Контролер данных

Контролёр данных — это субъект (юридическое или физическое лицо, орган государственной власти, иное учреждение), который самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. В терминологии российского законодательства данное понятие соответствует «оператору персональных данных». Контролёр данных является центральной фигурой в системе правового регулирования обработки персональной информации, так как именно на него возлагается основная ответственность за законность и безопасность такой обработки.

Правовой статус и определение

В международном праве понятие «контролёр данных» (data controller) закреплено в Регламенте Европейского союза о защите персональных данных (GDPR). Согласно статье 4 GDPR, контролёр — это лицо, которое определяет цели и средства обработки персональных данных. Если цели и средства обработки определяются законодательством ЕС или государства-члена, то контролёр может быть назначен в соответствии с таким законодательством.

В российском законодательстве аналогом контролёра является оператор персональных данных. Согласно статье 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», оператор — это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Ключевое отличие от обработчика данных (data processor) заключается в том, что контролёр принимает самостоятельные решения о том, зачем и как обрабатываются данные, в то время как обработчик действует исключительно по поручению и под контролем контролёра.

Обязанности контролёра данных

Контролёр данных несёт широкий круг обязанностей, направленных на обеспечение прав субъектов персональных данных и законности обработки. Основные обязанности включают:

• Определение правовых оснований обработки. Обработка персональных данных должна осуществляться на одном из законных оснований: согласие субъекта, исполнение договора, выполнение законных обязанностей, защита жизненно важных интересов, выполнение задач в общественных интересах или законные интересы контролёра (при условии, что они не преобладают над интересами субъекта).
• Информирование субъектов. Контролёр обязан предоставить субъекту данных полную и прозрачную информацию о том, какие данные собираются, с какой целью, как долго хранятся, кому могут быть переданы, а также о правах субъекта.
• Реализация прав субъектов. Контролёр должен обеспечить возможность субъекту реализовать свои права: на доступ к данным, на их исправление, удаление («право на забвение»), ограничение обработки, переносимость данных и возражение против обработки.
• Обеспечение безопасности данных. Контролёр обязан принимать технические и организационные меры для защиты персональных данных от несанкционированного доступа, уничтожения, изменения, блокирования, копирования и распространения.
• Уведомление об утечках. В случае утечки персональных данных контролёр обязан уведомить уполномоченный орган (в РФ — Роскомнадзор) в установленные сроки, а в определённых случаях — и самих субъектов данных.
• Назначение ответственного за обработку данных. В ряде юрисдикций (например, в ЕС) контролёр обязан назначить сотрудника по защите данных (Data Protection Officer, DPO), если обработка данных является основной деятельностью организации или касается специальных категорий данных.
• Ведение учёта операций обработки. Контролёр должен вести реестр всех операций по обработке персональных данных.

Совместные контролёры

Если два или более субъекта совместно определяют цели и средства обработки данных, они признаются совместными контролёрами (joint controllers). В этом случае они должны прозрачным образом определить свои соответствующие обязанности по соблюдению требований законодательства, в частности в отношении реализации прав субъектов данных и предоставления информации. Соглашение между совместными контролёрами должно отражать распределение ответственности, однако субъект данных может осуществлять свои права в отношении каждого из контролёров.

Примером совместных контролёров могут служить несколько организаций, участвующих в совместном проекте по сбору и анализу данных о клиентах, или государственные органы, ведущие общую базу данных.

Контролёр данных в российском законодательстве

В Российской Федерации правовое положение оператора персональных данных регулируется Федеральным законом № 152-ФЗ и подзаконными актами Роскомнадзора. Ключевые особенности:

• Уведомление Роскомнадзора. Оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о намерении осуществлять такую обработку, за исключением случаев, предусмотренных законом (например, обработка данных работниками, связанная с трудовыми отношениями; обработка данных без использования средств автоматизации и т.д.).
• Согласие на обработку. В большинстве случаев для обработки персональных данных требуется согласие субъекта. Закон устанавливает особые требования к форме такого согласия, в том числе при обработке биометрических и специальных категорий данных.
• Локализация данных. Операторы обязаны обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ (так называемый «закон о локализации персональных данных»).
• Ответственность. За нарушение законодательства о персональных данных оператор может быть привлечён к административной (штрафы до 18 млн рублей, приостановление деятельности), гражданско-правовой и в отдельных случаях — к уголовной ответственности.

Различие между контролёром и обработчиком

Значение и критика

Понятие «контролёр данных» является фундаментальным для современного законодательства о защите персональных данных. Оно позволяет чётко распределить ответственность между участниками процессов обработки информации и возложить основное бремя обеспечения прав субъектов на того, кто принимает ключевые решения.

Вместе с тем, концепция контролёра подвергается критике. В условиях сложных цифровых экосистем, где данные могут обрабатываться множеством участников (рекламные сети, аналитические платформы, социальные сети), бывает сложно определить, кто именно является контролёром. Это создаёт правовую неопределённость и может затруднять защиту прав субъектов данных. Кроме того, в некоторых юрисдикциях, включая Россию, обязанности оператора могут быть чрезмерно обременительными для малого бизнеса, что приводит к издержкам, не всегда соразмерным реальным рискам.

Источники

• Регламент Европейского парламента и Совета Европейского союза 2016/679 от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных (GDPR).
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (Российская Федерация).
• Руководящие указания Рабочей группы по защите данных (статья 29) о понятиях «контролёр» и «обработчик» (WP 169).
• Разъяснения Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) по вопросам обработки персональных данных.