70
Проблемы и перспективы правового регулирования цифрового профилирования
А. Н. Мочалов,
кандидат юридических наук, доцент,
Уральский государственный юридический
университет имени В. Ф. Яковлева
ПРОФИЛИРОВАНИЕ И ЦИФРОВЫЕ ПРОФИЛИ
–
«СЕРАЯ ЗОНА» ЗАКОНОДАТЕЛЬСТВА РОССИЙСКОЙ ФЕДЕРАЦИИ
О ПЕРСОНАЛЬНЫХ ДАННЫХ
Аннотация.
Цель работы – продемонстрировать наличие пробелов в зако-
нодательстве РФ о персональных данных в части регулирования профилирования
субъектов на основе относящихся к ним персональных данных. Анализируется
содержание процессов профилирования. В качестве сравнения рассматривается
регулирование профилирования в Общем регламенте ЕС о защите персональных
данных. Делается вывод, что в России субъекты персональных данных не имеют
достаточных правовых гарантий, защищающих их при проведении профилирования.
Ключевые слова
: профилирование, цифровой профиль, персональные данные,
субъект персональных данных, неприкосновенность частной жизни, автоматизи-
рованная обработка персональных данных, права субъектов персональных данных
PROFILING AND DIGITAL PROFILES
–
A “GREY AREA” IN THE RUSSIAN LEGISLATION ON PERSONAL DATA
Abstract.
The purpose of the work is to demonstrate the existence of gaps in the
legislation of the Russian Federation on personal data in terms of regulating the profiling
of subjects based on personal data related to them. The content of profiling processes is
analyzed. As a comparison, the regulation of profiling in the EU General Data Protection
Regulation (GDPR) is considered. It is concluded that in Russia, personal data subjects
do not have sufficient legal guarantees to protect them during profiling.
Keywords
: Profiling, Digital Profile, Personal Data, Subject of Personal Data,
Privacy, Automated Processing Of Personal Data, Rights of Personal Data Subjects
Введение.
Понятие «цифровой профиль» появилось в российском законода-
тельстве сравнительно недавно. При этом юридического определения этого понятия
по-прежнему нет [2]. В проекте Федерального закона № 747513–7 «О внесении
изменений в отдельные законодательные акты (в части уточнения процедур иден-
тификации и аутентификации)» цифровой профиль предлагалось определить как
«совокупность сведений о гражданах и юридических лицах, содержащихся в ин-
формационных системах государственных органов и организаций, осуществляю-
щих в соответствии с федеральными законами отдельные публичные полномочия,
а также в единой системе идентификации и аутентификации». Законопроект был
отклонен Государственной Думой [1].
В целом схожий подход к пониманию цифрового профиля можно увидеть
в Положении о проведении эксперимента по повышению качества и связанности
данных, содержащихся в государственных информационных ресурсах, утвержденном
71
Проблемы и перспективы правового регулирования цифрового профилирования
постановлением Правительства Российской Федерации от 3 июня 2019 г. № 710.
Документ оперирует понятием «инфраструктура цифрового профиля», из которого
также можно сделать вывод, что цифровой профиль понимается как структуриро-
ванный набор определенных содержащихся в государственных и муниципальных
информационных системах официальных сведений о лице и относящихся к нему
документов.
Обращает на себя внимание, что понимание термина «профиль» в России
существенно отличается от того, как понимается профиль (профилирование) в ев-
ропейском законодательстве о персональных данных.
Согласно п. 4 ст. 4 Общего регламента ЕС о защите персональных данных
(General Data Protection Regulation, далее – GDPR) под формированием профиля,
или профилированием (profiling), понимается «любая форма автоматизированной
обработки персональных данных, состоящая из использования персональных данных
в целях оценки определенных индивидуальных аспектов, касающихся физического
лица, в частности, для анализа или определения аспектов, относящихся к произ-
водственным показателям указанного лица, экономической ситуации, здоровью,
индивидуальным предпочтениям, интересам, надежности, поведению, месторас-
положению или передвижению».
