17
Продолжение таблицы 1
Мировой экономический форум:
Персональные данные – это данные (и
метаданные), созданные людьми и о них,
включая:
(1) данные, предоставляемые
индивидуумами самостоятельно и
добровольно, например, профили
социальных сетей;
(2) наблюдаемые данные – фиксируются
путем записи действий отдельных лиц,
например, данных о местоположении при
использовании сотовых телефонов;
(3) предполагаемые данные – данные о
людях, основанные на анализе
добровольно предоставленной или
наблюдаемой информации, например,
кредитные рейтинги (2010 г.).
В отличие от
остальных
определений,
данное
подразумевает
возможность
наличия
персональных
данных не о
конкретном
индивидууме,
а сразу о
группе людей,
что
выражается во
множественно
м числе
субъекта
персональных
данных
Определение
включает
классификацию
персональных
данных согласно
источнику
получаемой
информации с
готовыми
примерами, что
скорее полезно как
дополнительная
информация и
сильно загружает
текст определения
Анализ разнообразных определений понятия «персональные данные»
показывает, что на протяжении более 15 лет трактовка «персональных данных»
эволюционировала: если более ранние определения несколько ограничивают круг
субъектов персональных данных или объект персональных данных (например,
рассматривая только зафиксированную на материальном носителе информацию),
то в более свежих определениях прослеживаются попытки достичь наиболее
полного охвата. Так, например, в федеральном законе РФ «О персональных
данных» от 2006 года в определении используется слово «любая», что, с одной
стороны, дает возможность очень полно описать понятие «персональные данные»,
18
но, с другой стороны, вовсе не конкретизирует ни источники такой информации,
ни ее характер.
Наиболее удачным определением «персональных данных» можно назвать
формулировку, предложенную в 2010 году на Мировом экономическом форуме,
которая может быть дополнена и несколько сокращена следующим образом:
Персональные данные – это данные и метаданные, созданные людьми и о
них, включая: данные, предоставляемые индивидуумами самостоятельно и
добровольно, наблюдаемые данные, фиксируемые путем записи действий
отдельных лиц, а также предполагаемые данные и субъективные оценки,
основанные на анализе добровольно предоставленной или наблюдаемой
информации.
Вышеприведенное определение довольно полно характеризует информацию,
которая может являться персональными данными, описывает возможные
источники такой информации.
Кроме того, определение допускает существование персональных данных не
только о конкретном индивиде, но и о группе индивидов (например, об
определенной семье или об определенной группе потребителей).
Таким образом, генезис понятия «персональные данные» восходит еще к
концу XIX века, когда идея о необходимости защиты информации о личной жизни
людей только начала зарождаться.
Возникновение «персональных данных» как отдельной правовой категории
относят к 80-90-м годам XX века, когда развитие средств коммуникации достигло
небывалых успехов и личная информация о пользователях электронных устройств
стала постепенно накапливаться.
Впоследствии появление интернета и переход к «цифровой экономике»
стали триггерами к постоянному уточнению и дополнению понятия «персональные
данные», так как данная сфера с каждым годом нуждается все в большем и
большем регулировании со стороны государства.
19
1.2 Определение субъекта прав собственности на персональные данные
в рамках институциональной экономической теории
В XXI веке необходимость защиты персональных данных связана не только
и не столько с защитой «доброго имени» индивида и его душевного спокойствия,
но также с защитой его благосостояния. Если С. Воррен и Луис Д. Брандайз в
конце XIX века четко разграничивали право на «быть оставленным в покое» и
право на собственность, то уже в 70-е годы XX века предложение о введении
имущественных прав на персональные данные впервые стало предметом научных
дискуссий, особенно остро разгоревшихся ближе к 2000-м годам [40].
