Право на забвение (right to be forgotten) попало в сферу общественного внимания 13.05.2014 года, когда Суд Евросоюза в деле Google Inc. v. Mario Costeja González (дело C-131/12) распространил его действие на поисковые сервисы. С 01 января 2016 г. право на забвение заработало и в российском праве, когда вступили в силу изменения в Закон №149-ФЗ «Об информации, информационных технологиях и о защите информации», внесенные Законом №264-ФЗ от 13.07.2015 г.
Разработчики российского закона в пояснительной записке бодро заверяют: «Представляемый законопроект согласуется с общеевропейской практикой решения аналогичных вопросов». Но это не более чем художественный вымысел. Дело в том, что до сих пор не существует ни «общеевропейской», ни «практики», и уж тем более нет никакого «согласуется». То, что нам выдают за «новый европейский закон об удалении информации гражданами», было лишь одним из шагов на пути к закону.
Шагом, за которым последовали двухлетние непрекращающиеся споры и поиски компромисса в законодательных органах, научных институтах (больше 200 авторитетных мнений только за первый год), на страницах изданий и в телевизионных студиях; заслушивания представителей поисковых сервисов, их опасений и предложений, в разных аудиториях и странах; строгое осуждение решения Суда ЕС со стороны британской Палаты лордов (п. 41: если следовать логике Суда ЕС, каждый пользователь поискового сервиса является контролером данных, поэтому требование об удалении можно предъявлять каждому из нас); многочисленные обсуждения в Европарламенте широкого спектра поправок к проекту нового Регламента об обращении персональных данных; отказ Австрии одобрять проект Регламента, пока основные поправки не учтены. Все эти шаги в конце концов могут привести к формулированию закона о праве на забвение в новом Регламенте ЕС. Пока же никакого общеевропейского подхода к удалению информации о частной жизни не сформировано. Единая практика также отсутствует, ведь обязанности поисковых сервисов привязаны к национальным правилам, а поисковики и компетентные органы по своему усмотрению оценивают правомерность требований об удалении (недаром европейская рабочая группа «Article 29 Data Protection» настойчиво добивается единообразия в данной сфере). В этих обстоятельствах принятие российского закона без достаточного обсуждения и в течение краткого периода (одного месяца) выглядит по меньшей мере непрофессионализмом. Равно как и обоснование законопроекта вымышленной «общеевропейской практикой». Все сомнения относительно конструкции нового права на удаление, которые не первый год пытаются разрешить и европейские правоведы, и общество, просто отброшены отечественным законодателем.
И еще одно важное замечание. Суд ЕС на самом деле сыграл не нормотворческую, а скорее провокационную роль. Дело в том, что Суд строго следовал положениям Директивы 95/46/ЕС «Об охране частных лиц применительно к обработке персональных данных и свободном перемещении таких данных” от 24.10.1995 г., принятой задолго до того, как поисковые и другие интернет-сервисы прочно вошли в нашу жизнь. Он не создавал новые нормы, но развил идеи, которые уже были заложены директивой. Словно воспользовавшись приемом reductio ad absurdum, он продемонстрировал, что произойдет, если буквально применять вчерашние нормы, не соответствующие сегодняшним реалиям. Суд поставил не точку, а двоеточие, поместив в центр общественного внимания проблему баланса интересов в эпоху всепроникающей глобальной сети. Он показал, как благое начинание может привести к серьезному сопутствующему ущербу, например, когда право на цензуру попадает в частные руки без должного контроля со стороны компетентных инстанций. Именно по этим причинам 80 представителей научного сообщества со всего мира обратились к компании Google с призывом сделать процедуру удаления ссылок более прозрачной: «общество вправе знать, как цифровые платформы осуществляют свою гигантскую власть над легко доступной информацией» (сравним этот призыв с положением российского закона, запрещающим поисковикам даже заикаться о факте обращения к нему за удалением). Решение Суда ЕС активизировало дискуссию вокруг норм о праве на забвение в новом проекте Регламента. В результате, возросли шансы на то, что новый закон будет более взвешенным и справедливым.
Посмотрим теперь на основные сходства и различия права на забвение в европейском и российском варианте.
Сходство в том, что можно требовать удаления ссылок на информацию о любых обстоятельствах, если она соответствует определенным критериям, и требования могут направляться напрямую операторам поисковых сервисов, в т.ч. без одновременного удаления информации с сайтов третьих лиц.
