Управление комиссара по информации Великобритании

Управление комиссара по информации Великобритании (англ. Information Commissioner’s Office, ICO) — независимый орган государственной власти Соединённого Королевства, ответственный за надзор за соблюдением законодательства в области защиты персональных данных, доступа к официальной информации, электронных коммуникаций и управления записями. Управление возглавляет Комиссар по информации (Information Commissioner), назначаемый монархом по рекомендации правительства. Штаб-квартира ICO расположена в Уилмслоу (графство Чешир), также имеются офисы в Эдинбурге, Кардиффе и Белфасте.

История

Предпосылки создания

Необходимость в едином регуляторе возникла в связи с принятием Закона о защите данных 1984 года (Data Protection Act 1984), который вводил в Великобритании обязательную регистрацию обработчиков персональных данных и предоставлял гражданам право доступа к информации о себе. Для контроля за исполнением закона была учреждена должность Регистратора по защите данных (Data Protection Registrar).

Создание и развитие

В 1998 году вступил в силу новый Закон о защите данных (Data Protection Act 1998), который имплементировал в британское законодательство Директиву Европейского союза 95/46/EC. Вместе с ним должность Регистратора была преобразована в Комиссара по информации, а его ведомство получило название Управление комиссара по информации. В 2000 году был принят Закон о свободе информации (Freedom of Information Act 2000), который расширил полномочия ICO на контроль за доступом к официальной информации государственных органов.

В 2018 году, после выхода Великобритании из Европейского союза, был принят Закон о защите данных 2018 года (Data Protection Act 2018), который адаптировал положения Общего регламента ЕС по защите данных (GDPR) к британскому праву. С 1 января 2021 года, после завершения переходного периода Brexit, Великобритания действует по собственному регламенту — UK GDPR, который в значительной степени копирует европейский, но с некоторыми национальными особенностями. ICO остаётся главным регулятором в этой сфере.

Полномочия и функции

ICO обладает широкими полномочиями, закреплёнными в ряде законодательных актов, включая:

• Закон о защите данных 2018 года (Data Protection Act 2018)
• UK General Data Protection Regulation (UK GDPR)
• Закон о свободе информации 2000 года (Freedom of Information Act 2000)
• Закон об охране окружающей информации 2004 года (Environmental Information Regulations 2004)
• Закон о конфиденциальности и электронных коммуникациях 2003 года (Privacy and Electronic Communications Regulations 2003)

Основные функции

1. Надзор и контроль: ICO проводит проверки соблюдения законодательства организациями, включая как государственные органы, так и частные компании. Регулятор может требовать предоставления документов, проводить аудиты и инспекции на местах.

1. Рассмотрение жалоб: Любой гражданин или организация может подать жалобу в ICO на нарушение своих прав в области защиты данных или доступа к информации. Управление обязано рассмотреть каждую обоснованную жалобу и принять меры.

1. Выдача рекомендаций и руководств: ICO публикует кодексы практики, руководства и разъяснения по применению законодательства. Эти документы помогают организациям соблюдать требования закона, а гражданам — понимать свои права.

1. Наложение штрафов и санкций: За серьёзные нарушения ICO может налагать административные штрафы. Максимальный размер штрафа за нарушение UK GDPR составляет 17,5 миллиона фунтов стерлингов или 4% от годового мирового оборота организации (в зависимости от того, что больше). За нарушение Закона о свободе информации штрафы могут достигать 5 000 фунтов для государственных органов.

1. Регистрация обработчиков данных: Организации, обрабатывающие персональные данные, обязаны платить ежегодный регистрационный сбор в ICO (за исключением некоторых категорий, например, для обработки данных только для личных или домашних нужд). Размер сбора зависит от масштаба деятельности организации.

1. Участие в судебных процессах: ICO может выступать в качестве стороны в судебных разбирательствах, связанных с защитой данных и доступом к информации, а также давать заключения по делам, рассматриваемым судами.

