Правовое регулирование сбора и обработки bigdata: сопоставление опыта национального законодательства отдельных стран

Введение. Актуальность правового регулирования обусловлена стремительным увеличением объемов данных и появлением новых технологий их обработки. Традиционные подходы к защите информации оказываются недостаточными для эффективного контроля над Big Data.

Новые методы обработки данных, такие как машинное обучение и искусственный интеллект, позволяют выявлять закономерности и связи, которые ранее были скрыты. Это создает возможности для злоупотреблений, дискриминации и нарушения прав граждан.

Необходимость в правовом регулировании также вызвана тем, что Big Data часто содержит персональные данные, которые требуют особой защиты. Информация о здоровье, финансовом положении, политических взглядах и других аспектах частной жизни может быть использована для неправомерных целей. Отсутствие четких правил сбора и обработки персональных данных может привести к нарушению прав граждан на неприкосновенность частной жизни и самоопределение.

Правовое регулирование сбора и обработки Big Data является актуальной и необходимой мерой для обеспечения баланса между инновациями и защитой прав граждан. Оно должно создавать четкие правила и ограничения, которые гарантируют безопасность и конфиденциальность информации, а также предотвращают злоупотребления и дискриминацию.

Особенности правового регулирования сбора и обработки Big Data в Российской Федерации. В регулировании отношений в сфере больших данных основными в Российской Федерации являются Федеральный закон от 27 июля 2006 г. № 152 «О защите персональных данных» [2] и Федеральный закон от 27июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» [3].

Федеральный закон № 152-ФЗ - ключевой нормативный акт в области защиты персональных данных, определяет порядок обработки любой информации, относящейся к прямо или косвенно определенному или определяемому физическому лицу. В контексте Big Data, применение этого закона вызывает ряд специфических вопросов.

С одной стороны, если Big Data содержит персональные данные, то требования закона о согласии на обработку, обеспечении безопасности и соблюдении принципов обработки должны быть выполнены. С другой стороны, технологии Big Data часто предполагают обработку обезличенных данных, к которым закон о персональных данных не применяется. Однако, риск реидентификации обезличенных данных требует особого внимания к методам и инструментам обезличивания.

В настоящее время, вопрос о том, как именно применять 152-ФЗ к Big Data, остается предметом дискуссий. Необходимо учитывать, что даже при обезличивании данных, могут сохраняться риски нарушения прав субъектов, особенно если данные используются для профилирования или принятия автоматизированных решений.

Федеральный закон № 149-ФЗ [3], являясь базовым в сфере информации и информационных технологий, устанавливает общие принципы обращения с информацией, включая ее поиск, получение, передачу, производство и распространение. В контексте Big Data, значимым является определение информационных технологий и процессов, связанных с обработкой данных.

Закон определяет обязанности операторов информации, в том числе при обработке больших массивов данных.

Важно отметить, что 149-ФЗ не содержит прямого регулирования Big Data как таковой. Однако отдельные положения закона оказывают влияние на деятельность, связанную с Big Data. В частности, это касается вопросов обеспечения конфиденциальности информации, защиты от неправомерного доступа и использования информации, а также ответственности за нарушение законодательства в сфере информации.

Закон также определяет условия использования электронной подписи и электронных документов, что может быть актуально при обработке и обмене большими объемами данных в электронном виде. Кроме того, положения о защите информации, в том числе от вредоносных программ, применимы к инфраструктуре Big Data.

Анализ показывает, что 149-ФЗ создает общую правовую рамку для работы с информацией, в том числе и с Big Data. Однако, специфика Big Data, включающая большие объемы, скорость обработки и разнообразие данных, требует дополнительного регулирования, учитывающего эти особенности.

Исходя из вышесказанного, мы можем сделать вывод, что российское законодательство также не работает с понятием «Big Data», если и регулирует их, то только как персональные данные.

