Правовые основы, пределы и стандарты применения права быть забытым: опыт Европейского союза
Т.Д. Оганесян
Анотация
Право быть забытым представляет собой право отдельных лиц исключать, ограничивать или удалять ссылки и личную информацию в интернете. Автор статьи рассматривает правовые основы реализации права быть забытым, положения ранее действовавшей Директивы Европейского союза (ЕС) 95/46/ЕС, нового регламента ЕС по защите данных, а также прецедентную практику Суда ЕС. Несмотря на то, что Директива прямо не предусматривала права на забвение, ее положения позволили Суду ЕС посредством эволютивного толкования вывести это право. Анализируются доктринальные позиции, согласно которым реализация права быть забытым может привести к цензуре интернета. Отмечается, что при неправильном сбалансировании конкурирующих прав право быть забытым может привести к необоснованной цензуре в интернете. Особое внимание уделяется правовым позициям Суда ЕС, который в 2014 г. в постановлении по делу Google Spain впервые на международном уровне закрепил право быть забытым. Приведены аргументы, раскрывающие значимость названного постановления для последующей реализации данного права.
Относительно экстерриториального применения отмечается, что Суд ЕС стремится к глобальному применению права быть забытым, позволяя государствам-членам принимать более экстерриториальные защитные механизмы. Исследуются принципы и стандарты применения права быть забытым со ссылкой на актуальную статистику Google о поступивших запросах. Предлагается ряд минимальных процедурных гарантий при реализации права быть забытым, которые позволят повысить эффективность и сбалансированность данного процесса. Отмечается, что, пока не сформируется последовательная практика, право быть забытым продолжит оставаться «непредсказуемым». В заключение автор указывает, что лишь время покажет, сможет ли право быть забытым стать наиболее эффективным способом установления баланса между государственными структурами, интернет-провайдерами и пользователями интернета.
Ключевые слова: право быть забытым, право на забвение, защита данных, конфиденциальность, большие данные, интернет.
Annotation
T.D. Oganesian. Legal framework, limits and standards for the application of the right to be forgotten: The experience of the European Union
The right to be forgotten is the right of individuals to exclude, restrict or delete links and personal information on the Internet. The article focuses on the legal basis of the realization of the right to be forgotten. In this regard, the provisions of the previously existing Directive 95/46/ EC, the new EU data protection regulation, as well as the case law of the EU Court of Justice are analyzed. It is noted that despite the fact that the Directive did not directly provide for this right, nevertheless, its provisions allowed the EU Court to derive the right to be forgotten through an evolutionary interpretation. The author analyzes the doctrinal positions according to which the realization of the right to be forgotten can lead to censorship of the Internet. It is noted that if competing rights are not properly balanced, the right to be forgotten can lead to unjustified censorship on the Internet. Particular attention is paid to the legal positions of the EU Court, which in 2014, in a ruling in the Google Spain case, for the first time internationally enshrined the right to be forgotten. The arguments revealing the significance of this resolution for the subsequent realization of this right are given. With regard to extraterritorial application, it is noted that the EU Court of Justice is striving for a global application of the right to be forgotten, allowing member States to adopt more extraterritorial protective mechanisms. It is noted that until a consistent practice is formed, the right to be forgotten will continue to remain an “unpredictable” right. In conclusion, the author points out that only time is an indicator of whether the right to be forgotten can become the most effective way to establish a balance between government agencies, Internet service providers and Internet users.
Keywords: the right to be forgotten, the right to be forgotten, data protection, privacy, Big Data, Internet.
Введение
Право быть забытым возникло на фоне перемен и прогресса во многих аспектах развития общества. В этом контексте появление данного права нельзя назвать неожиданным. Оно стало естественной реакцией на новые вызовы, связанные с поддержанием надлежащего баланса между техническим прогрессом и правами человека. С точки зрения общественного прогресса право быть забытым естественный шаг вперед в эпоху развития цифровизации, порождающей новые вызовы, изменяющие восприятие мира, в котором мы живем (Stupariu 2015).
Чтобы подчеркнуть важность права быть забытым, М.Л. Джонс предлагает вспомнить худшее, что вы когда-либо делали, свою самую постыдную тайну: представьте себе, что эта «вызывающая дрожь» информация каким-то образом попала в интернет и стала доступна миллионам (Jones 2016). Право быть забытым может обеспечить важную защиту частной жизни и сыграть важную роль в продвижении автономии личности, оно предоставляет индивидам некоторый контроль над своей цифровой идентичностью и персональными данными. Большая часть личной информации в интернете не касается интересов общественности, имеет «внутреннюю» ценность для человека, а не для общества в целом. Текущие правовые и законодательные изменения учитывают это, признавая разницу между тем, что представляет ценность для отдельного человека, что значимо для общественности и что отвечает общественным интересам.
