Защита персональных данных граждан опыт Великобритании

Время на прочтение: 5 мин

После выхода Великобритании из Европейского союза правительство Великобритании имплементировало Общий регламент по защите данных (Регламент (ЕС) 2016/679) в национальное законодательство Великобритании, тем самым создав Общий регламент по защите данных Великобритании (General Data Protection Regulation, далее – GDPR). При этом Великобритания внесла ряд технических изменений в Общий регламент по защите данных, чтобы учесть его статус национального закона Соединенного Королевства (например, заменила ссылки на «государство-член» на «Соединенное Королевство»). Эти изменения были внесены в соответствии с Постановлением о защите данных, конфиденциальности и электронных коммуникациях.

Закон о защите данных 2018 года (Data Protection Act, далее – DPA) остается в силе как национальный закон о защите данных и дополняет режим GDPR Великобритании. Он регулирует вопросы, по которым ранее допускались отступления и исключения из GDPR ЕС (например, существенные основания для обработки данных особых категорий в интересах общества, а также контекстно-специфические исключения из некоторых положений GDPR, таких как права субъектов данных).

Часть 3 Закона о защите данных имплементирует Директиву о правоохранительных органах в законодательство Великобритании, создавая режим защиты данных, специально предназначенный для обработки персональных данных сотрудниками правоохранительных органов;

Часть 4 Закона об оборонном производстве обновляет режим защиты данных для обработки информации в целях национальной безопасности;

В частях 5 и 6 изложен объем полномочий Уполномоченного по вопросам информации и ее правоприменительные полномочия, а также установлен ряд уголовных преступлений, связанных с обработкой персональных данных.

Применение GDPR Великобритании в основном зависит от того, зарегистрирована ли организация в Соединенном Королевстве. Как и в случае с GDPR ЕС, «учреждение» может принимать самые разные формы и не ограничивается компанией, зарегистрированной в Соединенном Королевстве.

Законодательство о защите данных регулирует порядок использования вашей личной информации организациями, включая предприятия и государственные учреждения. Любой, кто несет ответственность за использование персональных данных, должен убедиться, что информация: используется справедливо, законно и прозрачно, используется для определенных, явно указанных целей, используется адекватно, уместно и ограничивается только тем, что необходимо. Обработка данных осуществляется таким образом, чтобы обеспечить надлежащую безопасность, включая защиту от незаконной или несанкционированной обработки, доступа, потери, уничтожения или повреждения.

Более конфиденциальная информация, такая как: раса, этническое происхождение, политические взгляды, религиозные убеждения, членство в профсоюзе, генетика, биометрические данные, здоровье, сексуальная жизнь или ориентация. Для защиты персональных данных, касающихся судимостей и правонарушений, предусмотрены отдельные меры.

Любой подданный Великобритании, в соответствии с законодательством, имеет права в отношении своих персональных данных, за некоторыми исключениями. К ним относятся права на получение информации о том, как используются данные, доступ к персональным данным, удаление неверных данных, прекращение или ограничения обработки данных, перенос данных (позволяющий получать и повторно использовать данные для различных сервисов), возражать против обработки данных при определенных обстоятельствах.

Согласно Закону о защите данных 2018 года и Общему регламенту по защите данных, персональные данные определяются следующим образом:

любая информация, относящаяся к идентифицированному или поддающемуся идентификации физическому лицу («субъекту данных»); поддающееся идентификации физическое лицо (лицо, которое может быть идентифицировано прямо или косвенно, в частности, посредством ссылки на идентификатор, такой как имя, идентификационный номер, данные о местоположении, онлайн-идентификатор, или на один или несколько факторов, специфичных для физической, физиологической, генетической, психической, экономической, культурной или социальной идентичности этого физического лица). К персональным данным также относятся числа и коды, уникально присвоенные конкретному человеку, например, номера национального страхования, номера NHS или номера клиентов. IP-адреса, идентификаторы сессий, идентификаторы пользователей и другая машиночитаемая информация, относящаяся к человеку, также могут считаться персональными данными.

К особым категориям персональных данных относятся: политические взгляды, религиозные убеждения, этническое происхождение, данные о здоровье.

Принципы защиты данных гарантируют, что любая собранная информация используется справедливо, законно и прозрачно для определенных и четко обозначенных целей. Многие принципы основаны на том, что данные используются адекватно, релевантно и ограничиваются только тем, что требуется, и хранятся не дольше, чем это необходимо. Принципы гласят, что с данными необходимо обращаться безопасно, включая защиту от незаконной или несанкционированной обработки, доступа, потери, уничтожения или повреждения.

Соответствие требованиям начинается с обнаружения и классификации данных. Классификация данных – это процесс разделения данных на соответствующие подгруппы, такие как «конфиденциальные» или «общедоступные», чтобы их было легче найти, извлечь и использовать.

