Руководство по GDPR

Судом Европейского Союза рассматривалось дело о соответствии законодательству Директивы 2006/24/ЕС в части основных прав на защиту личных данных и неприкосновенности частной жизни. Директива обязывала поставщиков услуг электронной связи или сетей общего пользования хранить данные цифровой связи граждан сроком до двух лет для обеспечения доступа к этим данным в целях предотвращения, расследования и судебного преследования серьезных преступлений. Мера касалась только метаданных, данных о местоположении и информации, необходимой для идентификации абонента или пользователя и не распространялась на содержание электронных сообщений.

Суд Европейского Союза посчитал это вмешательством в основополагающее право на защиту персональных данных. Кроме того, Суд установил, что Директива нарушала право на неприкосновенность частной жизни в целом. Предоставляемые персональные данные позволяли «сделать точные выводы о частной жизни лиц, такие как поведенческие привычки, постоянные или временные места жительства, ежедневные или иные перемещения, социальные отношения этих лиц и часто посещаемая ими социальная среда». Вмешательство в эти два права является достаточно серьезным и широкомасштабным.

Суд Европейского Союза объявил Директиву 2006/24/ЕС недействительной. Хотя она преследовала законную цель, вмешательство в право на защиту личных данных было достаточно серьезным и не ограничивалось строгой необходимостью.

Вмешательство в права субъекта данных, осуществляемые в соответствии с законодательством

В деле Rotaru против Румынии заявитель утверждал о нарушении его права на неприкосновенность частной жизни в связи с получением и использованием Румынской разведывательной службой файла, содержащего личную информацию субъекта. Европейский суд по правам человека установил, что хотя национальное законодательство Румынии разрешает сбор, запись и архивирование в закрытых файлах информации, затрагивающей вопросы национальной безопасности, оно не устанавливает каких-либо ограничений на осуществление таких полномочий, оставляя данный вопрос на усмотрение властей. Например, национальное законодательство не определяет тип информации, которую можно обрабатывать, обстоятельства и категории субъектов данных, в отношении которых могут быть приняты меры наблюдения или процедуры, которым необходимо следовать.

Таким образом, Европейский суд по правам человека пришел к выводу, что национальное законодательство не соответствовало принципам предсказуемости в соответствии со статьей 8 Европейской конвенции о правах человека и данная норма была нарушена.

В деле Taylor-Sabori против Соединенного Королевства заявитель был объектом надзора правоохранительных органов. Используя «клон» пейджера заявителя, полиция смогла перехватить отправленные ему сообщения. Заявитель был арестован и обвинен в продаже запрещенного наркотического вещества. Часть обвинения строилась на расшифрованных сообщениях личного средства коммуникации.

Однако на момент судебного разбирательства в британском законодательстве не было положения, регулирующего перехват электронных сообщений. Таким образом, вмешательство в его права не было произведено «в соответствии с законом». Европейский суд по правам человека пришел к выводу, что это нарушает статью 8 Европейской конвенции о правах человека.

Преследуемые законные цели

В деле Peck против Соединенного Королевства заявитель пытался покончить жизнь самоубийством на улице, порезав запястья. Полиции, которая наблюдала за происходящим через камеры уличного видеонаблюдения, удалось спасти пострадавшего. Впоследствии отснятый материал был передан в средства массовой информации и был опубликован без маскировки лица заявителя.

Европейский суд по правам человека установил, что не было соответствующих или достаточных причин, которые оправдывали прямое раскрытие материалов властям и общественности без получения согласия заявителя или сокрытия его личности. Суд пришел к выводу, что имело место нарушение статьи 8 Европейской конвенции о правах человека.

Необходимость вмешательства в демократическом обществе

Дело Khelili против Швейцарии. Во время проверки полиция обнаружила у заявителя при себе визитные карточки следующего содержания: «Милая, симпатичная женщина, бальзаковского возраста хотела бы встретиться с мужчиной для приятного времяпрепровождения, телефона нет». Заявитель утверждала, что после задержания полиция внесла ее данные в карточку учета как лица, занимающегося проституцией, хотя она отрицала такой род занятий.

Заявитель просила удалить слово «проститутка» из карточки учета полиции. Европейский суд по правам человека признал, что сохранение личных данных лица на том основании, что это лицо может преступить закон, не является соразмерными действиями. Утверждение о незаконном занятии проституцией выглядело расплывчатым и не подкреплялось конкретными фактами. Заявитель никогда не была осуждена за занятие незаконной проституцией и потому факт внесения рода занятий в полицейскую карточку не удовлетворял «насущной социальной потребности» в рамках трактовки статьи 8 Европейской конвенции о правах человека.