Согласно определению, права собственности – это санкционированные и
принятые в обществе отношения между экономическими агентами, определяющие
возможные способы использования ресурсов как прерогативу индивидов или групп
[27, с. 118-120] или, проще, это отношения между людьми по использованию
ограниченных ресурсов. В вышеприведенных, а также многих других
определениях прав собственности смысл сводится к тому, что имущественные
права могут распространяться только лишь на «ресурсы» (институциональная
экономика), «средства производства и предметы потребления» (политическая
экономия), «материальные блага» (юридическая литература) и прочее. В ранних
представлениях персональные данные (или личная информация) действительно не
подпадали под определение ресурсов или средств производства: они не являлись
факторами для производства экономических благ, не участвовали в процессе
создания товаров и услуг, – их наличие игнорировалось большинством
экономистов.
С началом стремительного развития коммуникационных технологий и, в
особенности, появлением интернета персональные данные постепенно начали
обретать экономический смысл. Появились первые приверженцы идеи введения
прав собственности на персональные данные, и они тут же разделились на два
«лагеря»: одни считали необходимым, чтобы закон признал коммодификацию
персональных данных, произошедшую в результате перехода к поведенческому
маркетингу, другие указывали на необходимость передать контроль за
20
персональной информацией индивидам, к которым эта информация относится [40].
В ответ на это выдвигались также аргументы против спецификации прав
собственности на персональные данные, основным из которых было утверждение,
что конфиденциальность информации является общественным благом, обеспечить
безопасность и общую доступность которого будет невозможно в условиях
«пропертизации».
Одной из основных идей статьи Надежды Пуртовой «Иллюзия персональных
данных как ничьей собственности» является утверждение о том, что, несмотря на
горячие дискуссии, на данный момент не существует опционального выбора между
вариантами установить частную собственность на персональные данные (чтобы
каждый индивид мог контролировать информацию о себе) или же рассматривать
совокупность персональных данных с точки зрения общественного блага [40]. По
мнению автора, режим собственности на персональные данные уже давно
установлен и большинство прав на этот новый актив принадлежит
информационной индустрии «по умолчанию».
Возвращаясь к определению «персональных данных» как любой
информации созданной людьми и о людях, приходит понимание того, что к
персональным данным относится не только фамилия, имя, отчество, дата
рождения, адрес, семейное, социальное и имущественное положение, образование,
профессия, данные о средствах коммуникации (телефонный номер, электронная
почта), данные о членах семьи и прочая индивидуальная информация.
«Персональными данными» может выступать также обезличенная
(деперсонализированная) информация, которая в процессе анализа может
реидентифицировать индивида. Так, например, в 2006 году America Online (AOL
Inc.) выпустила сборник поисковых запросов, считавшихся полностью
анонимизированными, тем не менее, репортеры из The New York Times
использовали эти запросы, чтобы показать, что даже когда имена и другая личная
информация удаляются из наборов Big Data, часто бывает возможно ре-
идентифицировать конкретного человека [39, с. 169-181].
21
Если рассматривать «персональные данные» как цифровые записи всего, что
люди делают и создают онлайн по всему миру, то их можно условно разделить на 8
основных групп:
• Цифровая идентификация (имена, адреса электронной почты, номера
телефонов, физические адреса, демографическая информация, информация о
профиле социальной сети и т. п.);
• Отношения с другими людьми и организациями (онлайн-анкеты и списки
контактов);
• Активность в сети, интересы и поведение (записи о местоположении,
времени, кликах, поиске, история браузера и данные календаря);
• Коммуникационные данные (электронные письма, SMS, телефонные
звонки, чаты и общение в социальных сетях);
• Медиа-файлы, которые были созданы, потреблены или оценены (в том
числе текстовые, аудио, фото, видео и другие файлы);
• Финансовые данные (транзакции, счета, кредитные рейтинги, физические
активы и виртуальные товары);
• Данные о состоянии здоровья (история болезни, журналы медицинских
приборов, рецепты и медицинская страховка);
• Институциональные данные (правительственные, академические и данные
работодателей) и пр. [49].
Все эти цифровые данные (предоставленные людьми добровольно,
наблюдаемые или предполагаемые на основе анализа других данных) могут
храниться и агрегироваться различными провайдерами – веб-провайдерами,
поисковыми системами Интернета, разработчиками приложений и пр., которые в
своей совокупности действительно составляют информационную индустрию.
