Правительственный законопроект: Закон о защите частной жизни (изменение № 13), 5784-2024

Позиция по Законопроекту о защите частной жизни (Поправка № 14), 5783-2023 — глава Д2: надзор и административное расследование в органах безопасности

9 адара-алеф 5784 18 февраля 2024 г.

Уважаемому Председателю Комиссии по конституции, праву и правосудию Члену Кнессета Симхе Ротману Кнессет Израиля

---

По существу: Законопроект о защите частной жизни (Поправка № 14) (חוק הגנת הפרטיות (תיקון מס' 14)), 5783-2023 (далее — «Поправка 14») — глава Д2: надзор и административное расследование в органах безопасности

Глава Д2, предлагаемая в Поправке 14, устанавливает особый порядок, в рамках которого определённые органы безопасности исключаются из действия положений разделов б и в главы Д1 (надзор и административное расследование). Условием данного исключения является назначение этими органами безопасности внутренних инспекторов по вопросам частной жизни. За главой Управления по защите частной жизни сохраняются ограниченные полномочия, осуществление которых основывается на результатах отчётов внутреннего надзора.

Назначение внутреннего инспектора по вопросам частной жизни в органах безопасности имеет большое значение. Предлагаемый порядок способен привести к улучшению защиты частной жизни в органах безопасности, и это следует приветствовать. Вместе с тем мы хотели бы указать на ряд затруднений, которые он порождает и которые могут уменьшить преимущества предлагаемого порядка и снизить вероятность того, что он приведёт к широкому улучшению защиты частной жизни в органах безопасности.

1. Необходимо более точное определение «органа безопасности», поскольку предлагаемый перечень чрезмерно широк и размыт.

Предлагаемая в Поправке 14 статья 23йх(а) определяет чрезвычайно широкий перечень органов безопасности, которые будут освобождены от надзора и административного расследования со стороны Управления по защите частной жизни, но взамен будут обязаны назначить внутреннего инспектора по вопросам частной жизни. Согласно пояснительной записке к главе Д2, исключение этих органов из полномочий Управления по защите частной жизни в отношении надзора и административного расследования обусловлено тем, что «значительная часть секретной деятельности органов безопасности связана с базами данных, а раскрытие информации внешнему лицу может привести к ущербу для безопасности государства».

По нашему мнению, это обоснование не согласуется с широким перечнем органов. Не каждая база данных, находящаяся в распоряжении каждого из органов в перечне, является базой данных, раскрытие которой приведёт к ущербу для безопасности. Речь идёт о крупных организациях (например, Министерство обороны, предприятия, являющиеся лишь частью цепочки поставок), которые хранят обширную и чувствительную персональную информацию (например, информацию по управлению кадрами), и существует общественный интерес в поддержании в них надлежащего уровня защиты частной жизни. Полное предотвращение административного расследования и надзора со стороны Управления по защите частной жизни в отношении этих органов означает дискриминацию в обеспечении защиты частной жизни, которая не имеет реального обоснования. Поэтому, по нашему мнению, следует уточнить перечень органов безопасности, с тем чтобы освобождение от надзора и административного расследования со стороны Управления по защите частной жизни распространялось только на те подразделения или отделы в каждом из органов, которые хранят базы данных, в отношении которых существует реальное опасение, что надзор и административное расследование со стороны Управления по защите частной жизни могут привести к ущербу для безопасности государства.

Кроме того, в перечень прямо включены ЦАХАЛ, полиция, ШАБАК, Моссад, Национальный кибернетический центр, Служба защиты свидетелей и Управление тюрем (ШАБАС). В связи с этим неясно, зачем необходимо также исключение «Министерства обороны и подведомственных ему структур» и «подразделений и подведомственных структур канцелярии Премьер-министра, основная деятельность которых относится к сфере безопасности государства», из надзора и административного расследования Управления по защите частной жизни. Какие подведомственные структуры не перечислены уже в данном перечне? Нельзя ли и в отношении Министерства обороны и канцелярии Премьер-министра точно указать, какие именно подразделения хранят базы данных, надзор и административное расследование которых со стороны Управления может нанести ущерб безопасности государства?

Помимо этого, перечень включает также ссылку на органы, личность которых не публикуется, поскольку они включены в приказ, изданный Министром обороны по пункту (3) Первого приложения к Закону о регулировании безопасности в государственных органах (חוק להסדרת הביטחון בגופים ציבוריים). И здесь неизвестно, о каких органах идёт речь. Кроме того, предлагаемая статья 23йх(а) предусматривает возможность для Министра юстиции добавлять дополнительные органы в перечень, и личность этих органов также не обязана публиковаться.

2. Разграничение полномочий между Управлением по защите частной жизни и Национальным кибернетическим центром

Предлагаемая статья 23йх(б)(2) обусловливает осуществление надзора и административного расследования Управлением по защите частной жизни в отношении органов, указанных в Пятом приложении к Закону о регулировании безопасности в государственных органах, наличием процедуры, которая будет разработана по согласованию между Национальным кибернетическим центром и Управлением по защите частной жизни.