Таким образом, в ЕС процесс профилирования (или формирования профиля)
заключается не просто в агрегировании данных о субъекте для целей их последу-
ющего предоставления, а в формировании на основе известных данных о субъекте
нового знания, которое непосредственно не вытекает из какой-то отдельно взятой
информации, но может быть получено путем ее обработки, в том числе в результате
сопоставления с информацией о других субъектах. Профиль субъекта в данном
случае – это не совокупность существующей информации о нем (точнее, не только
такая информация), а новая (производная) информация, полученная в результате
обработки первичных сведений и характеризующая, например, его предпочтения,
интересы, поведение или передвижения.
Такое понимание цифрового профилирования (digital profiling) традиционно
используется и в зарубежной науке
–
любая форма раскрытия (discovering) или
конструирования знания (knowledge) об индивиде из большого набора данных из
разнообразных ресурсов [6, С. 104]. Профилирование здесь предстаёт как частный
случай автоматизированной обработки персональных данных. В узком смысле
профилирование
–
это способ создания индивидуальных профилей, т. е. наборов
характеристик, признаков и свойств, при помощи которых человек или группа могут
быть отграничены от другого человека или группы [6]. При этом ряд исследователей
отмечают, что профилирование не ограничивается только лишь агрегированием
данных и получением на их основе производной информации, но включает в себя
также принятие решения в отношении индивида на основании собранной и полу-
ченной в результате обработки информации [7].
В этой статье пойдет речь о профилировании как о процессе не только нако-
пления и систематизации данных об индивиде (причем не только официальных), но
и об обработке такой информации с целью получения производных знаний, харак-
теризующих поведенческие, психологические, мировоззренческие и иные стороны
72
Проблемы и перспективы правового регулирования цифрового профилирования
конкретного человека. Именно этот аспект обработки персональных данных до сих
пор не получил в России надлежащей правовой регламентации.
Профилирование как особая разновидность обработки персональных дан-
ных. В основе профилирования лежат закономерности, получившие обоснование
в психологии и других науках, исследующих человеческое поведение. В результате
анализа определенных действий человека и его интересов можно с достаточной
степенью достоверности прогнозировать его возможное поведение в будущем,
стимулировать человека к совершению определенных желаемых действий или,
напротив, к воздержанию от нежелательного поступка. Бытовое профилирование
используется нами в повседневной жизни; оно обусловливает существование в об-
ществе определенных стереотипов. Обратное действие
–
определение характеристик
заранее не известного человека по его поступкам (следам поведения) получило
распространение в криминалистике и криминологии. Методы подобных иссле-
дований известны достаточно давно. Информационные технологии и повышение
доступности разнообразной информации об индивидах лишь создали возможность
проводить такие исследования в автоматическом режиме с использованием задан-
ных алгоритмов
–
на систематической основе, в отношении большого числа людей
и с использованием большого числа данных из самых разнообразных источников.
Наступила эра «машинного профилирования», и теперь уже компьютеры устанавли-
вают корреляции
–
порой неожиданные
–
между различными данными о субъектах
и обнаруживают «спрятанные» в них знания [5]. Рост масштабов исследований
привел к повышению достоверности результатов и позволил осуществлять типо-
логизацию индивидов и применять аналогию. Так, если в результате наблюдений
выясняется, что какой-либо вариант поведения при определенных обстоятельствах
присущ большей части людей, обладающих схожими характеристиками, то с вы-
сокой долей вероятности можно предположить, что и другие люди, обладающие
таким же набором свойств, будут вести себя таким же образом. На этом основано,
например, функционирование рекомендательных систем. Новые технологии работы
с «большими данными», в том числе неструктурированными, а также технологии
машинного обучения позволили существенно расширить круг задач, решаемых
посредством профилирования.
Сегодня алгоритмы профилирования используются в разных странах в деятель-
ности как государственных органов (в частности полиции), так и коммерческого
сектора (например, в таргетированной рекламе, рекомендательных системах, фит-
нес-трекерах и т. д.) Технологии «интернета вещей» также во многом основаны на
анализе и компьютерной интерпретации образа жизни и привычек пользователя.
В 2016 г. широкую известность получил скандал с использованием американской
компанией Cambridge Analytica данных, содержащихся в профилях пользователей
социальной сети Facebook (социальная сеть принадлежит компании Meta, деятель-
ность которой запрещена в Российской Федерации), для распространения тарге-
тированной политической рекламы предвыборной кампании Дональда Трампа.
