Жеке деректерді басқару және құпиялық саясаты

Кіріспе

Жеке деректерді медиада басқару

Құпиялылық саясаты – бұл тараптың клиенттің немесе тапсырыс берушінің деректерін қалай жинау, пайдалану, жариялау және басқару жолдарының бір бөлігін немесе барлығын ашатын мәлімдеме немесе құқықтық құжат (құпиялылық құқығында). Жеке ақпарат – бұл жеке тұлғаны анықтауға қолданылатын кез келген мәлімет, оның ішінде аты-жөні, мекенжайы, туған күні, отбасылық жағдайы, байланыс ақпараты, жеке куәліктің берілген күні мен жарамдылық мерзімі, қаржылық жазбалар, несие туралы мәліметтер, медициналық тарих, саяхат еткен жерлер және тауарлар мен қызметтерді алу ниеті. Бизнес жағдайында, бұл көбінесе тараптың жеке ақпаратты қалай жинау, сақтау және тарату саясатын жариялайтын мәлімдеме болып табылады. Ол клиентке қандай нақты ақпарат жиналатынын, оның құпия сақталуын, серіктестермен бөлісуін немесе басқа фирмаларға немесе кәсіпорындарға сатылуын хабарлайды. Құпиялылық саясаты әдетте кеңірек, жалпы сипатта болады, деректерді пайдалану туралы мәлімдемелерден өзгеше, олар көбірек егжей-тегжейлі және нақты болады. Нақты құпиялылық саясатының мазмұны қолданылатын заңнамаға байланысты болады және географиялық шекаралар мен құқықтық юрисдикциялардың талаптарын қарастыру қажет болуы мүмкін. Көптеген елдерде кімге қатысты, қандай ақпарат жинауға болады және оны не үшін пайдалануға болады екені туралы өз заңдары мен нұсқаулары бар. Жалпы алғанда, Еуропадағы деректерді қорғау заңдары мемлекеттік және жеке секторды қамтиды. Олардың құпиялылық заңдары үкіметтік операцияларға ғана емес, сонымен қатар жеке кәсіпорындар мен коммерциялық мәмілелерге де қолданылады.

