Дифференциация требований к политике в отношении обработки персональных данных на основе функциональной классификации персональных данных

Введение. Политика в отношении обработки персональных данных, или, как её обычно называют, «политика конфиденциальности» (далее – Политика), являясь императивным требованием статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) [1], призвана обеспечивать баланс технологических возможностей обработки персональных данных и гарантий частной жизни, выполняя функции прозрачности и формирования доверия в отношениях между субъектом и оператором персональных данных. Правовая природа Политики реализуется в трех аспектах: как локальный акт оператора персональных данных, фиксирующий процедуры и меры защиты; как публичное обязательство по информированию субъектов, необходимое для получения согласия; как средство раскрытия информации для Роскомнадзора как органа, контролирующего соблюдение законодательства о персональных данных.

Требование разместить на интернет-сайте Политику сегодня соблюдают почти все операторы.

Однако наличие документа ещё не означает, что субъект понимает, какие сведения о нём собираются. Пользователь обычно не читает политику до конца – мешают объём, язык, структура. Причина не сводится к одной лишь привычке: даже внимательное прочтение документа не всегда позволяет установить, какие сведения собираются, кому они передаются и какие решения принимаются на их основе.

Закон требует, чтобы Политика была доступна субъекту персональных данных. Доступность при этом трактуется буквально – как возможность открыть документ. Насколько понятно и полно его содержание, во внимание не принимается. Формально субъект информирован, фактически же он дал согласие на то, о чём ему не сообщили.

Разрыв между формальным соблюдением и реальным информированием обусловлен рядом факторов:

– избыточная детализация зачастую приводит лишь к формальному исполнению требований законодательства; – алгоритмизация скрывает логику автоматизированных решений; – коммерческие соображения побуждают операторов к неполному раскрытию информации:

развернутое и понятное описание обработки данных требует дополнительных издержек, снижает возможности монетизации персональных данных, а также увеличивает риск оспаривания правомерности обработки этих данных оператором.

Ключевой методологический пробел – отсутствие дифференцированного подхода к раскрытию информации. Персональные данные функционально неоднородны и порождают различные риски – от подмены идентичности до дискриминации. Следовательно, требования к раскрытию информации должны быть соразмерны этим рискам, что достигается применением функционального подхода [4] к содержанию Политики. Такой подход согласуется с логикой риск-ориентированности, которая уже реализована в подзаконном техническом регулировании. Постановление Правительства РФ от 01.11.2012 № 1119 и Приказ ФСТЭК России от 18.02.2013 № 21 устанавливают четыре уровня защищенности информационных систем, а также дифференцированный состав мер для каждого из них [2; 3]. Представляется логичным распространить ту же логику соразмерности и на содержание Политики [5].

Основная часть. Требования к Политике, установленные статье 18.1 Закона № 152-ФЗ [1], сформулированы одинаково для всех видов обрабатываемых сведений и не учитывают их функциональных различий и связанных с ними рисков. Исключение составляют лишь отдельные категории:

специальные и биометрические данные, для которых закон устанавливает более строгий режим.

Однако цифровая среда показывает обратное:

разные сведения выполняют в ней разные функции. Одни служат для того, чтобы отличить одного человека от другого, – это идентифицирующие данные (ФИО, паспортные данные, СНИЛС, биометрические верификаторы). Другие складываются в описание привычек и предпочтений – профилирующие данные (история запросов, геолокация, метаданные коммуникаций). Третьи представляют собой готовую оценку, присвоенную алгоритмом, – статусные данные (кредитные рейтинги, скоринговые баллы, уровни доступа к сервисам) [4].

Предлагаемое разграничение не следует понимать как жёсткое. Границы между типами подвижны: поведенческий профиль, собранный для персонализации интерфейса, при смене цели превращается в основание для скоринга, а значит, переходит в разряд статусных данных. Именно эта способность данных менять функцию и создаёт основную сложность для регулирования, построенного на статических перечнях.

Функциональные различия между типами данных проявляются и в характере угроз, которые они создают. Идентифицирующие данные уязвимы к подмене личности. Профилирующие – к скрытому воздействию на поведение. Что касается статусных, основной риск здесь – алгоритмическая дискриминация личности [4; 5]. Именно разнородность этих рисков и обусловливает необходимость дифференциации требований к содержанию Политики.

Рассмотрим эти требования применительно к каждому типу данных.

