Инспектор Шушан Дойдоян, Армения: Пользователей не волнует защита персональных данных

Инспектор по защите персональных данных Армении Шушан Дойдоян рассказала Digital.Report о том, как меняется понятие «персональные данные» и как в Армении учатся защищать личную информацию. По мнению омбудсмена, еще предстоит решить две ключевые проблемы – повысить информированность общества о необходимости защищать персональные данные и научить компании правильно хранить и использорвать личную информацию пользователей.

Digital.Report: Недавно вы опубликовали доклад, в котором рассказали о работе, проделанной за 2016 год. Каковы главные достижения?

Инспектор по защите персональных данных Армении Шушан Дойдоян

Шушан Дойдоян: За это время мы присоединились ко всем международным организациям по вопросам персональных данных – нам важно перенимать иностранный опыт. Также разработали ряд документов. Один из них – руководство по защите персональных данных несовершеннолетних для учебных заведений и родителей. В нем объясняется, как и почему следует защищать личную информацию, касающуюся детей. Дети находятся под наблюдением 24 часа в сутки – видеонаблюдение ведется в школах, детских садах, университетах. Это нормально, но только в том случае, если этому есть обоснование. В конце прошлого года мы возбудили административное дело против 20 школ Еревана – видеонаблюдение в них велось с нарушением закона. Например, в одной из них было установлено около 30 видеокамер, и они записывали не только детей, но и учителей, а также других сотрудников. О защите личных данных никто не думал.

Читайте интервью об открытии Агентства по защите личных данных в Армении, опубликованное в марте 2016 года.

Мы открыли административное дело, по результатам которого подготовили руководство. В нем объяснили, как вести видеонаблюдение и что надо предпринять руководству школы, чтобы не нарушать закон. Например, аудиозапись должна вестись только во время урока, а в местах, где ведется видеонаблюдение, должны быть установлены предупреждающие указатели. Еще одно требование – иметь разрешение родителей. Мы потребовали, чтобы директора школ получали подтверждение родителей о том, что они знают и согласны с правилами ведения видеонаблюдения за детьми. Тема эта актуальна не только в отношении детей. С ней мы сталкиваемся на каждом шагу – в госучреждениях и частных зданиях. Мы хотим упорядочить это, уложить в рамки закона, чтобы все, кто ведет видеонаблюдение, – каждая аптека, кафе, магазин, отель – поняли, что надо быть осторожным, когда ты волей-неволей вмешиваешься в личное пространство граждан.

Второй документ, который мы разработали, касается защиты персональных данных в трудовых отношениях. Он написан в формате консультаций. В нем досконально объясняются критерии и основные принципы закона. Мы советуем работодателям, по какому пути двигаться, почему надо защищать персональные данные сотрудников и как это делать.

Во время нашего последнего разговора вы рассказывали о проблеме прямого маркетинга. Есть ли улучшение в этой сфере?

Проблема СМС-рассылок еще актуальна, люди получают на телефон нежелательные сообщения рекламного характера, не давая на это согласия. Мы попробовали разработать законопроект, отрегулировать сферу, но когда стали обсуждать это с операторами (Beeline, Vivacell, Ucom), столкнулись с преградой. Думали разрешить вопрос в конце прошлого года, но операторы оказали сопротивление. Они отнеслись к нашим замечаниям критично. В качестве аргумента они привели тот факт, что и так теряют доходы (в прошлом году их выручка, действительно, снизилась на 20%) – Viber и другие мессенджеры отбирают у них клиентов. Операторы – крупные налогоплательщики. Наша регуляция может осложнить их работу. Мы как регулирующая структура должны считаться также и с их интересами. Они подняли этот вопрос перед премьер-министром, попросив его приостановить этот процесс.

Какие аргументы приводят телекоммуникационные провайдеры?

Схема такая: частная компания обращается к провайдеру и заказывает ему рассылку рекламы по абонентам этого самого провайдера. Это, конечно, платная услуга, крутится немало денег, и операторам это выгодно. Тут есть сложный момент, который надо учесть. Если мы неаккуратно вмешиваемся в эту сферу, деньги на рекламу уйдут в тень – в Facebook, в Viber – в те сферы, которые мы вообще не контролируем. Это рискованно – вырастет теневой рынок, деньги уйдут из страны. Вмешиваться в их бизнес мы не можем – это может отразиться на госбюджете. Но и жертвовать правами пользователей тоже не можем. Пытаемся найти вариант, который устраивал бы все стороны. Наша идея – указывать в рекламном сообщении номер, по которому абонент мог бы отписаться.

Одной из проблем в предыдущие годы была защита личной информации медицинского характера. Решена ли она сейчас?

Да, была такая проблема – правоохранители обращались к врачам с просьбой выдать информацию о состоянии здоровья того или иного пациента, а те давали ее. Мы потребовали от Министерства здравоохранения обратить внимание на это нарушение. Ведомство запретило, и теперь врачи не имеют права предоставлять такую информацию полицейским. Если правоохранителям она нужна, пусть добывают ее законными путями. Конечно, нельзя исключать, что тот или иной врач нарушает правило – всегда есть опасность, что в отдельных случаях это нарушается, но тут мы надеемся на самосознание граждан и правозащитных НПО и рассчитываем, что, столкнувшись с нарушениями, они будут сотрудничать с нами. В таких случаях мы будем возбуждать административные дела, штрафовать и применять санкции.

Недавно в Армении прошли парламентские выборы. Были ли замечены какие-либо нарушения в сфере хранения, обмена личными данными граждан?