В современную цифровую эпоху, когда ничто не исчезает само по себе, право быть забытым приобретает особую ценность (Torop 2018). Согласно опросу, 72% европейцев беспокоит, что крупные компании используют их личные данные, при этом в 1993 г. интернет передавал только 1% всей телекоммуникационной информации, а сегодня эта цифра выросла до более чем 97% (Reding 2012).
Право быть забытым и Директива 95/46/ЕС
Директива 95/46/ЕС Европейского парламента и Совета Европейского союза (ЕС) от 24.10.1995 о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data. (далее Директива) была направлена на необходимость адаптации ЕС к технологическим вызовам. Существующее законодательство вскоре оказалось «неспособным отражать реалии мира, в котором персональные данные стали основной валютой обмена между потребителями и организациями» (Combemale 2012).
Включала ли Директива право быть забытым? Этот вопрос имеет первостепенное значение с учетом роли Директивы в качестве ориентира в процессе гармонизации правовых систем государств членов ЕС. В связи с этим интересны ст.12 и 14 Директивы. В первой говорится, что физическим лицам должно быть предоставлено право требовать от сборщиков данных «в определенных случаях исправления, удаления или блокирования данных, обработка которых не соответствует положениям настоящей Директивы», особенно когда данные неполны или неточны. Если интерпретировать этот фрагмент буквально, то можно заметить, что указанное право существует только в отношении сборщиков данных, а третьи стороны или поставщики контента не подпадают под названное требование. Это имеет большое значение в контексте обсуждения вопроса об информационной автономии. Кроме того, в соответствии с п. «с» ст. 12, субъект данных имеет право потребовать от контролера направления уведомления третьим лицам, которым эти данные были раскрыты. В ст. 14 говорится, что физические лица имеют право в любое время, «на законных основаниях, касающихся их конкретного положения, возражать против обработки относящихся к ним данных, за исключением случаев, когда иное предусмотрено национальным законодательством», но не ограничиваясь случаями, упомянутыми в подп. «е» и «f» ст.7 Директивы. Статьи 12 и 14 Директивы являются положениями, на основании которых Суд ЕС и принял в 2014 г. решение по делу Google Spain Google Spain SL and Google Inc. v. Agencia Espanola de Proteccion de Datos (AEPD) and Mario Costeja Gonzalez. Judgment ofthe CJEU (Grand Chamber), 13 May 2014..
Право быть забытым существовало в Директиве, но в зарождающейся форме. Наверное, оно не было полноценным, как сегодня, но его форма может рассматриваться в качестве основы для права быть забытым как с точки зрения основополагающих принципов, закрепленных в Директиве, так и с точки зрения последующей реализации ее положений.
Право быть забытым и Общий регламент защиты данных
27 апреля 2016 г. Европейский парламент принял новый Общий регламент защиты данных (General Data Protection Regulation, далее Регламент, GDPR) General Data Protection Regulation (GDPR). 27 April 2016., который включает в себя отдельное положение о праве быть забытым с конкретными предписаниями для контролеров данных по исключению (удалению) информации по запросу физических лиц.
С вступлением в силу в 2018 г. Регламента Европейский союз дал четкий сигнал о желании укрепить и консолидировать принципы, содержащиеся ранее в Директиве 95/46/ЕС. Как отмечает Европейская комиссия, GDPR это «компас для использования технологий в условиях цифрового перехода» Communication from the Commission to the European Parliament and the Council. Data protection as a pillar of citizens' empowerment and the EU's approach to the digital transition - two years of application of the General Data Protection Regulation. Brussels, 24.O6.2O20. COM (2020) 264 final.. Статья 17 Регламента прямо предусматривает право на удаление данных (право быть забытым). По существу, ст. 17 результат эволюции законодательства ЕС за последние годы в отношении права быть забытым. При изучении ст. 17 становится очевидным, что она стала одним из наиболее обсуждаемых положений в Регламенте.
Анализируя Регламент, важно оценить применимость его ст.17. В частности, п. 1 описывает следующие ситуации, в которых физическое лицо имеет право требовать от контролера удаления персональных данных:
а) персональные данные больше не соответствуют целям, для которых они были собраны или обработаны;
b) согласие на обработку данных отозвано, или законные основания для обработки данных отсутствуют;
c) было реализовано право субъекта данных возражать против обработки данных;
d) обработка данных незаконна (т.е. не соответствует Регламенту);
е) персональные данные должны быть уничтожены во исполнение правовой обязанности согласно законодательству ЕС или государства-члена, под действие которого подпадает контролер;
f) персональные данные собирались в отношении предоставления услуг информационного общества. В названной статье также содержатся следующие основания отказа в удалении данных: для осуществления права на свободу выражения мнения и свободу информации; для выполнения задач, осуществляемых в интересах общества; ввиду публичного интереса в области здравоохранения; для целей архивирования, научных или исторических исследований или в статистических целях; для создания, осуществления или защиты судебных исков.
