Коллектив авторов - Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет

• Название: Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет
• Автор: Коллектив авторов
• Жанр: Прочая научная литература
• Год: 2016
• ISBN: 978-5-7598-1386-6

В монографии представлено исследование актуальных проблем регулирования отношений по оказанию услуг операторами доверенных сервисов (прежде всего идентификация и аутентификация лиц при электронном взаимодействии) и по доверительному управлению информацией на международном уровне, в зарубежных странах и в Российской Федерации, а также проблем защиты персональных данных в Интернете, в том числе в условиях применения новых методов обработки больших массивов данных и использования технологии облачных вычислений.

Книга адресована сотрудникам государственных органов, осуществляющих регулирование информационных отношений и (или) обеспечивающих защиту персональных данных, и компаний, являющихся операторами доверенных сервисов, оказывающих услуги по обработке больших массивов данных, предоставляющих услуги с помощью Интернета, а также операторам персональных данных. Она будет интересной и при изучении курса информационного права в учреждениях высшего образования.

---

Публичное облако — инфраструктура, платформа или программное обеспечение, управляемые поставщиком облачных услуг, которые он делает доступными для широкой публики (облачные клиенты или облачные конечные пользователи). Доступ к облачному сервису осуществляется через Интернет.

Клиент облачных сервисов определяет цели и способ обработки данных облачным провайдером, соответственно, по «Акту о защите данных», именно он является обработчиком данных и несет за свои действия ответственность (по мнению авторов данной книги, функциональные специфики оператора персональных данных (в соответствии с российской терминологией) и контролера данных (в соответствии с терминологией Великобритании) совпадают).

Одним из центральных положений является предоставление обработчику данных возможности в полной мере оценить риски, связанные с обработкой данных в облачной системе, и принять самостоятельное ответственное решение о возможности передачи данных в облачный сервис. При этом те организации, которые согласно «Акту о защите данных» являлись обработчиками данных, остаются таковыми при использовании облачных сервисов.

В «Акте о защите данных» указывается, что данные могут быть собраны и обработаны контролером данных, в случае если соблюдаются следующие условия[59]: получено согласие субъекта данных на обработку; контролер информации может обрабатывать данные только в рамках заранее полученного соглашения или в процессе выполнения договорных обязательств; обработка данных соответствует обязательствам контролера данных; обработка направлена на защиту жизненно важных интересов субъекта данных; обработка требуется в связи с целями закона 1998 г.

В облачных вычислениях контролером данных будет являться облачный клиент, который определяет цели и порядок обработки любых личных данных. Как указано в Руководстве, «облачный клиент, скорее всего, будет являться контролером данных и, следовательно, будет нести общую ответственность за соблюдение “Акта о защите данных”».

Точная роль облачного поставщика должна быть рассмотрена в каждом конкретном случае, чтобы оценить, является ли он одновременно и обработчиком личных данных. В Руководстве предлагается определить ответственность лица через те функции, которые он выполняет, на основании следующих критериев: 1) является ли поставщик услуг контролером данных или 2) действует от имени контролера данных.

Дополнительно к ответственности обработчика данных, касающейся сбора, хранения, передачи данных, Кодексом наилучшей практики по обработке персональных данных онлайн[60] устанавливается, что в целях соблюдения положений закона о защите данных обработчик данных должен принимать в том числе не предусмотренные правовыми актами меры, которые выбираются им самостоятельно в зависимости от ситуации и типа онлайн-сервиса, в том числе облачной системы. Такие обязательства могут включаться в договор.

Руководство также содержит лист проверки, который поможет пользователям облачных сервисов проверить безопасность системы (данный лист создан на основе мнения, опубликованного Рабочей группой по защите данных ЕС).

Еще в ноябре 2010 г. Британский институт стандартов (BSI) опубликовал руководство BIP 0117 «Облачные вычисления. Практическое введение в правовые вопросы» («Cloud Computing. A Practical Introduction to the Legal Issues»)[61]. Документ знакомит (вкратце) с облачными вычислениями, при этом сравнивается развитие этой новой парадигмы вычислений с другими способами приобретения вычислительных ресурсов. В нем суммируются возникающие правовые проблемы, одни из которых характерны для облачных вычислений, а другие имеют более общий характер, но специфически проявляются в отношении «облаков».

