51
Тем не менее, право на защиту своей частной жизни не абсолютно. Необходимо находить баланс интересов с законными правами и свободами других. Это в полной мере относится к области трудовых отношений.
Работники в силу того, что они являются частью предприятия, должны быть готовы к определенному вмешательству в свою частную жизнь, в том числе в отношении той информации, которая должна быть доступна работодателю.
Работодатель может проявлять обоснованный интерес, связанный с необходимостью обработки определенных персональных данных для достижения законных целей, определяемых производственной необходимостью. Соответственно вопрос не в том, законна или нет обработка персональных данных в ходе деятельности предприятия, а
втом, где те границы, которые накладывает закон на обработку персональных данных, а также каковы допустимые цели обработки этих данных.
Евродиректива определяет согласие работника как «любое свободно данное конкретное и сознательное указание о своей воле, которым субъект данных оповещает о своем согласии на обработку касающихся его персональных данных». Более того, согласие в случае особых персональных данных должно быть явным, что практически сводится к письменному оформлению согласия.
Приняв решение опираться на согласие работника, работодатель должен отдавать себе отчет в том, что было бы самообманом ориентироваться исключительно на согласие работника. Свобода согласия работника означает его право в любой момент и без объяснения причин отозвать согласие. Тем самым, в случае, если работник не может
всилу объективных обстоятельств, навязанных работодателем, не дать согласия, а равно не имеет возможности в любой момент отказаться от своего согласия без неблагожелательных для себя последствий, это не является согласием в терминах Евродирективы.
Вслучае наличия особых персональных данных, согласие на обработку может быть признано ничтожным.
Наиболее сложной является ситуация, когда согласие является условием приема на работу. Теоретически претендент на рабочее место может не давать своего согласия, однако при этом он теряет возможность получить эту работу. В таких случаях согласие не может быть признано имеющим законную силу ввиду того, что оно выражено не свободно.
52
Кроме того, когда приходится полагаться на согласие, необходимо тщательно рассмотреть каждый из этих конкретных случаев с точки зрения применения к ним общих принципов обработки персональных данных.
Принципы построения национальных правовых систем защи-
ты персональных данных. В процессе формирования средств защиты сферы частной жизни в различных правовых системах, несмотря на все национальные особенности разных стран, в мире использовались только два принципиально отличавшихся подхода.
Генеральный принцип заключался в стремлении к созданию единого и всеобъемлющего закона о защите сферы частной жизни и был связан с попытками теоретического обоснования некоего «всеобщего и абсолютного права на невмешательство в частную жизнь».
Секторный (или отраслевой) принцип состоял в создании спе-
циализированных законов либо для каждого типа посягательств на сферу частной жизни, либо для каждой отрасли или сектора человеческой деятельности, являющейся потенциальным источником угроз для права человека на невмешательство в его частную жизнь (например, для почты и средств связи, для бюро кредитной информации, для средств массовой информации и рекламной сферы, для частных детективов, для компьютерных банков данных).
В чистом виде и тот, и другой подходы оказались непродуктивными. «Секторный» («отраслевой») подход, при котором новые отраслевые законы принимались по мере накопления прецедентной базы, указывающей на новый источник угроз для сферы частной жизни, приводил к бессистемности, дублированию и противоречивости законоположений. Примером является «лоскутное» законодательство США в области защиты права граждан на неприкосновенность частной жизни. «Генеральный» подход приводил к созданию «всеобъемлющих» законов о защите сферы частной жизни, которые устаревали при появлении каждого нового типа угроз для права на невмешательство в частную жизнь.
Этот опыт был учтен при создании национальных систем защиты персональных данных. В подавляющем большинстве стран современные национальные системы правового регулирования обработки и использования персональных данных применяют так называемый «смешанный» принцип, объединяющий определенные аспекты «генерального» и «отраслевого» подходов. Национальное законодательство в сфере защиты данных, как правило, состоит из:
53
−базового (системообразующего) закона (своеобразного реликта
«генерального» подхода);
−комплекса «секторных» («отраслевых») законов, обеспечивающих защиту персональных данных в секторах (отраслях) человеческой деятельности, несущих потенциальную угрозу для права субъекта персональных данных на невмешательство в его частную жизнь;
−национального органа (или системы органов) по защите данных, являющегося активным регулирующим компонентом современных систем защиты персональных данных;
−корпоративных средств защиты персональных данных (в юри-
дической литературе их часто называют «средствами саморегулиро-
вания»).
Ниже каждому из вышеназванных компонентов дается краткая характеристика.
Базовый (системообразующий) национальный закон о защите персональных данных типа Data Protection Act (Закон о защите данных) является правовой основой любой национальной системы защиты персональных данных. Подобные законы принято называть «системообразуюшими», поскольку, помимо принятых в данной системе права принципов защиты данных, они устанавливают также цели и структуру национальной системы защиты данных, учреждают национальный орган (или систему органов) по защите данных и регламентируют механизм взаимодействия всех компонентов системы.
