Коллектив авторов - Новая парадигма защиты и управления персональными данными в Российской Федерации и зарубежных странах в условиях развития систем обработки данных в сети Интернет

2) провайдер облачного сервиса / провайдер приложения для больших данных должен удалять связанные данные и аналитические результаты в соответствии с требованиями клиента облачного сервиса или по запросу клиента облачного сервиса.

Рекомендации устанавливают следующие факультативные требования к безопасности и защите данных:

1) провайдер облачного сервиса может поддерживать возможность имплементации политики защиты и безопасности данных и аналитических результатов клиента облачного сервиса;

2) провайдер облачного сервиса / провайдер инфраструктуры больших данных может обеспечивать резервирование данных и ведение журнала транзакций.

Технические возможности облачных вычислений по обеспечению безопасности и защиты данных при обработке больших данных включают следующее:

1) контроль доступа, что означает возможность управления правами сторон по контролю или влиянию на связанную с ними информацию;

2) контроль политики, что означает возможность для управления политикой защиты данных и безопасности;

3) безопасность данных, что означает возможность применять различные механизмы безопасности, связанные с хранением, сетями и сервисами, в том числе административные, операционные и технические меры.

В ЕС уделяется особое внимание регулированию обработки «метаданных» (так называемых «информации об информации»): данных о трафике, геолокационных данных и т. п.

В частности, 8 апреля 2014 г. Суд ЕС вынес решение по объединенным делам С-293/12 и С-594/12, отменив Директиву 2006/24/ЕС Европейского парламента и Совета от 15 марта 2006 г. о сохранении данных, генерируемых или обрабатываемых в ходе оказания общедоступных услуг электронной коммуникации или функционирования публичных коммуникационных сетей (так называемая Data Retention Directive). Данная Директива, в сущности, распространяла свое действие на обработку «данных о данных», т. е. метаданных. Основанием для признания Директивы не имеющей юридической силы с даты ее принятия послужило то, что содержание Директивы фактически противоречит важному принципу европейского права: ограничение основополагающих прав граждан допустимо лишь при условии соблюдения принципа пропорциональности [4] См. подробнее: Тарасов Д.А. Суд Евросоюза отменил обязанность провайдеров хранить сведения о коммуникациях клиентов. URL: http://lexdigital. ru/2014/ПО/. . Таким образом, расширенный сбор и долгосрочное хранение метаданных были признаны незаконными.

Также ограничены сроки хранения – 6 месяцев для поисковых запросов [5] Opinion 1/2008 on data protection issues related to search engines. EU Article 29 Data Protection Working Party, 00737/EN WP 148. April 2008. – и установлено требование об обеспечении самоуничтожения данных по прошествии определенного срока техническими средствами (privacy by design).

Если обобщить положения нормативных правовых актов, то ими устанавливаются ограничения на сбор данных: ex ante и ex post.

Положения ex ante устанавливают необходимость уведомления о целях, для которых необходима передача данных, а также согласование любого дальнейшего использования данных (исключая случаи, когда оно осуществляется с согласия субъекта данных или иным образом в соответствии с действующим законодательством и соответствуют четким целям). Положения ex post нацелены на постоянный контроль обеспечения надежности данных (в том числе уведомление о факте обработки таких данных, о доступе к ним и о возможности внесения исправлений в поврежденные/неточные сведения личного характера). В эту же категорию следует отнести группу норм, устанавливающих порядок хранения и обработки данных, включая процедуры защиты от утери уничтожения и несанкционированного раскрытия. Любое использование или раскрытие должно быть зарегистрировано, а в случае любого несанкционированного использования или раскрытия субъект данных должен быть уведомлен об этом.

Итак, к превентивной мере можно отнести требование ст. 17 Директивы 95/46/ЕС к оператору по осуществлению надлежащих технических и организационных мер для защиты персональных данных от случайного или неправомерного разрушения либо от случайной потери, от изменения, несанкционированного раскрытия или доступа, в частности, когда обработка включает передачу данных по сети, и от всех иных неправомерных форм обработки.

Далее, превентивной мерой являются требования раздела IX Директивы 95/46/ЕС, касающиеся обязательств уведомить надзорный орган. Так, согласно ст. 18 оператор или его представитель, если таковой имеется, должен уведомить надзорный орган перед осуществлением любой полностью или частично автоматизированной операции по обработке или последовательности таких операций, предназначенных, чтобы служить одной цели или нескольким связанным целям (данное требование действует с исключениями).