Рекомендация № CM/Rec(2021)8 Комитета министров Совета Европы государствам-членам

«О защите физических лиц при автоматизированной обработке персональных данных с целью создания профилей»

(Принята 03.11.2021 на 1416-м заседании представителей министров)

---

<*>Перевод с английского ООО «Развитие правовых систем».

Комитет Министров Совета Европы в соответствии со статьей 15.b Устава Совета Европы,

учитывая, что целью Совета Европы является достижение бульшего единства между его государствами-членами,

напоминая, что цифровые технологии позволяют осуществлять широкомасштабную обработку данных, включая персональные данные, как в государственном, так и в частном секторах, используемые для широкого круга целей, в том числе для услуг, общепризнанных и востребованных обществом и отдельными лицами,

отмечая, что данные обрабатываются, в частности, с помощью вычислений, сравнений, корреляции и других статистических методов для создания профиля или моделей, которые можно использовать различными способами для разных целей путем сопоставления данных нескольких лиц,

учитывая, что, имея возможность отслеживать и объединять большие массивы данных, в том числе анонимных, технологии создания профиля могут оказывать влияние на субъектов персональных данных, распределяя их по предварительно заданным категориям, зачастую без их ведома,

учитывая, что недостаточная прозрачность или даже просто «невидимость» при создании профиля и отсутствие точности, которая может быть обусловлена автоматическим применением предварительно заданных правил вывода, могут создавать значительные риски для осуществления прав и свобод человека,

отмечая, что данные, обрабатываемые при создании профиля, могут включать особые категории персональных данных, в частности биометрические данные, ненадлежащее использование которых может причинить непоправимый ущерб субъектам персональных данных, поскольку эти данные могут использоваться для доступа к различным услугам и иметь правовые последствия,

учитывая, в частности, что защита основных прав, особенно прав на неприкосновенность частной жизни и защиту личных данных, гарантирует существование различных независимых сфер жизни, в которых каждый человек может сам контролировать информацию,

принимая во внимание особую уязвимость некоторых категорий лиц, в отношении которых создаются профили, в частности детей, и возможность возникновения серьезных последствий создания подобных профилей, иногда на всю оставшуюся жизнь,

осознавая интенсификацию и диверсификацию процесса создания профиля отдельных лиц во всех сферах деятельности,

принимая во внимание положения Конвенции «О защите физических лиц при автоматизированной обработке персональных данных» от 28 января 1981 г. (ETS № 108, далее — Конвенция № 108) с учетом изменений, внесенных Протоколом о внесении поправок (CETS № 223) <*>, и будучи убежденным в желательности содействия применению этих принципов в контексте создания профиля,

---

<*> Протокол о внесении поправок в Конвенцию № 108 (CETS № 223) был открыт для подписания 10 октября 2018 г., и обновленная Конвенция еще не вступила в силу. В дальнейшем он именуется Конвенция № 108+.

подчеркивая, что государства-члены обязаны обеспечивать соблюдение соответствующей нормативно-правовой базы и гарантировать процессуальные, организационные и материально-правовые меры защиты, а также доступ к эффективным средствам правовой защиты всем заинтересованным лицам, одновременно способствуя созданию условий, при которых технологические инновации не умаляют и не нарушают права человека и соблюдают фундаментальное обязательство, согласно которому любое ограничение прав человека должно быть необходимым и соразмерным в демократическом обществе и осуществляться в соответствии с законом,

осознавая, что с момента принятия Рекомендации Комитета Министров Совета Европы государствам-членам № CM/Rec(2010)13 «О защите физических лиц при автоматизированной обработке персональных данных в контексте профилирования» <*> ситуация значительно изменилась и что как методы, так и влияние процесса создания профиля существенно изменились,

---

<*> См.: Рекомендации Комитета Министров Совета Европы в европейском правовом пространстве / пер. с англ. И.В. Артамонова [и др.]; ред. Н.С. Степанов. М.: Развитие правовых систем, 2021. С. 669 — 685 (примеч. редактора).

