116
вительственную деятельность на 2001 финансовый год» требовал от генеральных инспекторов ведомств или министерств, подпадающих под действие этого закона, доложить конгрессу в течение 60 дней после вступления закона в силу о деятельности этих ведомств или министерств, относящейся к сбору персонально идентифицируемой информации об отдельных лицах, которые заходили на любой сетевой сайт такого ведомства или министерства, или заключении ими соглашения с третьими сторонами в целях получения персонально идентифицируемой информации об использовании правительственных и неправительственных сетевых сайтов.
Информация, содержащая персональные данные, должна иметь гарантированный уровень правовой, организационно-технической защиты независимо от того, в базе данных государственной или частной организации она находится.
Подводя итог, можно сделать вывод, что указанные положения практически аналогичны принципам, лежащим в основе европейской системы защиты персональных данных. Тем не менее, практика защиты персональных данных в США не является безупречной, чем и объясняется включение США в список стран, не обеспечивающих адекватную защиту персональных данных, соответствующий порядок которой предусмотрен п. 2 ст. 25 директивы ЕС 95/46/ЕС. В частности, в США нет специальной независимой структуры, обеспечивающей эффективный контроль за соблюдением прав субъекта персональных данных (например, уполномоченного либо комиссара по защите персональных данных).
Оборот персональных данных в государственном секторе США. Государства долгое время культивировали секретность, которая была инструментом власти и служила целям защиты от любопытства граждан. Для защиты собственных секретов государства не только старались, чтобы граждане не узнали ничего от государства, но и стремились к тому, чтобы личная и общественная жизнь их самих была прозрачна. Сегодня в большинстве стран эти ценности поменялись местами. От власти требуется прозрачность, и шаг за шагом развивается идея о необходимости защиты неприкосновенности частной жизни.
Соединенные Штаты Америки являются страной с ультралиберальной экономикой, с социальными программами, стоимость которых исчисляется запредельными суммами, а также с последовательной, неуклонной и жесткой политикой в области государственного
117
строительства. Достаточно сказать, что общее законодательство США (свод законов) более чем на половину состоит из разделов, посвященных деятельности госсектора, а также структуре госвласти и ее подотчетности обществу.
Результатом, вытекающим из американской традиции, является то, что в Штатах до сих пор отсутствует общее законодательство о персональных данных, а конфликты интересов решаются преимущественно на основании прямого применения положений конституции, опираясь при этом на богатую традицию прецедентного права. Кроме того, США – первая страна, где был принят обширный закон, регламентирующий деятельность органов исполнительной власти, связанную с персональными данными граждан (закон «О защите частных интересов» 1974 г.). Этот закон до сих пор является образцом для тех национальных законодателей, которые считают необходимым решать рассматриваемую проблему.
Опираясь на американский опыт, рассмотрим особенности оборота персональных данных внутри американского госсектора и примеры законодательного регулирования этого оборота.
Основным источником получения госведомствами персональных данных являются граждане. Большинство сведений (документов) получается американскими госведомствами в электронном виде, однако правила получения этой информации распространяются на все формы документов. Впоследствии полученная информация становится частью общего документооборота внутри госведомства. Поэтому в американском законодательстве вопросу сбора информации от граждан уделяется особое внимание в рамках общей информационной политики и соответствующего законодательства. Основными положениями этого законодательства являются:
−защита частных интересов граждан;
−снижение бремени (нагрузки всех видов) на них.
В соответствии с положениями закона «О сокращении бумажного документооборота» ведомство в отношении сбора информации и контроля за документооборотом обязано:
1. Под руководством начальника управления по информатизации ведомства (ответственного должностного лица, возглавляющего политику госведомства в области информатизации):
а) подготовить сводный документ по каждому типу собираемой информации, включая:
− оценку потребности в сборе информации;
118
−функциональное описание собираемой информации;
−план сбора информации;
−оценку нагрузки на граждан по сбору и предоставлению информации;
−результаты проведенных текстовых пилотных работ по сбору информации;
−план использования получаемой информации с оценкой эффективности и результативности использования;
б) обеспечивать:
−инвентаризацию собираемой информации;
−опубликование контрольного номера собираемой информации; в) информировать тех, кто предоставляет информацию:
−о целях сбора информации;
−о способах ее использования;
−об оценке нагрузки, если это возможно, по сбору и предоставлению гражданами информации;
−о выгоде от предоставления информации, если это предоставление является добровольным;
−о том, что, если собираемый тип информации не имеет контрольного номера, граждане не обязаны ее предоставлять.
