Управление персональными данными и политика конфиденциальности.

Введение

Управление персональными данными на различных носителях

Политика конфиденциальности – это заявление или юридический документ (в области законодательства о конфиденциальности), раскрывающий некоторые или все способы сбора, использования, раскрытия и управления данными клиента или заказчика. Персональная информация может включать любые данные, которые могут быть использованы для идентификации личности, в том числе имя, адрес, дату рождения, семейное положение, контактную информацию, дату выдачи и срок действия удостоверения личности, финансовые записи, кредитную информацию, историю болезни, места поездок и намерения приобрести товары и услуги. В случае с бизнесом, это часто заявление, определяющее политику организации в отношении сбора, хранения и передачи персональной информации. Оно информирует клиента о том, какая конкретная информация собирается, и сохраняется ли она конфиденциальной, передается ли партнерам или продается другим компаниям или предприятиям. Политики конфиденциальности обычно представляют собой более широкий и обобщенный подход, в отличие от заявлений об использовании данных, которые, как правило, более детальные и конкретные. Конкретное содержание политики конфиденциальности зависит от применимого законодательства и может потребовать учета требований, охватывающих географические границы и правовые юрисдикции. Большинство стран имеют собственное законодательство и руководящие принципы, определяющие круг лиц, на которых распространяется действие закона, какую информацию можно собирать и для каких целей она может быть использована. В целом, законы о защите данных в Европе распространяются как на частный, так и на государственный сектор. Их законы о конфиденциальности применяются не только к деятельности государственных органов, но и к частным предприятиям и коммерческим сделкам.

История

В 1968 году Совет Европы начал изучать влияние технологий на права человека, признавая новые угрозы, создаваемые компьютерными технологиями, которые могли связывать и передавать информацию способами, ранее не широко доступными. В 1969 году Организация экономического сотрудничества и развития (ОЭСР) начала изучать последствия вывоза персональных данных за пределы страны. Все это привело к рекомендации Совета разработать политику защиты персональных данных, хранящихся как в частном, так и в государственном секторах, что в итоге привело к созданию Конвенции 108. В 1981 году была принята Конвенция о защите физических лиц в отношении автоматизированной обработки персональных данных (Конвенция 108). Одним из первых законов о защите частной жизни, когда-либо принятых, стал шведский Закон о данных 1973 года, за которым последовали Закон о защите данных ФРГ 1977 года и французский Закон об информатике, базах данных и свободах 1978 года. В Соединенных Штатах обеспокоенность политикой конфиденциальности, возникшая в конце 1960-х и 1970-х годов, привела к принятию Закона о справедливой кредитной отчетности. Хотя этот закон изначально не был задуман как закон о конфиденциальности, он предоставил потребителям возможность изучать свои кредитные отчеты и исправлять ошибки. Он также установил ограничения на использование информации из кредитных записей. Несколько исследовательских групп Конгресса в конце 1960-х годов изучали растущую легкость, с которой автоматизированная персональная информация могла собираться и сопоставляться с другими данными. Одной из таких групп был консультативный комитет Министерства здравоохранения, образования и социального обеспечения США, который в 1973 году разработал кодекс принципов, известный как "Принципы справедливой информационной практики". Работа консультативного комитета привела к принятию Закона о конфиденциальности в 1974 году. Соединенные Штаты подписали Руководящие принципы ОЭСР в 1980 году для своих государств-членов. В результате многие организации, ведущие бизнес в ЕС, начали разрабатывать политику для соответствия этой Директиве. В том же году Федеральная торговая комиссия США (FTC) опубликовала Принципы справедливой информации, которые представляли собой набор не имеющих обязательной силы руководящих принципов для коммерческого использования персональных данных. Хотя эти принципы не устанавливали обязательных требований к политике, они давали рекомендации по разработке политики конфиденциальности в связи с возникающими проблемами. В Соединенных Штатах нет единого федерального закона, устанавливающего универсальное внедрение политики конфиденциальности. Конгресс неоднократно рассматривал комплексные законы, регулирующие сбор информации в Интернете, такие как Закон об усилении защиты конфиденциальности потребителей в Интернете и Закон о защите конфиденциальности в Интернете 2001 года, но ни один из них не был принят. В 2001 году FTC выразила явное предпочтение "усилению правоохранительной деятельности, а не увеличению количества законов" и поддержала продолжение акцента на саморегулировании отрасли. В ряде случаев FTC обеспечивает соблюдение условий политики конфиденциальности, рассматривая их как обещания, данные потребителям, опираясь на полномочия, предоставленные ей разделом 5 Закона о FTC, который запрещает недобросовестные или вводящие в заблуждение методы маркетинга. Полномочия FTC в некоторых случаях ограничены законом; например, авиакомпании находятся в ведении Федерального управления гражданской авиации (FAA), а операторы сотовой связи – в ведении Федеральной комиссии по связи (FCC). В некоторых случаях частные лица обеспечивают соблюдение условий политики конфиденциальности путем подачи коллективных исков, которые могут привести к мировому соглашению или судебному решению. Однако такие иски часто невозможны из-за арбитражных оговорок в политике конфиденциальности или других соглашений об условиях обслуживания.