принимая во внимание, что цифровые технологии обладают значительным потенциалом для стимулирования инноваций и роста и что достижение этих целей должно основываться на общих ценностях демократических обществ,

отмечая, что быстрое развитие используемых технологий и возможностей алгоритмических систем сопровождается постоянным увеличением объема обрабатываемых персональных данных, и что, открывая путь для инноваций и роста, это совокупное воздействие факторов в то же время может создавать риски как на уровне отдельного человека, так и на уровне коллектива,

отмечая, что указанные события требуют обновления упомянутой выше Рекомендации № CM/Rec(2010)13 с надлежащим учетом Рекомендации Комитета Министров Совета Европы государствам-членам № CM/Rec(2020)1 «О влиянии алгоритмических систем на права человека» <*>,

---

<*> См.: Рекомендации Комитета Министров Совета Европы в европейском правовом пространстве = Recommendations of the Commitee of Ministers in European Legal Field / ред. Н. С. Степанов, пер. с англ. И. В. Артамонова [и др.]. — М.: Развитие правовых систем, 2021. С. 1411 — 1447 (примеч. редактора).

рекомендует властям государств — членов Совета Европы:

• учитывать принципы, изложенные в Приложении к настоящей Рекомендации, которая принимается взамен упомянутой выше Рекомендации № CM/Rec(2010)13, в своем законодательстве и правоприменительной практике;
• обеспечить перевод и максимально широкое распространение настоящей Рекомендации и Приложения к ней среди уполномоченных органов и заинтересованных сторон, включая органы контроля, правозащитные организации, организации гражданского общества и частного сектора экономики;
• содействовать принятию и применению принципов, изложенных в Приложении к настоящей Рекомендации, всеми заинтересованными сторонами, обеспечивая соблюдение действующего законодательства и выполнение своих обязанностей по соблюдению прав человека субъектами частного сектора экономики, участвующими в проектировании, разработке и внедрении деятельности по созданию профиля.

Приложение

1. Определения

Для целей настоящей Рекомендации:

a. «Персональные данные» означают любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу (далее — субъект персональных данных). Физическое лицо не считается «идентифицируемым», если процесс идентификации требует неоправданно длительного времени, ресурсов или усилий по отношению к средствам, имеющимся в распоряжении контролера.

b. «Категории обрабатываемых персональных данных» означают различные виды данных, используемых в процессе создания профиля, независимо от их источника и характера.

c. «Создание профиля» — любая форма автоматизированной обработки персональных данных, включая использование систем машинного обучения, заключающаяся в использовании данных для оценки определенных аспектов личности человека, в частности, для анализа или прогнозирования аспектов, касающихся выполнения им работы, его экономического положения, здоровья, личных предпочтений, интересов, надежности, поведения, местонахождения или передвижений.

d. «Профиль» — набор данных, относящихся к физическому лицу, либо характеризующих категорию лиц, либо предназначенных для применения к физическому лицу.

e. «Модель» — математическая абстракция, используемая, например, в методах автоматического обучения, предусматривающая упрощенное описание данных для решения поставленной задачи.

f. «Искусственный интеллект» (далее — ИИ) означает систему, которая либо основана на программном обеспечении, либо встроена в аппаратные устройства и которая демонстрирует разумное поведение, inter alia, путем сбора и обработки данных, анализа и интерпретации условий, в которых она находится, а также путем действий, выполняемых с определенной степенью самостоятельности, для достижения конкретных целей.

g. «Обработка данных для машинного обучения» означает обработку с использованием определенных методов искусственного интеллекта, основанных на статистических подходах, чтобы дать компьютерам возможность «учиться» с помощью данных, то есть улучшать свою производительность при решении задач, не будучи запрограммированными конкретно для решения каждой из них.

