Эксперты ООН по правам человека выступили с четким посланием: законов о конфиденциальности на бумаге недостаточно. В заявлении, распространенном из Женевы, эксперты указали, что независимость органов по защите данных и эффективный доступ к судам имеют важнейшее значение для защиты права на неприкосновенность частной жизни, особенно когда речь идет о влиятельных технологических компаниях. Для любого человека, чьи персональные данные хранятся в корпоративных базах данных, это имеет практическое значение. Независимые органы по защите данных и права на неприкосновенность частной жизни идут рука об руку, и когда один из элементов слаб, страдает и другой.

Что эксперты ООН сказали о надзоре и правосудии

Заявление, опубликованное Управлением Верховного комиссара ООН по правам человека (УВКПЧ), сосредоточено вокруг простого принципа. По словам экспертов, «права на неприкосновенность частной жизни не могут быть защищены одними лишь законами». Опубликованный фрагмент заявления краток, поэтому мы ограничиваем этот материал тем, что эксперты заявили напрямую: надзорные органы должны быть независимыми, и люди должны иметь возможность обращаться в суды, когда их права нарушаются.

Это две отдельные гарантии, которые работают вместе. Орган по защите данных расследует жалобы, проводит аудит организаций и может налагать санкции. Суды предоставляют людям возможность добиваться средств правовой защиты и оспаривать решения компаний или даже самих регуляторов. Если какой-либо из этих уровней отсутствует или скомпрометирован, человек, чьи данные были неправомерно использованы, может оказаться без реальной возможности обратиться за помощью.

Почему одних законов недостаточно против могущественных технологических компаний

В большинстве стран сейчас существует то или иное законодательство о защите данных. Но закон силен настолько, насколько сильны институты, обеспечивающие его исполнение. Крупные технологические компании располагают огромными объемами личной информации и обладают значительными юридическими и финансовыми ресурсами. Отдельный пользователь, противостоящий одной из них, находится в неравном положении.

Именно этот дисбаланс побудил экспертов подчеркнуть независимость и доступ к правосудию. Регулятор, находящийся под политическим или коммерческим давлением, может не желать преследовать крупные компании. Регулятор без достаточных полномочий или ресурсов может быть не в состоянии это делать. А если суды слишком дороги, медленны или недоступны, люди могут просто отказаться от защиты своих прав, даже когда закон на их стороне.

На практике это означает, что текст закона о конфиденциальности рассказывает лишь часть истории. Кто назначает регулятора, как он финансируется, может ли он действовать против правительств, а также против компаний, и могут ли люди обжаловать его решения — все это определяет, сколько защиты существует в действительности.

Когда регуляторам не хватает независимости: пример Закона DPDP Индии

Закон Индии о цифровой защите персональных данных представляет собой полезный пример того, почему эти опасения важны. Когда закон был принят в 2023 году, большая часть публичных обсуждений была сосредоточена на уведомлениях об утечках, штрафах и требованиях к согласию для компаний. Меньше внимания уделялось тому, как этот закон взаимодействует с правилами прозрачности. Наш разбор на тему как статья 44(3) Закона DPDP Индии влияет на доступ в рамках закона об RTI рассматривает, как одно положение может сузить возможность общественности получать информацию, что, в свою очередь, ограничивает контроль за обращением с данными.

Этот урок соответствует предупреждению экспертов ООН. Система защиты данных может включать правила согласия и штрафы и при этом оставлять пробелы, если исключения ослабляют подотчетность или если надзору не хватает независимости. Читатели, следящие за дискуссией в любой стране, могут задать те же вопросы: отделен ли регулятор от органов, которые он контролирует? Могут ли граждане оспаривать решения? Существуют ли изъятия, снижающие прозрачность?

Что это значит для вас

Вы можете не контролировать то, как ваша страна выстраивает своих регуляторов, но вы можете предпринять шаги, которые позволят существующим защитным механизмам работать.

  • Используйте свои законные права. В зависимости от того, где вы живете, вы можете запросить доступ к данным, которые компания хранит о вас, потребовать их исправления или удаления и возразить против определенных видов использования. Эти запросы также создают документальную запись на случай, если позже вам придется подать жалобу.
  • Знайте своего регулятора. Выясните, какой орган по защите данных отвечает за вашу ситуацию и как подать жалобу. Жалобы — один из основных способов, которыми регуляторы узнают о проблемах.
  • Ведите записи. Сохраняйте уведомления о конфиденциальности, переписку и скриншоты, если считаете, что с вашими данными обращались ненадлежащим образом. Они пригодятся, если спор дойдет до регулятора или суда.
  • Обращайте внимание на исключения. Когда новый закон о конфиденциальности предлагается или принимается, смотрите не только на заявленные в заголовках гарантии. Исключения и слабые положения об исполнении часто определяют, насколько хорошо он работает.
  • Выстраивайте многоуровневую защиту. Юридические права работают после того, как данные были собраны. Технические инструменты работают до этого. Шифрование, надежные уникальные пароли, двухфакторная аутентификация и VPN для ограничения того, что раскрывает ваш сетевой трафик, могут уменьшить объем данных, подвергающихся риску в первую очередь. VPN не заменяет правовые гарантии, а правовые гарантии не заменяют хорошие привычки безопасности.

Ключевые выводы

Заявление экспертов ООН напоминает, что конфиденциальность — это одновременно технический и институциональный вопрос. Независимые органы по защите данных и права на неприкосновенность частной жизни зависят друг от друга: сильным законам нужны регуляторы, способные действовать без давления, а людям нужны суды, до которых они реально могут добраться.

Для читателей наиболее полезный ответ — сочетать подходы. Пользуйтесь своими правами на доступ, удаление и подачу жалоб, используйте шифрование и инструменты конфиденциальности, чтобы сократить подверженность данных риску, и следите за тем, как законы формулируются и применяются. Чтобы увидеть, как слабый надзор и исключения могут на практике подрывать и конфиденциальность, и прозрачность, прочитайте наш тематический разбор Закона DPDP Индии и его влияния на доступ в рамках RTI.