In 1968, the Council of Europe began to study the effects of technology on human rights, recognizing the new threats posed by computer technology that could link and transmit in ways not widely available before. In 1969 the Organisation for Economic Co operation and Development (OECD) began to examine the implications of personal information leaving the country. All this led the council to recommend that policy be developed to protect personal data held by both the private and public sectors, leading to Convention 108. In 1981, Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (Convention 108) was introduced. One of the first privacy laws ever enacted was the Swedish Data Act in 1973, followed by the West German Data Protection Act in 1977 and the French Law on Informatics, Data Banks and Freedoms in 1978. In the United States, concern over privacy policy starting around the late 1960s and 1970s led to the passage of the Fair Credit Reporting Act. Although this act was not designed to be a privacy law, the act gave consumers the opportunity to examine their credit files and correct errors. It also placed restrictions on the use of information in credit records. Several congressional study groups in the late 1960s examined the growing ease with which automated personal information could be gathered and matched with other information. One such group was an advisory committee of the United States Department of Health and Human Services, which in 1973 drafted a code of principles called the Fair Information Practices. The work of the advisory committee led to the Privacy Act in 1974. The United States signed the Organisation for Economic Co operation and Development guidelines in 1980. for its member states. As a result, many organizations doing business within the EU began to draft policies to comply with this Directive. In the same year, the U. S. Federal Trade Commission (FTC) published the Fair Information Principles which provided a set of non binding governing principles for the commercial use of personal information. While not mandating policy, these principles provided guidance of the developing concerns of how to draft privacy policies. The United States does not have a specific federal regulation establishing universal implementation of privacy policies. Congress has, at times, considered comprehensive laws regulating the collection of information online, such as the Consumer Internet Privacy Enhancement Act and the Online Privacy Protection Act of 2001, but none have been enacted. In 2001, the FTC stated an express preference for "more law enforcement, not more laws" and promoted continued focus on industry self regulation. In many cases, the FTC enforces the terms of privacy policies as promises made to consumers using the authority granted by Section 5 of the FTC Act which prohibits unfair or deceptive marketing practices. The FTC's powers are statutorily restricted in some cases; for example, airlines are subject to the authority of the Federal Aviation Administration (FAA), and cell phone carriers are subject to the authority of the Federal Communications Commission (FCC). In some cases, private parties enforce the terms of privacy policies by filing class action lawsuits, which may result in settlements or judgments. However, such lawsuits are often not an option, due to arbitration clauses in the privacy policies or other terms of service agreements.

Канада

Федеральный закон Канады о конфиденциальности, применимый к частному сектору, официально называется Законом о защите персональных данных и электронных документов (PIPEDA). Целью закона является установление правил, регулирующих сбор, использование и раскрытие персональной информации коммерческими организациями. Организация вправе собирать, раскрывать и использовать объем информации, который разумный человек посчитал бы уместным в данных обстоятельствах. Закон учреждает Комиссара по защите конфиденциальности Канады в качестве омбудсмена для рассмотрения любых жалоб, поданных на организации. Комиссар стремится к решению проблем посредством добровольного соблюдения, а не жестких мер принуждения. Комиссар проводит расследования жалоб, аудиты, повышает осведомленность и осуществляет исследования в области защиты конфиденциальности.

