Захист конфіденційності і персональних даних в Інтернет і онлайн засобах масової інформації
Захист конфіденційності і персональних даних в Інтернет і онлайн засобах масової інформації
Резолюція 1843 (2011)[1]
1. Віддаючи належне епохальному прогресу в області інформаційних і комунікаційних технологій (далі «ІКТ»), і його позитивному впливу на людей, суспільство і людську цивілізацію в цілому, Парламентська Асамблея із занепокоєнням відзначає, що перехід до цифрової інформації породив безпрецедентні можливості для ідентифікації осіб за їх даними. Персональні дані обробляються все більшою кількістю приватних осіб і державних органів у всьому світі. Особиста інформація розміщується в кіберпросторі самими користувачами, а також третіми особами. Люди залишають свій слід, використовуючи ІКТ. Профілювання Інтернет-користувачів стало поширеним явищем. Іноді компанії використовують ІКТ для контролю своїх співробітників і ділових контактів.
2. Крім того, ІКТ-системи нерідко зламують з метою отримання даних про юридичних осіб, зокрема, комерційні компанії, фінансові інститути, науково-дослідні установи та державні органи. Такий доступ може призвести до економічних втрат для приватного сектора і негативно вплинути на економічний добробут держави, суспільну безпеку або національну безпеку.
3. Асамблея висловлює стурбованість у зв'язку з таким розвитком подій, який кидає виклик праву на конфіденційність і захист даних. У демократичній державі, заснованій на верховенстві права, кіберпростір не повинен розглядатися як простір, на який не поширюється право, зокрема, права людини.
4. Асамблея нагадує про фундаментальне право людини на повагу до приватного і сімейного життя, житла і кореспонденції, гарантоване статтею 8 Європейської конвенції з прав людини (ETS No. 5). Це право включає право на захист персональних даних, а також зобов'язання щодо створення відповідних гарантій відповідно до національного законодавства в цій галузі.
5. Асамблея підкреслює необхідність ефективної боротьби зі збором, поширенням і використанням матеріалів, пов'язаних з порушенням прав дітей, за допомогою інформаційних та комунікаційних технологій, зокрема через Інтернет, і необхідність дотримання Конвенції Ради Європи про захист дітей від сексуальної експлуатації та сексуального насильства (CETS No. 201).
6. З урахуванням своєї давньої підтримки права на захист конфіденційності з моменту прийняття нею Рекомендації 509 (1968) про права людини і сучасні науково-технічні розробки, Асамблея вітає і підтримує Резолюцію № 3 про захист даних і конфіденційність в третьому тисячолітті, яка була прийнята на 30-й Конференції міністрів юстиції Ради Європи (Стамбул, 24-26 листопада 2010 року).
7. Як Асамблея проголосила у своїй Резолюції 428 (1970) про засоби масової інформації та права людини, «при створенні місцевих, національних або міжнародних комп'ютерних банків даних, особа не повинна бути абсолютно беззахисною і відкритою внасдідок збору інформації, що стосується його (або її) особистого життя. Банки даних повинні обмежуватися необхідним мінімумом інформації ».
8. Посилаючись на Конвенцію про захист фізичних осіб при автоматизованій обробці персональних даних (ETS No. 108, далі «Конвенція № 108»), Асамблея підкреслює, що право на захист персональних даних включає в себе, зокрема, право на обробку таких даних з дотриманням справедливості та безпеки, виключно для конкретних цілей і на законних підставах, і право кожного знати про обробку своїх персональних даних третіми особами, мати до них доступ, і виправляти або видаляти персональні дані, які обробляються незаконно. Нагляд за дотриманням цих зобов'язань має здійснюватися незалежним органом відповідно до Додаткового протоколу до Конвенції № 108 щодо наглядових органів та транскордонних потоків даних (ETS No.181).
9. Асамблея підтверджує, що держави-члени повинні погоджуватися на передачу персональних даних іншій державі чи організації, тільки якщо така держава або організація є учасником Конвенції № 108 і Додаткового протоколу до неї, або іншим чином забезпечує рівноцінний і адекватний рівень захисту при передбачуваній передачі даних. Передача персональних даних, яка порушує право на захист конфіденційності згідно зі статтею 8 Європейської конвенції з прав людини, може бути предметом судового розгляду в національних судах і, в крайньому випадку, в Європейському суді з прав людини.
