Правительственный законопроект: Закон о защите частной жизни (изменение № 13), 5784-2024

Замечания Израильского института технологической политики к законопроекту о защите частной жизни (Поправка № 14) (הצעת חוק הגנת הפרטיות (תיקון מס' 14)), 5782-2022

Израильский институт технологической политики (ITPI) Бульвар Ротшильда 74–76, Тель-Авив — Яфо, 6521401 rdvash@techpolicy.org.il | www.techpolicy.org.il

26 элула 5783 г. / 12 сентября 2023 г.

Уважаемому депутату Кнессета Симхе Ротману Председателю Комиссии по конституции, праву и правосудию Кнессет

Предмет: Законопроект о защите частной жизни (Поправка № 14) (הצעת חוק הגנת הפרטיות (תיקון מס' 14)), 5782-2022

16 октября 2023 года в Комиссии по конституции, праву и правосудию (далее — Комиссия) состоится обсуждение законопроекта о защите частной жизни (Поправка № 14) (הצעת חוק הגנת הפרטיות (תיקון מס' 14)), 5782-2022 (далее — законопроект).

Суть законопроекта касается «сокращения» обязанности регистрации, предоставления широких полномочий Управлению по защите частной жизни (далее — Управление) и увеличения сумм финансовых санкций, которые Управление сможет налагать на нарушителей положений Закона о защите частной жизни (חוק הגנת הפרטיות), 5741-1981 (далее — Закон).

Ниже изложены замечания Израильского института технологической политики в отношении предлагаемых поправок.

Важность адаптации законодательства о защите частной жизни в Израиле к технологическим вызовам и принятым стандартам

Позиция Израильского института технологической политики (ITPI) состоит в том, что существует первостепенная важность и срочность в обновлении и адаптации законодательства о защите частной жизни к современной эпохе и к стандарту, сложившемуся в мире.

Сохранение в Израиле устаревшего законодательства, не адаптированного к вызовам защиты частной жизни современной эпохи, влияет как на уровень защиты граждан Государства Израиль, личная информация о которых находится и у правительства, и у частного сектора, так и на способность израильских предприятий и компаний действовать в глобальном экономическом пространстве, требующем соблюдения требований защиты персональных данных для обеспечения трансграничного потока персональных данных с участием Израиля.

Потребность в адаптации законодательства усиливается в свете объёма законодательства в технологических сферах, проводимого Европейским союзом, которое влияет и на израильский рынок (в первую очередь: GDPR, DSA, DMA, AI Act).

Вместе с тем законопроект, вынесенный на рассмотрение Комиссии, является крайне фрагментарным предложением, которое не отвечает потребности, а в определённых областях (привязка к «базе данных» и обязанность регистрации) даже держится за устаревшие принципы, утратившие актуальность.

Следует стремиться к отмене обязанности регистрации, а не к её сокращению

Рекомендация о сокращении обязанности регистрации, содержащаяся в статье 4 законопроекта, берёт начало в докладе комиссии Шофмана 2007 года¹. С тех пор, как указано и в пояснительной записке к законопроекту, режим регистрации баз данных был полностью отменён в Европе. Причина этого — понимание того, что речь идёт о бюрократическом бремени, польза от которого, если таковая имеется, невелика и возлагает как на Управление, так и на владельцев баз данных обязанности, отвлекающие ресурсы от основной деятельности, направленной на защиту частной жизни. Несмотря на сказанное, Министерство юстиции решило не отменять эту обязанность. Частичное объяснение состоит в том, что «по мнению профессиональных сотрудников Управления по защите частной жизни, существует важность сохранения данной обязанности в отношении особо крупных баз данных, создающих наибольший риск для частной жизни в персональной информации».

В исследовании, проведённом Израильским институтом технологической политики «Сравнение режимов в законодательстве о персональных данных — обязанность регистрации», в котором были рассмотрены режимы более чем 80 государств, чётко выявлено, что в большинстве развитых и передовых государств обязанность регистрации или уведомления надзорного органа отсутствует. Более того, в большинстве государств, где такая обязанность ещё существует (73%), речь идёт о законодательстве, принятом до 2018 года.

Добавим, что в данном исследовании мы обнаружили корреляцию между ВВП на душу населения, развитием человеческого капитала и рейтингом государства в индексе демократии, с одной стороны, и вероятностью наличия в данном государстве обязанности регистрации — с другой. Чем лучше показатели государства по этим параметрам, тем ниже вероятность наличия обязанности регистрации.