Программы сертификации конфиденциальности в Интернете

Онлайн-сертификация или программы "seal" — пример саморегулирования отраслью в области политики конфиденциальности. Программы сертификации обычно требуют внедрения принципов справедливой информационной практики, установленных программой сертификации, и могут предусматривать постоянный мониторинг соответствия. TRUSTArc (ранее TRUSTe), первая программа онлайн-сертификации конфиденциальности, к 2007 году насчитывала более 1800 участников. К другим программам онлайн-сертификации относятся Trust Guard Privacy Verified и Webtrust.

Техническое внедрение

Некоторые веб-сайты также определяют свою политику конфиденциальности, используя P3P или Ассоциацию рейтингового контента в Интернете (ICRA), что позволяет браузерам автоматически оценивать уровень конфиденциальности, предоставляемый сайтом, и разрешать доступ только в том случае, если методы обеспечения конфиденциальности сайта соответствуют настройкам конфиденциальности пользователя. Однако эти технические решения не гарантируют, что веб-сайты фактически соблюдают заявленные политики конфиденциальности. Для реализации этих решений также требуется от пользователей определенный уровень технических знаний для настройки параметров конфиденциальности в браузере. Эти автоматизированные политики конфиденциальности не получили широкого распространения ни среди веб-сайтов, ни среди пользователей. Чтобы снизить сложность понимания отдельных политик конфиденциальности, Йосанг, Фрич и Малер предложили использовать повторно используемые, сертифицированные политики, доступные на сервере политик.

Критика

Многие критики подвергли сомнению эффективность и легитимность политик конфиденциальности, размещенных в Интернете. Существуют опасения относительно действенности политик конфиденциальности, регулируемых отраслью. Например, в отчете FTC за 2000 год "Конфиденциальность в сети: принципы справедливой информационной практики на электронном рынке" было установлено, что, хотя подавляющее большинство проанализированных веб-сайтов содержали ту или иную форму уведомления о конфиденциальности, большинство из них не соответствовали стандартам, установленным принципами FTC. Кроме того, многие организации оставляют за собой исключительное право в одностороннем порядке изменять условия своих политик. В июне 2009 года веб-сайт TOSback от EFF начал отслеживать такие изменения на 56 популярных интернет-сервисах, включая мониторинг политик конфиденциальности Amazon, Google и Facebook. Также возникают вопросы о том, понимают ли потребители политики конфиденциальности и помогают ли они принимать более взвешенные решения. В отчете Стэнфордской лаборатории убедительных технологий за 2002 год утверждалось, что визуальное оформление веб-сайта оказывает большее влияние, чем его политика конфиденциальности, при оценке потребителями его надежности. Исследование 2007 года, проведенное Университетом Карнеги — Меллона, показало, что "когда потребителям не предоставляется заметная информация о конфиденциальности", они "с большей вероятностью совершают покупки у продавца с самой низкой ценой, независимо от политики конфиденциальности этого сайта". Однако то же исследование показало, что когда информация о практике конфиденциальности представлена четко, потребители предпочитают продавцов, которые лучше защищают их конфиденциальность, и некоторые готовы "платить больше за покупки на веб-сайтах с более надежной защитой конфиденциальности". Кроме того, исследование 2007 года Калифорнийского университета в Беркли показало, что "75% потребителей считают, что наличие политики конфиденциальности на сайте означает, что он не будет делиться данными с третьими сторонами", путая само наличие политики конфиденциальности с всесторонней защитой конфиденциальности. Исходя из распространенности этого заблуждения, исследователь Джозеф Туроу заявил Федеральной торговой комиссии США, что термин "политика конфиденциальности" таким образом является обманчивой торговой практикой и что вместо него следует использовать альтернативные формулировки, такие как "как мы используем вашу информацию". Политики конфиденциальности, как правило, страдают от недостаточной точности, особенно по сравнению с развивающейся формой Заявления об использовании данных. В то время как заявления о конфиденциальности предоставляют общий обзор сбора и использования данных, заявления об использовании данных представляют собой гораздо более детальное описание. В результате политики конфиденциальности могут не соответствовать растущему спросу на прозрачность, обеспечиваемому заявлениями об использовании данных. Критики также сомневаются, читают ли потребители вообще политики конфиденциальности и способны ли понять прочитанное. Исследование 2001 года, проведенное Privacy Leadership Initiative, показало, что только 3% потребителей внимательно читают политики конфиденциальности, а 64% лишь бегло просматривают их или вообще не читают. Средний пользователь веб-сайта, прочитав заявление о конфиденциальности, может испытывать еще большую неуверенность в надежности сайта, чем раньше. Одной из возможных проблем является длина и сложность политик. Согласно исследованию Карнеги — Меллона за 2008 год, средняя длина политики конфиденциальности составляет 2500 слов и требует в среднем 10 минут для прочтения. В исследовании отмечается, что "политики конфиденциальности трудно читать" и, как следствие, "их редко читают". Однако любые попытки сделать информацию более понятной упрощают ее до такой степени, что она не передает в полной мере, насколько широко данные пользователей передаются и продаются. Это известно как "парадокс прозрачности". Исследователи провели множество исследований для оценки политик конфиденциальности веб-сайтов компаний. В одном из исследований в качестве предлагаемого решения используется обработка естественного языка и глубокое обучение для автоматической оценки эффективности политик конфиденциальности компаний, чтобы помочь пользователям быть более осведомленными.