Исследование многих зарубежных систем защиты данных позволило построить обобщенную структуру закона типа Data Protection Act, в которую в качестве обязательных элементов входят:
1)принципы качества персональных данных;
2)права субъекта в связи с обработкой и использованием его персональных данных;
3)установленные законом правила доступа к чужим персональным данным, их раскрытия и передачи;
4)изъятие из системы правового регулирования некоторых видов персональных данных, доступ к которым необходим в интересах государственной и общественной безопасности, в связи с расследованием преступлений и т.п.;
5)установленные законом меры правового регулирования сбора, хранения, обработки, передачи и использования персональных данных, которые включают:
54
−учреждение национального органа власти (или системы органов власти) по защите персональных данных;
−регистрацию (или лицензирование) обработки персональных данных, создание и ведение национальных регистров держателей и пользователей персональных данных;
−лицензирование деятельности, связанной с передачей персональных данных за пределы национальной территории;
6)требования к организационно-техническим мерам по обеспечению безопасности данных при их сборе, обработке, использовании, передаче и хранении;
7)статьи нормативных актов, устанавливающие наказания за нарушение принципов защиты данных и иных положений законов о защите данных.
Названия зарубежных системообразующих законов о защите данных Data Protection Act приводят к терминологической путанице, поскольку термин «защита данных» в информатике охватывает весь комплекс различных видов защиты данных. Поэтому под защитой данных может пониматься любая (организационно-техническая, криптографическая, программная, правовая) защита различных данных (персональных, об окружающей среде, составляющих торговую или технологическую тайну и пр.). На самом же деле законы с таким названием обеспечивают только правовую защиту персональных данных, которые составляют сферу частной жизни человека. Следует отметить, что для обозначения понятия «комплексная защита данных» на международном уровне пользуются термином «обеспечение безопасности данных» (data security).
Чтобы избежать терминологической путаницы, следует однозначно установить, что термин «защита данных» должен толковаться только в том смысле, который устанавливает ст. 1 Конвенции № 108
Совета Европы: «Целью настоящей Конвенции является обеспечение на территории каждой страны-участницы для каждого частного лица, независимо от его национальности или места жительства, уважения его прав и основных свобод, в частности его права на неприкосновенность частной жизни по отношению к автоматической обработке данных, содержащих сведения частного характера («защита данных»)».
Объектом защиты Закона о защите компьютерных банков (баз) данных (Date Bank Protection Act) являются не сами банки (базы) данных, а, как следует из директивы от 11 марта 1996 г. №96/9/ЕС
55
Европейского парламента и Совета Европы по правовой защите баз данных, директивы Совета Европы от 14 мая 1991 г. №91/250/ЕЕС о правовой защите компьютерных программ:
−принцип подбора содержимого банка (базы) данных (но не само содержимое и не данные как элементы этого содержимого);
−способ организации и систематизации (т.е. организационная структура) содержимого банка (базы) данных;
−компьютерные программы, входящие в состав СУБД (системы управления банка или базы данных).
Таким образом, понятие «защита банка (базы) данных» означает защиту этих трех непременных атрибутов любого банка (базы) данных. Нетрудно заметить, что сами данные в их число не входят. Отсюда следует, что терминологически правильным было бы название «Закон о защите персональных данных в составе компьютерных банков (баз) данных».
Необходимо также отметить, что в некоторых национальных системах защиты данных системообразующее законодательное ядро состоит не из одного, а из двух взаимодополняющих законов – закона типа Data Protection Act и закона типа Information Freedom Act (Закон
освободе информации), которые нередко даже разрабатываются и принимаются одновременно. В других системах принцип свободы доступа к информации непосредственно закладывается в положени-
ях закона Data Protection Act.
Отраслевые (секторные) нормативные акты о защите персональных данных представляют собой дополнительные (по отношению к базовому закону о защите данных) положения, обеспечивающие защиту персональных данных в тех отраслях человеческой деятельности, где имеет место обработка, передача или использование таких данных. Продолжающееся распространение и появление новых ком- пьютерно-телекоммуникационных технологий расширяет потенциальную угрозу различных посягательств на право неприкосновенности сферы частной жизни. «Отраслевые» законы редко разрабатываются специально для конкретного вида угроз сфере частной жизни. Чаще происходит так, что дополнительные положения о защите персональных данных включаются в уже существующие или разрабатываемые законы, регламентирующие все аспекты деятельности в той или иной отрасли по мере накопления прецедентной базы посягательств на права субъектов персональных данных в конкретной отрасли. Основное достоинство такой нежесткой иерархической сис-