Например, если данные используются для идентификации и аутентификации субъекта, ключевое значение имеет информирование о конкретном перечне собираемых идентификаторов. Отдельного раскрытия требуют цели их сбора. При этом важно указать, ограничиваются ли они только идентификацией или включают иные задачи. Политика должна также указывать сроки хранения, порядок уточнения, блокирования и уничтожения сведений, а равно меры защиты от несанкционированного доступа и подмены.

Следовательно, в данном случае Политика должна четко разграничивать обязательные и добровольные идентификаторы, а при использовании биометрических данных – раскрывать, применяются ли они для верификации или идентификации, поскольку это определяет уровень риска.

Данные, формирующие профилирующий (поведенческий) профиль пользователя. Процесс их сбора часто носит скрытый характер, а ценность представляет не каждый отдельный факт, а их совокупность.

Именно поэтому требования к раскрытию информации о профилирующих данных должны быть особенно конкретными.

Политика должна содержать:

1) явное указание на факт сбора профилирующих данных, а не общие фразы о «технической информации»; 2) раскрытие конкретных целей сбора: персонализация, маркетинговые исследования, таргетирование рекламы; 3) информацию о передаче данных третьим лицам (рекламным сетям, аналитическим платформам, информационным брокерам); 4) понятную инструкцию о возможности отказа от сбора данных с указанием способов реализации такого отказа.

Особого внимания требует информирование об использовании интерфейсных решений, манипулирующих выбором пользователя в пользу более интенсивного сбора данных («темные паттерны»). Регуляторная практика должна ориентировать операторов на добросовестное раскрытие всех способов сбора такого типа информации.

Наиболее высокие требования к прозрачности предъявляют статусные данные, выступающие результатом алгоритмической обработки и непосредственно определяющие правовое или экономическое положение субъекта: кредитные рейтинги, балльные оценки платежеспособности, репутационные категории, уровни доступа к сервисам. При обработке таких данных в Политику также целесообразно включить:

1) указание на факт принятия автоматизированных решений, затрагивающих права субъекта; 2) описание логики алгоритма – основных факторов, влияющих на принятие решений (даже если полная математическая логика остается коммерческой тайной); 3) информацию о мерах по обеспечению справедливости модели: проводилась ли валидация на предмет предвзятости, принимались ли меры для минимизации дискриминационных эффектов; 4) четкую процедуру реализации права на человеческий пересмотр автоматизированного решения; 5) порядок оспаривания дискриминационных решений (обращение к оператору, в надзорный орган, в суд) [5].

Накопленные противоречия ведут к тому, что Политика начинает работать не на защиту субъекта, а против него. Вместо информирования она обеспечивает лишь юридическое оформление уже состоявшегося сбора данных. На сегодняшний день Роскомнадзор оценивает лишь наличие документа, структуру и полноту сведений, а ответственность наступает только за сам факт отсутствия политики, но не за ее нечитаемость или сокрытие алгоритмической обработки. В результате юридически безупречный, но намеренно усложненный текст успешно проходит контроль, не достигая цели закона – информированности субъекта персональных данных.

Предлагаемый функциональный подход позволяет сформулировать несколько критериев содержательного контроля.

Во-первых, требования к понятности изложения должны дифференцироваться. Если речь идёт об обработке данных, влекущих наиболее серьёзные риски, прежде всего алгоритмических оценок.

Следовательно, информация о них должна излагаться максимально доступно, с примерами и пояснениями.

Во-вторых, должна подлежать проверке полнота раскрытия алгоритмической логики. Роскомнадзор оценивает, достаточно ли субъекту предоставлено сведений, чтобы понять, как формируется затрагивающая его алгоритмическая оценка.

В-третьих, необходим мониторинг «тёмных паттернов». Речь идёт о выявлении интерфейсных приёмов, которые незаметно склоняют пользователя к согласию на сбор склоняют пользователя к согласию на избыточный сбор его персональных данных.

Наконец, в-четвёртых, необходимо оценивать реальную доступность инструкций по реализации прав. Политика должна содержать понятные пошаговые указания, охватывающие каждое право субъекта персональных данных, с указанием порядка обращения, сроков, способов связи с оператором и порядка обжалования его решений.

Заключение. Таким образом, Политика должна перестать быть универсальным документом и стать дифференцированным инструментом информирования субъектов персональных данных.

Объем и характер раскрываемой информации должны определяться функциональным типом обрабатываемых данных, а не универсальным шаблоном. Соответствующие изменения целесообразно закрепить в статье 18.1 Закона № 152-ФЗ, дополнив их критериями содержательного контроля со стороны Роскомнадзора. Такой подход позволит преодолеть формализацию согласия, а Политика вновь начнет работать именно в интересах самих субъектов персональных данных.