2. Опубликовать в Федеральном регистре (сборнике официальных документов, в том числе проектов этих документов):
а) в течение 60 дней уведомление для получения отзывов на процесс сбора информации в целях:
−оценки целесообразности сбора информации с точки зрения выполнения ведомством своих функций, включая оценку практической пользы от ее использования;
−проверки точности оценки нагрузки на граждан, связанной со сбором и предоставлением информации;
−повышения качества, полезности и точности собираемой информации;
б) уведомление о предполагаемых административных правилах, связанных с осуществлением сбора информации, если такие правила предполагаются к принятию.
3. Подготовить сертификат, в котором должно быть указано, что сбор информации:
−не может быть осуществлен путем законного получения информации от других ведомств;
119
−необходим для выполнения ведомством своих функций;
−снижает в силу используемых технологий нагрузку на граждан по сбору и предоставлению ведомству информации;
−описан логично и с использованием понятной терминологии для тех, кто будет предоставлять информацию;
−будет проводиться с применением средств обработки документов, доступных для тех, кто будет предоставлять информацию;
−будет проводиться подразделением ведомства, имеющим ресурсы для эффективного и результативного управления документооборотом;
−проводится с применением эффективной статистической методологии;
−в возможно достижимых пределах использует информационные технологии для снижения нагрузки, повышения качества данных, эффективности деятельности ведомства и его способности реагировать на запросы общества.
Ведомство обязано предоставить директору административнобюджетного управления указанные сводный документ и сертификат, только после утверждения которых, а также получения ведомством контрольного номера допускается сбор информации.
Защищая права граждан от необоснованных требований со стороны федеральных ведомств по предоставлению им информации (электронных документов), закон одновременно требует от федеральных ведомств предоставления гражданам возможности в случаях, когда это возможно, отсылать документы в электронной форме.
Следующим важнейшим этапом обработки персональных данных является использование этих данных внутри госведомства. Вполне очевидно, что этот этап обработки, как и сбор персональных данных, должен подчиняться общим законодательным правилам и отвечать принципам обработки. Однако специфика государства накладывает на эти действия госведомств отдельные, иногда весьма жесткие ограничения. Наиболее детально такие требования представлены в американском законе «О защите частных интересов».
Для успешного выполнения государственными ведомствами наложенных на них обязанностей (в первую очередь в тех вопросах, которые связаны с решениями, принимаемыми в сфере финансовых отношений государства и граждан) насущно необходимым является уточнение или взаимное использование персональных данных, имеющих непосредственное отношение к указанным обязанностям.
120
Удовлетворение этой потребности, диктуемой самой жизнью, тем не менее, должно быть регламентировано самым тщательным образом. Лучше всего, когда регламентация происходит на уровне закона и не допускает полета ведомственного творчества, тем более «междусобойчика» конкретных чиновников. Иное может привести к тягчайшим последствиям для граждан в результате потери контроля над их персональными данными.
Национальные законы США описывают процедуру взаимного использования персональной информации этими ведомствами (так называемые «программы сравнения» персональных данных) и требования к проведению данной процедуры.
Эти положения предписывают:
−публичность «программ сравнения» (уведомление субъекта данных);
−осуществление «программ сравнения» только при наличии договорных отношений между ведомствами;
−наличие методик оценки качества результатов, полученных при выполнении «программ сравнения»;
−обеспечение целостности данных и их защиты в процессе проведения «программ сравнения»;
−уничтожение сравниваемых данных.
Законы содержат также положения, гарантирующие права субъекта данных на опротестование результатов сравнения данных, что имеет непосредственное отношение к тем положениям, которые касаются прав субъекта данных, связанных с принятием так называемых «автоматизированных решений».
К общим проблемам добавляются те, которые связаны с возможной вторичной компиляцией персональных данных. Даже в случае правового оформления порядка доступа к персональным данным, содержащимся в публичных регистрах, правоприменение может быть затруднено. Если базовыми данными являются имя, адрес и другие общедоступные данные, то после присоединения к ним фрагментов, содержащихся в различных регистрах, может возникнуть новое информационное качество, несущее потенциальную угрозу для субъекта персональных данных, что в общем случае может быть признано нарушением закона. При этом будет трудно доказать противозаконность использования каждого из этих регистров. Это особенно трудно в ситуации, когда фрагменты данных (копии реги-