналогичное соглашение (соглашение Safe Harbor между Швейцарией и США) с Министерством торговли США для передачи данных из Швейцарии в США на законном основании. Кроме того, разрешена свободная передача данных из ЕС в ряд других стран (например, в Канаду и Аргентину), принявших всесторонние законы о конфиденциальности данных.

Итак, на протяжении 15 лет обмен данными между ЕС и США регламентировался указанным договором, известным как Соглашение о «безопасной гавани», что позволяло тысячам компаний Европейского союза и США обмениваться электронными данными, вести бизнес и передавать информацию в упрощенном порядке, без дорогостоящих мер защиты. Но уже после выявления первых чрезвычайных случаев нарушения принципов трансграничной передачи данных высказывались мнения о необходимости приостановлении действия Соглашения Safe Harbor и договора о международной банковской системе обмена информацией и совершения платежей SWIFT[16]16
  ЕескеР. van. URL: http://www.jdsupra.com/legalnews/europe-eu-commissioner-reding-introduc-85150/; http://europa.eu/rapid/press-release_SPEECH-14-62_en.pdf (пер. Н. Храмцовской) // URL: http://rusrim.blogspot.ru/2013/ll/blog-post_15.html.


[Закрыть], который предоставляет США возможность доступа к банковским данным граждан ЕС, изначально Европейским парламентом даже были выдвинуты такие требования[17]17
  ЕП требует расторгнуть договоры ЕС с США об обмене данными. URL: http://www.warandpeace.ru/ru/news/view/87751/.


[Закрыть].

Между тем Федеральная торговая комиссия США (FTC) объявила, что примет меры против американских компаний, которые нарушили европейские законы о конфиденциальности, собирая данные о жителях стран ЕС без их ведома (в пресс-релизе FTC названы 12 американских компаний, включая Apperian, Atlanta Falcons Football Club, Baker Tilly Virchow Krause, BitTorrent, Charles River Laboratories International, DataMotion, DDC Laboratories, Level 3 Communications, PDB Sports, Reynolds Consumer Products Inc., Receivable Management Services Corporation, Tennessee Football, нарушивших договор U.S. – EU Safe-Harbor Agreement при сборе персональных данных), а также начнет переработку принципов разведывательной деятельности США. В частности, комиссия заявила, что вышеуказанные компании вводили в заблуждение людей путем использования просроченных сертификационных знаков для подтверждения законности своей деятельности[18]18
  Мироненко В. FTC сообщила о санкциях для нарушителей законов ЕС о конфиденциальности // Daily digital digest. URL: http://www.3dnews.ru/797428.


[Закрыть].

Европейская комиссия, в свою очередь, заявила, что Соглашение Safe Harbor не будет приостановлено, однако был выдвинут ряд требований к США[19]19
  Baker J. EU will not suspend safe harbor data privacy agreement with the US // PC World. 2013. No. 11.


[Закрыть].

В ноябре 2013 г. Комиссия ЕС изложила меры, которые необходимо принять с целью осуществления дальнейших передач данных между США и ЕС (IP/13/1116)[20]20
  European Commission calls on the U.S. to restore trust in EU-U.S. data flows // Пресс-релиз Европейской комиссии от 27 ноября 2013 г. URL: http://europa.eu/ rapid/press-release_IP– 13-1166_en.htm.


[Закрыть]. Ключевым инструментом указанных мер выбрано развитие программы-инструмента Safe Harbor, а также деятельность рабочей группы ЕС – США МЕМО/13/1059 по защите персональных данных, которая была создана в июле 2013 г.[21]21
  Rebuilding Trust in EU-US Data Flows. COM(2013) 846 final // Документ Европейской комиссии от 27 ноября 2013 г. URL: http://europa.eu/rapid/press-release_ IP– 13-1166_en.htm.