Несмотря на огромное количество разнообразной цифровой информации,
хранящейся и используемой представителями информационной индустрии, на
первый взгляд сложно согласиться с Надеждой Пуртовой о том, что персональные
данные в большинстве своем являются их собственностью, хотя бы потому, что
личная информация принципиально отличается от материальных товаров. Нельзя
отрицать, что в момент сбора персональных данных третьими лицами, уровень
22
доступности и уровень потребления этого блага самим субъектом персональных
данных не меняется. Так, согласно Йозефу Штиглицу, любая информация (а в
частности, и персональные данные) обладает основными свойствами
общественного блага – она неконкурентна и исключить отдельных лиц из
пользования преимуществами этой информации зачастую довольно трудно [38, с.
115].
С другой стороны, если бы персональные данные являлись чистым
общественным благом, то многого из того, что окружает современных людей,
попросту не существовало бы. В первую очередь, речь идет о бесплатных
приложениях для мобильных устройств, полный функционал которых доступен в
случае разрешения приложению получать доступ к определенным данным –
файлам на смартфоне, профилю в социальных сетях, геолокационным данным,
статистике подключения к Wi-Fi и прочей информации. Уже сейчас потребители
используют свои персональные данные в качестве оплаты тех или иных
приложений, что впоследствии монетизируется разработчиками посредствам
трансляции таргетированной рекламы. В случае если бы персональные данные
были действительно полностью общественным благом и являлись общедоступной
информацией, то смысл создавать и поддерживать приложения и социальные сети,
основной функцией которых является стимулирование индивидов делиться своими
персональными данными и приумножать цифровую информацию о себе, был бы
утерян.
Кроме того, о неизменном уровне доступности персональных данных для
самого индивида можно говорить только лишь применимо к добровольно
предоставляемым персональным данным. Так, зачастую наблюдаемые
персональные данные (например, геолокационная статистика за определенный
отрезок времени) или предполагаемые персональные данные, основанные на
анализе добровольно предоставляемой и наблюдаемой информации (к примеру,
кредитный рейтинг) недоступны для самого индивида или их получение требует
формирование дополнительных запросов. При этом агрегированные массивы
персональной информации зачастую становятся товаром, так или иначе
используемым информационными компаниями для получения прибыли, что
23
сложно представить в случае, если бы доступ к персональным данным людей был
бы общедоступен.
Учитывая вышесказанное, гипотеза Надежды Пуртовой о том, что право
собственности на персональные данные в современном мире закреплено за
представителями информационной индустрии, кажется близкой к истине. Опираясь
на работу Джона Умбека «Теория прав собственности применительно к
Калифорнийской золотой лихорадке», автор статьи «Иллюзия персональных
данных как ничьей собственности» утверждает, что современная конкуренция на
информационном рынке во многом напоминает ситуацию 1848 года: пока права
собственности окончательно юридически не определены, представители индустрии
как более «сильные» (наделенные большим количеством ресурсов)
заинтересованные экономические субъекты заявили и осуществляют права
собственности [40]. При этом, исходя из выводов Джона Умбека, распределение
прав собственности находится в прямой зависимости от способности исключать
конкурентов, чем можно объяснить столь высокую конкуренцию на рынке
информационных технологий, особенно обострившуюся в последнее десятилетие.
Понимание эволюции прав собственности на персональные данные можно
продемонстрировать при помощи схематичного рисунка 2, который наглядно
демонстрирует, как изменялся со временем субъект прав собственности на
персональные данные.
24
Рис 2. Процесс смены субъектов прав собственности на персональные данные во
временной динамике
Можно утверждать, что до конца XIX века индивид сам располагал всей
информацией о себе и сам был в состоянии контролировать ее потоки. Со
временем права собственности на персональные данные наиболее известных
личностей стали размываться, в первую очередь, «желтой прессой».