h. «Автоматизированная система принятия решений» — система, которая использует автоматизированный анализ, чтобы помочь или самостоятельно участвовать в процессе принятия решений, в котором в противном случае участвовали бы люди.

i. «Онлайн-посредические услуги» означает услуги в рамках информационного общества, которые позволяют пользователям получать информацию (услуги онлайн-поиска), товары или услуги или устанавливать отношения (услуга доступа к социальной сети).

j. «Создание профиля с высоким уровнем риска» может относиться, inter alia, к:

i) операциям по созданию профиля, которые влекут за собой правовые последствия или ока-зывают значительное влияние на субъектов персо-нальных данных или на группу лиц, определенных в результате создания указанного профиля;

ii) созданию профиля, которое сопряжено с риском чрезмерного воздействия или влияния на субъектов персональных данных, особенно несовершеннолетних и других уязвимых лиц, по признаку целевой аудитории, контекста или цели создания профиля, особенно в ситуации неравенства информационных возможностей;

iii) созданию профиля, которое включает данные, квалифицируемые как особые категории данных в соответствии со статьей 6 Конвенции 108+, или которое направлено на обнаружение или прогнозирование этих данных;

iv) созданию профиля, которое затрагивает очень большое количество людей, включая создание профиля, осуществляемое онлайн-посредниками для их собственного использования или использования третьими лицами.

2. Общие принципы

2.1. Уважение основных прав и свобод, в частности прав на человеческое достоинство и на неприкосновенность частной жизни, на свободу выражения мнения, а также принципа запрещения дискриминации, создание необходимых условий обеспечения социальной справедливости, культурного разнообразия и демократии должны быть гарантированы как в государственном, так и в частном секторах в ходе работ по созданию профиля, охватываемых настоящей Рекомендацией.

2.2. Создание профиля должно способствовать или, по крайней мере, не оказывать отрицательного влияния как на благополучие людей, так и на развитие инклюзивного, демократического и устойчивого общества.

2.3. В условиях все более широкого использования больших данных собираются как персональные, так и данные, не относящиеся к ним. Кроме того, при автоматизированной обработке, основанной, в частности, на использовании систем машинного обучения, трудно знать априори, какие данные позволят делать корреляции или прогнозы в отношении субъекта персональных данных. В таких случаях в целях объективной обработки персональных данных организации должны обеспечивать актуальность и качество всех данных, включая данные, не относящиеся к персональным, которые могли бы служить источником корреляций или прогнозов относительно субъекта персональных данных.

2.4. Все автоматизированные системы принятия решений разработаны людьми, и в той или иной степени люди участвуют в их работе. В конечном счете люди несут ответственность за то, как система получает свои исходные данные (например, кто собирает данные, которые поступают в систему), как система используется, и как выходные данные системы интерпретируются и какие в соответствии с ними совершаются действия. Системы (особенно основанные на ИИ) должны допускать оперативное вмешательство человека, когда это уместно или необходимо, для обеспечения их законного функционирования, в том числе для соблюдения принципа справедливости и запрета дискриминации.

2.5. Государствам-членам следует поощрять разработку и внедрение процедур и систем, которые бы гарантировали конфиденциальность и защиту данных уже на стадии планирования (встроенная конфиденциальность) и в течение всего периода обработки данных, в частности, с помощью использования технологий, повышающих конфиденциальность. Им также необходимо принимать надлежащие меры для борьбы с разработкой и использованием технологий, которые полностью или частично направлены на незаконный обход технологических мер, защищающих право на частную жизнь.

2.6. Создание профиля не должно приводить к дискриминации в отношении людей, групп или сообществ. Оно не должно подрывать ни достоинство личности, ни принципы демократии. Использование автоматизированных систем принятия решений должно сохранять возможность самостоятельного вмешательства человека в процесс принятия решений.

2.7. Создание профиля не может выполняться с целью манипулирования субъектами персональных данных или близкими им лицами, в том числе в отношении их выбора или взглядов.