Существует 3 основные категории рисков, связанных с безопасностью персональных данных:

– утрата персональных данных (конфиденциальности);

– точность персональных данных (целостность);

– доступ к персональным данным (доступность).

Общий регламент по защите данных Великобритании носит экстерриториальный характер, то есть он применяется к любой организации, обрабатывающей персональные данные людей в Великобритании, независимо от того, находится ли эта организация внутри или за пределами страны. Это включает в себя организации, базирующиеся в Великобритании и обрабатывающие персональные данные на территории Великобритании; организации, не базирующиеся в Великобритании, предлагающие товары или услуги гражданам Великобритании или осуществляющие мониторинг таких лиц, а также собирающие/использующие персональные данные для этих целей.

Некоторые из наиболее важных и часто используемых терминов из GDPR:

– персональные данные – информация, которая относится к идентифицированному или поддающемуся идентификации физическому лицу, т. е. «субъекту данных».

– поддающееся идентификации лицо – это лицо, которое может быть идентифицировано прямо или косвенно, например, по имени, номеру удостоверения личности, данным о местоположении, онлайн-идентификатору, или факторам, специфичным для физической, генетической, культурной, экономической, социальной идентичности.

– особые категории персональных данных – персональные данные, которые раскрывают расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзе, генетические данные, биометрические данные (для однозначной идентификации физического лица), данные о здоровье или данные о половой жизни или сексуальной ориентации физического лица. Обработка таких данных запрещена, за исключением особых обстоятельств, согласно статье 9 GDPR Великобритании.

– обработка персональных данных – любая операция или набор операций с персональными данными, автоматизированная или нет, включая сбор, хранение, изменение, извлечение, раскрытие, удаление или уничтожение.

– субъект – физический или юридический – определяющий цели и способы обработки персональных данных. Основная ответственность за выполнение обязательств, предусмотренных регламентом, лежит на контролерах данных, а ответственность за обработку данных сторонними обработчиками, с которыми заключены договоры.

– согласие – свободно выраженное, конкретное, информированное и недвусмысленное проявление воли человека, посредством которого он подтверждает свое согласие на обработку своих персональных данных четким утвердительным действием, например, поставив галочку в соответствующем поле. Предварительно отмеченные галочками поля, игнорирование или закрытие баннера согласия без каких-либо действий, а также другие действия, не являющиеся явным подтверждением, не считаются действительным согласием.

– субъект данных – лицо, к которому относятся персональные данные, то есть лицо, чьи права – доступ, исправление, удаление, переносимость и т. д. – защищает данный регламент.

– третья сторона – физическое или юридическое лицо, государственный орган, агентство или организация, отличные от субъекта данных, контролера, обработчика, а также лиц, уполномоченных обрабатывать персональные данные под непосредственным руководством контролера или обработчика, например, поставщики бизнес- или технологического программного обеспечения или услуг.

– утечка персональных данных – нарушение безопасности, приводящее к случайному или незаконному уничтожению, потере, изменению, несанкционированному разглашению или доступу к персональным данным. Часто это приводит к причинению вреда субъектам данных.

– профилирование – любая форма автоматизированной обработки, использующая персональные данные для оценки определенных личных аспектов, касающихся физического лица. В частности, анализ или прогнозирование аспектов, касающихся трудовой деятельности этого физического лица, его экономического положения, состояния здоровья, личных предпочтений, интересов, надежности, поведения, местоположения или перемещений.

– псевдонимизация – обработка персональных данных таким образом, что их уже невозможно отнести к конкретному субъекту данных без дополнительной информации, которая хранится отдельно и подлежит техническим и организационным мерам по предотвращению повторной идентификации.

Существует всего шесть потенциальных законных оснований для обработки персональных данных:

– выполнение общественно значимых задач – это относится к случаям, когда обработка данных необходима университету для выполнения задачи в общественных интересах или в рамках его официальных функций;

– законные интересы – это относится к случаям, когда обработка данных необходима для защиты законных интересов университета или третьей стороны (за исключением случаев, когда существуют веские основания для защиты персональных данных, которые перевешивают эти законные интересы);

– договор – это относится к случаям, когда обработка необходима для выполнения договора, заключенного университетом с физическим лицом (любая обработка персональных данных в этой категории должна быть целенаправленной и соразмерной).

– юридическое обязательство – это относится к случаям, когда обработка данных необходима университету для соблюдения законодательства. Это может касаться юридических, нормативных и других обязательств по соблюдению требований, а также таких вопросов, как предотвращение или выявление преступлений.

– жизненно важные интересы – обработка данных необходима для защиты жизненно важных интересов человека, обычно это означает защиту его жизни.

– согласие – лицо добровольно и осознанно дало Университету согласие на обработку своих персональных данных (это всегда будет осуществляться для конкретной цели).