Експерти ООН з прав людини оприлюднили чітке послання: законів про приватність на папері недостатньо. У заяві, оприлюдненій у Женеві, експерти заявили, що незалежність органів захисту даних і ефективний доступ до судів є необхідними для забезпечення права на приватність, особливо коли йдеться про потужні технологічні компанії. Для кожного, чиї персональні дані зберігаються в корпоративних базах даних, це питання має практичне значення. Незалежні органи захисту даних і права на приватність нерозривно пов'язані, і коли один із них слабкий, страждає інший.

Що експерти ООН сказали про нагляд і правосуддя

Заява, опублікована Управлінням Верховного комісара ООН з прав людини (УВКПЛ), зосереджена на простому принципі. За словами експертів, «права на приватність не можуть бути захищені лише законами». Опублікований уривок заяви є коротким, тому ми обмежуємо цей звіт тим, що експерти заявили безпосередньо: наглядові органи повинні бути незалежними, а люди повинні мати можливість звертатися до судів, коли їхні права порушуються.

Це два окремих запобіжники, які працюють разом. Орган захисту даних розслідує скарги, проводить аудит організацій і може накладати штрафи. Суди пропонують фізичним особам шлях до відшкодування та можливість оскаржувати рішення компаній або навіть самих регуляторів. Якщо будь-який із цих рівнів відсутній або скомпрометований, людина, чиї дані були неправомірно використані, може не мати куди реально звернутися.

Чому самих лише законів недостатньо проти потужних технологічних компаній

Більшість країн зараз мають певну форму законодавства про захист даних. Але закон настільки сильний, наскільки сильні інституції, які його забезпечують. Великі технологічні компанії володіють величезними обсягами особистої інформації та мають значні юридичні й фінансові ресурси. Окремий користувач, який протистоїть одній із них, перебуває в нерівному становищі.

Саме через цей дисбаланс експерти наголосили на незалежності та доступі до правосуддя. Регулятор, який зазнає політичного чи комерційного тиску, може бути неохочим переслідувати великі компанії. Регулятор без належних повноважень чи ресурсів може бути неспроможним це зробити. А якщо суди надто дорогі, повільні або недоступні, фізичні особи можуть просто відмовитися від реалізації своїх прав, навіть коли закон на їхньому боці.

На практиці це означає, що текст закону про приватність розповідає лише частину історії. Хто призначає регулятора, як він фінансується, чи може він діяти проти урядів так само, як проти компаній, і чи можуть люди оскаржувати його рішення — усе це визначає, скільки захисту існує насправді.

Коли регуляторам бракує незалежності: приклад індійського закону DPDP

Індійський закон про захист цифрових персональних даних є корисним прикладом того, чому ці побоювання мають значення. Коли закон було ухвалено у 2023 році, значна частина публічних обговорень зосереджувалася на повідомленнях про порушення, штрафах і вимогах щодо згоди для компаній. Менше уваги приділялося тому, як закон взаємодіє з правилами прозорості. Наше пояснення про те, як стаття 44(3) індійського закону DPDP впливає на доступ відповідно до закону про RTI, розглядає, як одне положення може звузити здатність громадськості отримувати інформацію, що своєю чергою обмежує нагляд за тим, як обробляються дані.

Цей урок відповідає попередженню експертів ООН. Система захисту даних може включати правила щодо згоди та штрафи й усе одно залишати прогалини, якщо винятки послаблюють підзвітність або якщо нагляду бракує незалежності. Читачі, які стежать за дебатами в будь-якій країні, можуть використовувати ті самі запитання: Чи регулятор відокремлений від органів, які він наглядає? Чи можуть громадяни оскаржувати рішення? Чи є винятки, які зменшують прозорість?

Що це означає для вас

Ви можете не контролювати, як ваша країна структурує своїх регуляторів, але ви можете зробити кроки, які змусять наявні засоби захисту працювати.

  • Використовуйте свої законні права. Залежно від того, де ви живете, ви можете мати можливість запросити доступ до даних, які компанія зберігає про вас, попросити виправлення або видалення та заперечити проти певного використання. Ці запити також створюють запис, якщо згодом вам потрібно буде подати скаргу.
  • Знайте свого регулятора. З'ясуйте, який орган захисту даних охоплює вас і як подати скаргу. Скарги є одним із головних способів, якими регулятори дізнаються про проблеми.
  • Зберігайте записи. Зберігайте повідомлення про приватність, листування та скріншоти, коли вважаєте, що ваші дані були неправомірно оброблені. Вони стануть у пригоді, якщо спір дійде до регулятора або суду.
  • Звертайте увагу на винятки. Коли новий закон про приватність пропонується або ухвалюється, дивіться поза межі гучних гарантій. Винятки та слабкі положення про забезпечення часто визначають, наскільки добре він працює.
  • Багаторівневий захист. Законні права працюють після того, як дані були зібрані. Технічні інструменти працюють до того. Шифрування, надійні унікальні паролі, двофакторна автентифікація та VPN для обмеження того, що розкриває ваш мережевий трафік, можуть зменшити обсяг даних, які піддаються ризику в першу чергу. VPN не замінює правовий захист, а правовий захист не замінює добрих звичок безпеки.

Ключові висновки

Заява експертів ООН нагадує, що приватність — це і технічне, і інституційне питання. Незалежні органи захисту даних і права на приватність залежать одне від одного: сильним законам потрібні регулятори, які можуть діяти без тиску, а фізичним особам потрібні суди, до яких вони реально можуть звернутися.

Для читачів найкорисніша відповідь — поєднувати підходи. Здійснюйте свої права на доступ, видалення та скаргу, використовуйте шифрування та інструменти приватності, щоб зменшити ризик розкриття даних, і будьте уважні до того, як пишуться та забезпечуються закони. Щоб побачити, як слабкий нагляд і винятки можуть на практиці підривати і приватність, і прозорість, прочитайте наше тематичне дослідження про індійський закон DPDP та його вплив на доступ відповідно до RTI.