Правительственный законопроект: Закон о защите частной жизни (изменение № 13), 5784-2024

Позиция Google по Законопроекту о защите частной жизни (Поправка № 14), 5782–2022

30 ноября 2023 г.

Уважаемые Депутат Кнессета Симха Ротман, Председатель Адвокат, д-р Горблий, юридический советник Комитет по Конституции, праву и судопроизводству — Кнессет Израиля

Уважаемые господа,

Предмет: Законопроект о защите частной жизни (Поправка № 14), 5782–2022

В преддверии заседания, назначенного на 4 декабря 2023 г. в Комитете по Конституции, праву и судопроизводству Кнессета по вопросу Законопроекта о защите частной жизни (Поправка № 14), 5782–2022 («Законопроект»), а также в связи с предыдущими обсуждениями, состоявшимися по данному вопросу, Google имеет честь представить Комитету свою позицию по ряду существенных вопросов, вытекающих из Законопроекта и требующих, по мнению Google, рассмотрения в его рамках.

В начале следует отметить, что Google приветствует стремление привести Закон о защите частной жизни в соответствие с современными параллельными режимами защиты частной жизни в мире. Однако Google считает, что в Законопроекте имеется ряд основополагающих положений, требующих изменений или дополнений, с тем чтобы сделать их сбалансированными и разумными и отвечающими современным стандартам законодательства о защите частной жизни, существующим в других государствах (например, GDPR в Европейском союзе и CCPA в Калифорнии) и соответствующим им. Отсутствие согласованности между нормами, которые будут установлены Законопроектом, и нормами, действующими в других государствах мира, может привести к существенным трудностям в применении и функционировании глобальных цифровых услуг, а также в деятельности глобальных поставщиков услуг в Израиле.

В целях краткости и практичности в настоящей позиции мы остановимся на пяти положениях, которые, по мнению Google, являются наиболее важными и значимыми в рамках Законопроекта. У Google имеются дополнительные предложения по изменению и уточнению других положений Законопроекта, и мы будем рады обсудить их с вами.

---

1. Расширение определения «информации» и запреты на использование информации без одновременного расширения правовых оснований для её обработки

Законопроект предлагает внести изменения в определение понятия «информация» (מידע), содержащееся в Статье 7 Закона, таким образом, чтобы существенно расширить сферу его применения. Согласно новому предлагаемому определению, любые данные, которые могут «посредством разумных средств» привести к идентификации лица, будут считаться подпадающими под действие положений Главы Б Закона, регулирующей цифровые базы данных.

Наряду с расширением понятия «информация», Законопроект предлагает дополнить Главу Б Закона Статьями 10б–10г, которые устанавливают, по существу, новый существенный запрет на использование информации в её расширенном новом определении не по той цели, для которой она была предоставлена. Как известно, и как следует также из позиции юридического советника Комитета, Глава Б Закона в настоящее время не регулирует и не предназначена для регулирования существенных запретов на сбор и использование информации. Надлежащим местом для этого является Глава А Закона, поправки к которой не предусмотрены Законопроектом. По существу, Законопроект предлагает перенести положения Статьи 2(9) Закона, запрещающие использование «сведений о частной жизни лица» не по той цели, для которой они были переданы, в Главу Б Закона, и распространить запрет на новое расширенное определение «информации».

Из этого следует, что Законопроект устанавливает запрет для лица, контролирующего базу данных, и её держателя использовать информацию не по той цели, для которой она была предоставлена, а также запрет для любого лица использовать информацию из базы данных без разрешения лица, контролирующего её. Сам по себе запрет является широким, однако он ещё более усиливается тем обстоятельством, что в целом Закон в его нынешней редакции, также и после принятия Законопроекта, допускает использование информации лишь на основании согласия субъекта данных, как указано в Статье 1 Закона. Между тем в ситуации, когда любые данные, сколь бы нечувствительными они ни были (например, имя и фамилия, цифровой идентификатор или адрес электронной почты), попадают под понятие «информация», для любого незначительного изменения целей использования информации потребуется получение прямого согласия субъекта данных. Так, например, когда лицо обратилось к компании для получения услуг на основании предоставленных данных и дало на это согласие, однако по истечении некоторого времени компания намерена осуществить сопутствующие предоставлению услуг действия, такие как статистический анализ способа предоставления услуг, контроль качества услуг, их совершенствование и развитие, эта компания может быть вынуждена запрашивать новое согласие у соответствующего лица, несмотря на то что речь идёт о целях, весьма близких к первоначальной цели, которые не наносят никакого ущерба частной жизни данного лица. Более того, иногда возникает необходимость использовать информацию без возможности или обоснования для получения согласия субъекта данных, например в целях информационной безопасности и предотвращения мошенничества, когда очевидно, что эти цели находятся в самом центре законных интересов лица, контролирующего базу данных.