Касательно серьезности вмешательства в права заявителя и того факта, что власти должны доказать точность хранящихся данных, Суд постановил, что формулировка «проститутка» в материалах полиции на протяжении многих лет не было необходимым в демократическом обществе. Суд пришел к выводу, что имело место нарушение 8 Европейской конвенции о правах человека.

По делу S. and Marper против Соединенного Королевства оба заявителя были арестованы и обвинены в уголовных преступлениях. Полиция взяла их отпечатки пальцев и образцы ДНК, как это предусмотрено Законом о полиции и обстоятельствами уголовного дела. Заявители не были осуждены за преступления: один был оправдан в зале суда, уголовное дело в отношении второго было прекращено. Тем не менее их отпечатки, профили и образцы ДНК были сохранены в базе данных полиции и национальное законодательство разрешило их хранение без ограничения по срокам.

Соединенное Королевство утверждало, что задержание помогло установить личности предполагаемых преступников, и, таким образом, преследовало законную цель предупреждения и раскрытия уголовных преступлений. Однако Суд постановил, что вмешательство в право заявителей на неприкосновенность частной жизни неоправданно. Он напомнил, что основные принципы защиты данных требуют, чтобы сохранение персональных данных было пропорционально по отношению к цели сбора и что сроки хранения должны быть ограничены. Суд согласился с тем, что расширение базы данных полиции с целью включения в нее профилей ДНК не только осужденных, но и подозреваемых в совершении уголовных преступлений могло бы способствовать выявлению и предотвращению преступлений в Соединенном Королевстве. Тем не менее фундаментальное право субъектов было нарушено. Учитывая огромное количество генетической и медицинской информации, содержащейся в клеточных образцах, вмешательство в право заявителя на частную жизнь было чрезмерным. Отпечатки пальцев и образцы могут быть взяты у арестованных и храниться в базе полиции неограниченное количество времени, в случае если арестованный впоследствии будет осужден.

Также Суд уделил особое внимание тому факту, что заявителю на момент ареста было 11 лет. Сохранение личных данных несовершеннолетнего, который не был осужден, может оказать негативное влияние на его социальное развитие и интеграцию в обществе. Суд единогласно постановил, что их хранение представляет собой несоразмерное вмешательство в право на личную жизнь, которое не может считаться необходимым в демократическом обществе.

В деле Leander против Швеции Суд постановил, что тайный контроль за физическими лицами, кандидатами на важные должности в сфере национальной безопасности, само по себе не противоречит целям, установленным в демократическом обществе. Специальные гарантии, установленные в национальном законодательстве для защиты интересов субъекта данных, привели к выводу Европейский суд по правам человека о том, что шведская система контроля персонала отвечает требованиям статьи 8 (2) Европейской конвенции о правах человека.

Принимая во внимание, имеющиеся у него широкие полномочия в определении целей, государство-ответчик, имело право считать, что в случае заявителя интересы национальной безопасности преобладали над интересами физического лица. Суд пришел к выводу, что не было нарушения статьи 8 Европейской конвенции о правах человека.

Уважение сути права

Дело Schrems касалось защиты физических лиц в отношении передачи их личных данных в третьи страны – в данном случае, Соединенные Штаты. Schrems, австрийский гражданин, был пользователем Facebook в течение нескольких лет. Заявитель подал жалобу в ирландский орган по надзору за защитой данных, для того чтобы осудить передачу его личных данных с целью хранения и последующей обработки из ирландского филиала Facebook в Facebook Inc., серверы которого расположены на территории США. Он утверждал, что в свете разоблачений Эдварда Сноудена в 2013 году, касающихся деятельности по надзору службами США, законодательство и судебная практика США не обеспечивают достаточной защиты личных данных.

Передача данных на территорию США основывалась на решении Комиссии ЕС об адекватности, разрешающим передачу данных американским компаниям. Компании-получатели гарантировали защиту данных, передаваемые из ЕС, в соответствии с так называемым правилом безопасной гавани (англ. Safe Harbor) – юридический принцип, согласно которому некоторые виды поведения не рассматриваются как нарушение более общего принципа или правила.

Дело, переданное в Суд Европейского Союза, рассматривалось в части соответствия решения Комиссии положениям Хартии ЕС. Суд напомнил, что защита основных прав в ЕС требует, чтобы ограничения этих прав применялись только в той степени, в которой они строго необходимы. Суд Европейского Союза рассматривал законодательство, разрешающее государственным органам доступ к общему содержанию электронных сообщений, как «нарушающее суть основного права на уважение частной жизни, гарантируемое статьей 7 Хартии». Это право было бы лишено смысла, если бы государственным органам США было разрешено получать доступ к электронным сообщениям без какого-либо объективного обоснования конкретных целей национальной безопасности или предупреждения преступлений, которые касаются конкретных лиц, поскольку подобная практика не является следствием злоупотребления властью.