В отечественных средствах массовой информации можно найти примеры
использования профилирования для оценки благонадежности и добросовестности
индивидов. В частности, как следует из ряда публикаций в Интернете, такие услуги
73
Проблемы и перспективы правового регулирования цифрового профилирования
предоставляют сотовые операторы по запросам банков, куда клиенты обращаются
за получением кредитов [4]. На основе мониторинга поведенческой активности
пользователя в сотовой сети и другой доступной информации сотовые операторы
составляют психологический портрет человека, позволяющий определить степень
его добросовестности при исполнении кредитных обязательств.
Исходным материалом для профилирования могут быть как официальные
данные о человеке, так и любая другая информация, характеризующая его лич-
ность
–
например, сведения о поведении в Интернете (посещаемые страницы,
действия в социальных сетях), контакты из «телефонной книги» в смартфоне, ин-
формация о покупках онлайн и офлайн, используемые для получения информации
о передвижениях
–
геолокации и метки радиочастотной идентификации и т. д. Даже
информация технического характера, такая как тип и модель устройства, с которого
человек выходит в Интернет или совершает телефонные звонки, браузер, IP-адрес,
скорость нажатия на клавиши в сочетании с другими сведениями, может формиро-
вать представление о тех или иных особенностях личности.
Регулирование профилирования в Европейском Союзе. В научной литерату-
ре отмечаются риски, связанные с широким распространением профилирования.
Обработка персональных данных, в частности объединение и анализ различных
наборов данных, может раскрыть конфиденциальные, иногда интимные подроб-
ности жизни людей. Когда профилирование используется для принятия решений,
по разным причинам существует риск получения неправильных результатов или
дискриминационных эффектов [7].
По этой причине в европейском GDPR регулированию профилирования и га-
рантиям прав субъектов при их профилировании уделяется значительное внимание.
В частности, GDPR называет следующие специальные права субъектов, связанные
с процессом профилирования:
– право знать о существовании профиля и об его последствиях (параграф 60
преамбулы GDPR);
– право доступа субъекта к данным о нем (параграф 63 преамбулы GDPR);
– право знать цели, для которых обрабатываются персональные данные, их
получателей, а также «логическую схему» и последствия автоматизированной об-
работки персональных данных, «если она как минимум основана на формировании
профиля» (параграф 63 преамбулы, пункт f) параграфа 2 ст. 13 GDPR);
– право на возражение против обработки данных, осуществляемой в марке-
тинговых целях или в некоторых государственных интересах (параграф 70 преам-
булы, ст. 21 GDPR);
– право «не подпадать под действие решения», основанного в том числе на
оценке персональных аспектов субъекта, которое было принято в результате автома-
тизированной обработки персональных данных и которое порождает юридические
последствия в отношении субъекта данных или аналогичным образом существенно
влияет на него (параграф 72 преамбулы GDPR). К примерам таких решений GDPR
относит автоматический отказ в получении кредита через Интернет и автоматизи-
рованный процесс отбора кадров без вмешательства оператора. В любом случае
указанная обработка должна осуществляться при условии предоставления субъекту
74
Проблемы и перспективы правового регулирования цифрового профилирования
определенных гарантий, в числе которых GDPR называет особое информирование
субъекта данных и возможность вмешательства в процесс автоматизированной
обработки оператора;
– право получить объяснения в отношении решения, основанного на оценке
индивида по его профилю (параграф 72 преамбулы GDPR);
– право на оспаривание вышеуказанного решения (параграф 72 GDPR).
GDPR также устанавливает запрет на принятие решений путем автома-
тизированной обработки персональных данных на основе оценки профилей в от-
ношении детей.
Статья 22 GDPR устанавливает правовую регламентацию автоматизиро-
ванного процесса принятия решения «в конкретном случае», в том числе фор-
мирования профиля. Общее правило заключается в гарантировании субъекту
данных его права «не подпадать под действие решения, основанного исключи-
тельно на автоматической обработке», если такое решение влечет какие-либо
юридические последствия для субъекта или влияет на него любым другим об-
разом. Регламент предусматривает и некоторые исключения из этого правила.
В частности, автоматизированное принятие решений допускается в случаях,
когда это:
– требуется для заключения или исполнения договора;
– основано на прямом согласии субъекта;
– допускается законодательством Союза или национальным законодательством
государства-члена ЕС при условии установления приемлемых мер защиты прав
субъекта данных.