10. Асамблея вітає той факт, що Конвенція № 108 була підписана і ратифікована майже всіма державами-членами Ради Європи - на жаль, за винятком Вірменії, Росії, Сан-Марино і Туреччини – і зазначає, що в статтях 7 та 8 Хартії основних прав Європейського Союзу містяться, головним чином, ті ж принципи. З ростом глобалізації послуг на базі ІКТ, для Європи в цілому надзвичайно важливо дотримуватися тих же стандартів і прагнути закликати до їх дотримання інші країни у всьому світі.
11. Хоча стаття 17 Міжнародного пакту про громадянські і політичні права (далі «МПГПП») визнає право на недоторканність приватного життя, правове тлумачення і практичне виконання цієї статті явно не відповідають європейським стандартам. Таким чином, Асамблея вважає, що будь-яка глобальна ініціатива повинна грунтуватися на Конвенції № 108 і Додатковому протоколі до неї, документах, які, в принципі, можуть підписати і держави, які не є членами Ради Європи.
12. Хоча захисні технології і програмне забезпечення, добровільне саморегулювання ІКТ-компаній і приватних користувачів, а також підвищення поінформованості користувачів, можуть зменшити ризик втручання в приватне життя і масштаби незаконної обробки персональних даних за допомогою ІКТ, Асамблея вважає, що тільки спеціальне законодавство та його ефективне застосування можуть надійно захистити право на конфіденційність і захист особистих даних, як того вимагають стаття 17 МПГПП і стаття 8 Європейської Конвенції з прав людини.
13. Асамблея висловлює жаль, що відсутність всесвітньо визнаних міжнародно-правових стандартів щодо захисту даних у сфері мереж та послуг на базі ІКТ призводить до правової незахищеності і необхідності для національних судів заповнити цю прогалину шляхом тлумачення національних законів у світлі статті 17 МПГПП та статті 8 Європейської Конвенції з прав людини у кожному конкретному випадку. Останнє не лише призводить до нерівноцінного захисту прав окремих осіб, але і тягне за собою різні й мінливі вимоги для ІКТ-компаній та користувачів по всьому світу, в результаті чого їх відповідальність стає практично непередбачуваною.
14. Асамблея вітає міжнародну співпрацю між незалежними органами, що займаються захистом даних, і підтримує їх зусилля щодо забезпечення міжнародного захисту конфіденційності та персональних даних в рамках технічного прогресу, як вони викладені в резолюціях, прийнятих в Мадриді в 2009 році і в Єрусалимі в 2010 році. Асамблея поділяє їх думку, що Конвенція № 108 повинна впроваджуватися в глобальному масштабі, оскільки вона є найбільш передовим набором стандартів у цій сфері в межах міжнародного публічного права.
15. Посилаючись на Конвенцію про кіберзлочинність (ETS No.185), Асамблея із задоволенням відзначає, що більше 100 держав прийняли законодавство, що відповідає духу цієї Конвенції. Відповідно до статей 2, 3 та 4 цієї Конвенції, її учасники зобов'язані вважати злочином, караним відповідно до національного кримінального законодавства, будь-який навмисний доступ до комп'ютерних даних, їх перехоплення та втручання без права на це. Такі комп'ютерні дані можуть містити персональні дані фізичних осіб або секретні дані юридичних осіб в комп'ютерних мережах.
16. Посилаючись на статтю 10 Конвенції про права людини та біомедицину (ETS No.164) і статтю 16 Додаткового протоколу до цієї Конвенції, що стосується генетичного тестування в медичних цілях (CETS No. 203), Асамблея підкреслює право кожної людини на захист особистих даних про стан здоров'я, у тому числі право на отримання інформації, згоду чи незгоду на будь-який збір та обробку таких даних за допомогою ІКТ. Медичні та медико-санітарні дані осіб вимагають підвищеного рівня захисту даних, оскільки вони є одним з основних елементів приватного життя та людської гідності.