Many critics have attacked the efficacy and legitimacy of privacy policies found on the Internet. Concerns exist about the effectiveness of industry regulated privacy policies. For example, a 2000 FTC report Privacy Online: Fair Information Practices in the Electronic Marketplace found that while the vast majority of websites surveyed had some manner of privacy disclosure, most did not meet the standard set in the FTC Principles. In addition, many organizations reserve the express right to unilaterally change the terms of their policies. In June 2009 the EFF website TOSback began tracking such changes on 56 popular internet services, including monitoring the privacy policies of Amazon, Google and Facebook. There are also questions about whether consumers understand privacy policies and whether they help consumers make more informed decisions. A 2002 report from the Stanford Persuasive Technology Lab contended that a website's visual designs had more influence than the website's privacy policy when consumers assessed the website's credibility. A 2007 study by Carnegie Mellon University claimed "when not presented with prominent privacy information " consumers were " likely to make purchases from the vendor with the lowest price, regardless of that site's privacy policies". However, the same study also showed that when information about privacy practices is clearly presented, consumers prefer retailers who better protect their privacy and some are willing to "pay a premium to purchase from more privacy protective websites". Furthermore, a 2007 study at the University of California, Berkeley found that "75% of consumers think as long as a site has a privacy policy it means it won't share data with third parties," confusing the existence of a privacy policy with extensive privacy protection. Based on the common nature of this misunderstanding, researcher Joseph Turow argued to the U. S. Federal Trade Commission that the term "privacy policy" thus constitutes a deceptive trade practice and that alternative phrasing like "how we use your information" should be used instead. Privacy policies suffer generally from a lack of precision, especially when compared with the emerging form of the Data Use Statement. Where privacy statements provide a more general overview of data collection and use, data use statements represent a much more specific treatment. As a result, privacy policies may not meet the increased demand for transparency that data use statements provide. Critics also question if consumers even read privacy policies or can understand what they read. A 2001 study by the Privacy Leadership Initiative claimed only 3% of consumers read privacy policies carefully, and 64% briefly glanced at, or never read privacy policies. The average website user once having read a privacy statement may have more uncertainty about the trustworthiness of the website than before. One possible issue is length and complexity of policies. According to a 2008 Carnegie Mellon study, the average length of a privacy policy is 2,500 words and requires an average of 10 minutes to read. The study cited that "Privacy policies are hard to read" and, as a result, "read infrequently". However, any efforts to make the information more presentable simplify the information to the point that it does not convey the extent to which users' data is being shared and sold. This is known as the "transparency paradox". There have been many studies carried out by researchers to evaluate the privacy policies of the websites of companies. One study uses natural language processing and deep learning as a proposed solution to automatically assess the efficiency of companies' privacy policies, in order to help the users become more aware.