Жеке деректерді өңдеу туралы ЕО директивасы

Кіріспе

Деректерді қорғау директивасы, ресми түрде 95/46/EC директивасы, 1995 жылдың қазанында қабылданды және Еуропалық Одақ (ЕО) шегінде жеке деректерді өңдеуді және мұндай деректердің еркін қозғалысын реттейтін Еуропалық Одақтың директивасы болды. Деректерді қорғау директивасы – ЕО-ның жеке өмірге қатысты құқықтары мен адам құқықтары заңнамасының маңызды бір бөлігі еді. Деректерді қорғау директивасында белгіленген принциптер жеке деректерді өңдеу кезінде негізгі құқықтар мен бостандықтарды қорғауға бағытталған. 2016 жылдың сәуірінде қабылданған Жалпы деректерді қорғау регламенті Деректерді қорғау директивасын жойды және 2018 жылдың 25 мамырында күшіне енді.

Мазмұны

Бұл директива жеке деректерді өңдеу автоматты түрде жүзеге асырылса да, немесе жүзеге асырылмаса да, оны реттейді.

Қолданылу аясы

Жеке деректер "анықталған немесе анықталатын жеке тұлғаға ("деректер субъектісіне") қатысты кез келген ақпарат" деп анықталады; анықталатын тұлға – тікелей немесе жанама түрде, атап айтқанда, сәйкестендіру нөміріне немесе оның физикалық, физиологиялық, психикалық, экономикалық, мәдени немесе әлеуметтік сәйкестігіне тән бір немесе бірнеше факторларға сілтеме жасай отырып анықталатын адам" (1-бап, 2 а) тармақ). Бұл анықтама өте кең болуы тиіс. Деректер, егер біреу ақпаратты адамға байланыстыра алса, тіпті деректерді ұстап тұрған адам бұл байланысты жасай алмаса да, "жеке деректер" болып саналады. "Жеке деректер" мысалдары: мекенжай, несие картасының нөмірі, банк шоттары, соттылық жазбалар және т.б. "Деректерді өңдеу" деген ұғым "жеке деректерге қатысты автоматты немесе автоматтандырылмаған жолмен орындалатын кез келген операция немесе операциялар жиынтығы, мысалы, жинау, тіркеу, ұйымдастыру, сақтау, бейімдеу немесе өзгерту, алу, сұрау, пайдалану, тарату, беру немесе басқаша қолжеткізу, сәйкестендіру немесе біріктіру, бұғаттау, жою немесе жоғалту" (1-бап, 2 б) тармақ) болып табылады. Осыған сәйкес, "жауапты тұлға" – жеке немесе заңды тұлға, мемлекеттік орган, агенттік немесе жеке немесе басқалармен бірлесіп жеке деректерді өңдеудің мақсаттары мен тәсілдерін анықтайтын кез келген басқа орган" (2 д-бап қараңыз). Деректерді қорғау ережелері тек жауапты тұлға ЕО-да орналасқан жағдайда ғана емес, сонымен қатар деректерді өңдеу үшін ЕО-да орналасқан жабдықты пайдаланған кезде де қолданылады (4-бап). ЕО-дан тыс жерде орналасқан және ЕО-да деректерді өңдейтін жауапты тұлғалар деректерді қорғау ережелерін сақтауға міндетті. Кез келген онлайн бизнес, ЕО тұрғындарымен сауда жасаса, белгілі бір жеке деректерді өңдейді және деректерді өңдеу үшін ЕО-дағы жабдықты (мысалы, клиенттің компьютерін) пайдаланады. Осыған байланысты веб-сайт операторы Еуропалық деректерді қорғау ережелерін сақтауға тиіс. Бұл директива Интернет кеңінен таралғанға дейін жазылған, және қазіргі таңда осы мәселе бойынша сот практикасы аз.