17. Асамблея також нагадує про обов'язок поважати право на захист конфіденційності і даних в рамках Конвенції про доступ до офіційних документів (CETS No. 205), а також про обмеження на захист персональних даних відповідно до Конвенції про відмивання, пошук, арешт та конфіскацію доходів від злочинної діяльності та про фінансування тероризму (CETS No. 198) та Конвенції про взаємну адміністративну допомогу в податковій сфері (ETS No. 127), а також протоколу про внесення змін до неї (CETS No. 208).
18. Асамблея підтримує такі загальні принципи, що стосуються захисту приватного життя та персональних даних у сфері ІКТ:
18.1. захист персональних даних і конфіденційності є необхідним елементом людського життя і гуманного функціонування демократичного суспільства; в разі порушення конфіденційності під загрозою опиняються людська гідність, свобода і безпека особи;
18.2. право на захист конфіденційності і персональних даних є фундаментальним правом людини, яке накладає на державу зобов'язання створити належну правову базу для захисту від втручання в це право з боку органів державної влади, приватних осіб і організацій;
18.3. кожна людина повинна мати можливість контролювати використання своїх персональних даних іншими особами, включаючи будь-який доступ, збір, зберігання і розповсюдження інформації, маніпулювання, використання або іншу обробку персональних даних, за винятком технічної необхідності або законного зберігання даних про трафік ІКТ і даних про локалізацію; контроль над використанням персональних даних має містити в собі право знати і виправляти власні особисті дані і мати можливість видаляти з систем і мереж ІКТ будь-які дані, які були надані без юридичних зобов'язань;
18.4. персональні дані не можуть бути використані іншими особами, якщо особа не надала на це згоди, що передбачає надання попередньої згоди з повним знанням про таке використання, а саме висловлювання вільної, конкретної й інформованої волі, і виключає автоматичне використання або використання за умовчанням; згода може бути пізніше відкликана у будь-який час; в разі відкликання згоди персональні дані не можуть використовуватися в подальшому;
18.5. якщо персональні дані планується використовувати з комерційною метою, особа також має бути заздалегідь проінформована про конкретну мету комерційного використання; якщо особисті дані можуть бути використані внаслідок особистої згоди або доступності даних, зрештою анонімних, навмисний збір, обмін, персоналізація і використання таких зібраних даних, проте, вимагають згоди відповідної особи;
18.6. заборонений доступ до персональних систем ІКТ або комунікацій на базі ІКТ, і маніпулювання ними, якщо такі дії порушують недоторканність приватного життя і таємницю листування; доступ і управління через «cookies» або за допомогою інших несанкціонованих автоматизованих засобів порушують недоторканність приватного життя, зокрема, в разі автоматичного доступу або маніпуляції в інших, зокрема комерційних інтересах;
18.7. підвищений рівень захисту повинен забезпечуватися для особистих зображень, персональних даних неповнолітніх або осіб з психічними чи психологічними розладами, персональних етнічних даних, персональних даних, пов'язаних зі здоров'ям або статевим життям, персональних біометричних і генетичних даних, особистих політичних, філософських або релігійних даних, особистих фінансових даних та іншої інформації, що відноситься до основних сфер приватного життя; підвищений рівень захисту також повинен забезпечуватися для персональних даних, пов'язаних із судовими розглядами або професійною таємницею адвокатів, медичних працівників та журналістів; такий захист може бути здійснений шляхом саморегулювання, технічних і правових засобів для забезпечення належної відповідальності в разі порушення захисту даних та конфіденційності; повинен бути встановлений термін, після закінчення якого такі дані більше не можуть зберігатися або використовуватися;
18.8. державні та приватні організації, які збирають, зберігають, обробляють або іншим чином використовують персональні дані, зобов'язані зменшити кількість таких даних до абсолютного необхідного мінімуму; особисті дані повинні бути видалені, якщо вони застаріли, або не використовуються, або якщо мета їх збирання була досягнута або більше не існує; слід уникати випадкового збору та зберігання персональних даних;
18.9. кожна людина повинна мати ефективні засоби правового захисту проти незаконного втручання в здійснення її права на захист приватного життя та особистих даних в національних судах; добровільні органи арбітражу і саморегуляції, а також незалежні організації із захисту даних повинні доповнювати судову систему для забезпечення ефективного захисту цього права; слід заохочувати органи державної влади та комерційні компанії у створенні механізмів прийому та обробки скарг на них з боку фізичних осіб щодо порушень права на захист даних і конфіденційності, а також механізмів для забезпечення внутрішнього дотримання права на недоторканність приватного життя і захист даних; протиправні посягання на конфіденційність і персональні дані повинні бути карані за законом.