2.8. По меньшей мере в случаях, когда требуется согласие субъекта персональных данных, поставщики услуг, и в частности онлайн-посредники, должны предоставлять субъектам персональных данных возможность участвовать в создании профиля и делать выбор между различными целями или степенями создания профиля. Субъект персональных данных должен быть проинформирован обо всех последствиях своего выбора.

2.9. Государства-члены обязаны обеспечивать, чтобы законодательство, применимое к созданию профиля, оставалось соразмерным преследуемым целям, а также характеру и степени серьезности рисков, которым подвергаются субъекты персональных данных или целевые группы. Следует учитывать конкретные потребности как микро-, малых и средних предприятий, так и различных отраслей. Если действия по созданию профиля носят рискованный характер, необходимо применять одинаковый уровень строгости независимо от размера предприятия.

2.10. Использование автоматизированных систем принятия решений на основе технологий ИИ создает дополнительные риски из-за возможных ошибок и предубеждений, а также трудностей, связанных с обоснованием принимаемых решений и обеспечением прозрачности, что, в свою очередь, препятствует полному осуществлению прав субъектов персональных данных. Проектирование, разработка и внедрение автоматизированных систем принятия решений на основе ИИ требуют особого и постоянного внимания в отношении потенциальных рисков, а также их оценки межведомственными независимыми командами.

2.11. В создании профиля участвуют различные субъекты, характеристики и роль которых необходимо проанализировать, чтобы определить их возможную общую ответственность, особенно в случае обмена данными.

3. Условия обработки персональных данных при создании профиля

A. Законность

3.1. Обработка персональных данных при создании профиля должна быть добросовестной, правомерной, соразмерной, использоваться в строго определенных и законных целях и никогда не должна осуществляться способом, несовместимым с указанными первоначальными целями. Обработка персональных данных с допустимыми целями при создании профиля может осуществляться только в том случае, если это предусмотрено внутригосударственным законодательством или основано на согласии в соответствии с пунктом 3.4, который предусматривает конкретные механизмы защиты в отношении этих данных.

3.2. Персональные данные, используемые при создании профиля, должны быть корректными, актуальными и не содержать излишней информации по отношению к целям, для которых они собираются или будут обрабатываться. В системах машинного обучения трудно априори знать, какие данные позволят обеспечить значимые корреляции. Однако важно ограничивать создание профиля категориями данных, которые субъект данных может разумно ожидать (законные ожидания) и которые будут приняты во внимание с учетом целей создания профиля.

3.3. Персональные данные, используемые при создании профиля, должны храниться в форме, которая позволяет установить субъектов персональных данных лишь в течение периода времени, которое требуется для достижения целей их обработки. По возможности для целей, с которыми обрабатываются данные, они должны быть анонимными.

3.4. За исключением случаев, указанных ниже, обработка персональных данных при создании профиля может осуществляться только если:

• это прямо предусмотрено внутригосударственным законодательством для защиты прав и свобод субъектов персональных данных и их законных интересов или
• субъект персональных данных, его или ее законный представитель дали свое свободное, конкретное, информированное и недвусмысленное согласие. В случае создания профиля с высокой степенью риска согласие должно быть явным, или
• создание профиля необходимо для выполнения контракта, стороной которого является субъект персональных данных, либо для выполнения преддоговорных мер, принятых по просьбе субъекта персональных данных, или
• это необходимо для выполнения задачи, осуществляемой в общественных интересах либо при реализации официальных полномочий, возложенных на контролера или на третью сторону, которой сообщаются персональные данные, или
• это необходимо для соблюдения законных интересов контролера либо третьего лица, либо лиц, которым раскрываются профили или данные, за исключением случаев, когда такие интересы перевешиваются основными правами и свободами субъекта персональных данных или случаев, касающихся обработки особых категорий данных. Необходимость этого должна быть четко обоснована контролером, или
• это необходимо для защиты жизненно важных интересов субъекта персональных данных либо других лиц.

