CC BY
125АДМИНИСТРАТИВНОЕ ПРАВО, ФИНАНСОВОЕ ПРАВО, ИНФОРМАЦИОННОЕ _ПРАВО_
ОСОБЕННОСТИ ПРАВОВОЙ ОХРАНЫ БИОМЕТРИЧЕСКИХ ПЕРСОНАЛЬНЫХ ДАННЫХ В СТРАНАХ ЕВРОПЕЙСКОГО СОЮЗА Кривогин М.С.
Кривогин Максим Сергеевич - аспирант, факультет права, Национальный исследовательский университет Высшая школа экономики, г. Москва
Аннотация: в статье рассматриваются особенности правового регулирования обработки биометрических персональных данных в странах Европейского Союза, выявляются основные сходства и различия в национальном законодательстве стран-участниц. Исходя из анализа законодательства, автор выделяет следующие способы правовой охраны биометрических персональных данных: отнесение биометрической информации к специальной категории персональных данных, необходимость получения согласия уполномоченного органа или его уведомление при обработке персональных данных, ограничение на обработку в частной и публичной сферах, учет принципа пропорциональности обработки, применение специальных мер технической защиты.
Ключевые слова: биометрия, биометрические технологии, персональные данные, Европейский Союз, законодательство.
Социальные последствия развития информационных технологий и технических средств обработки информации все чаще являются причиной внесения в законодательство поправок, которые направлены на обеспечение надлежащего уровня охраны прав граждан от возникающих угроз.
Наиболее актуальным примером является использование биометрических технологий в целях идентификации граждан. Несмотря на то, что в большинстве случаев, обрабатываемая с использованием биометрических технологий информация будет являться персональными данными, и к ней будет применяться законодательство о персональных данных, тем не менее, оно не всегда позволяет обеспечить надлежащий уровень охраны прав граждан.
В странах Европейского Союза Директива 95/46/ЕС [1], принятая в 1995 году, длительное время являлась образцом учета баланса интересов прав субъектов и операторов персональных данных. Однако начало массового распространения биометрических технологий происходит только через 6-10 лет после принятия Директивы [4, с. 39].
Если большинство положений национальных нормативно-правовых актов государств в сфере защиты персональных данных являются унифицированными благодаря имплементации Директивы, то регулирование биометрических персональных среди стран-участниц ЕС является различным.
Зачастую это обуславливается особенностями информации о биометрических характеристиках человека, которые являются уникальными, универсальными, достаточно стабильными, что позволяет их использовать в качестве универсального идентификатора в различных информационных системах [10, с. 321]. Аналогично, биометрическая информация, а также содержащие ее материальные носители, становятся доступны для сбора и анализа другим лицам в процессе повседневной
34
активности субъекта, независимо от его воли, что дает возможность производить накопление и обработку таких сведений скрытно, без уведомления субъекта.
Многие страны начинают рассматривать биометрическую информацию в качестве сведений, относящихся к чувствительной категории персональных данных, например, Эстония [9], Чехия [2], Словения [8], Словакия [3], Италия [5]. В некоторых случаях критерии отнесения биометрических данных к чувствительной категории персональных данных могут быть установлены уполномоченным органом в сфере защиты персональных данных [6].
Отнесение биометрической информации к чувствительной категории персональных данных, по общему правилу, которое содержится в Директиве 95/46/ЕС, ведет к запрету на обработку таких данных. Допустимость обработки персональных данных, которые содержатся в названной категории, возможна только в ограниченных случаях. Также если согласие на обработку обычных персональных данных может быть выражено в любой форме, то при обработке информации, входящей в специальную категорию персональных данных согласие должно быть выраженным (явным). Для обработки биометрической информации отдельные государства начинают вводить обязанность получения письменного согласия субъекта на обработку персональных данных, например, как это имеет место в Эстонии.