Дальше начинаются различия.
1) Российский закон разрешает удалять ссылки на информацию 3 видов: а) распространяемую с нарушением законодательства РФ, б) недостоверную, в) неактуальную, утратившую значение для заявителя в силу последующих событий или действий заявителя.
Европейский суд выделяет 2 категории: а) информация, обрабатываемая с нарушением положений Директивы 95/46/ЕС, в частности, неточная или неполная информация (применительно к целям, для которых она собиралась или в дальнейшем обрабатывается), а равно несоответствующая, не относящаяся или избыточная для изначальных целей обработки персональных данных, ради которых она собиралась, б) если интересы, фундаментальные права или свободы субъекта данных, затрагиваемые размещенной информацией, имеют приоритет над законными интересами контролера или третьих лиц (общества). Легко заметить, что европейский стандарт гораздо строже.
а) По европейским правилам ссылки можно удалить лишь в случае нарушения национального закона об обработке персональных данных, принятого во исполнение конкретной Директивы 95/46. Российские правила разрешают «зачищать интернет» от информации, распространяемой с нарушением любого российского закона.
б) В РФ на поискового оператора необоснованно возлагаются правоохранительные функции. В ЕС поисковик обязан удалить ссылки только в тех случаях, когда закону не соответствуют его собственные действия (обрабатываемая информация является неточной, несоответствующей, не относящейся или избыточной, с точки зрения преследуемых им целей обработки персональных данных). В России же он несет бремя проверки соблюдения законодательства третьими лицами. Он должен оценить действия третьих лиц, выложивших информацию на каком-либо сайте; причем оценить применительно к неограниченному кругу законов. Подчеркнем, поисковик не исполняет решение суда или иного компетентного органа, выявившего нарушение. Нет, получив жалобу от обычного гражданина, он, видимо, должен сам провести расследование, определить перечень относимых и допустимых доказательств, запросить их у третьих лиц и принять решение о наличии в действиях третьего лица признаков нарушения закона.
в) Обязанность по российскому закону удалять ссылки на любую недостоверную информацию также возлагает на поисковый сервис необоснованное бремя. Неужели он сможет сам собрать необходимые доказательства, проверить их и оценить данные на чужом сайте на предмет их достоверности? Или достаточно слепо полагаться на слово заявителя?
Конечно, европейская директива тоже запрещает обработку недостоверной информации. Но принципиальное отличие состоит в том, что достоверность оценивается оператором лишь применительно к целям, ради которых он собирает и обрабатывает данные (ст. 6(1)(d) Директивы). Поисковый сервис не может и не обязан оценивать недостоверность данных вообще. Поэтому в европейском праве принцип устранения недостоверной информации имеет ограниченный характер. В официальном комментарии Агентства Евросоюза по фундаментальным правам «Handbook on European data protection law», написанном совместно с Советом Европы и Европейским Судом по правам человека, приводятся различные примеры такого ограничения: магазин не вправе, ссылаясь на необходимость устранения недостоверных данных, получать из государственных реестров сведения об актуальном адресе покупателя без его согласия; больница не может удалять из истории болезни запись о неверном предварительном диагнозе, поскольку для цели лечения должна сохраняться вся информация; полиция вправе не удалять недостоверные подозрения до завершения расследования и т.д.
Что означает проверка достоверности с точки зрения целей обработки данных? Предположим, сайт предоставляет посетителям информацию о владельцах коммерческих компаний, которая собирается из официальных государственных реестров. Законодательство, регулирующее ведение реестров, обычно закрепляет принцип достоверности содержащихся в них сведений. Таким образом, если к владельцу сайта обратится третье лицо, доказывающее, что на странице приведена ложная информация о его связи с какой-либо компанией, владелец сайта обязан проверить, корректно ли сайт отображает информацию из соответствующего реестра. И если отображение корректное, администратор сервиса не обязан проверять достоверность сведений, которые подвергает сомнению третье лицо, поскольку цель обработки данных владельцем сайта состоит лишь в правильном отображении официальных сведений, которые презюмируются достоверными. За исправлением неточных данных третьему лицу придется обращаться в соответствующий реестр, и предоставлять доказательства его сотрудникам, обладающим, к слову, необходимой квалификацией для их оценки. По российскому же праву поисковый сервис (или владельца сайта) теперь можно принуждать проверять не только корректность отображения информации из реестра, но и правдивость сведений в самом реестре, оценивая предоставленные заявителем доказательства. Это само по себе глупо. Но еще более глупой ситуация станет, если третье лицо вынудит поисковики не отображать ссылки на оспоренную им информацию, которая продолжит оставаться в реестрах и, с позиции государства, будет считаться достоверной.