В документе рассматриваются правовые вопросы, охватывающие такие области, как безопасность в «облаках», защита персональных данных, уровни обслуживания и контрактные вопросы. Руководство стало полезным ресурсом для тех, кто закупает или предоставляет облачные услуги, определяя практические шаги, направленные на решение правовых вопросов, как в контексте исполнения законодательно-нормативных требований, так и в контексте договорных отношений между клиентами и поставщиками. Рассматриваются также вопросы, возникающие при использовании облачных услуг организациями, работающими в жестко регулируемых отраслях, таких как сфера финансовых услуг.

О применении облачных технологий в госсекторе необходимо отметить следующее. В конце марта 2011 г. администрация Кабинета министров Великобритании (Cabinet Office) опубликовала национальную стратегию[62] в области информационно-коммуникационных технологий[63], согласно которой было запланировано сократить количество государственных центров обработки данных за счет их укрупнения, а также за счет перехода на облачные вычисления. При этом авторы стратегии надеются, что использование стандартизованной облачной платформы будет стимулировать разработку инновационных решений малыми и средними компаниями.

Также правительство Великобритании развивает программу G-Cloud (Government Cloud) – проект, направленный на внедрение облачного ПО в госсекторе. Программа G-Cloud была запущена в 2010 г., однако ее реализация была временно заморожена из-за финансового кризиса. Проект возобновил работу лишь в конце 2011 г.

Подобные программы с 2011 г. запущены и в Российской Федерации. Так, например, Распоряжением Правительства РФ от 20 июля 2011 г. № 1275-р одобрена «Концепция создания и развития государственной интегрированной информационной системы управления общественными финансами “Электронный бюджет”». Данная Концепция рекомендована органам исполнительной власти субъектов Российской Федерации и органам местного самоуправления при разработке систем управления государственными (муниципальными) финансами. Централизованные подсистемы системы «Электронный бюджет» будут предоставляться в качестве сервисных подсистем для использования субъектами Российской Федерации, муниципальными образованиями или организациями сектора государственного управления на безвозмездной основе, в том числе по модели «программное обеспечение как услуга» (SaaS). Хотя проблемы, возникающие в Великобритании и в России, во многом очень сходны[64]. До сегодняшнего дня все еще не выработана единая позиция на классификацию облачных услуг, возможных рисков и представления лучшей практики. Положительной динамикой можно назвать подготовку в 2014 г. Министерством связи законопроекта «О внесении изменений в некоторые законодательные акты Российской Федерации в части использования облачных вычислений». Законопроект определяет понятие услуги облачных вычислений, специфику организации предоставления облачных услуг органам власти, включая квалификационные требования к поставщикам услуг облачных вычислений, требования к финансовой устойчивости соответствующих поставщиков, а также к защите информации, обрабатываемой такими поставщиками, и порядок тарифного регулирования цен на услуги облачных вычислений. Законопроектом предлагалось внести изменения в Федеральный закон «О персональных данных» в части обеспечения защиты персональных данных при осуществлении их трансграничной передачи.

1.3.8. Уполномоченный орган по защите субъектов персональных данных и его функции

Комиссар является органом исполнительной власти по защите данных в Великобритании, независимым должностным лицом, назначаемым Ее Величеством, и ему выдается патент, однако комиссар, его должностные лица и сотрудники не должны рассматриваться в качестве служащих или агентов короны. Основное направление его деятельности – защита информационных прав и содействие открытости государственных органов и конфиденциальности данных для физических лиц.

Управление комиссара (ICO) в Великобритании является вневедомственным государственным органом, который подчиняется непосредственно парламенту при поддержке Министерства юстиции.

Обязанности ICO включают в том числе:

1) предоставление консультаций и рекомендаций для организаций и физических лиц;

2) рассмотрение жалоб от лиц, которые подозревают, что нарушено законодательство о защите данных;

3) выдача предписаний о защите данных;

4) ведение государственного реестра контролеров данных.

Если комиссар постановил, что конкретная организация или лицо нарушили любое из информационных прав, то он имеет право инициировать судебное расследование[65].

«Акт о защите данных» в главе V устанавливает следующие принципы взаимоотношения комиссара и контролеров данных:

1) комиссар разрабатывает свод правил, обязательных для контролеров;

2) комиссар направляет уведомления, которые обязательны для исполнения контролером;

3) комиссар определяет порядок исполнения уведомлений и проверки их исполнения.

Комиссар может налагать штрафы в размере до 500 тыс. фунтов стерлингов за серьезные нарушения «Акта о защите данных» в Великобритании в тех случаях, когда нарушение может нанести существенный имущественный ущерб или нравственные страдания.