В Гражданском кодексе РФ [1] понятие, наиболее близкое к большим данным, – это базы данных. Однако это понятие формировалось в период, когда технологии больших данных еще не были широко распространены в России. Изначально предполагалось рассматривать данные как статические информационные единицы в электронных таблицах или базах данных. Но в процессе разработки четвертой части ГК РФ это представление изменилось: под базами данных стали понимать совокупность независимых материалов, таких как статьи, расчеты, нормативные акты, судебные решения и аналогичные материалы (п. 2 ст. 1260) [1]. Исследователи отмечают, что это связано с тем, что разработчики кодекса ориентировались главным образом на справочные правовые системы как пример баз данных.

Представляется, что категория «базы данных» отличается от категории «большие данные». Последняя, скорее, относится к технологиям сбора, обработки и хранения данных, причём под данными понимается своего рода «сырой материал» – необработанная и неосмысленная информация. В базах данных, в том смысле, который закреплен в ГК РФ, информация уже обработана и осознанно структурирована.

По мнению М.А. Рожковой [6], действующие нормы авторского и смежных прав, касающиеся баз данных, оказываются недостаточными для урегулирования вопросов, возникающих при сборе, агрегации, обработке и хранении Big Data. В обоснование этого утверждения можно отметить, что в российском законодательстве база данных определяется как собрание независимых материалов, организованных таким образом, что обеспечивается их поиск и обработка с использованием компьютерной техники (п. 2 ст. 1260 ГК РФ). Важно подчеркнуть, что авторское право защищает не содержание базы данных, а ее структуру и организацию.

Также данный автор, анализируя обозначенную проблему, отмечает, что «база данных может стать объектом авторских прав и получить правовую охрану в соответствии с положениями гл. 70 ГК РФ... если она признается составным произведением...» [6]. Остается открытым вопрос: правомерно ли квалифицировать базу данных, защищенную авторским правом, как составное произведение в соответствии с положениями статьи 1240 Гражданского кодекса РФ? Однозначного решения не существует.

А.Ю. Чурилов пишет: «На неоригинальность базы данных в ЕС распространяется режим suigeneris; отечественный законодатель распространил на такие базы данных режим смежных прав» [7]. Возникает вопрос, можно ли считать неоригинальность, упомянутая автором, основанием для причисления базы данных к объектам смежных прав, согласно пункту 1 статьи 1334 Гражданского кодекса РФ? Данная точка зрения вызывает сомнения.

Законодательная неопределенность привела к тому, что авторы [5] рассматривают базы данных как объекты, подпадающие как под авторское, так и под смежное право. При этом, одни базы данных классифицируются как «творческие» (охраняемые авторским правом), а другие – как «нетворческие», когда речь идет о правах изготовителя базы данных согласно статьям 1333 и 1334 Гражданского кодекса РФ (относящихся к смежным правам).

Таким образом, визуализация больших данных, осуществляемая посредством баз данных, позволяет предположить о возможности:

1) Применения к большим данным правового режима, установленного в ч. IV ГК РФ для баз данных, с устранением ранее выявленных недостатков; 2) Разработки отдельного режима интеллектуальных прав, предназначенного для больших данных.

В российской судебной практике проблемы, возникающие при использовании больших данных, не находят адекватного решения из-за отсутствия соответствующих правовых норм, необходимого теоретического обоснования и интерпретации. Очевидно, что создание единой цифровой инфраструктуры во всех областях экономики (включая промышленность, сельское хозяйство, строительство, здравоохранение, торговлю, сферу услуг, науку, образование, банковский сектор и другие) в рамках национального проекта «Экономика данных» невозможно без использования больших данных в качестве ключевого и системообразующего элемента цифровой экономики. Эти вопросы нуждаются в глубоком анализе, корректном гражданско-правовом обосновании и толковании.