По сравнению с обычными персональными данными, перечень случаев, при которых возможно осуществление обработки информации, относимой к специальной категории персональных данных, существенно ограничен. Например, если для легитимности обработки обычных категорий персональных данных необходимо получение согласия субъекта, то для информации, входящей в специальную категорию, в рамках национального законодательства, запрет на обработку не всегда может быть преодолен согласием субъекта. Также для специальной категории персональных данных отсутствует возможность обработки информации в рамках т.н. положения о балансе интересов субъекта и оператора персональных данных. В разных странах перечень исключений из запрета обработки персональных данных, входящих в специальную категорию персональных данных, может отличаться, однако, такое отличие не носит системного характера, учитывающего особенности обработки биометрических сведений.
В отличие от большинства сведений, которые входят в специальную категорию персональных данных, для биометрической информации зачастую устанавливаются дополнительные требования для ее отнесения к названной категории. Например, в п. Ь ст. 4 закона «О персональных данных» Чехии указывается, что биометрическая информация будет относиться к специальной категории персональных данных, если на ее основе возможно осуществление идентификации или аутентификации субъекта персональных данных. Схожие положения содержатся в законе «О защите персональных данных» Словении. Согласно ч. 19 ст. 6 закона, если биометрические характеристики позволяют определить личность человека, то они будут относиться к чувствительной категории персональных данных.
В параграфе 27 закона Эстонии «О защите персональных данных», при обработке специальных категорий персональных данных на оператора возлагается обязанность назначить отдельного сотрудника, который будет ответственным за обработку персональных данных, в противном случае, оператор должен будет получить разрешение на осуществление обработки чувствительных персональных данных от уполномоченного органа в сфере защиты персональных данных.
В то же время, несмотря на отнесение биометрической информации к специальной категории персональных данных, в законодательстве приведенных государств применяются различные подходы к обеспечению ее дополнительной охраны.
В ст. 25 закона Франции «Об информационных технологиях, базах данных и гражданских свободах», устанавливается обязанность получения предварительного
35
разрешения уполномоченного органа в сфере защиты персональных данных на обработку биометрических персональных данных коммерческими организациями.
В Словении устанавливаются дополнительные требования при обработке биометрической информации в частном и публичном секторе. В соответствии с ч. 1 ст. 79 закона «О защите персональных данных», в публичном секторе сбор биометрической информации считается допустимым только в предусмотренных законом случаях, когда это необходимо для обеспечения безопасности людей и собственности, защиты конфиденциальной информации, если эти цели не могут быть достигнуты другими средствами.
В частном секторе оператор персональных данных перед началом применения биометрических технологий обязан предоставить уполномоченному органу в сфере защиты персональных данных обоснование необходимости их использования в организации.
В некоторых случаях может происходить комбинирование названных подходов. Например, в ч. 5 ст. 3 закона «О защите персональных данных» Словакии допускается обработка биометрических персональных данных, если они являются необходимыми и не являются избыточными для достижения цели. При этом необходимость обработки биометрических персональных данных определяется уполномоченным органом в сфере защиты персональных данных, путем подачи ему оператором предварительного уведомления о начале обработки данного вида персональных данных. При обработке биометрической информации в рамках п. 1 ст. 17 Кодекса «О защите персональных данных» Италии необходимо получить предварительное согласие уполномоченного органа, применять специальные меры защиты информации в целях обеспечения прав и свобод граждан, с учетом природы такой информации. Необходимые технические меры по защите информации устанавливаются уполномоченным органом.
В Общеевропейский Регламент о защите персональных данных [7], который заменит существующие национальные нормативно-правовые акты в данной сфере в странах ЕС в 2018 году, также были включены положения, направленные на регулирование обработки биометрических персональных данных. Необходимость регулирования биометрической информации в регламенте была связана как с увеличением использования соответствующих технологий государственными органами и коммерческими организациями, так и проблемами регулирования данных правоотношений в рамках национального законодательства стран-участниц ЕС.