В первых двух случаях субъекту данных должно быть гарантировано право
на выражение своей точки зрения и право на оспаривание решения, принятого на
основе автоматизированной обработки персональных данных.
Во всяком случае GDPR запрещает автоматизированное принятие решений без
прямого согласия субъекта данных на основе специальных категорий данных – на-
пример этнического происхождения, политических взглядов, религиозных убежде-
ний и т. д. Исключением может быть только принятие соответствующих решений
в публичных интересах
–
при условии соблюдения принципа пропорциональности
(п. «g» параграфа 2 ст. 9) и реализации «приемлемых мер защиты прав, свобод
и законных интересов субъекта данных» (параграф 4 ст. 22).
Регулирование профилирования в России. Российское законодательство
о персональных данных не содержит специального регулирования, касаю-
щегося профилирования. Профилирование не выделяется в качестве отдель-
ного способа обработки персональных данных (или совокупности способов)
или особого случая обработки. Это, однако, не означает, что профилирование
в России запрещено. Как отмечалось выше, существуют многочисленные сви-
детельства того, что профилирование активно используется в работе банков,
сотовых операторов, провайдеров веб-платформ (торговых агрегаторов с их
рекомендательными сервисами, социальных сетей, рекламных площадок). Оно
может рассматриваться как разновидность автоматизированной обработки пер-
сональных данных (п. 4 ст. 3 Федерального закона «О персональных данных»),
75
Проблемы и перспективы правового регулирования цифрового профилирования
в отношении которой не установлено какого-либо самостоятельного режима
обработки.
Права субъектов персональных данных и гарантии их реализации в процессе
профилирования сводятся к общему конституционному регулированию неприкос-
новенности частной жизни, а также к правам субъектов при автоматизированной
обработке данных.
Статья 8 Конвенции Совета Европы о защите физических лиц при автомати-
зированной обработке персональных данных предусматривает дополнительные
гарантии прав субъекта при автоматизированной обработке его персональных
данных. В их числе:
– право знать о существовании автоматизированного файла персональных
данных и о его целях, а также о контролере данных;
– право получить подтверждение того, хранятся ли касающиеся субъекта
персональные данные в автоматизированном файле, а также право получить сами
эти данные в доступной для понимания форме;
– право добиваться исправления или уничтожения таких данных, если они
подвергались обработке в нарушение норм внутреннего законодательства;
– право «прибегать к средствам правовой защиты» при отказе в реализации
перечисленных выше прав.
Российская Федерация является участником данной Конвенции. Выход страны
из Совета Европы сам по себе не повлиял на продолжение действия Конвенции
в отношении России, поскольку этот международный договор предусматривает
собственный механизм денонсации и, кроме того, допускает участие государств,
не являющихся членами Совета Европы.
В развитие положений Конвенции ст. 16 Федерального закона «О пер сональных
данных» предусматривает права субъектов персональных данных при принятии
решений на основании исключительно автоматизированной обработки данных
о них. Данная статья вводит общий запрет на принятие решений, порождающих
юридические последствия в отношении субъекта данных или иным образом
затрагивающих его права и законные интересы, «на основании исключительно
автоматизированной обработки персональных данных». Исключением является
письменное согласие субъекта персональных данных.
В случае автоматизированной обработки персональных данных, влекущей
принятие в отношении субъекта соответствующих решений, Оператор в соответ-
ствии с п. 3 ст. 16 закона должен:
– разъяснить субъекту «порядок принятия решения» на основании исклю-
чительно автоматизированной обработки его персональных данных и возможные
юридические последствия такого решения;
– предоставить возможность заявить возражение против такого решения,
а в случае заявления возражения
–
рассмотреть его в течение 30 дней;
– разъяснить порядок защиты субъектом своих прав и законных интересов.
При некоторой схожести регулирования процесса принятия решений на ос-
нове автоматизированной обработки персональных данных в GDPR и российском
законодательстве о персональных данных необходимо обратить внимание на то,
76
Проблемы и перспективы правового регулирования цифрового профилирования
что объем гарантий прав субъектов, предусмотренный Законом «О персональных
данных», значительно меньше, чем объем гарантий, установленных GDPR
–
даже
при том, что в литературе многие инструменты, заложенные в GDPR, также обо-
снованно подвергаются критике [3, С. 84; 6].