3.5. Если создание профиля основано на согласии, обработка персональных данных при создании профиля лиц, которые не могут сами выразить свое свободное, конкретное, информированное и недвусмысленное согласие, должна быть запрещена, за исключением случаев, когда конкретное согласие дано законным представителем или когда эта обработка осуществляется в законных интересах субъекта персональных данных, либо если существует преобладающий существенный общественный интерес, при условии, что законом предусмотрены соответствующие механизмы защиты.

3.6. Поставщики услуг и платформы, насколько это возможно, должны предлагать различные услуги, более или менее индивидуализированные либо неиндивидуализированные в зависимости от предлагаемой услуги, чтобы гарантировать субъекту персональных данных выбор в отношении степени детализации профиля. Свободное согласие подразумевает, что субъект персональных данных имеет возможность делать осознанный выбор. Согласия на создание профиля нельзя требовать в качестве условия для оказания услуги. Если создание профиля основано на согласии, контролер обязан доказать, что субъект персональных данных согласился на создание более подробного профиля, чем было необходимо для оказания услуги, будучи проинформированным, как указано в разделе 4, и в соответствии с требованиями к согласию, перечисленными в пункте 3.4.

3.7. Насколько это возможно, а также если запрашиваемая услуга не требует знания о личности субъекта персональных данных, каждое лицо должно иметь доступ к информации о товарах или услугах или к самим товарам или услугам без необходимости передавать свои персональные данные поставщику товаров или услуг.

3.8. В целях гарантирования получения свободного, конкретного, информированного и недвусмысленного согласия на создание профиля интернет-посредники обязаны по умолчанию обеспечивать неперсонализированный доступ к информации о своих услугах.

3.9. Распространение и использование без ведома субъекта персональных данных программного обеспечения, предназначенного для отслеживания или мониторинга использования конкретного терминала или сети электронной связи при создании профиля, должно быть разрешено только в том случае, если оно прямо предусмотрено законом, представляет собой необходимую и соразмерную меру в демократическом обществе и сопровождается соответствующими механизмами защиты.

B. Качество данных и алгоритмов

3.10. Контролер и обработчик должны при необходимости принимать надлежащие меры для исправления факторов, влияющих на неточности в данных, и для ограничения рисков ошибок и искажений, присущих созданию профиля.

3.11. Контролер и обработчик должны при необходимости периодически и в разумные сроки проводить повторную оценку качества данных и используемых статистических заключений, а также влияния создания профиля на права субъекта персональных данных.

3.12. При получении данных или алгоритмов от третьего лица контролер(-ы) и обработчик(-и) должны получать от третьего лица документацию, необходимую для проверки качества данных и алгоритмов и их соответствия цели обработки.

C. Особые категории данных

3.13. Обработка конфиденциальных данных, указанных в статье 6 Конвенции № 108+, при создании профиля должна разрешаться только тогда, когда соответствующие гарантии предусмотрены в законе, а эти данные необходимы для законных и конкретных целей обработки.

3.14. Обработка данных с целью выявления или прогнозирования расового или этнического происхождения, политических убеждений, членства в профсоюзах, религиозных или иных убеждений, состояния здоровья или половой жизни должна быть запрещена и разрешена только в тех случаях, если соответствующие гарантии закреплены в законе, а эти данные строго необходимы для законных и конкретных целей обработки. Если требуется согласие лица, то оно должно быть явно выраженным, когда речь идет об обработке подобного рода данных.