Общедоступность жизненных подробностей и другой частной информации
(появление в прессе фотоматериалов, раскрытие тайны корреспонденции) вызвало
возмущение индивидов, чья информация публиковалась, что, в свою очередь
повлияло на развитие юридической науки начала XX века, привело к
возникновению понятия «неприкосновенность личной жизни». Долгое время
процесс перехода частных персональных данных в общедоступную информацию
касался лишь определенных индивидов и охватывал сравнительно незначительное
количество информации, а потому изучение этого социально-экономического
явления в должной степени не проводились. Преобразование значительного пласта
персональных данных в общедоступную собственность произошло с началом
Конец XIX века
80-90-е гг XX века
2000-е гг
Частная
собственность
на
персональные
данные
Превалирование
частной
собственности на
персональные
данные, появление
общедоступных
персональных
данных
Присвоение
общедоступных
персональных
данных
представителями
информационно
й индустрии
Преобразование
большого
пласта
персональных
данных в
общедоступный
ресурс
Государственная собственность на персональные данные граждан
25
стремительного развития коммуникационных технологий, но до 2000х годов все
более и более накапливающаяся персональная информация по большей части не
имела влияние на экономическое развитие, хотя сам факт ее раскрытия вызывал
интерес и привёл к разгоранию научных дискуссий. И вот с началом нового
тысячелетия можно наблюдать процесс присвоения прав собственности на
персональные данные игроками рынка – представителями информационной
индустрии. Предполагается, что этот процесс продлится до тех пор, пока права
собственности на персональные данные не будут окончательно юридически
закреплены.
Важно отметить, что значительную роль на всех этапах спецификации прав
собственности на персональные данные играет государство, которое также
заинтересовано в получении доступа к личным данным граждан. С давних времен
государственные органы в том или ином виде занимаются сбором,
систематизацией и хранением персональных данных не только для накопления
статистических сведений, но и для обеспечения безопасности граждан. Если до
2000-х годов большинство персональных данных государственные органы
получали непосредственно от индивида или его семьи (при рождении, браке,
переписи населения и пр.), то с началом нового тысячелетия все чаще государством
предъявляются требования к провайдерам информационно-коммуникационных
услуг по поводу раскрытия информации о пользователях, что подробнее будет
рассмотрено в пункте 2.1 данной работы. Этот факт еще раз подтверждает теорию
о том, что права собственности на персональные данные в современном мире
закреплены за представителями информационной индустрии.
1.3 Экономические предпосылки необходимости защиты персональных
данных
Распространение информационно-коммуникационных технологий,
благодаря которым массивы персональной информации ежегодно приумножаются,
создает как новые возможности для бизнеса и пользователей, так и новые риски, в
первую очередь, для субъектов персональных данных.
26
С одной стороны, установление ограничений на использование
персональных данных, регулирование этого рынка со стороны государства может
негативно сказываться на эффективности рыночной экономики. Представитель
Чикагской школы Ричард Познер еще в 1978 году писал о том, что защита частной
жизни и личных данных создает неэффективность на рынке, поскольку
потенциально релевантная информация скрывается от других экономических
агентов. Так, необходимость обезличивания персональных данных при их
обработке создает дополнительные издержки компаний на шифрование
информации, предложение публичных оферт пользователям, юридические
консультации и прочее. Кроме того, анонимизация приводит к необходимости
заново и заново собирать уже существующие данные разнообразным компаниям
(например, геолокационную статистику по определенным пользователям), так как
создание баз данных такой информации с привязкой к конкретным индивидам не
допускается.
С другой стороны, вопрос персональных данных является критичным для
обывателей, степень подверженности рискам которых прямо пропорциональна
количеству персональной информации о них, находящейся в свободном доступе
или в частном распоряжении представителей информационной индустрии. Угрозы
приватности в цифровом мире можно разделить на три составляющие:
• недобросовестное обращение с персональными данными (в том числе
допущение утечки данных) со стороны держателей информации (представителей
бизнеса и государственных органов), которым были доверены персональные
данные;
• сбор, систематизация и распространение персональных данных из
разнообразных источников, что впоследствии позволяет составить многосторонний
«профиль» конкретного субъекта персональных данных: от сведений о семейном
состоянии и покупательских предпочтений до религиозных убеждений и черт
характера;
• киберпреступность (мошенничество в сети интернет, программы-шпионы и
вредоносные программы, кражи, совершенные при помощи информационно-
коммуникационных технологий) [32].