Во-первых, российский закон регулирует процессы автоматизированной обра-
ботки персональных данных только в тех случаях, когда результатом такой обработки
является юридически обязательное решение для субъекта данных или когда иным
образом затрагиваются права и законные интересы субъекта. Пространность такой
формулировки не позволяет дать ответа на вопрос
–
можно ли считать «затрагива-
ющими права и законные интересы» субъекта таргетированную рекламу, которая
демонстрируется пользователю на основе анализа его поведения в социальной сети,
или персональные рекомендации в интернет-магазине, которые формируются не
случайным образом, а также на основании анализа действий пользователя. В одних
случаях реклама и рекомендации выглядят безобидно, в других же случаях могут
свидетельствовать о выявлении соответствующими алгоритмами таких сведений
о лице, в том числе подробностей интимной стороны его жизни, которые оно не хо-
тело бы раскрывать кому бы то ни было. Профилирование пользователей для целей
демонстрации рекламы или в рекомендательных сервисах остается не урегулиро-
ванным и фактически осуществляется в большинстве случаев без предоставления
субъектам надлежащих правовых гарантий.
Во-вторых, Закон о персональных данных не содержит надлежащих правовых
гарантий уведомления лица о предстоящем или проведенном профилировании,
а также о наличии его профиля и о целях его использования. Сегодня значительная
часть информации о субъектах, в том числе размещенной самими субъектами в от-
крытом доступе в социальных сетях и других аналогичных сервисах, используется
различными коммерческими компаниями в целях аналитики, в том числе для фор-
мирования пользовательских профилей, проведения статистических исследований,
сегментирования аудитории (подобно тому, как это делала Cambridge Analytica
с профилями пользователей американской социальной сети). Если результатом
такой обработки пользовательской информации не является принятие юридически
значимого решения в отношении субъекта данных или иное непосредственное воз-
действие на субъекта, то формально оператор не связан требованиями ст. 16 закона.
В-третьих, закон не устанавливает ограничений в отношении использова-
ния в процессе профилирования специальных категорий персональных данных,
в том числе если такие персональные данные носят характер производных, т. е.
полученных в результате обработки первичных данных и являющихся результа-
том профилирования (например, если сведения о национальной принадлежности
индивида или о его политических взглядах получены на основе анализа его постов
и комментариев в социальной сети, а также иной активности – просмотра страниц,
«лайков», репостов, участия в сообществах и т. д.). В данном случае действуют лишь
общие ограничения, установленные ст. 10 Федерального закона «О персональных
данных» и допускающие целый ряд исключений.
В-четвертых, российский закон в целом не устанавливает каких-либо пра-
вовых рамок для обработки персональных данных в целях «скоринга» лица, т. е.
77
Проблемы и перспективы правового регулирования цифрового профилирования
оценки его качеств, прогнозирования вероятного поведения и т. д. Не устанавли-
ваются требования получения согласия субъекта на проведение в отношении его
скоринга (такое согласие как минимум не должно быть заранее данным на любые
случаи в будущем, а должно носить конкретный характер на проведение оценки
по конкретным данным и для конкретного заказчика), как и правовые последствия
возражений против решений, принятых на основе такого скоринга. Статья 16 Закона
«О персональных данных» применима в этом случае далеко не всегда, поскольку
автоматизированная обработка персональных данных осуществляется лишь на
этапе сбора и интерпретации сведений о лице, в то время как юридически значимое
решение принимается не автоматически, а при непосредственном участии человека.
Наконец, необходимо обратить внимание и на проблемы, связанные с регу-
лированием цифрового профиля. Как отмечалось выше, «цифровой профиль» сам
по себе не является результатом профилирования (в том смысле, в каком о про-
филировании шла речь в данной работе) и не предполагает профилирования, т. е.