Тарих

1968 жылы Еуропа Кеңесі технологияның адам құқықтарына тигізетін әсерін зерттеуді бастады, соның ішінде компьютерлік технологияның бұрын кеңінен қолжетімді болмаған байланыс және деректерді тарату мүмкіндігі тудыратын жаңа қауіп-қатерлерді мойындады. 1969 жылы Экономикалық ынтымақтастық және даму ұйымы (ЭЫДҰ) елден жеке ақпараттың шығуымен байланысты салдарларды қарастыруға кірісті. Бұл кеңесті жеке және мемлекеттік секторларда жеке деректерді қорғау саясатын әзірлеуге ұсыным беруге алып келді, нәтижесінде 108-ші Конвенция қабылданды. 1981 жылы Жеке тұлғалардың жеке деректерін автоматты түрде өңдеуден қорғау туралы конвенция (108-ші конвенция) енгізілді. Жеке өмірге қатысты алғашқы заңдардың бірі – 1973 жылы қабылданған Швецияның Деректер туралы заңы, одан кейін 1977 жылы Батыс Германияның Деректерді қорғау заңы және 1978 жылы Францияның Информатика, деректер базалары және бостандықтар туралы заңы келді. АҚШ-та 1960-1970 жылдардың соңында жеке өмірге қатысты саясатқа алаңдаушылық тудырып, Әділ несиелік есеп беру туралы заң қабылданды. Бұл заң жеке өмірге қатысты заң ретінде қабылданбаса да, тұтынушыларға өздерінің несиелік деректерін тексеруге және қателерді түзетуге мүмкіндік берді. Сонымен қатар, ол несиелік жазбалардағы ақпаратты пайдалануға шектеулер қойды. 1960 жылдардың соңындағы бірнеше конгресс зерттеу топтары автоматтандырылған жеке ақпаратты жинаудың және оны басқа ақпаратпен салыстырудың жеңілдегенін зерттеді. Мұндай топтардың бірі – АҚШ Денсаулық сақтау және әлеуметтік қызметтер департаментінің консультативтік комитеті, ол 1973 жылы «Әділ ақпарат практикасы» деп аталатын қағидалар жиынтығын әзірледі. Консультативтік комитеттің жұмысы 1974 жылы Жеке өмірге қатысты заңның қабылдануына әкелді. 1980 жылы АҚШ Экономикалық ынтымақтастық және даму ұйымының мүше мемлекеттері үшін жасалған нұсқауларына қол қойды. Осының нәтижесінде, ЕО-да бизнес жүргізетін көптеген ұйымдар осы Директиваға сәйкес келетін саясатты әзірлеуді бастады. Сол жылы АҚШ Федералды сауда комиссиясы (FTC) жеке ақпаратты коммерциялық мақсатта пайдалану үшін міндетті емес қағидалар жиынтығын ұсынған «Әділ ақпарат қағидаларын» жариялады. Бұл қағидалар саясатты міндетті түрде жасамаса да, жеке өмірге қатысты саясатты қалай құрастыруға болатындығы туралы туындаған мәселелерге бағыт берді. АҚШ-та жеке өмірге қатысты саясатты жалпыға бірдей енгізуді белгілейтін нақты федералдық ереже жоқ. Конгресс кейде Интернетте ақпаратты жинауды реттейтін жан-жақты заңдарды қарастырды, мысалы, 2001 жылғы Тұтынушылардың Интернет-жеке өмірін күшейту туралы заң және Онлайн жеке өмірді қорғау туралы заң, бірақ ешқайсысы қабылданбады. 2001 жылы FTC «көбірек заңдар емес, көбірек құқық қорғауды» қалайтынын айтты және өнеркәсіптің өзін-өзі реттеуіне басымдық берді. Көптеген жағдайларда FTC жеке өмірге қатысты саясаттың шарттарын FTC заңының 5-тарауына сәйкес, тұтынушыларға берілген уәделер ретінде орындайды, ол әділетсіз немесе алдамшы маркетингтік тәжірибелерге тыйым салады. Кейбір жағдайларда FTC-нің өкілеттігі заңмен шектеледі; мысалы, әуе компаниялары Федералды авиация басқармасының (FAA) және ұялы телефон операторлары Федералды байланыс комиссиясының (FCC) бақылауында болады. Кейбір жағдайларда жеке тұлғалар жеке өмірге қатысты саясаттың шарттарын топтық сот арқылы іске асырады, бұл келісімдерге немесе сот шешімдеріне әкелуі мүмкін. Алайда, мұндай сот процестері көбінесе жеке өмірге қатысты саясаттағы төрелік шарттарына немесе басқа да қызмет көрсету келісімдеріне байланысты мүмкін болмайды.

In 1968, the Council of Europe began to study the effects of technology on human rights, recognizing the new threats posed by computer technology that could link and transmit in ways not widely available before. In 1969 the Organisation for Economic Co operation and Development (OECD) began to examine the implications of personal information leaving the country. All this led the council to recommend that policy be developed to protect personal data held by both the private and public sectors, leading to Convention 108. In 1981, Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (Convention 108) was introduced. One of the first privacy laws ever enacted was the Swedish Data Act in 1973, followed by the West German Data Protection Act in 1977 and the French Law on Informatics, Data Banks and Freedoms in 1978. In the United States, concern over privacy policy starting around the late 1960s and 1970s led to the passage of the Fair Credit Reporting Act. Although this act was not designed to be a privacy law, the act gave consumers the opportunity to examine their credit files and correct errors. It also placed restrictions on the use of information in credit records. Several congressional study groups in the late 1960s examined the growing ease with which automated personal information could be gathered and matched with other information. One such group was an advisory committee of the United States Department of Health and Human Services, which in 1973 drafted a code of principles called the Fair Information Practices. The work of the advisory committee led to the Privacy Act in 1974. The United States signed the Organisation for Economic Co operation and Development guidelines in 1980. for its member states. As a result, many organizations doing business within the EU began to draft policies to comply with this Directive. In the same year, the U. S. Federal Trade Commission (FTC) published the Fair Information Principles which provided a set of non binding governing principles for the commercial use of personal information. While not mandating policy, these principles provided guidance of the developing concerns of how to draft privacy policies. The United States does not have a specific federal regulation establishing universal implementation of privacy policies. Congress has, at times, considered comprehensive laws regulating the collection of information online, such as the Consumer Internet Privacy Enhancement Act and the Online Privacy Protection Act of 2001, but none have been enacted. In 2001, the FTC stated an express preference for "more law enforcement, not more laws" and promoted continued focus on industry self regulation. In many cases, the FTC enforces the terms of privacy policies as promises made to consumers using the authority granted by Section 5 of the FTC Act which prohibits unfair or deceptive marketing practices. The FTC's powers are statutorily restricted in some cases; for example, airlines are subject to the authority of the Federal Aviation Administration (FAA), and cell phone carriers are subject to the authority of the Federal Communications Commission (FCC). In some cases, private parties enforce the terms of privacy policies by filing class action lawsuits, which may result in settlements or judgments. However, such lawsuits are often not an option, due to arbitration clauses in the privacy policies or other terms of service agreements.