Каковы цели обработки данных поисковым сервисом? К сожалению, Суд ЕС не привел пояснений, поскольку в рассматривавшемся деле не было сомнений в достоверности информации. Общая цель поисковика — предоставить пользователю наиболее релевантную его поисковому запросу информацию. Подчеркнем, не достоверную, а релевантную. Поэтому если строго следовать букве Директивы, придется признать, что понуждение поискового сервиса удалить ссылки на информацию по мотивам ее недостоверности будет крайне нетривиальной задачей. Раз поисковик призван предоставить наиболее полную, соответствующую запросу информацию, размещенную в интернете, то любые собранные им сведения можно признать достоверными — они действительно содержатся в интернете и имеют отношение к запросу, даже если с точки зрения объективной действительности они не правдивы. Думаю, что этот вопрос еще заставит европейские суды поломать голову над пределами ответственности поисковых сервисов в применении принципа удаления недостоверных данных.
г) Удаление достоверной информации, нарушающей законодательство.
Обязанность поискового сервиса удалять неправомерную, но достоверную информацию в европейском праве также сформулирована достаточно узко. Суд ЕС, толкуя положения Директивы, возлагает на поисковики обязанность исключать из выдачи ссылки на ту достоверную информацию, которая является несоответствующей, не относящейся или избыточной для изначальных целей обработки персональных данных, ради которых она собиралась поисковиком. Подчеркну два момента. Во-первых, опять Суд требует от поисковика анализировать лишь собственные действия (проверять соответствие информации целям ее обработки самой поисковой системой, но не третьими лицами). Во-вторых, доказать наличие подобного основания для удаления еще сложнее, чем в ситуации с недостоверными данными. Действительно, если поисковый сервис предназначен собирать наиболее полную и релевантную информацию, доказать, что она несоответствующая, не относящаяся к запросу или избыточная практически невозможно. Усложняет доказывание и тот факт, что принципы определения релевантности и ранжирования поисковых результатов обычно являются коммерческой тайной поисковой системы. Понуждение поискового сервиса удалить ссылку по этому основанию будет крайне непростым делом. Так что риски ограничения свободного обращения информации и тут невелики. Наконец, речь в решении Суда ЕС идет о нарушении только Директивы, но не иного законодательства.
В российском праве обязанность поискового сервиса удалять достоверную информацию, нарушающую какой-либо закон, ничем не ограничена. Пространство для злоупотреблений огромно. Проверить доводы и доказательства заявителя сложно, а угроза штрафа скорее побудит поисковик удалить ссылку, чем в суде доказывать правомерность действий неизвестного ему владельца сайта.
д) Удаление достоверной и правомерной информации.
Самая интересная категория. Вокруг нее выстроено решение Суда ЕС и ради нее российский законодатель затеял свою кампанию.
Начать с того, что в европейском праве отсутствует общее право субъекта данных возражать против обработки его данных (см. с. 113 упомянутого Руководства Агентства ЕС). Требовать удаления ссылок на достоверную и правомерную информацию можно лишь в особых случаях и при соблюдении определенных условий. В российском законе, напротив, сформулировано именно общее право — субъект данных может требовать удаления ссылок на любую информацию, которую он сочтет неактуальной, утратившей для него значение. То есть в российском праве условия удаления исчерпываются субъективным усмотрением заявителя.
Начнем с европейского подхода. Право требовать удаления ссылок существует не само по себе. Оно является продолжением фундаментальных прав на неприкосновенность частной жизни и охрану персональных данных. Как всякие фундаментальные права они требуют серьезных средств защиты. Но в то же время они не безграничны. И в ст. 8 Европейской конвенции по правам человека и в ст. 52(1) Хартии ЕС об основных правах допускается их ограничение, когда это необходимо, в частности, для защиты прав и свобод других лиц. Суд ЕС в объединенном деле C-92/09 и C-93/09 подчеркнул, что право на охрану персональных данных «не является абсолютным, но должно рассматриваться применительно к его функционированию в обществе». Это значит, что реализация мер по защите персональных данных индивида допустима лишь в тех пределах, в каких не ущемляются права и интересы других членов общества.