[Закрыть]

Помимо указанных предложений реформирования европейского законодательства о персональных данных, были обозначены 13 направлений совершенствования реализации Программы Safe Harbor, которые требуют значительного финансирования, в связи с этим решение вопроса о действии Соглашения назначено на лето 2014 г. Эти направления фактически являются ответом на выявленные рабочей группой ЕС – США 2013 г. угрозы, несоответствия и риски. Среди них:

блок 1 – прозрачность:

1) политика безопасности должна быть опубликована сертифицированными компаниями в режиме открытого доступа в полном объеме;

2) каждая политика безопасности должна содержать активную ссылку на сайт Министерства торговли США (конкретное место с указанием на действительность сертификации);

3) должны также публиковаться детализированные данные о наличии у сертифицированной компании договорных отношений, связанных с процессом обработки данных;

4) Министерством торговли США должен быть опубликован «черный список» компаний, которые не участвуют в Программе;

блок 2 – правоприменение:

1) проверки на соответствие уровня безопасности данных, обеспечиваемых компанией, принципам Safe Harbor и опубликованной политике безопасности должны проводиться постоянно после получения сертификата (достаточно глубокие ревизии);

2) при выявлении нарушений должна быть запланирована подобная проверка через год;

3) в случае возникновения любых сомнений в безопасности данных Министерство торговли США должно информировать ЕС;

4) должно быть осуществлено следствие по случаям фальсификации участия в Программе;

блок 3 – процедуры альтернативного разрешения споров:

1) должны активно использоваться процедуры альтернативного разрешения споров, в силу чего в политике безопасности должна присутствовать активная ссылка на соответствующий орган;

2) процедуры альтернативного разрешения споров должны быть доступными и незатратными;

3) Министерство торговли США должно проводить постоянный контроль за реализацией процедур альтернативного разрешения споров;

блок 4 – доступ публичных органов США:

1) в политике конфиденциальности должны подробно указываться положения законодательства США, влияющие на реализацию прав вовлеченных субъектов;

2) исключения из политики конфиденциальности в пользу национальной безопасности должны быть крайне ограниченной мерой, применяемой строго пропорционально реальной необходимости.

Между тем вопреки обозначенным планам и ожиданиям 6 октября 2015 г. высший орган судебной власти Евросоюза признал недействительным существующее законодательство о трансатлантической передаче данных. Европейский суд заключил, что Facebook не обеспечивает адекватную защиту персональных данных жителей ЕС, и постановил провести дальнейшее расследование.

В Европейский суд в Люксембурге обратился пользователь Facebook австрийский юрист Макс Шремс. Он потребовал, чтобы Facebook не передавал его личные данные на серверы в США, так как сеть не может гарантировать защиту этой информации. Свою просьбу он мотивировал тем, что, согласно информации Эдварда Сноудена, такие крупнейшие компании, как Google, Apple, Facebook, сотрудничают с американским Агентством национальной безопасности. Первоначально жалоба была подана в Ирландии, где находится европейская штаб-квартира компании Facebook. Но там иск был отклонен, поэтому австриец обратился к высшей судебной инстанции Евросоюза.

Суд занял принципиальную позицию, сделав вывод, что договор о трансатлантической передаче данных нарушает право европейцев жаловаться на использование их личных данных в коммерческих целях различными мультинациональными компаниями. Защита права на неприкосновенность личной жизни в США во многом отличается от защиты этого права в Европе.

Таким образом, ответ на жалобу Шремса касается не только Facebook, он затрагивает тысячи других компаний, деятельность которых осуществляется в рамках Соглашения Safe Harbour как инструмента передачи данных на законной основе[22]22
  Европейский суд решил, что Facebook не защищает данные пользователей // Русская служба RFI. Франция. URL: http://informburo.dn.ua/cgi-bin/iburo/ start.cgi?info58=7431


[Закрыть].

Также большие ставки делались на реформирование правозащитных процедур и мер обеспечения гарантий. В частности, планировалось развитие и усиленное использование уже сформированных инструментов взаимной правовой помощи (Mutual Legal Assistance) и отраслевых соглашений по вопросам обмена данными.

Особо рассматривались вопросы Рамочного соглашения 1Р/10/ 1661 «О защите информации в области полицейского и судебного сотрудничества»[23]23
  Рамочное соглашение IP/10/1661 «О защите информации в области полицейского и судебного сотрудничества».


[Закрыть]. С 18 ноября 2013 г. США реализуются меры по предоставлению гражданам ЕС права на судебную защиту.

Завершается работа над зонтичным соглашением США и ЕС о защите персональных данных для совместной борьбы с терроризмом от 8 сентября 2015 г. Документ позволит защитить персональные данные, которыми обмениваются полиция, судебные органы и частные компании в ходе расследований.