Кроме того, Суд Европейского Союза отметил, что «законодательство, не предусматривающее какой-либо возможности для лица использовать средства правовой защиты для получения доступа к своим персональным данным или для получения возможности исправления или удаления таких данных» несовместимо с фундаментальным правом на эффективную судебную защиту (статья 47 Хартии). В октябре 2015 года Суд Европейского Союза признал правило Safe Harbor недействительным.

Принципы необходимости и пропорциональности

В деле Volker и Markus Schecke Суд Европейского Союза пришел к выводу, что обязательство публиковать личные данные физических лиц, которые получали помощь от определенных фондов, нарушает принцип соразмерности. Данные предоставлялись без проведения различия на основании соответствующих критериев, таких как периоды, в течение которых лица получали помощь, частота такой помощи, ее характер и объем.

В связи с этим Суд Европейского Союза посчитал необходимым объявить недействительными некоторые положения Регламента Совета ЕС №1290/205 и объявить Регламент 259/2008 недействительным в целом.

Цели общественного интереса

Дело Schwarzпротив города Бохум (Германия) касалось ограничения права на неприкосновенность частной жизни и права на защиту персональных данных, возникающих при получении и хранении отпечатков пальцев в целях оформления паспортов гражданам ЕС. Заявитель обратился в функциональный центр г. Бохум для получения паспорта, но отказался предоставить отпечатки пальцев. На этом основании в выдаче паспорта ему было отказано. Заявитель обратился в немецкий суд с иском о выдаче паспорта без предоставления отпечатков пальцев. Немецкий суд передал дело в Суд Европейского Союза и направил запрос касательно применения статьи 1 (2) Регламента 252/2004 о стандартах безопасности и биометрических данных в паспортах и проездных документах, выданных государствами ЕС.

Суд Европейского Союза постановил, что отпечатки пальцев представляют собой персональные данные, поскольку объективно содержат уникальную информацию о лицах, которая позволяет их точно идентифицировать, а снятие и хранение отпечатков пальцев является обработкой персональных данных. В данном случае, обработка персональных данных, которая регулируется статьей 1 (2) Регламента 2252/2004, представляет собой угрозу правам на уважение частной жизни и защиту данных. Однако статья 52 (1) Хартии основных прав ЕС допускает ограничение осуществление этих прав при условии, что ограничения предусмотрены законом, уважают суть этих прав, и соответствуют принципам соразмерности, а также необходимы и действительно соответствуют целям, представляющим общественный интерес, признанный в ЕС.

Во-первых, Суд Европейского Союза отметил, что ограничение, возникающее в связи с получением и хранением отпечатков пальцев при выдаче паспортов, должно рассматриваться как предусмотренное законом, так как эти операции предусмотрены статьей 1 (2) Регламента 2252/2004.

Во-вторых, последняя редакция Регламента была разработана с целью предотвращения подделки паспортов и их использования в мошеннических целях. Таким образом, норма статьи 1 (2) направлена на предотвращение, в частности, незаконного въезда в ЕС, а потому преследует цель общественного интереса, признанного в ЕС.

В-третьих, в имеющихся у Суда Европейского Союза материалах дела не было заявлено, что ограничения, накладываемые на осуществление этих прав, не соответствуют сущности прав.

В-четвертых, хранение отпечатков пальцев на носителе с высокой степенью защиты, как предусмотрено Регламентом 252/2004, требует использования высокотехнологичных решений. Такое хранение может снизить риск подделки паспортов и облегчить работу органов, ответственных за проверку подлинности паспортов на границе ЕС. Хотя данный метод не гарантирует 100% защиты от мошеннических действий и подделки документов, достаточного того, что он в значительной степени снижает вероятность наступления таких событий.

В свете вышеизложенного Суд Европейского Союза постановил, что взятие и хранение отпечатков пальцев, упомянутое в статье 1 (2) Регламента 2252/2004, это адекватное ограничение для достижения целей, преследуемых настоящим Регламентом.

Суд Европейского Союза признал необходимость такой обработки и отметил, что снятие отпечатков ограничивалось двумя пальцами, данное действие не носило интимный характер и проводилось в присутствии третьих лиц. Данная операция также не вызывает какого-то целенаправленного физического или психического дискомфорта у пострадавшего лица, операция может быть приравнена к фотосъемке. Следует также отметить, что единственной реальной альтернативой снятия отпечатков пальцев, как установил Суд Европейского Союза, является сканирование радужной оболочки глаз. Суд Европейского Союза не нашел подтверждения, что сканирование радужной оболочки глаз несет меньше ограничений в правах, признанных статьями 7 и 8 Хартии основных прав ЕС. Кроме того, что касается эффективности этих двух методов, то общепризнанным является факт использования технологии снятия отпечатков пальцев вместо сканирования радужной оболочки глаза, в связи с недостаточным технологическим обеспечением. К тому же сканирование сетчатки является дорогостоящей альтернативой и поэтому практически не используется для этих целей.