Поэтому Суд ЕС разрешает требовать удаления ссылок на личную информацию только при соблюдении баланса фундаментальных прав обеих заинтересованных сторон: заявителя и общества. На поисковый сервис возлагается непростая задача оценить, интересы какой стороны преобладают в конкретной ситуации. На одной чаще весов уже упомянутые права на охрану персональных данных и неприкосновенность частной жизни (privacy), на другой — права на свободу распространения и получения информации, на свободу деятельности средств массовой информации и на свободу выражения (freedom of expression). Чтобы помочь поисковому сервису принять решение, Суд ЕС сформулировал презумпцию (за которую его нещадно критикуют) приоритета прав с первой чаши над вторыми. Презумпция эта опровержима, поэтому поисковику необходимо каждый раз проверять баланс интересов двух сторон, исходя из характера информации, ее чувствительности для частной жизни, заинтересованности в ней общества, а также, что немаловажно, исходя из роли заявителя в общественной жизни. Предполагается, что личная информация лица, не ведущего активной социальной деятельности, менее важна для общества в сравнении с информацией о политике, законодателе, судье, государственном служащем и иных социально значимых фигурах. Поскольку вторые нередко пользуются ресурсами общества, оно вправе знать об их жизни как можно больше, ведь от этого зависит доверие к ним. Поэтому с большим правом требовать удаления ссылок на информацию о каких-то неблаговидных поступках может частное лицо, но не депутат парламента.
Конечно, даже такие разъяснения не сильно облегчают задачу поисковых систем. Поэтому в проекте Регламента ЕС на Европейскую комиссию возлагается обязанность детально разъяснить критерии и условия удаления ссылок применительно к конкретным сферам обработки персональных данных.
Еще один важный момент. Хотя Суд ЕС разрешил удалять ссылки даже на ту информацию, которая не причиняет индивиду ущерба, тем не менее заявитель должен продемонстрировать, что эта информация каким-то образом посягает на его частную жизнь. Ведь если на одну из чаш весов положить простое желание удалить информацию (потому что она неактуальна, не нравится или т.п.), то установить баланс будет невозможно: либо интересы общества явно перевесят, либо они не будут учтены вовсе. Плюсы надо соотносить с какими-то минусами, пользу для общества — с ущемлением прав индивида. Именно поэтому британский ICO, регулирующий обращение персональных данных, твердо указал, что для принудительного осуществления права на забвение потребуется демонстрация «явных доказательств вреда и страданий (damage and distress) индивида».
Взглянем теперь на российское право: заявитель вправе требовать удаления ссылок на любую неактуальную, утратившую для него значение в силу последующих событий или действий заявителя информацию (за небольшим исключением касательно уголовно наказуемых деяний). Что тут можно сказать? Субъективизм чистой воды. «Актуальность» информации, «утрата ею значения» определяются только по внутреннему убеждению заявителя. Их никак не проверить на соответствие закону. Их никак не соотнести с правами иных лиц и общества. Остается только слепо повиноваться. Чем оправдано подобное пренебрежение законодателя к конституционному праву всех остальных граждан свободно искать и получать информацию, совершенно непонятно. Нам он оставил лишь фантазийное заявление о согласованности такого подхода с некой «общеевропейской практикой решения аналогичных вопросов». Надо бы, кстати, порекомендовать поисковикам удалить ссылки на это заявление ввиду его явной недостоверности, не пропадать же закону.
Словом, по европейским правилам требовать удаления ссылок можно в случаях, когда информация каким-либо образом посягает на неприкосновенность частной жизни (даже если реальный вред отсутствует) и заинтересованность лица в «забвении» такой информации явно превышает заинтересованность общества в сохранении к ней доступа. Российский закон никаких внятных ориентиров не устанавливает, разрешая удалять ссылки на любые сведения, которые заявитель сочтет неактуальными. Поскольку закон не может менять Конституцию РФ и международные соглашения, в которых участвует Россия, остается надеяться, что суды будут более щепетильно подходить к требованиям об удалении и, подобно европейским судам, проверять соблюдение баланса основополагающих прав всех заинтересованных лиц.