Канада

Канаданың жеке секторға қатысты Федералды Құпиялылық заңы ресми түрде "Жеке ақпаратты қорғау және электрондық құжаттар туралы заң" (PIPEDA) деп аталады. Заңның мақсаты – коммерциялық ұйымдардың жеке ақпаратты жинау, пайдалану және жариялау қағидаларын белгілеу. Ұйымға жағдайға қарай, ақылға қонымды адам лайықты деп санарлық мақсаттар үшін қажетті көлемдегі ақпаратты жинауға, жариялауға және пайдалануға рұқсат беріледі. Заң Канаданың Құпиялылық жөніндегі комиссарын ұйымдарға қатысты келіп түсетін шағымдарды қарау үшін омбудсмен ретінде бекітеді. Комиссар мәселелерді әкімшілік қысым көрсету арқылы емес, ерікті түрде шешуге ұмтылады. Комиссар шағымдарды тергейді, аудиттер жүргізеді, жеке өмірге қатысты мәселелер туралы хабардарлықты арттырады және зерттеулер жүргізеді.

Онлайн құпиялылықты сертификаттау бағдарламалары

Онлайн сертификаттау немесе "мөр" бағдарламалары – жеке өмірге қатысты саясатты индустрияның өзімен реттеудің мысалы. Мөр бағдарламалары әдетте сертификаттау бағдарламасымен белгіленген әділ ақпараттық тәжірибені енгізуді талап етеді және үнемі сәйкестікті бақылауды қамтамасыз етуі мүмкін. TRUSTArc (бұрынғы TRUSTe) – онлайн жеке өмірге қатысты мөрдің алғашқы бағдарламасы болып табылады және 2007 жылға қарай 1800-нен астам мүшесі болды. Басқа онлайн мөр бағдарламаларына Trust Guard Privacy Verified бағдарламасы және Webtrust жатады.

Техникалық іске асыру

Кейбір веб-сайттар өздерінің жеке өмір туралы саясатын P3P немесе Интернет мазмұнының рейтингтік қауымдастығы (ICRA) арқылы анықтайды, бұл браузерлерге сайт ұсынатын жеке өмір деңгейін автоматты түрде бағалауға және сайттың жеке өмірге қатысты тәжірибесі пайдаланушының жеке өмірге қатысты параметрлерімен сәйкес келген жағдайда ғана кіруге рұқсат беруге мүмкіндік береді. Дегенмен, бұл техникалық шешімдер веб-сайттардың жариялаған жеке өмір туралы саясатына сәйкес келетініне кепілдік бермейді. Мұндай іске асырулар пайдаланушылардың өз браузерлерінің жеке өмірге қатысты параметрлерін орнату үшін белгілі бір деңгейде техникалық білімге ие болуын қажет етеді. Бұл автоматтандырылған жеке өмір туралы саясаттар веб-сайттар мен олардың пайдаланушылары арасында кең таралған жоқ. Жеке жеке өмір туралы саясаттарды түсіндіруге келетін қиындықтарды азайту мақсатында, Жосанг, Фрич және Малер саясат серверінен алуға болатын, қайта пайдалануға жарамды және сертификатталған саясаттарды ұсынды.