В Регламенте биометрическая информация относится к специальной категории персональных данных при ее использовании в целях идентификации физических лиц (ч. 1, ст. 9). Данный подход является схожим со многими национальными нормативно-правовыми актами в странах ЕС. Несмотря на то, что страны-члены ЕС могут устанавливать дополнительные ограничения на обработку биометрических персональных данных, наряду с генетической информацией и данными о здоровье, тем не менее, они не могут изменять критерий отнесения биометрической информации к специальным категориям персональных данных и устанавливать отличающееся определение (ч. 4, ст. 9).
С вступлением в силу Регламента, использование биометрических персональных данных в странах ЕС будет более гармонизированным по сравнению с другими видами персональных данных из специальной категории, например, информации о здоровье, где у стран-участниц имеется возможность самостоятельно определять случаи применения законодательства.
Таким образом, исходя из анализа положений нормативно-правовых актов стран ЕС, регулирующих особенности обработки биометрических персональных данных, можно выделить следующие подходы к их охране: отнесение к специальной категории персональных данных, необходимость получения согласия или уведомления уполномоченного органа на обработку персональных данных,
36
ограничение на обработку в частной и публичной сфере, учет принципа
пропорциональности обработки, применение специальных мер технической защиты.
Список литературы
1. Директива N 95/46/ЕС Европейского парламента и Совета Европейского Союза «О защите физических лиц при обработке персональных данных и о свободном обращении таких данных» от 24 октября 1995 года (с изм. и доп. от 29.09.2003) // СПС «КонсультантПлюс».
2. Act № 101/2000 «On the Protection of Personal Data Czech Republic» // [Electronic resource]. Режим доступа: https://www.uoou.cz/en/vismo/zobraz_dok.asp?id_ktg=1107/ (date of access: 18.02.2017).
3. Act № 122/2013 Coll. on Protection of Personal Data of Slovakia. [Electronic resource]. Режим доступа: https://www.dataprotection.gov.sk/uoou/sites/default/files/kcfmder/file s/Act_122-2013_84-2014_en.pdf/ (date of access: 18.02.2017).
4. Baldaccini А. Terrorism and the foreigner: a decade of tension around the rule of law in Europe. Brill Academic Publishing, 2006. P. 431.
5. Data Protection Code of Italy Legislative Decree № 196/2003. [Electronic resource]. Режим доступа: http://194.242.234.211/documents/10160/2012405/DataProtectionCode 2003.pdf/ (date of access: 18.02.2017).
6. Data protection in Belgium. [Electronic resource]. URL: http://uk.practicallaw.com/2-502-2977/ (date of access: 18.02.2017).
7. General Data Protection Regulation. [Электронный ресурс]. URL: http://data.consilium.europa.eu/doc/document/ST-5419-2016-INIT/en/pdf/ (date of access: 18.02.2017).
8. Personal data protection act of the republic of Slovenia ZVOP-1. [Electronic resource]. URL: http://ec.europa.eu/justice/dataprotection/law/files/implementation/personal_data_ protection_act_rs_2004.pdf/ (date of access 19.02.2017).
9. Personal Data Protection Act RT127. Estonia. [Electronic resource]. URL: https://www.riigiteataja.ee/en/eli/ee/529012015008/consolide/current/ (date of access: 18.02.2017).
10. Wayman J. Biometric Systems: Technology, Design and Performance Evaluation. N.Y.: Springer, 2005. P. 373.
ТЕНДЕНЦИИ РАЗВИТИЯ АДМИНИСТРАТИВНО-ПРАВОВОГО СТАТУСА ИНОСТРАННЫХ ГРАЖДАН И ЛИЦ БЕЗ ГРАЖДАНСТВА Анисимова И.А.
Анисимова Илона Алексеевна - магистрант, кафедра административного и муниципального права, Саратовская государственная юридическая академия, г. Саратов
Аннотация: на сегодняшний день Россия в связи с валютным курсом и совершенствованием индустрии в регионах становится всё более привлекательной страной для иностранных граждан и лиц без гражданства. В связи с этим возникает необходимость анализа административно-правого статуса указанной категории субъектов административного права, а также тенденции его развития. Ключевые слова: иностранные граждане, лица без гражданства, административно-правовой статус, миграционная политика Российской Федерации.