2) Есть различия и в механизмах реализации права на забвение.
Суд ЕС постоянно подчеркивает в своем решении, что удалению подлежат ссылки из тех поисковых результатов, которые отображаются при поиске по имени заявителя. Если поисковый запрос не содержит имени заявителя, ссылки можно показывать. Возможно, это правило изменится, ведь согласно исследованиям от 63% до 87% жителей США можно идентифицировать посредством поиска с использованием почтового индекса, даты рождения и пола. Тем не менее сегодня европейское правило остается таким.
Кроме того, решение Суда ЕС предполагает, что удалению подлежат ссылки на конкретные страницы, а не все подряд ссылки на сайты, содержащие спорную информацию. Поэтому заявитель обязан указать точные ссылки на страницы. Именно они не будут отображаться в процессе поиска по его имени.
Российский закон, к сожалению, сформулирован невнятно и противоречиво. С одной стороны, он вроде бы также предполагает прекращение выдачи конкретных ссылок при поиске по имени заявителя («прекратить выдачу ссылок на информацию, указанную в требовании заявителя, при показе результатов поиска по запросам пользователей поисковой системы, содержащих имя и(или) фамилию пользователя»). Но, как обычно, «the devil is in the detail». По сути, Закон обязывает удалять ссылки на все страницы с информацией, указанной в требовании, а не только ссылки, перечисленные заявителем. Получается, поисковая система должна сопоставлять всю проиндексированную ею информацию с каждым полученным запросом и самостоятельно составлять список не отображаемых ссылок? Может ли она ограничить проверку сличением точных фраз заявителя или должна исходить из смысла информации? Как быть с новыми проиндексированными сайтами, на которых появилась схожая информация? Далее, обратим внимание на родительный падеж в слове «содержащих» – оно явно относится не к «запросам», как можно подумать (тогда было бы «содержащим»), а к фразе «результатов поиска». То есть поисковик обязан прекратить выдачу ссылок на информацию при показе результатов, «содержащих имя и(или) фамилию пользователя», независимо от формулировки запроса (даже если в запросе не было имени заявителя). Что законодатель понимает под «результатами поиска» – заголовок найденной страницы, отображаемый в поисковой выдаче отрывок с сайта или текст на самом сайте, ссылка на который приводится в выдаче? Не меньше путаницы и в формулировках п. 1 ст. 10.3 закона. И вновь остается возлагать робкие надежды на то, что суды будут исходить не из буквы, а из «предполагаемого смысла» закона и ориентироваться на реальную европейскую практику.
3) Различается порядок определения сервисов, которые обязаны выполнять требования заявителя.
В ЕС это компании, обрабатывающие персональные данные и отвечающие установленным Директивой критериям. В рассматривавшемся деле Суд ЕС счел компанию Google подчиняющейся испанскому законодательству об обработке персональных данных по двум причинам: а) поисковый сервис создал в Испании предприятие, являющееся его дочерней компанией; б) хотя предприятие не предоставляет услуг по поиску, оно целенаправленно осуществляет в Испании продажу рекламного пространства на страницах сервиса, что позволяет получать прибыль и финансировать работу поисковика. В совокупности эти факторы демонстрируют, что поисковый сервис обрабатывает персональные данные «в контексте деятельности» своей испанской дочерней компании, обеспечивающей его экономическую поддержку. Тем самым поисковый сервис имеет достаточную связь с европейским государством.
Российский законодатель придумал свой критерий: под действие закона попадает «оператор поисковой системы, распространяющий в сети «Интернет» рекламу, которая направлена на привлечение внимания потребителей, находящихся на территории РФ».
Европейский подход выглядит более обоснованным. Иностранный поисковик подчиняется европейским нормам, если он явно выразил намерение оказывать поисковые услуги жителям соответствующего государства: создал там предприятие, продвигающее и экономически поддерживающее деятельность поискового сервиса. Российский закон ловит в свои сети и за самую слабую связь с территорией: поисковая система может вовсе не иметь намерения оказывать услуги для россиян и не предпринимать для этого никаких действий, однако в российскую юрисдикцию ее может втянуть любой рекламодатель, разместивший на сервисе объявление, направленное на наших потребителей. В условиях автоматизированного размещения интернет-рекламы владельцам площадок следует более внимательно относиться к содержанию объявлений, чтобы случайно не попасть под действие российских правил.
