Правительственный законопроект: Закон о защите частной жизни (изменение № 13), 5784-2024

Замечания к Законопроекту о защите частной жизни (Поправка № 14), 5783-2023 — статьи 10б, 23кг(д)(1), 17б и предварительное заключение

23 адара I 5784 3 марта 2024 г.

Уважаемому Председателю Комиссии по конституции, праву и правосудию Депутату Кнессета Симхе Ротману Кнессет Израиля

---

1. Принцип привязки к цели — статьи 10б и 23кг(д)(1)

Министерство юстиции направило 6.02.2024 предложение обновлённого текста статей 10б и 23кг(д)(1), закрепляющих принцип привязки к цели и наложение финансовых санкций за его нарушение. Поясним: принцип привязки к цели — важный и необходимый принцип, и его закрепление в Законе о защите частной жизни (חוק הגנת הפרטיות) чрезвычайно важно. Однако текст, предложенный Министерством юстиции на данном этапе, порождает ряд затруднений, которые мы детализируем ниже.

1.1. Статья 10б(а) — запрет обработки не для цели, для которой были переданы данные

• Установление абсолютной привязки к цели без допущения использования для совместимой или сходной цели, аналогично порядку, принятому в GDPR (статья 5(1)(b) и 6(4)), не соответствует современной эпохе и приведёт к тому, что контролёры данных будут стремиться определить в момент передачи данных длинный и широкий перечень целей, способный покрыть любое будущее использование персональных данных.

• Отсутствие ограничений в отношении определения цели, для которой передаются персональные данные. В отличие от принятого в GDPR (статья 5(1)(b)), Закон о защите частной жизни и Правила об информационной безопасности (תקנות הגנת הפרטיות (אבטחת מידע)), 5777-2017 не требуют определения конкретной, прямой и легитимной цели. Также нет определений относительно широты целей и временного измерения их реализации.

• Ограниченная область применения — лишь к переданным данным. Статья 10б(а) использует формулировку «для цели, для которой были переданы», но не определяет, что такое «передача». В результате любые персональные данные, не переданные непосредственно субъектом данных (например, полученные от брокера данных), не подпадают под принцип привязки к цели.

Результат этих многочисленных затруднений проблематичен. Контролёры баз данных будут предоставлять длинные и громоздкие политики конфиденциальности, стремящиеся охватить любое возможное использование, которые никто в действительности не читает, а согласие с ними будет даваться автоматически, без понимания их значения. Фактически будет предоставлено широкое и непрозрачное усмотрение Управлению по защите частной жизни решать, когда осуществлённое использование нарушает цель, для которой были переданы данные. Кроме того, суды будут вынуждены толковать положения закона без надлежащих ориентиров в действующем праве. Это означает усиление неопределённости на рынке и усугубление ущемления частной жизни. Утверждение о том, что якобы речь не идёт об изменении действующего права, не является точным, и в любом случае не релевантно. Цель Поправки 14 — привести к улучшению защиты частной жизни, а не к сохранению расплывчатых формулировок и дефектов, обременяющих рынок и вовсе не ведущих к улучшению защиты частной жизни.

1.2. Статья 10б(б) и 23кг(д)(1) — применение защитных норм статьи 18

Защитные нормы, установленные в статье 18 Закона о защите частной жизни, основаны на Законе о запрете клеветы и касаются частной жизни в отношениях между людьми. Они не подходят для обработки персональных данных.

• Добросовестность корпорации трудно проверить и установить, и она не релевантна для обработки персональных данных. Напротив, при обработке персональных данных ожидается, что контролёр данных заранее спланирует цели и характер обработки, однако требование добросовестности толковалось как проверка поведения постфактум, тогда как предварительная опора на защитную норму полностью аннулирует добросовестность нарушителя.

• Невозможно и затруднительно приписать корпорации личный интерес в обработке данных.

• В сравнительном законодательстве мира отсутствуют защитные нормы при обработке персональных данных с нарушением законодательных положений; вместо этого устанавливается обязанность соблюдения требований соразмерности и необходимости.

• Ввиду данного несоответствия неясно разграничение, которое Министерство юстиции стремится провести между гражданским и уголовным правом за нарушение предлагаемого принципа привязки к цели в статье 10б(а) и наложением финансовых санкций, к которым будут применяться те же защитные нормы, за исключением защиты добросовестности и защиты наличия моральной или общественной обязанности.

• Более того, может возникнуть неясность в отношении предлагаемой в Поправке 14 статьи 8а. В ходе обсуждений в Комиссии по конституции представители Министерства юстиции пояснили, что нарушение статьи 2 Закона о защите частной жизни будет составлять нарушение статьи 8а Закона и к этим нарушениям будут применяться защитные нормы статьи 18, без каких-либо изъятий в отношении административного правоприменения. Почему в отношении нарушения статьи 10б(а) Министерство юстиции сочло необходимым изменить предоставляемые защитные нормы?

1.3. Возможное решение

• Основной путь — отложить принятие указанного принципа привязки к цели до принятия Поправки 15, которая должна включить легитимные основания для обработки данных, а также допущение обработки для совместимой и сходной цели.

• Альтернатива для продолжения законодательного процесса на данном этапе — вместо ссылки на защитные нормы статьи 18 следует установить специальную статью о защитных нормах для Главы Б, которая будет применяться ко всем производствам — уголовным, гражданским и административным — в отношении нарушения положений об обработке данных по Главе Б Закона о защите частной жизни и будет включать:

  • обработка данных с нарушением положений Главы Б осуществлялась в обстоятельствах, при которых на контролёра базы данных или держателя была возложена юридическая, профессиональная или моральная обязанность обработать данные указанным образом;
  • обработка данных с нарушением положений Главы Б была необходимой и соразмерной для защиты законного интереса контролёра данных или держателя.

2. Статья 17б — ответственный за информационную безопасность

В отношении назначения ответственного за информационную безопасность у держателя, по нашему мнению, следует различать два типа держателей:

• Держатель, оказывающий исключительно услуги хранения (например, облачные сервисы): предполагается, что он «слеп» к содержимому хранимых у него баз данных. Поэтому предлагается, чтобы обязанность назначения ответственного за безопасность определялась в зависимости от количества хранимых баз данных или совокупного объёма хранимой информации.

• Держатель, осуществляющий операции по обработке данных, помимо хранения: он не «слеп» к содержанию и типу хранимой у него информации, и поэтому обязанность назначения ответственного может определяться в зависимости от количества субъектов данных в хранимых у него базах.

3. Предварительное заключение

Для реализации цели, лежащей в основе процедуры предварительного заключения, — предоставления ответа на трудности в толковании и понимании закона — необходимо обязать Управление публиковать выдаваемые заключения с удалением идентифицирующих данных о заявителе. Кроме того, необходимо обязать Управление действовать в соответствии с предоставленными заключениями в аналогичных обстоятельствах в будущем.

С уважением, Д-р Рахель Аридор Гершкович, д-р Теила Шварц Альтшулер

Программа «Демократия в информационную эпоху» Израильский институт демократии

Копии:

• Адвокат Лирон Маутнер Логаси, Отдел публичного — конституционного права, Управление консультирования и законодательства, Министерство юстиции
• Адвокат Гилад Самама, глава Управления по защите частной жизни