4. Информация

4.1. В тех случаях, когда персональные данные, относящиеся к субъекту данных, собираются непосредственно у субъекта персональных данных с целью создания профиля, контролер не позднее момента получения данных должен предоставить субъекту данных информацию:

a) о том, что его данные будут использоваться или их предполагается использовать при создании профиля контролером и/или третьими сторонами;

b) о правовой основе и цели, для которых проводится создание профиля;

c) о категории данных, используемых при создании профиля;

d) о личности контролера и его или ее местонахождении или месте обычного проживания и при необходимости о личности его или ее представителя;

e) о наличии соответствующих гарантий, когда это необходимо, в частности, когда речь идет об особых категориях данных;

f) о категориях лиц или органов, которым могут быть переданы персональные данные или результаты создания профиля, а также о цели их передачи;

g) об условиях осуществления права доступа, о возражениях, изменениях или удалении данных, как предусмотрено разделом 5 настоящего Приложения, а также о праве подать жалобу в компетентные органы;

h) необходимую для обеспечения справедливости при использовании создания профиля, в том числе:

• о возможности, когда это целесообразно, для субъектов данных отказаться или отозвать согласие, а также о последствиях такого отзыва;
• о лицах или органах, от имени которых собираются или будут собираться другие персональные данные;
• об обязательном или факультативном характере ответа на вопросы, использованные для сбора данных, и о последствиях отказа субъектов отвечать на такие вопросы;
• о длительности хранения персональных данных;
• когда это применимо, о потенциальном влиянии создания профиля на субъект данных;
• о причинах создания профиля или модели, используемой контролером данных.

4.2. Если персональные данные не были получены от субъектов данных, контролер должен предоставить им, по крайней мере, в обобщенном виде информацию, указанную в пункте 4.1, как только персональные данные будут обработаны или, если планируется передать эти данные третьей стороне, не позднее момента первой передачи. В дополнение к информации, указанной в пункте 4.1, информация должна включать источник собранных данных, правовую основу для передачи или обмена данными и сведения о возможности высказать возражения против такой передачи или обмена.

4.3. Информация, предоставляемая субъекту данных, должна быть понятной и адаптированной к обстоятельствам. Когда персональные данные обрабатываются при создании профиля, контролер может указать с помощью знака, что ведется процесс создания профиля. Этот знак должен позволять любому пользователю автоматически получать информацию, перечисленную в положении 4.1, путем перехода по ссылке на веб-сайт контролера.

4.4. Если персональные данные ранее собирались без намерения применять методы создания профиля, а впоследствии обрабатываются на законных основаниях при создании профиля, контролер должен предоставить информацию, предусмотренную пунктами 4.1 и 4.2.

4.5. Положения пунктов 4.2 - 4.4 об информировании субъектов данных не применяются, если субъект данных ранее был проинформирован об этом. Более того, в тех случаях, когда персональные данные собираются не от субъекта данных, положения пунктов 4.2 - 4.4 не применяются, если:

a) оказывается невозможным предоставить информацию либо это потребует чрезмерных усилий, или

b) ограничения права на информацию предусмотрены внутригосударственным законодательством.

5. Права субъектов персональных данных

5.1. Субъект персональных данных, о котором составляется или был составлен профиль, должен иметь право получить от контролера, по ее или его просьбе, в разумные сроки и в понятной форме информацию, касающуюся:

a) ее или его персональных данных, независимо от того, использовалась ли псевдонимизация или нет, и любую иную необходимую дополнительную информацию для обеспечения справедливой и прозрачной обработки (включая анонимные наборы данных, используемые при обработке) и, в случае использования профиля, данных, полученных с помощью системы создания профиля;

b) обоснований, послуживших причиной обработки его или ее персональных данных, используемых для составления его или ее профиля, по крайней мере, в случае автоматизированного решения и при использовании обработки на основе системы принятия решений информации о модели, используемой алгоритмом. В этом случае предоставленная информация должна позволять субъекту персональных данных понимать причины принятого или предполагаемого решения в отношении него или нее;

c) цели составления профиля;

d) категории лиц или организаций, которым могут быть переданы личные данные, профиль или результат обработки, а также права возражать против этого;

e) имени и адреса лица, ответственного за возмещение ущерба, причиненного субъектам персональных данных в связи с принятым или предполагаемым решением, как это предписано пунктом 5.8.