Зонтичное соглашение в качестве основы полагает всестороннюю структурную высокоуровневую защиту при взаимодействии США и ЕС в сфере правоохранения. Соглашение касается всех персональных данных (например, имена, адреса, досье), которые подвергаются трансграничной передаче между ЕС и США в целях предотвращения, обнаружения, расследования и судебного преследования уголовных преступлений, включая терроризм. Текст соглашения полностью разработан, однако требуется провести ряд процедур для вступления его в силу. В частности, должен быть принят американский закон о компенсациях, затем американские власти публикуют соответствующее решение касательно зонтичного соглашения, которое в итоге утверждается властью ЕС.

Основной целью документа является создание одинакового режима: граждане ЕС будут иметь те же самые судебные права, как и американские граждане, в случае правонарушений в сфере персональных данных. В настоящий момент если данные граждан ЕС переданы американским правоохранительным органам и если эти данные неправильно или незаконно обработаны, граждане ЕС – нерезиденты США не могут получить компенсацию в американских судах (в отличие от американских граждан, которые имеют право требовать компенсацию в европейских судах).

На практике этот инструмент может работать следующим образом. Например, имя гражданина ЕС попадает в базу данных как лица, подозреваемого в совершении преступления. В дальнейшем лицо оправдано. Между тем его данные могут находиться в своего рода «черном списке», что препятствует, к примеру, получению визы. Если соглашение будет принято, то гражданин ЕС сможет обратиться с требованием удалить сведения о себе из баз данных и получить компенсацию.

Это соглашение дополняет существующее регулирование правоотношений ЕС и США в сфере персональных данных, создавая четкие, согласованные правила защиты данных и устанавливая высокий уровень защиты, в частности:

1) ограничение на использование данных – персональные данные не могут обрабатываться вне согласованных с субъектом данных целей;

2) любая передача данных за пределы США, в не входящую в ЕС страну или международную организацию должна быть подвергнута предварительному согласованию с компетентным органом страны, которая первоначально передала личные данные;

3) личные данные не могут храниться дольше, чем необходимо;

4) субъект данных должен быть наделен правом получения доступа к своим данным, возможностью инициировать их исправление;

5) в случае нарушения условий защиты информации должно быть направлено уведомление о нарушении компетентному органу и в соответствующих случаях субъекту данных.

В случае если органам власти США необходимо передать данные третьей стране или международной организации, следует получить предварительное согласие правоохранительных органов ЕС, изначально передавших данные.

Также относительно трансграничной передачи данных в ЕС функционирует такой инструмент, как стандартные договорные условия (Model Clauses). Гарантии, требуемые ч. 2 ст. 26 Директивы, в частности, могут вытекать из соответствующих договорных условий.

В рамках данного положения Европейской комиссией было принято Решение от 15 июня 2001 г. № 2001/497/ЕС «О стандартных договорных условиях относительно передачи персональных данных третьим странам согласно Директиве 95/46/ЕС». Этот документ адресован государствам – членам ЕС и в отличие от принятых ранее непосредственно устанавливает несколько стандартных вариантов-наборов условий для обеспечения адекватного уровня защиты данных. Операторы данных могут выбрать любой из вариантов, но при этом они не имеют права изменять условия или комбинировать отдельные условия либо комплекты.

Стандартные договорные условия становятся действительными для конкретных субъектов с момента их согласования сторонами. При этом они будут обязательными для исполнения не только организациями, являющимися сторонами договора, но и субъектами данных, в частности, в случаях, когда субъекты данных несут ущерб вследствие нарушения положений договора. Условия своим предметом имеют только вопросы защиты данных. Субъекты отношений могут дополнить соглашения иными положениями, в частности, условиями о взаимной помощи в случаях споров с субъектом данных или с контролирующим органом, которые они считают имеющими прямое отношение к договору. Правом, подлежащим к применению (по общему правилу), является законодательство государства – члена ЕС, в котором учрежден экспортер данных (лицо, осуществляющее передачу данных).

Согласно ст. 1 Решения стандартные договорные условия (в случае их согласования сторонами) расцениваются как достаточные гарантии в отношении защиты неприкосновенности частной жизни и основных прав и свобод физических лиц и в отношении осуществления соответствующих прав согласно требованиям, предусмотренным в ст. 26 (2) Директивы.