В завершение данного вопроса отметим, что законопроект не учитывает риск, возникающий при создании реестра баз данных. В отличие от израильской общественности, которая, по всей видимости, исходит из предположения, что любая известная ей организация или предприятие обладает базой данных, — существование реестра, который должен включать все крупные и чувствительные базы данных, может стать ключом и целью именно для тех, кто ищет информацию, способствующую выявлению качественных баз данных для мошенничества или нанесения ущерба, даже если он недостаточно знаком с израильским рынком. Представляется, что этому вопросу не было уделено должного внимания, в том числе с учётом характера информации, запрашиваемой у владельцев при регистрации базы данных, как следует из текста статьи 9 Закона (предлагаемое изменение которой минимально).

Если наша позиция будет услышана, мы рекомендовали бы полную отмену обязанности регистрации.

Предлагается закрепить полномочия Управления лишь после переформулирования материальных норм

Законопроект стремится заново определить статьи о нарушениях и правонарушениях по Закону, регулирует полномочия Управления в отношении административного и уголовного правоприменения и предоставляет Управлению также новые полномочия. Кроме того, предлагается существенно увеличить размеры финансовых санкций, налагаемых за нарушение положений Закона, и установить дифференцированную шкалу в зависимости от размера базы данных и степени чувствительности содержащейся в ней информации.

Не вдаваясь в детали этого обширного раздела законопроекта, мы полагаем, что предлагаемые поправки следует утвердить лишь после адаптации нормативных положений к современной эпохе.

Напомним: израильское законодательство опирается на согласие как единственную правовую основу для обработки данных. Оно не разъясняет обязанности обработчиков данных и права субъектов данных в отношении информации о них. Действительно, Положения о защите частной жизни (Предписания в отношении информации, переданной в Израиль из Европейского экономического пространства) (תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי)), 5783-2023 (далее — Положения), недавно утверждённые в Комиссии, установили более передовые первичные нормы, однако Положения распространяются только на базы данных, содержащие информацию, происходящую из государств Европейского экономического пространства (далее — Пространство). Кроме того, нормы такого типа, закреплённые в Положениях, предлагается закрепить в первичном законодательстве.

Обсуждение Поправки № 14 предоставляет возможность внедрить, как минимум, принципы, согласованные в Положениях, на нормативном уровне первичного законодательства.

При установлении регулирования предлагается: прежде чем ужесточать меры правоприменения, следует урегулировать обязательные материальные нормы. Поэтому, если наша позиция будет услышана, мы предложили бы следующее:

1. Материальные нормы, установленные в Положениях в отношении баз данных, содержащих информацию, полученную из Пространства, будут закреплены в первичном законодательстве — как минимум до продвижения Поправки № 15.

2. Новые полномочия по правоприменению (за исключением размеров санкций) вступят в силу лишь через год после вступления в силу материальных норм.

Перенос фокуса правового регулирования с «базы данных» на «обработку данных»

В сложном и совершенном современном цифровом мире терминология «базы данных» как регуляторная терминология для целей правоприменения в отношении обработки персональных данных постепенно исчезает.

Разграничение «базы данных» как отдельной единицы, создающей особый самостоятельный риск, размывается в мире больших данных (Big Data) и облачного хранения. Предлагается, чтобы и терминология, и определения в законопроекте, равно как и во всём Законе, направляли мышление при создании норм к «обработке данных» как таковой (допустимые и запрещённые операции с данными), а не к созданию норм, касающихся «базы данных».

Тем самым будет сделан дополнительный шаг к сокращению разрыва между законодательством о защите частной жизни в Израиле и передовым законодательством в мире.

Резюме — основные рекомендации

В заключение, наши рекомендации по законопроекту:

1. Следует отменить обязанность регистрации.

2. Следует закрепить в первичном законодательстве нормы, установленные в Положениях, и распространить их на весь израильский рынок.

3. Раздел, касающийся полномочий Управления по защите частной жизни (статья 12 законопроекта, добавляющая целый раздел о полномочиях Управления), вступит в силу через год после вступления в силу материальных обязанностей, регулирующих защиту персональных данных при обработке данных.

4. Текст Закона будет исправлен таким образом, чтобы нормы, касающиеся обработки персональных данных, относились к «обработке данных», а не к «базе данных».

---

Об Израильском институте технологической политики — FPF Israel

Израильский институт технологической политики — это институт политики и аналитический центр (Think Tank), действующий в целях продвижения формирования политики по сложным социальным, этическим и правовым вопросам в технологическую эпоху. Институт является платформой для объединения сообществ и формирования диалога между различными заинтересованными сторонами, включая государственные органы, промышленность, академию и гражданское общество, для разработки позиционных документов, статей и согласованных правил поведения (Best Practices) в области технологической политики, а также продвижения практических этических практик при одновременном содействии инновациям.

Институт является израильским филиалом американского Форума будущего частной жизни (Future of Privacy Forum), американского исследовательского института с европейским филиалом, в области политики защиты частной жизни и прав человека.

---

¹ В целях надлежащего раскрытия информации: нижеподписавшаяся служила координатором комиссии и составила итоговый доклад.