Управляющий партнер Центра цифровых прав Саркис Дарбинян рассказал, как использовать большие данные, не нарушая при этом закон.
Выступая на форуме BIG DATA 2018 управляющий партнер Центра цифровых прав Саркис Дарбинян сравнил большие данные с ураном (по аналогии с более распространенным сравнением, в котором их называют «нефтью XXI века»), который может оказаться полезен, но при неправильном обращении способен и отравить.
В законах Российской Федерации нет определения, что такое большие данные, нет там и правил их сбора, обработки и использования. Обобщая разные термины, Дарбинян дал следующее толкование. Большие данные – это объемные потоки информации разнородных данных, которые постоянно генерируются пользователями электронных устройств и онлайн-сервисов либо техническими устройствами, а также обрабатываются в режиме реального времени. Исходя из этого, большие данные по п.1 ст.5 закона «Об информации» можно считать объектом публичных, гражданских и иных правотношений. Большими данными могут стать практически любые сведения, от персональных данных до коммерческой, налоговой или врачебной тайны. И если с тем, что такое большие данные и откуда они берутся, разобраться еще можно, то, кому они принадлежат, сказать сложнее. Здесь существует несколько подходов, единого мнения нет.
Кто-то, например, стартаперы, могут считать, что большие данные не принадлежат никому, их можно использовать свободно, если уж они есть в свободном доступе. Компании порой полагают, что информация принадлежит им (ИТ-компаниям, онлайн-сервисам, поставщикам услуг) – всем тем, кто несут расходы на сбор и обработку сведений. Третий подход говорит о том, что большие данные всегда принадлежат тому, благодаря кому они и возникли, то есть человеку как субъекту персональной информации вне зависимости от обезличивания. Наконец, есть мнение, что распоряжаться большими пользовательскими данными имеет право только государство как гарант защиты прав своих граждан.
В России в правовой области есть уже два кейса про использование больших данных. Первый – дело «ВКонтакте» и Double Data, второй – дело НБКИ и Роскомнадзора. В первом случае речь идет о том, что компания Double Data, как указала «ВКонтакте», без разрешения пользователей собирала в социальной сети и продавала сведения о них (фамилии, имена, места работы и учебы) банкам, которые использовали их при оценке кредитоспособности заемщиков. В октябре прошлого года Арбитражный суд отклонил иск, но соцсеть подала на апелляцию и в январе этого года выиграла ее.
Во втором случае Национальное бюро кредитных историй также использовало информацию, содержащуюся в открытом доступе (в соцсетях) без согласия пользователей. Роскомнадзор предписал устранить нарушения п.1. ч.1. ст.6 закона «О персональных данных», из-за чего НБКИ подало на ведомство в суд. Верховный суд подтвердил законность предписания Роскомнадзора. Интересно, что при этом недавно Национальное бюро кредитных историй разработало сервис по проверке аккаунтов заемщиков в социальных сетях, как сообщается, при помощи Mail.Ru Group, которая владеет «ВКонтакте» и «Одноклассниками». Впрочем, еще в августе ВКонтакте» и НБКИ заключили мировое соглашение в деле о запрете сбора данных пользователей соцсети. НБКИ обязалось не использовать информацию из баз данных «ВКонтакте» без соответствующего разрешения соцсети.
Еще одной опасной с точки зрения защиты прав услугой является clickstream, когда операторы связи продают данные о поведении абонентов через оборудование посредника, установленное у оператора. В 2015 году Роскомнадзор оштрафовал МГТС, «Сумму Телеком» и «Центральный телеграф» за такую услугу. Нашумевшим делом мирового уровня стала история с Facebook, в которой, как сообщается, сотрудничавшая с Дональдом Трампом во время предвыборной кампании Cambridge Analytics собрала данные 50 млн пользователей, применив специально разработанное приложение-викторину. В иске владельцев акций компании против соцсети утверждается, что компания знала о ситуации, но не распространялась о ней.
Не обошел вниманием Дарбинян и новый регламент Евросоюза GDPR, который, по его словам, хорош для пользователей, но плох для компаний. Его целью является повышение уровня защищенности персональных данных граждан внутри стран Евросоюз, но правила будут касаться не только стран ЕС. Операторы связи должны будут хранить информацию в обезличенном и зашифрованном виде, защищать ее от от утечек, не передавать третьим лицам и сообщать о любой утечке в течение 72 часов. Саркисян отметил, что в регламенте формулировка понятия «персональные данные» дается максимально широко – это любая информация, относящаяся к идентифицируемому физическому лицу. Регламент декларирует принципы законности, справделивости, прозрачности, точности, целостности, конфиденциальности, минимизации и ограничения данных. Документ также говорит об ограничении цели использования данных: компании должны понимать и суметь объяснить, для чего им нужна та или иная информация, и декларируемая ими цель должна соответствовать их действиям. Общая логика, резюмировал Саркисян, новых норм такова: большие данные нужно использовать открыто и ответственно, в противном случае придется понести наказание.
Слушателям докладчик посоветовал всегда консультироваться с юристами, прежде чем начинать какую-либо работу с большими данными. Если в России нет четких понятий и законов, могут найтись международные принципы, в соответствии с которым и стоит действовать, помня, что в центре любой деятельности должен стоять человек с его правами и свободами.