Резолюции Европейского парламента 2011/2025 (INI) от 6 июля 2011 г. о комплексном подходе к защите персональных данных в Европейском союзе провозгласили преемственность основных принципов Директивы 95/46/ЕС, но при этом – необходимость значительной доработки отдельных норм касательно трансграничной передачи данных[24]24
  См.: Personal data protection in the European. Union European Parliament resolution of 6 July 2011 on a comprehensive approach on personal data protection in the European Union (2011/2025 (INI)) // Official Journal С 033 E. 05.02.2013. P. 0101–0110; Directive of the European Parliament and of the Council 2012/0010 (COD) on the protection of individuals with regard to the processing of personal data by competent authorities for the purposes of prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and the free movement of such data. Brussels, 25.01.2012 (проект); Resolution of the 85th Conference of the Data Protection Commissioners of the Federal Government and the Bremerhaven on 13–14 March 2013 «Europe must strengthen data protection».


[Закрыть].

Итак, что касается проектного внутреннего регулирования в ЕС, то регулированию особенностей передачи персональных данных странам, не входящим в Европейский союз, посвящена отдельная глава проекта Регламента. Передача персональных данных за пределы Европейского союза или в международную организацию может осуществляться в случае наличия решения Европейской комиссии о том, что страна или организация, получающая персональные данные, обеспечивает адекватный уровень защиты персональных данных. При оценке адекватности уровня защиты персональных данных Европейская комиссия принимает во внимание:

1) верховенство закона, уважение прав человека и основных свобод, соответствующего законодательства, как общего, так и отраслевого, правил защиты данных и мер безопасности, в том числе правил дальнейшей передачи персональных данных в иные страны или международные организации, а также существование эффективных и действенных механизмов защиты субъектов персональных данных, включая административную и судебную правовую защиту;

2) существование и эффективное функционирование одного или нескольких независимых надзорных органов в данной стране или в стране, в которой учреждена международная организация, ответственных за обеспечение соблюдения правил защиты данных, включая необходимые полномочия для оказания помощи и консультирования субъектов персональных данных при осуществлении их прав и сотрудничестве с надзорными органами Европейского союза и государств-членов;

3) международные обязательства стран, расположенных за пределами Европейского союза, или международных организаций, вытекающие из их участия в многосторонних или региональных системах, в частности, в отношении защиты персональных данных.

Европейский совет по защите данных может представлять Европейской комиссии мнение для оценки адекватности уровня защиты персональных данных в стране, расположенной за пределами Европейского союза, или в международной организации.

Решение Европейской комиссии может быть отозвано при изменении обстоятельств, влияющих на защиту персональных данных в стране, расположенной за пределами Европейского союза, или в международной организации.

Европейская комиссия должна опубликовать в официальном журнале Европейского союза список стран, территорий, секторов экономической деятельности и международных организаций, в отношении которых были приняты решения об адекватности защиты персональных данных.

В отсутствие решения Европейской комиссии об адекватности защиты данных передача персональных данных возможна при условии надлежащих гарантий оператора персональных данных и (или) обработчика персональных данных.

Во многом реформа сконцентрирована на предоставлении субъектам персональных данных инструментов контроля с одновременным упрощением передачи данных в пределах Европы.

В частности, предусмотрены гораздо более серьезные меры ответственности в случае незаконной передачи данных за пределы ЕС. Так, в случае получения организацией (к примеру, облачным провайдером, социальной сетью, поисковой системой) запроса от третьей страны о предоставлении обрабатываемых на территории ЕС персональных данных выдача таких данных допускается исключительно с разрешения национального органа по защите персональных данных и при условии обязательного информирования субъекта персональных данных о таком запросе.

Кроме того, предложено внедрить очень серьезные санкции в случае нарушения указанного порядка, а именно: штраф организациям, незаконно предоставляющим сведения, в размере до 100 млн евро или до 5 % их годового оборота в мировом масштабе, т. е. даже выше, чем было изначально предложено Европейской комиссией (в размере до 1 млн евро или до 2 % годового оборота в мировом масштабе).

В открытом доступе информация по вопросу регулирования персональных данных, отнесенных к государственной тайне, в ЕС не размещена.