Конвенция Совета Европы о защите физических лиц¶

Конвенция Совета Европы о защите физических лиц — это международный договор, принятый в рамках Совета Европы, направленный на обеспечение защиты прав и свобод человека при обработке персональных данных. Полное официальное название документа — Конвенция о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108), также известная как Конвенция 108. Она была открыта для подписания 28 января 1981 года в Страсбурге и вступила в силу 1 октября 1985 года. Конвенция стала первым юридически обязательным международным актом, устанавливающим общие принципы обработки персональных данных и механизмы контроля за их соблюдением.

¶История принятия

Разработка Конвенции началась в 1970-х годах на фоне стремительного развития компьютерных технологий и автоматизированных систем обработки информации. В 1973 и 1974 годах Организация экономического сотрудничества и развития (ОЭСР) приняла Руководящие принципы по защите частной жизни и трансграничным потокам персональных данных, однако эти документы носили рекомендательный характер. Совет Европы, стремясь создать обязательные правовые рамки, инициировал подготовку конвенции, которая была завершена к 1980 году. 28 января 1981 года Конвенция была открыта для подписания государствами-членами Совета Европы, а также другими государствами, приглашёнными к участию. Впоследствии дата 28 января была объявлена Международным днём защиты персональных данных.

¶Основные положения

¶Определения и сфера применения

Конвенция определяет персональные данные как любую информацию, относящуюся к определённому или определяемому физическому лицу (субъекту данных). Автоматизированная обработка включает операции, выполняемые с помощью компьютерных систем: сбор, запись, хранение, изменение, использование, передачу, удаление. Действие Конвенции распространяется на автоматизированные базы данных как в государственном, так и в частном секторе, за исключением обработки данных в целях национальной безопасности, обороны, уголовного преследования и государственной тайны, если это предусмотрено национальным законодательством.

¶Принципы обработки данных

Конвенция устанавливает следующие базовые принципы:

1. Законность и добросовестность — данные должны обрабатываться честно и законно.
2. Целевая ограниченность — данные собираются для определённых, явных и законных целей и не используются иным образом.
3. Адекватность и релевантность — данные должны быть адекватными, не избыточными и соответствовать целям обработки.
4. Точность — данные должны быть точными и при необходимости обновляться.
5. Ограничение срока хранения — данные хранятся не дольше, чем это необходимо для целей обработки.
6. Безопасность — принимаются технические и организационные меры для защиты данных от случайного или несанкционированного уничтожения, потери, изменения, раскрытия или доступа.

¶Права субъектов данных

Конвенция гарантирует каждому физическому лицу следующие права:

• Право на информацию — знать о факте обработки своих данных, целях обработки, а также о контролёре данных.
• Право на доступ — получать подтверждение того, обрабатываются ли его данные, и копию таких данных в понятной форме.
• Право на исправление — требовать исправления неточных или неполных данных.
• Право на возражение — возражать против обработки данных по веским законным основаниям.
• Право на удаление — в определённых случаях требовать уничтожения данных.

¶Ограничения и исключения

Конвенция допускает ограничения прав субъектов данных и принципов обработки только в случаях, предусмотренных законом, и если это необходимо в демократическом обществе для защиты национальной безопасности, общественного порядка, здоровья, морали, прав и свобод других лиц.

¶Организационные механизмы

¶Национальные надзорные органы

Каждое государство-участник обязано создать независимый надзорный орган, ответственный за контроль соблюдения положений Конвенции на своей территории. Эти органы обладают полномочиями проводить расследования, давать предписания, налагать санкции и рассматривать жалобы субъектов данных.

¶Трансграничная передача данных

Конвенция устанавливает, что передача персональных данных между государствами-участниками не должна ограничиваться, если обе стороны обеспечивают эквивалентный уровень защиты. Для передачи в страны, не являющиеся участниками Конвенции, требуется обеспечение адекватного уровня защиты или наличие согласия субъекта данных.

¶Дополнительный протокол 2001 года

В 2001 году был принят Дополнительный протокол к Конвенции о защите физических лиц при автоматизированной обработке персональных данных (ETS № 181), который вступил в силу 1 июля 2004 года. Он ввёл два ключевых нововведения:

1. Обязанность создания независимых надзорных органов — уточнил требования к их независимости и полномочиям.
2. Запрет на трансграничную передачу данных в страны, не обеспечивающие адекватный уровень защиты — за исключением случаев, предусмотренных законом или при наличии согласия субъекта.

¶Модернизация 2018 года (Конвенция 108+)

В 2018 году была принята модернизированная версия Конвенции, известная как Конвенция 108+ (полное название — Протокол о внесении изменений в Конвенцию о защите физических лиц при автоматизированной обработке персональных данных). Она вступила в силу 11 октября 2023 года. Основные изменения включают:

• Усиление принципов прозрачности и подотчётности контролёров данных.
• Введение обязательного уведомления об утечках данных.
• Расширение прав субъектов данных, включая право на переносимость данных и право не быть объектом автоматизированного принятия решений.
• Ужесточение требований к трансграничной передаче данных.
• Введение механизма сотрудничества между надзорными органами.
• Уточнение понятий «контролёр» и «обработчик».

¶Участие России

Российская Федерация подписала Конвенцию 28 января 1981 года (как правопреемник СССР) и ратифицировала её 15 марта 2005 года. Федеральный закон «О персональных данных» № 152-ФЗ, принятый в 2006 году, во многом основан на положениях Конвенции. Однако в 2023 году Россия денонсировала Конвенцию, официально выйдя из неё 1 марта 2024 года. Причиной называлось прекращение членства России в Совете Европы в марте 2022 года.

¶Влияние на национальное законодательство

Конвенция 108 послужила основой для разработки законов о защите персональных данных во многих странах, включая:

• Общий регламент по защите данных (GDPR) Европейского союза (2016), который в значительной степени опирается на принципы Конвенции, но устанавливает более строгие требования.
• Федеральный закон «О персональных данных» в России (2006).
• Закон о защите персональных данных в Украине (2010).
• Закон о защите персональных данных в Казахстане (2013).

¶Критика

Конвенция 108 подвергалась критике за следующие недостатки:

• Недостаточная детализация — документ устанавливает общие принципы, но не содержит конкретных процедур и санкций, что оставляет широкие возможности для национальных вариаций.
• Слабая система контроля — отсутствие единого надзорного органа и механизма принуждения к исполнению.
• Устаревание — первоначальная версия 1981 года не учитывала современные технологии, такие как интернет, социальные сети, облачные вычисления и большие данные. Модернизация 2018 года частично решила эту проблему.
• Ограниченная сфера применения — исключение обработки данных в целях национальной безопасности и обороны оставляет значительные пробелы.

¶Значение

Конвенция Совета Европы о защите физических лиц является фундаментальным документом в области защиты персональных данных. Она заложила основу для международного сотрудничества в этой сфере, установила единые стандарты, которые были восприняты многими странами и международными организациями. Её принципы легли в основу более современных и строгих нормативных актов, таких как GDPR, и продолжают оказывать влияние на развитие законодательства о защите данных во всём мире.

¶Источники

• Конвенция о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108), 1981.
• Дополнительный протокол к Конвенции о защите физических лиц при автоматизированной обработке персональных данных (ETS № 181), 2001.
• Протокол о внесении изменений в Конвенцию о защите физических лиц при автоматизированной обработке персональных данных (CETS № 223), 2018.
• Федеральный закон «О персональных данных» № 152-ФЗ, 2006.
• Общий регламент по защите данных (GDPR) Европейского союза, 2016.