Соответственно, Суд Европейского Союза признал снятие отпечатков пальцев эффективной и соразмерной мерой ограничения права.

Свобода самовыражения

В деле Tietosuojavaltuutettu против Satakunnan Markkinap?rssi Oy и Satamedia Oy, Суду Европейского Союза было предложено определить взаимосвязь между защитой данных и свободой прессы. Суд должен был изучить вопрос о распространении компанией через сервис SMS-сообщений данных о налогах 1,2 миллиона субъектов данных, законно полученных от финских налоговых органов. Финский надзорный орган по защите данных принял решение, обязывающее компанию прекратить распространение этих данных. Компания обжаловала это решение в национальном суде, который запросил у Суда Европейского Союза разъяснения относительно толкования Директивы о защите данных (DPD – финское национальное право). В частности, Суд Европейского Союза должен был проверить, может ли обработка персональных данных рассматриваться в контексте деятельности, осуществляемой в журналистских целях (налоговые органы предоставили пользователям мобильных устройств налоговые данные третьих лиц). После того, как был сделан вывод о том, что деятельность компании заключалась в «обработке персональных данных» в значении статьи 3 (1) Директивы о защите данных (DPD), Суд Европейского Союза проанализировал статью 9 Директивы об обработке персональных данных и свободе выражения.

Суд отметил важность права на свободу выражения мнений в каждом демократическом обществе и постановил, что такое понятие, как журналистика, имеет широкую трактовку. Также Суд отметил, что для достижения баланса между двумя основными правами отступления и ограничения права на защиту данных должны применяться только в той мере, в которой это строго необходимо.

В этих обстоятельствах Суд Европейского Союза постановил, что действия компаний в отношении данных из документов, которые являются общественным достоянием в соответствии с национальным законодательством, могут быть классифицированы как «журналистские действия», если их целью является раскрытие общественности информации, мнения или идей, независимо от среды, используемой для их передачи. Он также постановил, что данная деятельность не ограничивается передачей посредством СМИ и может осуществляться в целях получения прибыли. В данном конкретном случае Суд Европейского Союза оставил рассмотрение на уровне национального суда.

Это же дело было рассмотрено Европейским судом по правам человека после того, как национальный суд на основании указаний Суда Европейского Союза принял решение о том, что постановление надзорного органа о прекращении публикации всей налоговой информации является оправданным вмешательством в свободу выражения мнения компании. Суд пришел к выводу, что хотя вмешательство в право компании распространять информацию имело место, вмешательство соответствовало закону, преследовало законную цель и было необходимо в демократическом обществе.

Суд напомнил о критериях прецедентного права, которыми должны руководствоваться национальные органы власти и сам Европейский суд по правам человека при сопоставлении свободы выражения мнений с правом на неприкосновенность частной жизни. В отношении вопросов, представляющих общественный интерес, существует мало возможностей для ограничения права на получение и распространение информации, поскольку общественность имеет право на получение информации «и это является важнейшим правом в демократическом обществе». Тем не менее статьи в прессе, нацеленные исключительно на то, чтобы удовлетворить любопытство конкретного читателя относительно деталей личной жизни человека, не могут являться предметом общественного интереса. Отступление от правил защиты в журналистских целях предназначено для того, чтобы журналисты могли получать, собирать и обрабатывать данные для возможности осуществления журналистской деятельности.

Суд установил, что общественность не интересовалась массовым распространением таких необработанных данных газетами в неизменном виде. Информация о налогообложении могла бы позволить любопытным представителям общественности классифицировать субъектов данных в соответствии с их экономическим статусом и удовлетворить общественную жажду информации о частной жизни других людей. Это не может рассматриваться с позиции удовлетворения общественного интереса.

Баланс права на защиту данных и свободу выражения мнений

В деле Axel Springer АG против Германии Европейский суд по правам человека постановил, что судебное решение, запрещающее компании-заявителю публиковать статью об аресте и осуждении известного актера, нарушило статью 10 Европейской конвенции по правам человека.

Европейский суд по правам человека перечислил критерии, которые следует учитывать при сопоставлении права на свободу выражения мнения с правом на уважение частной жизни, как это установлено в прецедентном праве:

– представлял ли интерес тот случай, когда рассматриваемая статья была представлена общественности?

– было ли заинтересованное лицо публичной фигурой?