Существующая цифровая реальность не допускает получения согласия в отношении каждого действия по обработке данных и каждого незначительного изменения цели использования информации. В подтверждение этого следует отметить, что даже GDPR, который, бесспорно, является весьма строгим законодательным актом в части защиты данных и частной жизни, установил помимо согласия субъекта данных ещё пять дополнительных правовых оснований для обработки данных. Также Министерство юстиции в пояснительной записке к Законопроекту признаёт необходимость добавления дополнительных правовых оснований для использования информации в Законе, однако разъяснило, что это будет сделано лишь в рамках Поправки № 15 к Закону, проект которой ещё не опубликован.

Google считает, что сохранение существенного расширения понятия «информация» в прежнем виде наряду с расширением запретов на использование информации согласно предлагаемым Статьям 10б–10г без признания дополнительных правовых оснований для обработки данных будет представлять собой несбалансированное регулирование, по существу недостижимое, что подрывает цели Закона.

В заключение этого раздела отметим, что Статьи 10б–10г ссылаются как на «информацию», так и на «сведения о частной жизни лица, не являющиеся информацией». Пояснительная записка не разъясняет, что представляют собой такие сведения о частной жизни лица, которые не подпадают под расширенное новое определение понятия «информация», поэтому представляется, что есть основания исключить эту ссылку во избежание неясности и проблем толкования.

В свете изложенного, Google предлагает принять уже в рамках данного Законопроекта дополнительные правовые основания для обработки данных в соответствии с приведёнными ниже формулировками. Google также предлагает уточнить ряд положений в Статьях 10б–10г. По мнению Google, правовые основания для обработки данных (и, как следствие, для нарушения частной жизни в соответствии с определением Закона) должны включать как минимум следующие:

(1) На основании согласия лица;

(2) Когда нарушение или использование информации необходимо для исполнения обязательств, вытекающих из договора, стороной которого является лицо, или для совершения любых действий в целях заключения такого договора;

(3) Когда нарушение или использование информации необходимо для исполнения правовой обязанности;

(4) Когда нарушение или использование информации необходимо для защиты жизненно важного интереса того лица, о котором собрана информация, или другого лица, если соответствующее лицо не может дать своё согласие;

(5) Когда нарушение или использование информации необходимо для совершения действий в публичных интересах или в ходе осуществления полномочий, предоставленных по закону лицу, контролирующему базу данных;

(6) Когда нарушение или использование информации необходимо в целях законных интересов лица, контролирующего базу данных.

---

2. Определение понятия «информация» не разъясняет, что такое «разумные средства» идентификации лица, и не учитывает анонимизацию и псевдонимизацию

Предложенное в Законопроекте определение страдает двумя недостатками.

а. Во-первых, формулировка Законопроекта говорит о возможности идентификации лица прямо или косвенно «посредством разумных средств», однако не разъясняет, что такое разумные средства и по отношению к какому мерилу их следует оценивать. Во избежание неясности с самого начала следует исключить возможность того, что «разумными средствами» будет считаться сам по себе факт наличия каких-либо технологических инструментов у кого бы то ни было на рынке, позволяющих преобразовать неидентифицированные данные в идентифицированные. Google считает, что надлежащим мерилом должны служить средства, находящиеся в распоряжении лица, контролирующего базу данных, или её держателя, и фактически ими применяемые.

б. Кроме того, предлагаемое определение понятия «информация» не учитывает, что в цифровой среде во многих случаях возможна анонимизация («התממה») или псевдонимизация («פסאודונימיזציה») данных, что существенно снижает риски для частной жизни, связанные с использованием информации. Современные законодательные акты, такие как GDPR и CCPA, прямо исключают анонимизированные данные из сферы своего действия и предусматривают существенные послабления для данных, прошедших псевдонимизацию. Аналогичным образом Google считает, что Законопроект должен содержать указание на данные, которые более не поддаются идентификации вовсе, или в которых идентифицирующие компоненты подверглись технологической обработке, существенно затрудняющей идентификацию данных.