автоматизированной обработки данных об индивиде с целью оценки каких-либо
его характеристик. В то же время ничто в действующем правовом регулировании
не запрещает использование сведений из «цифрового профиля» для такой оценки,
в том числе путем их объединения с другой информацией об индивидах, также до-
ступной государству. Например, данные о лице из его «цифрового профиля» могут
быть наложены на информацию о покупках, совершенных человеком, о маршрутах
его передвижения, о телефонных звонках и т. д. А это уже может создать возмож-
ность для получения производной информации принципиально иного качества,
позволяющей судить об интересах и привычках человека, его убеждениях, философ-
ских и политических взглядах. При таком развитии событий опасения «тотальной
слежки» за людьми с присвоением каждому человеку определенного социального
рейтинга не выглядят уже столь нереалистичными. Тем более что подобный опыт
оценки государством качеств человека на основе обработки больших массивов
собираемой информации уже имеется в Китайской Народной Республике. В свете
сказанного правовой режим использования инфраструктуры «цифрового профиля»,
в том числе ограничения ее использования, также следует закрепить в законе (в на-
стоящее время регулирование осуществляется только подзаконным нормативным
правовым актом – постановлением Правительства РФ).
Выводы. Сказанное позволяет заключить, что отношения профилирования
индивидов на основании относящихся к ним персональных данных находятся во
многом за рамками действующего правового регулирования и позволяют применять
достаточно широкое усмотрение как со стороны операторов (которые в отсутствие
четкого регулирования могут злоупотреблять правами субъектов, используя их
данные для профилирования без предоставления надлежащих правовых гарантий),
так и со стороны государства и его органов. Субъекты данных, в свою очередь, ли-
шаются значительных возможностей защиты своих прав, постоянно подвергаясь
практически неограниченным актам профилирования с самыми разными целями
и не имея информации о том, кто, для чего и в какое время использует их данные
(пусть даже находящиеся в свободном доступе) и какая информация выводится на
основании интерпретации таких данных. Более определенное правовое регули-
78
Проблемы и перспективы правового регулирования цифрового профилирования
рование в этой сфере способствовало бы не только установлению эффективных
гарантий прав субъектов данных, но и формированию понятных правил для самих
операторов, осуществляющих профилирование, в том числе для поставщиков услуг
таргетированной рекламы, рекомендательных сервисов, торговых площадок.
Список литературы
1. Постановление Государственной Думы Федерального Собрания РФ от
18 января 2022 г. № 663–8 ГД «О проекте федерального закона № 747513–7 О вне-
сении изменений в отдельные законодательные акты (в части уточнения процедур
идентификации и аутентификации)» // Собрание законодательства Российской
Федерации. 2022. № 4. Ст. 602.
2. Виноградова Е. В., Полякова Т. А., Минбалеев А. В. Цифровой профиль:
понятие, механизмы регулирования и проблемы реализации // Правопримене-
ние. 2021. Т. 5, № 4. С. 5–19.
3. Жарова А. К. Правовое обеспечение цифрового профилирования деятель-
ности человека // Вестник ЮУрГУ. Серия «Право». 2020. Т. 20, № 2. С. 80–87.
4. 150 рублей за штуку. Как МТС «сливает» своих клиентов банкам и коллек-
торам. URL: https://bankiros.ru/news/mts-banki-i-kollektory-2391 (дата обращения:
19.09.2022).
5. Hildebrandt M. Profiling and the rule of law // Identity in the Information Society. –
2008. No. 1. P. 55–70.
6. Niševic M. Profiling Consumers Through Big Data Analytics: Strengths
and Weaknesses of Article 22 GDPR // Global Privacy Law Review. 2020. Vol. 1,
Issue 2. Pр. 104–115.
7. Wiedemann K. Profiling and (automated) decision-making under the GDPR:
A two-step approach // Computer Law & Security Review. 2022. Vol. 45. 105662.
Т. В. Пашнина,
кандидат юридических наук,
Уральский филиал
Российского государственного университета правосудия
ПЕРСПЕКТИВЫ ЦИФРОВОГО ПРОФИЛИРОВАНИЯ
В ДЕЯТЕЛЬНОСТИ БИБЛИОТЕК
Аннотация.
Цель работы состоит в исследовании проблем и перспектив
правового регулирования цифрового профилирования в деятельности библиотек.
Изучены факторы, обусловившие появление феномена цифрового профиля и его роль
в жизни современного российского государства, общества, отдельного индивида.
Констатирована роль цифрового профиля в качестве базового элемента цифровой
дееспособности лица; совокупности достоверных и актуальных сведений о гражда-
нине; важнейшего средства идентификации и аутентификации в процессе оказания
публичных, социально значимых государственных и муниципальных электронных