По сути, Регламент детализирует, расширяет и определяет объем права быть забытым, делая его основным правом субъекта данных в ЕС. Хотя положения ст.17 Регламента все еще несколько расплывчаты и нуждаются в инкорпорации в национальные законодательства, они четко определяют случаи, когда свобода выражения мнений будет поставлена под угрозу, разъясняют, что представляет собой «общественный интерес» в области здравоохранения, как это право применяется к государственным архивам и в контексте научных, исторических и статистических исследований, а также где должны быть решены юридические споры.
В соответствии с п.2 ст.3 Регламента, его положения применяются к контролеру персональных данных и за пределами ЕС, если их обработка связана с предоставлением товаров и услуг субъектам персональных данных в ЕС или с мониторингом их поведения, если такая деятельность осуществляется в ЕС. Это означает, что, согласно Регламенту, его юрисдикция распространяется за пределы ЕС, если обработка данных осуществляется контролером, не находящимся в ЕС, но в отношении субъектов, находящихся в ЕС (Dowdell 2017). По мнению некоторых ученых, механизм реализации ст.17 Регламента «в контексте больших данных усложнит жизнь компаниям и организациям, работающим не только в одном, но и в нескольких государствах членах ЕС» (Mayer-Schonberger, Padova 2016, 327-328).
Положения Регламента о праве быть забытым порождают и новые проблемы. Например, он требует, чтобы интернет-посредник ответил на запрос лица об удалении его личной информации путем немедленного ограничения содержания без предварительного уведомления. Кроме того, Регламент отменяет бремя доказывания. Соответственно, «компания, а не физическое лицо, должна доказать, что данные не могут быть удалены» “Factsheet on the `Right to be forgotten' ruling (C-131/12)”. European Commission. N. d.. Контролер данных обязан принять «разумные меры» для информирования третьих лиц о том, что физическое лицо хочет, чтобы персональные данные были удалены.
Работа национальных судов и Суда ЕС также поможет выработать последовательное толкование правил защиты данных в ЕС. То, как будут реализованы положения ст. 17 Регламента, представляется решающим тестом на то, действительно ли право быть забытым станет общеевропейским устойчивым правом или нет. В ближайшие годы этот вопрос будет все больше привлекать внимание национальных и международных судов.
Дело Google Spain
Три ключевых вопроса. Когда Верховный суд Испании обратился в Суд ЕС за разъяснениями, право быть забытым все еще находилось на начальном этапе своего развития, хотя и не было совершенно новым. В 1998 г. г-н Марио Костеха Гонсалес, гражданин Испании, не смог погасить задолженность по социальному обеспечению, в связи с чем его дом был выставлен на аукцион Google Spain SL and Google Inc. v. Agencia Espanola de Proteccion de Datos (AEPD) and Mario Costeja Gonzalez. Judgment ofthe CJEU (Grand Chamber), 13 May 2014.. Местная газета опубликовала уведомление об аукционе недвижимости для взыскания долгов, в котором упоминалось имя г-на Гонсалеса. Впоследствии статья была размещена в интернете вместе с остальными архивами газеты и оказалась доступна с помощью любой из поисковых систем.
В 2010 г. заявитель подал жалобу в Испанское агентство по защите данных (Agencia Espanola de Protection de Datos, AEPD) с требованием обязать ответчиков (AEPD, Google Spain и Google Inc.) удалить информацию с веб-сайта La Vanguardia и из поисковой системы Google. Заявитель пояснил, что каждый раз, когда пользователь интернета вводит его имя в Google, поисковая система отображает ссылки на две страницы La Vanguardia, в которых он упоминается в качестве должника. Он утверждал, что с момента проведения этого аукциона прошло 12 лет и исполнительное производство по его делу было полностью завершено, а также обращал внимание на то, что онлайн-ссылка на «его прошлое» в настоящее время не имеет значения и должна быть удалена. Поскольку газета отказалась удалить контент со своего веб-сайта, он обратился к AEPD и GoogleSpain и Google Inc. с просьбой удалить или скрыть все материалы, связанные с этим инцидентом. Агентство по защите данных отклонило его просьбу, посчитав, что информация, о которой идет речь, была законно опубликована газетой, но удовлетворил ходатайство, передав дело в Высокий суд Испании.