5.2. Субъекты персональных данных должны иметь право на удаление или исправление своих персональных данных без неоправданной задержки, если обработка данных противоречит принципам настоящей Рекомендации, особенно при использовании или прогнозировании особых категорий данных без соответствующих механизмов защиты, предусмотренных внутригосударственным законодательством.

5.3. За исключением случаев, когда закон предусматривает создание профиля и устанавливает меры по защите законных интересов субъекта персональных данных, субъект персональных данных должен иметь право в любое время возражать против обработки его или ее персональных данных по основаниям, относящимся к его или ее ситуации. Если контролер не докажет наличие законных оснований для обработки, которые выходят за рамки интересов или основных прав и свобод субъекта персональных данных, в создании профиля больше не должны использоваться его или ее персональные данные. Если целью создания профиля является прямой маркетинг, у субъекта персональных данных не следует запрашивать каких-либо обоснований.

5.4. Если имеются какие-либо основания для ограничения прав, изложенных в настоящем разделе, в соответствии с разделом 6 об этом решении следует сообщить субъекту персональных данных любым способом, позволяющим зафиксировать этот факт с указанием юридических и фактических причин для такого ограничения. Уведомление может не производиться при наличии причины, которая способна негативно повлиять на цель ограничения. В таких случаях субъекту персональных данных необходимо предоставить информацию о том, как обжаловать это решение в компетентном внутригосударственном надзорном органе, в судебной инстанции или суде.

5.5. Если на лицо распространяется решение, имеющее правовые последствия в отношении него или ее или существенно влияющее на него или нее, принятое исключительно на основе профиля, он или она должны иметь возможность возражать против этого решения, кроме случаев, когда:

a) это предусмотрено законом, который устанавливает меры по защите законных интересов, прав и основных свобод субъектов персональных данных, в частности, предоставляя им возможность изложить свою позицию;

b) решение было необходимо для обеспечения выполнения контракта, стороной которого является субъект персональных данных, или для осуществления преддоговорных мер, принятых по запросу субъекта персональных данных, и для принятия мер по защите законных интересов, прав и основных свобод субъекта персональных данных.

5.6. В любом случае, а не только в ситуациях, указанных в пункте 5.5, когда система создания профиля выдает решение или проект решения, настоятельно рекомендуется, чтобы:

a) контролер учитывал все особенности данных, а не просто полагался на информацию или результаты обработки данных без учета конкретных обстоятельств;

b) в случае создания профиля с высокой степенью риска контролер информировал субъекта персональных данных об алгоритмических операциях, лежащих в основе обработки данных, включая последствия этих операций для него или нее. Информация должна быть такой, чтобы субъект персональных данных мог понять основание для принятия решений или проектов решений;

c) лицо, назначенное контролером, могло на основе разумных доводов принять решение не полагаться на результаты рекомендаций по итогам создания профиля;

d) в тех ситуациях, когда существуют признаки прямой или косвенной дискриминации, имевшей место в ходе создания профиля, контролер и обработчик предоставили доказательства отсутствия дискриминации.

5.7. Лица, которых затрагивает решение, принятое по результатам создания профиля, должны иметь право на получение содержательного объяснения этого решения или проекта решения, чтобы понять его обоснованность. Ссылка на интеллектуальную собственность или на коммерческую тайну возможна только в тех ситуациях, когда предоставляемая информация оказывает серьезное влияние на эти права. Использование этих прав и интересов контролером не должно приводить к лишению субъекта персональных данных или затрагиваемой группы способности понимать решения или проекты решений, принятые контролером.

5.8. Независимо от возможности обращения в надзорный орган или права на судебную защиту, субъекты персональных данных должны иметь право оспаривать создание профиля перед лицом, назначенным контролером данных, которое имеет доступ ко всей информации о предмете профилирования и принципах его работы и вправе изменять или отменять решение или его проект.