Мы пристально следили за ходом выборов. Некоторые нарушения были обнаружены в ходе предвыборной гонки. Агитаторы из разных партий обзванивали людей и спрашивали, за кого они проголосуют. Люди наивно отвечали, кому отдадут голос, не понимая, какую опасность это может нести. Многие граждане не понимают, что политические взгляды человека – это личная информация и он не обязан ее предоставлять, если не хочет.Это новая тема для нас, и она тоже требует регулировки. Я пока не знаю, как можно это отрегулировать, но мы изучаем вопрос. В Великобритании, например, закон запрещает без согласия звонить и задавать такие вопросы.

Наше внимание привлек еще один факт. После выборов Центральная избирательная комиссия опубликовала на своем сайте списки избирателей, в которых были обнародованы паспортные данные 4 тыс. граждан. Мы составили рекомендацию и отправили ее в ЦИК с просьбой исправить нарушение. Пока ждем реакцию.

По каким направлениям еще работаете?

Если продолжить тему детей, работаем также над защитой персональных данных детей в интернете – онлайн-пространство должно быть для них безопасной зоной. Часто такую информацию публикуют в интернете сами родители – это вообще отдельная тема. Мы призываем родителей не публиковать фотографии своих детей в соцсетях.

Часто это правило нарушают и СМИ, когда пишут, например, про то, как дети пытаются совершить самоубийство – при этом публикуют их фотографии, имена, адреса. Это запрещено этикой, но желтая пресса часто пренебрегает ею, чтобы набрать аудиторию. Возможно, они не понимают, что это может навредить ребенку. Мы реагируем на каждый такой случай – всегда требуем, чтобы такого типа новости подавались без указания имен, фамилий и фотографий. То же касается информации о состоянии здоровья ребенка. Даже если речь идет о положительных новостях (допустим, врачи провели удачную операцию, спасли глаз ребенка) важно соблюдать момент приватности. Любая информация о здоровье относится к личной, и она не должна публиковаться без согласия родителей. Это очень тонкие моменты – поначалу их не все понимают, но после наших объяснений ситуация меняется. Сейчас врачи более осторожны в этом плане – кажется, наши усилия начали давать плоды.

Насколько закон о защите персональных данных отвечает международным стандартам?

В апреле прошлого года эксперты Совета Европы по защите личных данных досконально проанализировали наш закон. По результатам анализа они подготовили 80-страничный доклад, в котором указали статьи, несоответствующие Конвенции 108 СЕ, и разработали рекомендации. В этом году мы приступаем к работе над пакетом изменений. Прежде чем воплощать в жизнь рекомендации экспертов СЕ, проведем публичные дискуссии. Торопиться мы не хотим – во время имплементации поднимаются все новые и новые задачи и проблемы, которые надо учитывать. Лучше повременить, посмотреть год-два, что показывает практика, и потом идти дальше.

Как в Армении понимают термин «персональные данные»? Одинаково ли это определение воспринимают власти и общество?

Ведется дискуссия, какую информацию считать личной. Считается, что есть разные виды персональных данных: одни – более чувствительные, другие – менее. К первому типу относится информация о здоровье, интимной жизни. Есть эксклюзивные личные данные – это имя-фамилия, биометрические данные, отпечатки пальцев, состав слюны, зрачок глаза. Они уникальны – отличаются даже у близнецов.

Расследуя факты нарушений, мы придерживаемся европейского опыта, но единого подхода нет – каждый случай изучаем в отдельности. Приходится разбирать самые разные случаи. Бывает, что люди сначала выкладывают свои данные в открытый доступ в интернет, а потом жалуются, что их фотографии распространяют и нарушают их права. Недавно произошел интересный случай, который наделал много шума. Одна армянская семья – муж, жена, ребенок – сфотографировалась в студии, которая специализируется на фотографиях в этническом стиле, в национальных костюмах. Жена была армянка, муж – чернокожий. Фотоателье выложило фото на свою страницу в Facebook. Пост вызвал бурную дискуссию – одни пользователи оставляли расистские комментарии, другие им возражали. История вызвала большой резонанс в армянском обществе. Девушка обратилась к нам, заявив, что студия публиковала фотографию без ее согласия. Мы открыли административное дело. Во время расследования выяснилось, что клиента все же заранее предупредили о публикации, но в устном виде. Хотя закон гласит, что устное согласие тоже считается законным, во избежание подобных недоразумений в будущем мы посоветовали фотографу оформлять согласие (или несогласие) в письменном виде. Сейчас дело рассматривает суд – посмотрим, что он решит.

Институт по защите персональных данных Армении работает около двух лет. Удалось ли за это время зарекомендовать себя в качестве авторитетной независимой структуры?

Мне кажется, да. У нас на счету несколько успешных «дел». Совсем недавно, в мае, мы провели конференцию с участием международных экспертов. С первого же дня мы обозначили для себя приоритет – прозрачность. Сегодня мы работаем по двум основным направлениям: с одной стороны, общество недостаточно информировано, людей мало волнует тема защиты персональных данных, с другой – многие компании и организации, в свою очередь, тоже не знают о правилах хранения и публикации персональных данных. В своей работе мы придерживаемся того взгляда, что надо создавать не жесткий, а мягкий закон, так называемый soft law. Сфера только-только создается, сразу же применять жесткие меры наказания к частному или государственному сектору опасно – это может дать обратный эффект. Я все время подчеркиваю, что наше агентство – не контролирующая и не наказывающая структура. Мы советуем, консультируем, информируем, объясняем, и только если это не дает результата, применяем административные санкции.