Первый вывод.
Итак, и европейский, и российский механизм преследуют схожую цель — уменьшение доступности некоторой информации через системы поиска. Многие элементы европейского варианта заслуженно критикуются. Однако российский еще более противоречив и закладывает множество возможностей для злоупотреблений. Одно из главных различий двух механизмов состоит в соотношении права на удаление с правами третьих лиц. Европейский законодатель, пусть и неуклюже, попытался обеспечить баланс права на забвение с иными фундаментальными правами, подчеркивая не абсолютный характер первого. Российский законодатель, напротив, демонстрирует явное пренебрежение к системе конституционных, основополагающих прав. Это следствие и недостаточной квалификации разработчиков закона, и неуважительного отношения к правам человека, и, как это ни странно, халатного подхода даже к защищаемому праву на забвение (между строк закона читается: вот, мы тут что-то написали, вроде похоже на то, как у всех; дальше уж как-нибудь сами, а мы ставим галочку о выполнении плана). Потому что российский закон подвергает серьезному риску нарушений фундаментальные права всего общества. И в то же время оставляет заявителей беззащитными — невнятные формулировки позволяют легко отклонять любые их требования. Практика это наглядно подтверждает. Более четкие европейские правила обеспечили выполнение всего 42,6% запросов, согласно Google. Тогда как в России удовлетворяют в среднем лишь 26,6% запросов (26,3% по данным Google и 27% по данным Яндекса). И это вовсе не вина поисковых сервисов. Напротив, в условиях противоречивого законодательства именно их благоразумие остается единственной надеждой на сбалансированную реализацию основополагающих прав граждан. По сути, именно на них легло бремя сформулировать разумные правила реализации права на забвение. Поскольку в нынешнем виде российский закон нежизнеспособен.
Второй вывод.
Более продуманные европейские правила тоже серьезно критикуются. В связи с этим интересно посмотреть, какие изменения предложены в проект нового Регламента, каким будет будущее права на забвение в ЕС. Напомню, проект до сих пор активно обсуждается (последняя редакция здесь). Важное уточнение — последняя редакция Регламента подготовлена в марте 2014 г., т.е. еще до принятия решения Суда ЕС. С тех пор рассмотрение проекта затянулось. Лишь в декабре 2015 г. появились признаки достижения компромисса по основным положениям. Так что в европейском праве этот вопрос пока еще нельзя считать окончательно решенным.
1) Любопытно, что европейский законодатель отказывается от термина «право на забвение», заменяя его «правом на удаление» («right to erasure» вместо «right to be forgotten»). Это связано с тем, что нынешняя формулировка вводит в заблуждение: некоторые ожидают, что смогут совсем стереть из интернета определенную информацию, чтобы общество «забыло» о ней, а удаляются лишь определенные ссылки из поисковой выдачи (ст. 17 Регламента).
2) Исключен приоритет прав на охрану персональных данных и на неприкосновенность частной жизни (privacy) над иными основополагающими правами (ст. 85(а) Регламента). Действительно, ни одно из фундаментальных прав не имеет преимуществ перед другими. Тогда как решение Суда ЕС превращало право на охрану персональных данных в суперправо. Похожая проблема возникла и в российском праве: только у нас суперправо на удаление информации не только имеет приоритет перед иными основополагающими правами и свободами, оно вообще не может быть ими ограничено.
3) Регламент прямо предписывает, что национальное законодательство должно соответствовать цели удовлетворения интересов общества или быть достаточным для охраны прав и свобод других лиц, с учетом существа права на охрану персональных данных (ст. 6(3) Регламента).
4) Контролер данных (и третье лицо, которому такие данные разглашены) должен незамедлительно удалить данные, а также ссылки, копии или дублирование таких данных, если требование об удалении обосновано, кроме случаев, когда персональные данные необходимы для осуществления права на свободу выражения; в общественных интересах в сфере охраны здоровья; в исторических, статистических или научно-исследовательских целях (ст.ст. 17(3) и 80 Регламента, п. 53 преамбулы Регламента). Обратим внимание — Регламент, в отличие от нынешней Директивы, позволяет предъявить требование об удалении не только к контролеру данных, но к любому третьему лицу, что создает серьезные риски для ограничения фундаментальных прав третьих лиц. Возможно, дело в том, что проект готовился до широкого обсуждения решения Суда ЕС.