19. Асамблея вітає той факт, що сторони Конвенції № 108 почали готуватися до можливого перегляду цієї Конвенції у світлі технічного прогресу і все більш жорсткої комерційної конкуренції у сфері ІКТ-послуг.
20. У зв'язку з цим Асамблея закликає:
20.1. парламенти Вірменії, Росії, Сан-Марино і Туреччини негайно ініціювати процес ратифікації Конвенції № 108, що дозволить цим країнам брати активну участь у подальшому розвитку цієї Конвенції;
20.2. свої делегації спостерігачів з Канади, Ізраїлю та Мексики ініціювати в їх парламентах дебати щодо підписання і ратифікації Конвенції № 108 і участі в її подальшому розвитку. Делегаціям спостерігачів пропонується повідомити Асамблею, в установленому порядку, про прогрес у цьому напрямку;
20.3. інші держави, які співпрацюють з Радою Європи, зокрема, держави-спостерігачі Ради Європи Японія, США і Святий Престол, сприяти приєднанню їх урядів до Конвенції № 108;
20.4. Європейську Комісію за демократію через право (Венеціанську комісію) відзвітувати перед Асамблей про те, наскільки внутрішнє законодавство її членів та держав-спостерігачів відповідає універсальному праву людини на захист приватного життя та персональних даних у світлі Конвенції № 108 і Додаткового протоколу до неї, і про те, чи планують держави, які ще не є учасниками цієї Конвенції, розглянути питання про підписання та ратифікацію.
21. Асамблея просить Генерального секретаря Ради Європи:
21.1. домагатися підтримки на високому рівні з боку Організації Об'єднаних Націй у сприянні приєднанню до Конвенції № 108 держав у всьому світі, зокрема, через Форум ООН з питань управління в Інтернет, Міжнародний союз телекомунікацій та Організацію ООН з питань освіти, науки і культури (ЮНЕСКО) ;
21.2. переконатися, що широке використання ІКТ в рамках Ради Європи та її екстериторіальний правовий статус не загрожують захисту конфіденційності і персональних даних. У цьому контексті мають бути посилені положення і функції Комісара Ради Європи з захисту даних, а також повинна бути відповідно переглянута внутрішня нормативна база.
22. Асамблея закликає Європейський Союз і надалі надавати підтримку широкому приєднанню до Конвенції № 108 і Додатковому протоколу до неї, і, після набуття чинності необхідними поправками, самому стати їх учасником.
23. Вітаючи міжнародні зусилля різних зацікавлених сторін, спрямованих на забезпечення права на захист персональних даних у сфері ІКТ, зокрема Резолюції, які прийняті в Мадриді в 2009 році і в Єрусалимі в 2010 році незалежними організаціями із захисту даних, а також різні ініціативи Міжнародної торгової палати щодо захисту даних, Асамблея пропонує всім зацікавленим сторонам поєднати зусилля з Радою Європи задля того, щоб окремі ініціативи не суперечили одна одній і не використовувались для розмиття загального підходу до глобального права на повагу приватного життя і особистих даних, або для зниження рівня діючих правових стандартів.
[1]. Обговорення в Асамблеї 7 жовтня 2011 (36-е засідання) (див. Doc. 12695, доповідь Комісії з культури, науки та освіти, доповідач: пані Рихтер; Doc. 12726, висновок Комісії з юридичних питань і прав людини, доповідач: пан Саллес). Текст прийнятий Асамблеєю 7 жовтня 2011 року (36-е засідання). Див. також Рекомендацію 1984 (2011).