Проміжний зріз тенденцій у сфері захисту даних у ЄС і Великобританії
Новий проміжний огляд від міжнародної юридичної фірми Finnegan, Henderson, Farabow, Garrett & Dunner зібрав серію значних рішень, ухвалених у ЄС і Великобританії цього року, пропонуючи свіжі вказівки щодо того, як регулятори та суди тлумачать ключові принципи захисту даних. Звіт зосереджується на трьох повторюваних темах: як організації отримують і документують згоду, як суб'єкти даних можуть здійснювати свої права, а також правила, що регулюють, коли персональні дані можуть бути опубліковані.
Хоча огляд написаний насамперед для бізнесу та юридичних практиків, він також є корисним сигналом для звичайних інтернет-користувачів. Законодавство ЄС і Великобританії про захист даних рідко змінюється через одну драматичну реформу. Натомість воно еволюціонує через поступове накопичення судових рішень, регуляторних вказівок і заходів примусового виконання, які поступово змінюють те, що компаніям дозволено робити з персональною інформацією. Цей проміжний оновлений звіт — по суті, контрольна точка в цій постійній еволюції.
Згода, права суб'єктів даних і правила публікації виходять на перший план
Згідно з оглядом, згода залишається однією з найбільш спірних сфер дотримання вимог захисту даних. Регулятори та суди продовжують перевіряти, чи є механізми згоди справді поінформованими, добровільно наданими та достатньо конкретними, щоб відповідати стандартам GDPR і UK GDPR. Це тема, яка неодноразово проявлялася в заходах примусового виконання по всій Європі, де органи влади виступали проти потоків отримання згоди, які ховають ключові розкриття в щільних текстах умов або за замовчуванням включають користувачів у обмін даними, на який вони ніколи активно не погоджувалися.
Права суб'єктів даних, зокрема можливість отримати доступ до персональної інформації, виправити її або запросити видалення, також займають чільне місце в оновленні. Ці права є практичним механізмом, за допомогою якого особи можуть дізнатися, які дані компанії про них зберігають, і заперечити, коли ці дані неточні або надмірні. Увага огляду до цієї сфери свідчить про те, що суди продовжують уточнювати, наскільки саме поширюються ці права і як швидко організації повинні реагувати.
Третя тема — публікація персональних даних — стосується зростаючої сфери правової невизначеності: коли організації, публічному органу або навіть приватній особі законно робити персональну інформацію когось публічною? Це питання стає дедалі актуальнішим, оскільки розпізнавання облич, біометричне відстеження та збір даних про місцеперебування поширюються на публічні та напівпублічні простори.
Реальне примусове виконання вже відображає ці тенденції
Теми, висвітлені в цьому проміжному оновленні, не є абстрактними. Вони вже реалізуються в конкретних заходах примусового виконання по всій Європі та Великобританії. В Італії Garante оштрафував постачальників банківських застосунків після виявлення інвазивних інструментів моніторингу пристроїв, вбудованих у їхні застосунки, — справа, яка значною мірою залежала від питань згоди та того, чи розуміли користувачі, які дані насправді збираються. Тим часом підхід Італії до зберігання біометричних даних обличчя з публічних камер відновив дебати про те, як довго можна зберігати чутливі персональні дані та на якій правовій основі.
У Великобританії подібна напруженість проявилася навколо використання фургонів із розпізнаванням облич у публічних місцях, де питання прозорості та публічного повідомлення перегукуються з проблемами публікації та прав суб'єктів даних, зазначеними в огляді Finnegan. Регулятори також вивчають, як платформи перевіряють особу та вік користувачів, як видно з розслідування Ofcom системи визначення віку TikTok, яке безпосередньо стосується згоди та належної обробки біометричних даних, що використовуються для автоматизованих рішень щодо користувачів.
Що це означає для вас
Якщо ви користуєтеся застосунками, переглядаєте вебсторінки або взаємодієте з публічними технологіями, як-от камери розпізнавання облич у ЄС чи Великобританії, ці події важливіші, ніж може здатися з юридичної мови. Суворіше тлумачення правил згоди означає, що компанії перебувають під зростаючим тиском робити вибір щодо збору даних зрозумілішим і легшим для відмови. Розширені права суб'єктів даних означають, що у вас є реальні, підкріплені законом інструменти, щоб запитати компанію, що вона про вас знає, і вимагати виправлень або видалення. А еволюція правил публікації означає, що регулятори активно визначають межі навколо біометричних даних і даних про місцеперебування, зібраних у публічних просторах, — питання, яке впливає на кожного, хто проходить повз вулицю з камерами або використовує застосунок, що запитує дозволи на доступ до пристрою.
Жодне з цього не потребує паніки. Це відображає правову систему, яка активно працює, випадок за випадком, щоб не відставати від нових технологій.
Практичні висновки
Слідкуйте за тим, як розвивається законодавство ЄС і Великобританії про захист даних, звертаючи увагу на регуляторні вказівки та рішення про примусове виконання у вашій країні. Уважно читайте запити на дозволи застосунків і підказки про згоду, а не приймайте їх за замовчуванням. Якщо ви вважаєте, що організація зберігає неточні або надмірні дані про вас, пам'ятайте, що запити на доступ до даних суб'єкта даних — це законне право, а не послуга. І слідкуйте за тим, як регулюються публічні системи розпізнавання облич і біометричні системи у вашому регіоні, оскільки це залишається однією з найактивніших і найменш врегульованих сфер законодавства ЄС і Великобританії про захист даних.