5) Национальные законодатели вправе предусматривать ограничения и исключения из положений Регламента (в т.ч. касающихся права на удаление, права на возражение и других прав субъекта данных) в той мере, в какой это необходимо в демократическом обществе для уравновешивания права на охрану персональных данных с правами и свободами других лиц, в том числе с правом на свободу выражения и правом на получение и распространение информации (ст. 21(1) Регламента, п. 59 и п. 121 преамбулы Регламента).
6) «Для большей защищенности «права на удаление» в онлайновой среде право на удаление должно быть настолько широким, чтобы охватывать обязанность контролера, сделавшего данные публичными в отсутствие правого основания, предпринимать все необходимые шаги для их удаления, в том числе третьими лицами, не ущемляя право субъекта данных требовать компенсации» (п. 54 преамбулы Регламента). Контролеры, сделавшие данные публичными, обязаны уведомить иных контролеров о требовании заявителя удалить ссылки, копии или дублирование таких данных, принимая во внимание доступные технологии и затраты. Европейский совет по защите данных может издавать руководства, рекомендации и сборники наилучших практик, посвященных процедурам удаления ссылок, копий или дублей персональных данных из общедоступных коммуникационных сервисов.
7) В случаях правомерной обработки персональных данных в целях выполнения государственных функций, обеспечения интересов общества или законных интересов контролера данных или третьего лица, субъект данных вправе возражать против обработки данных в его конкретной ситуации, а также воспользоваться правом на удаление данных. Контролер должен прекратить дальнейшую обработку таких данных, если не докажет, что его законные интересы перевешивают интересы, права и свободы субъекта данных.
Если персональные данные обрабатываются в прямых маркетинговых целях, право субъекта данных на возражение не ограничивается. К этой ситуации относится и составление профиля (profiling) в целях прямого маркетинга. Составление профиля – любая форма автоматизированной обработки персональных данных, направленной на оценку определенных личных характеристик физического лица, в частности для анализа и прогнозирования выполнения им трудовых функций, его экономической ситуации, состояния здоровья, личных предпочтений, интересов, надежности, поведения, местонахождения или перемещений. После предъявления требования дальнейшая обработка в маркетинговых целях запрещена. О наличии права на возражение субъект должен быть явно предупрежден в момент первой передачи им своих данных контролеру.
Применительно к услугам информационного общества свое возражение против обработки данных автоматизированными средствами субъект данных может выразить посредством технических возможностей (напр., do-not-track features).
8) Европейская комиссия вправе разработать четкие и детальные разъяснения для поисковых сервисов о том, как исполнять запросы в конкретной сфере обработки персональных данных (ст. 17(9) Регламента).
9) В целом, Регламент будет гораздо больше ориентирован на применение в цифровой среде. Поэтому еще несколько слов о его отличиях, чтобы яснее понять контекст, в котором будет существовать право на удаление.
10) Цель нового регламента – повысить доверие граждан к онлайновым сервисам и трансграничной обработке и перемещении данных, что должно стимулировать развитие Digital Single Market.
11) Чтобы контроль субъекта над своими персональными данными был более полным, субъект данных должен иметь право, когда данные обрабатываются электронными средствами в общераспространенных форматах, получить копию касающихся его данных в общераспространенном электронном формате. Субъект данных также должен иметь право перенести предоставленные им данные из одного автоматизированного приложения, такого как социальная сеть, в другое приложение (п. 55 преамбулы Регламента).
12) Субъект данных вправе возражать против принятия решения, основанного единственно на автоматизированной обработке, предполагающего оценку его личных характеристик, если такое решение создает для субъекта правовые последствия или существенно затрагивает его (напр., при автоматическом отклонения онлайновой заявки на кредит или в процедурах электронного найма на работу).
13) Регламент призван регулировать способы обработки данных, использующих в том числе современные электронные типы идентификаторов, предоставляемых устройствами, приложениями, инструментами и протоколами, такими как IP-адрес, идентификаторы cookies, RFID-теги, кроме случаев, когда они не относятся к идентифицированному или идентифицируемому физическому лицу.