---

3. Предлагаемые надзорные полномочия Органа по защите частной жизни являются чрезмерно широкими без судебного контроля

Законопроект предлагает расширить надзорные полномочия Органа по защите частной жизни, помимо полномочий, предоставленных ему в настоящее время в случаях уголовного преследования, также на случаи административного принуждения к исполнению. В этих рамках предлагается разрешить инспекторам от имени Органа требовать от любого лица представления документов или сведений (понятий, которые, как известно, включают также компьютерные материалы и распечатки компьютерных материалов), представления копии компьютерных материалов, включая системные данные, а также доступа в помещение, в котором разумно предположить наличие базы данных или её использование.

По Законопроекту, эти полномочия не требуют судебного постановления и могут использоваться в случае административного расследования, даже если у Органа нет подозрения в совершении уголовного преступления. Хотя Законопроект предусматривает, что проникновение в компьютерные материалы в целях принуждения к исполнению требует подозрения в совершении уголовного преступления и соответствующего судебного постановления, на практике Законопроект позволяет — также в случаях, не являющихся подозрением в совершении уголовного преступления, а лишь обычным нарушением положений Закона, — требовать представления документов и сведений, включённых в компьютерные материалы, а также копии компьютерных материалов, содержащих системные данные или выборочные данные, — без судебного постановления. По существу, Законопроект обходит устоявшееся правовое регулирование, согласно которому в ряде законодательных актов доступ к компьютерным материалам в целях расследования предоставляется лишь на основании соответствующего судебного постановления.

Google считает, что аналогичные ограничения должны быть наложены на использование инспекторами Органа по защите частной жизни своих полномочий.

---

4. В отсутствие чётких указаний по порядку применения положений Закона необходимо обязать Орган выносить административное предупреждение вместо денежного штрафа

Как известно, Законопроект предлагает наделить Орган по защите частной жизни полномочием налагать денежные штрафы в размере до 3,2 млн шекелей за различные нарушения положений Закона. Поддерживая предложение юридического советника Комитета об ограничении круга нарушений положений Закона, подпадающих под механизм денежного штрафа, предусмотренный Законопроектом, Google считает, что также после истечения переходного периода, который будет установлен Законопроектом в окончательной редакции и который, по мнению Google, должен составлять не менее 12 месяцев, ожидается длительный период, в течение которого многие принятые положения останутся неясными, а их толкование судами или Органом будет непредсказуемым.

В этих условиях, и по аналогии с аналогичными положениями, установленными CCPA, Google считает, что механизм административного предупреждения, предусмотренный Статьёй 23 (ла) Закона, должен быть обязательным в том смысле, что денежный штраф не может быть наложен до тех пор, пока не будет вынесено административное предупреждение и предполагаемый нарушитель не устранит нарушение в течение определённого срока.

В качестве альтернативы, в случае если позиция Google не будет принята, мы считаем, что было бы правильным обусловить полномочие по наложению денежных штрафов установлением правил и положений, определяющих случаи, в которых целесообразно воздержаться от наложения денежного штрафа и ограничиться вынесением административного предупреждения, а также случаи снижения размера денежного штрафа, как это предусмотрено положениями Статей 23х(б) и 23ля(а) Законопроекта.

---

5. Расширение уголовных санкций в Законопроекте является несоразмерным и должно включать повышенный субъективный элемент

Статьи 23н–23на, предложенные в Законопроекте, устанавливают новые уголовные запреты, связанные с использованием информации из базы данных не по той цели, для которой она была предоставлена, лицом, контролирующим базу данных, или её держателем, либо лицом, использующим информацию таким образом. Предложенные статьи предусматривают сроки лишения свободы в пять и три года соответственно и не включают требования умысла. Более того, Статья 23н прямо устанавливает, что такое использование информации квалифицируется как умышленное нарушение частной жизни.

Формулировка предложенных уголовных запретов устанавливает, по существу, составы уголовной ответственности без вины за незаконное использование информации, в сочетании с длительными сроками лишения свободы. Это противоречит действующему уголовно-правовому стандарту, установленному Законом, который требует специального умысла в виде злого умысла для признания деяния уголовно наказуемым нарушением частной жизни.

Google считает, что речь идёт о расширенных уголовных запретах, не имеющих аналогов в параллельном законодательстве о защите частной жизни в мире, и что данные составы являются несоразмерными.

Google будет рада направить Комитету и группе юридических советников предложения по формулировкам, поддерживающим изложенное в настоящем письме, и подробнее остановиться на любом вопросе, касающемся данной позиции. Разумеется, мы находимся в вашем распоряжении по любому вопросу.

С уважением,

Лиат Глазер Руководитель по связям с государственными органами и публичной политике, Google Израиль