Personal data are defined as "any information relating to an identified or identifiable natural person ('data subject'); an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity" (art. 2 a). This definition is meant to be very broad. Data are "personal data" when someone is able to link the information to a person, even if the person holding the data cannot make this link. Some examples of "personal data" are: address, credit card number, bank statements, criminal record, etc. The notion processing means "any operation or set of operations which is performed upon personal data, whether or not by automatic means, such as collection, recording, organization, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, blocking, erasure or destruction" (art. 2 b). The responsibility for compliance rests on the shoulders of the "controller", meaning the natural or artificial person, public authority, agency or any other body which alone or jointly with others determines the purposes and means of the processing of personal data (art. 2 d). The data protection rules are applicable not only when the controller is established within the EU, but whenever the controller uses equipment situated within the EU in order to process data. (art. 4) Controllers from outside the EU, processing data in the EU, will have to follow data protection regulation. In principle, any online business trading with EU residents would process some personal data and would be using equipment in the EU to process the data (i. e. the customer's computer). As a consequence, the website operator would have to comply with the European data protection rules. The directive was written before the breakthrough of the Internet, and to date there is little jurisprudence on this subject.

Негізгі қағидалар

Жеке деректер белгілі бір шарттар сақталмаса, мүлдем өңделмеуі керек. Бұл шарттар үш санатқа бөлінеді: ашықтық, заңды мақсат және қажеттілік принципі.

Ашықдық

Деректер субъектісі өзінің жеке деректері өңделген кезде хабардар болуға құқылы. Деректерді өңдеуші өзінің атын-жөнін, мекенжайын, өңдеу мақсатын, деректерді алушыларды және өңдеудің заңдылығын қамтамасыз ету үшін қажетті барлық басқа ақпаратты ұсынуға міндетті. (бап 10 және 11)

Деректерді өңдеу тек төмендегі шарттардың бірі орындалған жағдайда ғана жүзеге асырылуы мүмкін (бап 7):
деректер субъектісінің келісімі алынғанда; шартты орындау немесе жасасу үшін өңдеу қажет болғанда; заңдық міндеттемелерді орындау үшін өңдеу қажет болғанда; деректер субъектісінің өмірлік маңызды мүдделерін қорғау үшін өңдеу қажет болғанда; өңдеу, деректерді өңдеушіге немесе деректерді тапсырған үшінші тарапқа берілген мемлекеттік билік өкілеттігі шеңберінде немесе қоғамдық мүддедегі міндетті орындау үшін қажет болғанда; деректерді өңдеушінің немесе деректерді тапсырған үшінші тараптардың заңды мүдделерін қамтамасыз ету үшін өңдеу қажет болғанда, егер бұл мүдделер деректер субъектісінің негізгі құқықтары мен бостандықтарына қарсы келмесе. Деректер субъектісі өзі туралы өңделген барлық деректерге қол жеткізуге құқылы. Деректер субъектісі толық емес, дұрыс емес немесе деректерді қорғау қағидаларына сәйкес өңделмеген деректерді түзетуді, жоюды немесе қолданудан тоқтатуды талап етуге құқылы. (бап 12)

Заңды мақсат

Жеке деректер тек қана нақты, айқын және заңды мақсаттар үшін өңделуі мүмкін, және бұл мақсаттарға қайшы келетіндей жаңадан өңделуіне жол жоқ. (6-бап б) Жеке деректердің дұрыс пайдаланылмауына қорғау және Еуроодақ заңнамасымен кепілдендірілген дерек иелерінің белгілі бір құқықтарын құрметтеу қамтамасыз етілуі тиіс.

Мүше мемлекеттердің орындауы

ЕО директивалары мүше мемлекеттерге бағытталған, және принцип бойынша жеке тұлғалар үшін заңдық күші жоқ. Мүше мемлекеттер директиваны ұлттық заңнамаға көшіруге міндетті. Жеке деректерді қорғау туралы 95/46/ЕҚ директивасын 1998 жылдың соңына дейін ұлттық заңнамаға енгізу қажет болды. Барлық мүше мемлекеттер өздерінің деректерді қорғау заңдарын қабылдады.