Итак, в России большие данные как таковые не регулируются напрямую. Вероятно, это связано с тем, что большие данные не являются характеристикой содержания информации, а скорее описывают специфические технологии ее сбора, обработки и хранения, когда информация соответствует критериям большого объема, скорости, разнообразия и изменчивости. Если в состав данных, обрабатываемых с помощью технологий больших данных, входят персональные данные, то на их обработку распространяется законодательство о защите персональных данных. Аналогично, если у другой информации, содержащейся в больших данных, есть особый правовой режим, он также будет применяться к большим данным.

Однако содержание законодательства о защите персональных данных порождает дискуссию о том, могут ли пересекаться понятия «персональные данные» и «большие данные». Часто в массиве информации, обрабатываемой с помощью технологий больших данных, содержатся различные метаданные: данные о местоположении, IP-адрес, история посещений веб-сайтов и т. д. Важно подчеркнуть, что сегодня такая информация уже признается персональными данными в судебной практике. Необходимо привести в соответствие нормативную базу и внести изменения в Федеральный закон «О персональных данных», включив в перечень и эту информацию.

Вопросы правового регулирования сбора и обработки Big Data в США. В Соединенных Штатах отсутствует унифицированная система правового контроля за аккумулированием и применением массивов информации. Правила, определяющие допустимые способы применения этих информационных активов, рассредоточены по различным законодательным документам. На общегосударственном уровне понятие «Big Data» не имеет четкого юридического определения. Хотя защита личной информации является предметом регулирования, отдельного нормативного акта, посвященного исключительно большим данным, нет, организации, работающие с Big Data, обязаны придерживаться как законов, касающихся конфиденциальности персональных сведений, так и внутренних правил компаний, а также договорных обязательств.

Хотя отдельные штаты в США имеют законодательные акты, контролирующие аккумуляцию и использование крупных массивов данных, на федеральном уровне подобное регулирование отсутствует. В качестве примера можно привести калифорнийский закон COPPA [9], который обязывает собственников онлайн-ресурсов публиковать политику конфиденциальности, детально описывающую методы сбора и дальнейшего применения пользовательских данных.

HIPAA [10] - закон США о переносимости и подотчётности медицинского страхования, принятый 21 августа 1996 года и подписанный президентом Биллом Клинтоном.

Цель закона - защита конфиденциальности медицинской информации и обеспечение безопасности данных пациентов. HIPAA касается всех организаций, которые обрабатывают медицинскую информацию, включая врачей, больницы, страховые компании и других поставщиков медицинских услуг.

CCPA [11] - Закон штата Калифорния о защите персональных данных потребителей в США. Принят в 2018 году, вступил в силу 1 января 2020 года. Направлен на расширение прав потребителей на конфиденциальность и регулирование сбора, использования и продажи личной информации компаниями, работающими в Калифорнии.

Правовые аспекты регулирования сбора и обработки Big Data в Германии. В Германии также отсутствует отдельное законодательство, посвященное сбору и использованию больших данных.

Однако в стране функционируют правовые нормы, обеспечивающие охрану личной информации, а также существуют уполномоченные инстанции, контролирующие соблюдение этих норм [4]. Кроме того, в Германии существуют специальные законы для различных отраслей, которые регламентируют порядок обработки информации в конкретных секторах экономики. Немецкий Федеральный закон о защите данных (BDSG) [8] – это национальный законодательный акт, предназначенный для внедрения норм Общего регламента ЕС по защите данных (GDPR) на территории Германии. BDSG определяет порядок осуществления сбора, обработки и сохранения личной информации граждан как государственными, так и коммерческими структурами.

Закон закрепляет права физических лиц, чьи данные обрабатываются, обязанности организаций, осуществляющих контроль и обработку информации, условия передачи данных, а также порядок надзора со стороны уполномоченных органов.

Существуют также специальные законы, регулирующие отдельные отрасли. В качестве примера можно привести «Закон о защите дан- ных в сфере телекоммуникаций и телемедиа» (TTDSG) [12], который устанавливает правила защиты информации в соответствующих секторах.