Сын

Көптеген сыншылар интернеттегі жеке өмірге қатысты саясаттардың тиімділігі мен заңдылығына шабуыл жасады. Жеке өмірге қатысты саясаттардың тиімділігі туралы алаңдаушылықтар бар. Мысалы, 2000 жылғы FTC есебінде «Интернеттегі жеке өмір: электрондық нарықтағы әділ ақпараттық тәжірибелер» зерттеуге алынған веб-сайттардың көпшілігі жеке өмірге қатысты белгілі бір ақпаратты ұсынғанмен, олардың көпшілігі FTC принциптерінде белгіленген стандартқа сай келмеген. Сонымен қатар, көптеген ұйымдар өз саясатының шарттарын бір жақты өзгерту құқығын өзінде сақтайды. 2009 жылдың маусым айында EFF веб-сайты TOSback 56 танымал интернет-сервисте, оның ішінде Amazon, Google және Facebook жеке өмірге қатысты саясаттардағы өзгерістерді қадағалай бастады. Сондай-ақ, тұтынушылардың жеке өмірге қатысты саясаттарды түсінуі және олардың тұтынушыларға хабардар шешімдер қабылдауға көмектесуі туралы сұрақтар туындайды. 2002 жылы Стэнфордтың Илгекті технологиялар зертханасының есебінде веб-сайттың визуалды дизайны тұтынушылардың веб-сайттың сенімділігін бағалау кезінде веб-сайттың жеке өмірге қатысты саясатынан гөрі көбірек әсер ететіні көрсетілген. 2007 жылы Карнеги-Меллон университетінің зерттеуі «егер маңызды жеке өмірге қатысты ақпарат ұсынылмаса», тұтынушылардың «сайттың жеке өмірге қатысты саясатына қарамастан, ең төмен бағада сатушыдан сатып алуы мүмкін» екенін мәлімдеді. Алайда, осы зерттеуде жеке өмірге қатысты ақпарат нақты ұсынылған кезде тұтынушылар жеке өмірін жақсы қорғайтын саудагерлерді артық көретіні және кейбіреулері «жеке өмірін жақсы қорғайтын веб-сайттардан сатып алу үшін артық төлеуге» дайын екені де көрсетілді. Сонымен қатар, 2007 жылы Берклидегі Калифорния университетінің зерттеуі «тұтынушылардың 75%-ы сайтта жеке өмірге қатысты саясат болғандықтан, ол деректерді үшінші тараптармен бөліспейді деп санайды» деген қорытындыға келді. Бұл жеке өмірге қатысты саясаттың болуын жеке өмірді қорғаумен шатастыру. Осы түсініспеушіліктің кең таралғанын ескере отырып, зерттеуші Джозеф Туроу АҚШ Федералды сауда комиссиясына «жеке өмірге қатысты саясат» терминінің алдап сату болып табылатынын және оның орнына «біз сіздің ақпаратыңызды қалай пайдаланамыз» сияқты баламалы тіркестерді қолдану қажет екенін дәлелдеді. Жеке өмірге қатысты саясаттар, әдетте, нақтылықтан мүсіркеушілік танытады, әсіресе, жаңадан пайда болған Деректерді пайдалану туралы мәлімдемемен салыстырғанда. Жеке өмірге қатысты мәлімдемелерде деректерді жинау мен пайдалану туралы жалпы шолу берілсе, деректерді пайдалану туралы мәлімдемелер әлдеқайда нақты қарастырылады. Нәтижесінде, жеке өмірге қатысты саясаттар деректерді пайдалану туралы мәлімдемелер ұсынатын ашықтыққа деген сұранысты қанағаттандыра алмайды. Сондай-ақ, сыншылар тұтынушылардың тіпті жеке өмірге қатысты саясаттарды оқитынына немесе оқығандарын түсіне алатынына күмән келтіреді. 2001 жылы Privacy Leadership Initiative жүргізген зерттеуде тұтынушылардың тек 3%-ы жеке өмірге қатысты саясатты мұқият оқығаны, ал 64%-ы оны бетке қарай қарап шыққан немесе ешқашан оқымағаны анықталды. Веб-сайтты пайдаланушы жеке өмірге қатысты мәлімдемені оқығаннан кейін, веб-сайттың сенімділігіне бұрынғыдан да күмәндануы мүмкін. Мүмкін болатын мәселе – саясаттардың ұзақтығы мен күрделілігі. 2008 жылғы Карнеги-Меллон университетінің зерттеуіне сәйкес, жеке өмірге қатысты саясаттың орташа ұзындығы 2500 сөзді құрайды және оны оқуға орташа есеппен 10 минут уақыт керек. Зерттеуде «жеке өмірге қатысты ережелерді оқу қиын» және нәтижесінде «сирек оқылады» делінген. Алайда, ақпаратты көбірек түсінікті етуге жасалған барлық күш-жігер оны осылай жеңілдетіп, пайдаланушылардың деректері қаншалықты бөлісіліп, сатылатынын толыққанды көрсетпейді. Бұл «ашықтық парадоксы» деп аталады. Зерттеушілер компаниялардың веб-сайттарының жеке өмірге қатысты саясатын бағалау үшін көптеген зерттеулер жүргізді. Бір зерттеуде компаниялардың жеке өмірге қатысты саясатының тиімділігін автоматты түрде бағалау үшін ұсынылған шешім ретінде табиғи тілді өңдеу және терең оқыту қолданылады, бұл пайдаланушылардың көбірек хабардар болуына көмектеседі.