Структура и руководство

Управление возглавляет Комиссар по информации, который назначается на пятилетний срок (с возможностью переизбрания). Комиссар отчитывается непосредственно перед Парламентом Великобритании, а не перед правительством, что обеспечивает его независимость. Внутренняя структура ICO включает несколько департаментов:

• Департамент надзора и правоприменения — отвечает за расследования, проверки и наложение санкций.
• Департамент политики и стратегии — разрабатывает рекомендации, участвует в законотворческом процессе.
• Департамент коммуникаций и взаимодействия — занимается просвещением, публикацией руководств и работой с общественностью.
• Юридический департамент — обеспечивает правовую поддержку деятельности ICO.

Штат ICO насчитывает около 700 сотрудников (по состоянию на 2024 год).

Ключевые дела и прецеденты

За время своей деятельности ICO рассмотрело тысячи жалоб и наложило штрафы на многие крупные организации. Некоторые из наиболее значимых дел:

• British Airways (2020): ICO оштрафовало авиакомпанию на 20 миллионов фунтов (первоначально планировалось 183 миллиона, но сумма была снижена после переговоров) за утечку данных, затронувшую около 400 000 клиентов. Это был один из крупнейших штрафов в истории ICO на тот момент.

• Marriott International (2020): Штраф в размере 18,4 миллиона фунтов за утечку данных, связанную с приобретением сети отелей Starwood, в ходе которой были скомпрометированы данные до 339 миллионов гостей.

• TikTok (2023): ICO наложило штраф в размере 12,7 миллиона фунтов на компанию TikTok Information Technologies UK Limited за нарушение UK GDPR при обработке данных детей до 13 лет без надлежащего согласия родителей.

• **Facebook (продукт Meta, признанной экстремистской и запрещённой в РФ) (2018)**: В связи со скандалом Cambridge Analytica ICO наложило штраф в размере 500 000 фунтов (максимальный по Закону о защите данных 1998 года) на Facebook Ireland Ltd. После вступления в силу UK GDPR штрафы могли быть значительно выше.

Критика и вызовы

Деятельность ICO неоднократно подвергалась критике с разных сторон. Основные претензии включают:

• Недостаточная скорость реагирования: Критики отмечают, что рассмотрение жалоб и проведение расследований часто занимают годы, что снижает эффективность защиты прав граждан.

• Слишком мягкие санкции: Некоторые правозащитные организации считают, что штрафы, налагаемые ICO, недостаточно велики, чтобы служить сдерживающим фактором для крупных корпораций. Например, первоначально предложенный штраф для British Airways в 183 миллиона фунтов был снижен до 20 миллионов, что вызвало критику.

• Независимость от правительства: Хотя ICO формально независим, его бюджет и назначение комиссара зависят от правительства. В 2023 году были высказаны опасения, что правительство может оказывать давление на регулятора в вопросах, связанных с национальной безопасностью и иммиграцией.

• Сложность законодательства: Постоянные изменения в законодательстве, особенно после Brexit и принятия UK GDPR, создают неопределённость для организаций и граждан, а также увеличивают нагрузку на ICO.

Международное сотрудничество

ICO активно участвует в международных форумах и организациях, таких как:

• Европейский совет по защите данных (EDPB): После Brexit Великобритания утратила полноправное членство, но ICO продолжает участвовать в качестве наблюдателя.
• Глобальная конференция по защите данных (Global Privacy Assembly): ICO является членом этой международной ассоциации регуляторов.
• Двусторонние соглашения: ICO заключило соглашения о сотрудничестве с регуляторами многих стран, включая США (FTC), Канаду (OPC) и Японию (PPC).

Источники

• Закон о защите данных 2018 года (Data Protection Act 2018)
• UK General Data Protection Regulation (UK GDPR)
• Закон о свободе информации 2000 года (Freedom of Information Act 2000)
• Официальный сайт Управления комиссара по информации Великобритании (ico.org.uk)
• Годовые отчёты ICO за 2018–2024 годы
• Публикации Европейского совета по защите данных (EDPB)