Заключение. Российская Федерация в основном опирается на Федеральный закон «О персональных данных», который устанавливает строгие правила для обработки персональной информации. Однако, применимость этого закона к Big Data остается предметом дискуссий, особенно в контексте анонимизации и псевдоанонимизации данных.

США демонстрируют более фрагментированный подход, где регулирование зависит от сектора экономики и типа данных. Законодательство о защите конфиденциальности детей в интернете (COPPA) и Закон о переносимости и подотчетности медицинского страхования (HIPAA) являются примерами отраслевого регулирования. Калифорнийский закон о защите прав потребителей (CCPA) устанавливает дополнительные требования к компаниям, собирающим персональные данные.

Германия, известная своими строгими стандартами защиты данных, следует Общему регламенту по защите данных (GDPR) Европейского союза. GDPR устанавливает широкие требования к обработке персональных данных, включая принципы законности, справедливости и прозрачности. Применимость GDPR к Big Data требует тщательного анализа, особенно в отношении согласия на обработку и прав субъектов данных. Таким образом, анализ подходов к регулированию больших данных в различных государствах демонстрирует существенные расхождения. В Германии приоритет отдается защите прав граждан, таких как право на конфиденциальность и доступ к информации. В Соединенных Штатах, напротив, данные воспринимаются, прежде всего, как ценный ресурс, пригодный для коммерческого использования. Германия же применяет комплексный подход, сочетая нормы европейского и национального законодательства, уделяя особое внимание охране личной информации и обеспечению ясности в процедурах ее обработки.

Таким образом, РФ использует регулирование отношений по сбору и обработке Big Data, построенное на формулировании общих норм, тогда как законодательство США и Германии избрали иной подход, у них отсутствуют общие нормы, но разработаны специальные для регулирования отдельных правоотношении. По результатам исследования представляется возможным сделать вывод о необходимости сочетания общих и специальных норм при регулировании отношений по сбору и обработке Big Data, где общие нормы будут регулировать общие вопросы: принципы, признаки объекта, правосубъектность сторон, а специальные установят особенности прав и обязанностей, возникающих в данной сфере правового регулирования.

В частности, общие нормы гражданского законодательства, закрепляющие принципы добросовестности, разумности и справедливости, должны служить ориентиром при определении границ допустимого сбора и обработки данных. Специальные нормы, в свою очередь, должны учитывать специфику Big Data, такую как огромные объемы информации, скорость ее обработки и разнообразие источников. Это позволит избежать ситуаций, когда формальное соблюдение общих норм приводит к нарушению прав и законных интересов субъектов данных. Одним из ключевых вопросов, требующих специального правового регулирования, является определение правосубъектности сторон в отношениях по сбору и обработке Big Data. Традиционные категории субъектов гражданского права, такие как физические и юридические лица, не всегда адекватно отражают сложность и многогранность отношений, возникающих в этой сфере. Необходимо учитывать роль агрегаторов данных, аналитических компаний и иных посредников, которые осуществляют сбор, обработку и передачу данных.

Специальные нормы также должны устанавливать особенности прав и обязанностей, возникающих при обработке Big Data. В частности, необходимо определить порядок получения согласия на обработку данных, учитывая, что в большинстве случаев невозможно получить информированное согласие от каждого субъекта данных в отдельности. Следует разработать механизмы, обеспечивающие прозрачность и предсказуемость обработки данных, а также возможность для субъектов данных контролировать использование своей информации.

Таким образом, сочетание общих и специальных норм позволит создать сбалансированную систему правового регулирования отношений по сбору и обработке Big Data, учитывающую как общие принципы гражданского права, так и специфику данной сферы. Это позволит обеспечить эффективную защиту прав и законных интересов субъектов данных, а также стимулировать развитие инновационных технологий на основе Big Data.