Many critics have attacked the efficacy and legitimacy of privacy policies found on the Internet. Concerns exist about the effectiveness of industry regulated privacy policies. For example, a 2000 FTC report Privacy Online: Fair Information Practices in the Electronic Marketplace found that while the vast majority of websites surveyed had some manner of privacy disclosure, most did not meet the standard set in the FTC Principles. In addition, many organizations reserve the express right to unilaterally change the terms of their policies. In June 2009 the EFF website TOSback began tracking such changes on 56 popular internet services, including monitoring the privacy policies of Amazon, Google and Facebook. There are also questions about whether consumers understand privacy policies and whether they help consumers make more informed decisions. A 2002 report from the Stanford Persuasive Technology Lab contended that a website's visual designs had more influence than the website's privacy policy when consumers assessed the website's credibility. A 2007 study by Carnegie Mellon University claimed "when not presented with prominent privacy information " consumers were " likely to make purchases from the vendor with the lowest price, regardless of that site's privacy policies". However, the same study also showed that when information about privacy practices is clearly presented, consumers prefer retailers who better protect their privacy and some are willing to "pay a premium to purchase from more privacy protective websites". Furthermore, a 2007 study at the University of California, Berkeley found that "75% of consumers think as long as a site has a privacy policy it means it won't share data with third parties," confusing the existence of a privacy policy with extensive privacy protection. Based on the common nature of this misunderstanding, researcher Joseph Turow argued to the U. S. Federal Trade Commission that the term "privacy policy" thus constitutes a deceptive trade practice and that alternative phrasing like "how we use your information" should be used instead. Privacy policies suffer generally from a lack of precision, especially when compared with the emerging form of the Data Use Statement. Where privacy statements provide a more general overview of data collection and use, data use statements represent a much more specific treatment. As a result, privacy policies may not meet the increased demand for transparency that data use statements provide. Critics also question if consumers even read privacy policies or can understand what they read. A 2001 study by the Privacy Leadership Initiative claimed only 3% of consumers read privacy policies carefully, and 64% briefly glanced at, or never read privacy policies. The average website user once having read a privacy statement may have more uncertainty about the trustworthiness of the website than before. One possible issue is length and complexity of policies. According to a 2008 Carnegie Mellon study, the average length of a privacy policy is 2,500 words and requires an average of 10 minutes to read. The study cited that "Privacy policies are hard to read" and, as a result, "read infrequently". However, any efforts to make the information more presentable simplify the information to the point that it does not convey the extent to which users' data is being shared and sold. This is known as the "transparency paradox". There have been many studies carried out by researchers to evaluate the privacy policies of the websites of companies. One study uses natural language processing and deep learning as a proposed solution to automatically assess the efficiency of companies' privacy policies, in order to help the users become more aware.