Промежуточный срез тенденций в области защиты данных в ЕС и Великобритании
Новый промежуточный обзор международной юридической фирмы Finnegan, Henderson, Farabow, Garrett & Dunner собрал серию значимых решений, вынесенных в ЕС и Великобритании в этом году, предлагая свежие рекомендации о том, как регуляторы и суды интерпретируют основные принципы защиты данных. В отчете основное внимание уделяется трем повторяющимся темам: как организации получают и документируют согласие, как субъекты данных могут осуществлять свои права, а также правилам, регулирующим случаи публикации персональных данных.
Хотя обзор написан в первую очередь для бизнеса и практикующих юристов, он также дает полезный сигнал и обычным интернет-пользователям. Законодательство ЕС и Великобритании о защите данных редко меняется в результате одной драматической реформы. Вместо этого оно развивается через постоянное накопление судебных решений, нормативных руководств и мер правоприменения, которые постепенно меняют то, что компаниям разрешено делать с персональной информацией. Этот промежуточный обновленный отчет — по сути, контрольная точка в этом продолжающемся процессе эволюции.
Согласие, права субъектов данных и правила публикации выходят на первый план
Согласно обзору, согласие остается одной из самых спорных областей соблюдения требований о защите данных. Регуляторы и суды продолжают проверять, являются ли механизмы согласия действительно информированными, свободно данными и достаточно конкретными для соответствия стандартам GDPR и UK GDPR. Эта тема неоднократно возникала в мерах правоприменения по всей Европе, где власти выступали против потоков согласия, которые скрывают ключевые раскрытия в плотных условиях или по умолчанию включают пользователей в обмен данными, на который они никогда активно не соглашались.
Права субъектов данных, включая возможность доступа, исправления или запроса на удаление персональной информации, также занимают видное место в обновлении. Эти права являются практическим механизмом, с помощью которого люди могут узнать, какие данные компании о них хранят, и оспорить их, если эти данные неточны или чрезмерны. Внимание обзора к этой области позволяет предположить, что суды продолжают уточнять, насколько далеко простираются эти права и как быстро организации должны реагировать.
Третья тема — публикация персональных данных — касается растущей области правовой неопределенности: когда организации, государственному органу или даже частному лицу законно делать персональную информацию человека публичной? Этот вопрос становится все более актуальным по мере того, как распознавание лиц, биометрическое отслеживание и сбор данных о местоположении расширяются в общественные и полуобщественные пространства.
Реальные меры правоприменения уже отражают эти тенденции
Темы, освещенные в этом промежуточном обновлении, не абстрактны. Они уже реализуются в конкретных мерах правоприменения по всей Европе и Великобритании. В Италии Garante оштрафовал провайдеров банковских приложений за встроенные в их приложения инвазивные инструменты мониторинга устройств — дело, которое во многом было связано с вопросами согласия и тем, действительно ли пользователи понимали, какие данные собираются. Тем временем подход Италии к хранению биометрических данных лиц с публичных камер вновь разжег дискуссию о том, как долго могут храниться чувствительные персональные данные и на каком правовом основании.
В Великобритании аналогичная напряженность всплыла вокруг использования фургонов с распознаванием лиц в общественных местах, где вопросы о прозрачности и публичном уведомлении перекликаются с проблемами публикации данных и прав субъектов данных, отмеченными в обзоре Finnegan. Регуляторы также изучают, как платформы проверяют личность и возраст пользователей, как видно из расследования Ofcom системы возрастной оценки TikTok, которое напрямую затрагивает согласие и надлежащую обработку биометрических данных, используемых для автоматических решений о пользователях.
Что это значит для вас
Если вы пользуетесь приложениями, просматриваете веб-страницы или взаимодействуете с публичными технологиями, такими как камеры распознавания лиц в ЕС или Великобритании, эти изменения важнее, чем может показаться по юридическому языку. Более строгая интерпретация правил согласия означает, что компании находятся под растущим давлением, чтобы сделать выбор в отношении сбора данных более понятным и легким для отказа. Расширенные права субъектов данных означают, что у вас есть реальные, поддающиеся принудительному исполнению инструменты, чтобы спросить компанию, что она знает о вас, и потребовать исправлений или удаления. А развивающиеся правила публикации означают, что регуляторы активно прорабатывают границы вокруг биометрических данных и данных о местоположении, собираемых в общественных местах, — вопрос, который затрагивает любого, кто проходит мимо улицы с камерами или использует приложение, запрашивающее разрешения на доступ к устройству.
Ничто из этого не требует паники. Это отражает правовую систему, которая активно работает, дело за делом, чтобы не отставать от новых технологий.
Практические выводы
Следите за тем, как развивается законодательство ЕС и Великобритании о защите данных, обращая внимание на нормативные руководства и решения о правоприменении в вашей стране. Внимательно читайте запросы на разрешения приложений и подсказки о согласии, а не принимайте их по умолчанию. Если вы считаете, что организация хранит неточные или чрезмерные данные о вас, помните, что запросы на доступ к данным субъекта — это законное право, а не одолжение. И следите за тем, как регулируются публичные системы распознавания лиц и биометрические системы в вашем регионе, поскольку это остается одной из самых активных и нестабильных областей законодательства ЕС и Великобритании о защите данных.