Перечень органов, указанных в Пятом приложении, весьма обширен и включает: Министерство финансов, Управление по вопросам народонаселения и иммиграции, Управление биометрической базы данных, Управление правительственных информационных технологий — систему электронного правительства, Банк Израиля, Компанию нефтеперерабатывающих заводов, Компанию нефтеперерабатывающего завода «Паз» в Ашдоде, Электрическую компанию Израиля и Компанию по управлению системой, Компанию нефтепровода Эйлат — Ашкелон, а также эксплуатирующую организацию по определению Закона об инфраструктуре для транспортировки и хранения нефти эксплуатирующей организацией, 5777-2017, МАДА, Компанию водоснабжения «Мекорот», Компанию газопроводов природного газа Израиля, Компанию «Железные дороги Израиля», Управление аэропортов, Компанию энергетических инфраструктур, Биржу ценных бумаг, Компанию удобрений и химических веществ, держателей концессий по смыслу Закона о нефти, 5712-1952, Компанию порта Ашдод и Компанию порта Хайфа, ЦСБ, Компанию НТА, городской транспорт, Налоговое управление Израиля, Компанию бромных соединений, Израильскую ассоциацию интернета, Компанию «Порты Израиля — развитие и активы», Компанию нефтепроводов, Компанию автоматизированных банковских услуг, Компанию банковского клирингового центра, Центр картографии Израиля, Национальный центр анализа данных пассажиров.

Помимо проблематичности обусловленности осуществления полномочий процедурой, которую предстоит разработать без каких-либо сроков, без определения её содержания и без обязанности её опубликования, данное положение вызывает реальное опасение в отношении осуществления полномочий Управления по защите частной жизни.

В отсутствие чёткого и общего урегулирования в Поправке 14 полномочий Управления по защите частной жизни по сравнению с полномочиями Национального кибернетического центра, а также в отсутствие закона о кибербезопасности, существует несомненное дублирование полномочий обоих органов. Так, например, киберинцидент может привести к нарушению частной жизни, требующему и оправдывающему участие Управления по защите частной жизни. И без киберинцидента как Управление по защите частной жизни, так и Национальный кибернетический центр могут пожелать проверить процедуры защиты информации в организации, хранящей обширную чувствительную персональную информацию.

Поскольку вопрос об уровне защиты персональных данных не тождествен вопросу кибербезопасности в той же организации, необходимо закрепить в первичном законодательстве чёткий интерфейс между Национальным кибернетическим центром и Управлением по защите частной жизни и чёткое разграничение полномочий между ними, и чем скорее, тем лучше. Необходим всеобъемлющий и целостный подход. Сосредоточение на дублировании полномочий лишь в отношении определённого перечня органов и лишь в отношении полномочий надзора и административного расследования представляет собой частичное и проблематичное решение, которое может, напротив, создать неясность и неуместный конфликт полномочий.

Кроме того, ссылка на органы, включённые в Пятое приложение, может вызвать затруднения и несоответствие с конкретными законами, применяемыми к этим органам. Так, например, Национальный центр анализа данных пассажиров действует в соответствии с положениями Закона о полномочиях по сбору и анализу данных пассажиров, въезжающих в Израиль или выезжающих из него (חוק סמכויות לאיסוף ואבחון של נתוני נוסעים הנכנסים לישראל או היוצאים ממנה), 5783-2023. Статья 48 этого Закона возлагает на Управление по защите частной жизни обязанность осуществлять надзор за «защитой частной жизни пассажиров и членов экипажа при применении положений настоящего Закона». Однако, согласно предлагаемой статье 23йх(б)(2), Управление по защите частной жизни не уполномочено осуществлять надзор за Национальным центром анализа данных пассажиров, пока не будет разработана соответствующая процедура между ним и Национальным кибернетическим центром, а после разработки процедуры — обязано действовать в соответствии с ней. Каким образом это положение согласуется с обязанностью Управления по Закону о полномочиях по сбору и анализу данных пассажиров, въезжающих в Израиль или выезжающих из него, 5783-2023?

Для полноты картины отметим, что «Национальный кибернетический центр» не является понятием, определённым в Законе о регулировании безопасности в государственных органах, который содержит ссылку на кибернетический центр лишь в отношении сферы применения в статье 21а.

3. Резюме рекомендаций

В итоге наших замечаний мы рекомендуем:

(1) Существенно сократить перечень «органов безопасности» в предлагаемой статье 23йх(а) таким образом, чтобы он распространялся только на подразделения или отделы в органах безопасности, хранящих базы данных, чья секретность по соображениям безопасности государства требует их исключения из надзора и административного расследования Управления по защите частной жизни.

(2) В рамках сокращения перечня «органов безопасности» в статье 23йх(а) — исключить предоставление Министру обороны возможности определять дополнительные органы, поскольку таковая уже имеется у него в рамках приказа по пункту (3) Первого приложения к Закону о регулировании безопасности в государственных органах.

(3) Обязать по закону передачу перечня предприятий системы обороны, указанных в приказе, для ознакомления Комиссии по конституции, праву и правосудию и главе Управления по защите частной жизни, с тем чтобы обеспечить контроль со стороны Комиссии и осведомлённость главы Управления по защите частной жизни.

(4) Установить чёткий и всеобъемлющий порядок разграничения полномочий Управления по защите частной жизни и Национального кибернетического центра — вместо обусловленности надзора и административного расследования, лишь в отношении органов, указанных в Пятом приложении к Закону о регулировании безопасности в государственных органах, наличием процедуры, разработанной между Национальным кибернетическим центром и Управлением по защите частной жизни.

---

С уважением и благословением,

Д-р Рахель Аридор-hершковиц, д-р Теhила Шварц-Альтшулер

Программа «Демократия в информационную эпоху» Израильский институт демократии

Копии:

• Адв. Лирон Маутнер-Логаси, Отдел публичного и конституционного права, Управление юридического консультирования и законодательства, Министерство юстиции.
• Адв. Гилад Самама, глава Управления по защите частной жизни.
• Адв. Лиат Горфинкель, юридический советник Национального кибернетического центра.