5.9. Если явно не указано иное, субъект персональных данных должен иметь возможность в упрощенном порядке возражать против передачи или обмена данными в целях создания профиля третьими лицами или результатами создания профиля.

6. Исключения и ограничения

6.1. В тех случаях, когда это является необходимой и соразмерной мерой в демократическом обществе по соображениям национальной безопасности, обороны, общественной безопасности и по иным причинам, указанным в статье 11 Конвенции № 108+, положения, предусмотренные разделами 3 - 5, могут быть ограничены. Кроме того, такие ограничения должны быть установлены законом и уважать сущность основных прав и свобод, особенно право на свободу выражения мнения.

6.2. Положения разделов 4 и 5 могут подвергаться ограничениям в соответствии со статьей 11.2 Конвенции № 108+ для целей архивирования в интересах общества, для научных или исторических исследований или для статистических целей, когда отсутствует явный риск нарушения прав и основных свобод человека.

7. Безопасность данных

A. Общие положения

7.1. Должны быть приняты соответствующие технические и организационные меры, в частности, на основе принципов «встроенной конфиденциальности» и «конфиденциальности по умолчанию», для обеспечения защиты персональных данных, обрабатываемых в соответствии с положениями внутригосударственного законодательства, обеспечивающими соблюдение принципов, установленных Конвенцией № 108+, для защиты от случайного или незаконного уничтожения и случайной утраты, а также от несанкционированного доступа, изменения, передачи или любой другой формы незаконной обработки.

7.2. Эти меры должны обеспечивать надлежащий стандарт безопасности данных с учетом современного уровня развития техники, а также конфиденциального характера персональных данных, обрабатываемых при создании профиля и оценки потенциальных рисков. Эти меры должны периодически и в разумные сроки пересматриваться.

7.3. В соответствии с внутригосударственным законодательством контролеры должны устанавливать надлежащие внутренние правила с учетом принципов, изложенных в данной Рекомендации.

7.4. При необходимости контролеры должны назначать независимых лиц, ответственных за безопасность информационных систем и защиту данных, которые обладают квалификацией для предоставления консультаций по этим вопросам.

7.5. Контролеры должны выбирать обработчиков, которые могут предоставить надлежащие гарантии в отношении технических и организационных аспектов обработки, а также должны обеспечивать соблюдение этих гарантий, в частности, чтобы обработка проводилась в соответствии с их инструкциями.

7.6. В тех случаях, когда данные подверглись анонимизации или псевдонимизации, контролеры должны оценивать риск возможной повторной идентификации личности субъекта персональных данных (принимая во внимание, в частности, время, усилия или ресурсы, необходимые в связи с характером данных, условиями их использования, доступными методами повторной идентификации личности и соответствующими затратами). Контролеры должны доказать достаточность принятых мер по псевдонимизации или анонимизации и гарантировать их эффективность. Если существует риск повторной идентификации личности субъекта данных, эти данные более не могут считаться анонимными. Технические меры могут сочетаться с обязательствами на основании закона или договора, направленными на предотвращение любой возможной повторной идентификации личности субъекта данных. Контролеры обязаны регулярно пересматривать риск повторной идентификации личности с учетом технологических достижений в области методов деанонимизации. Государства-члены могут регулярно составлять список методов псевдонимизации и/или анонимизации для использования контролерами.

B. Специальные положения по вопросам создания профиля на основе систем искусственного интеллекта с использованием процессов автоматического обучения

7.7. В целях укрепления доверия к системам ИИ и их законности контролеры и, там, где это возможно, обработчики должны обеспечивать использование надежных и безопасных систем, в частности, в отношении разработки процедур на случаи отказов, ошибок или несоответствий в течение всего жизненного цикла системы. Они должны регулярно и на протяжении всего срока службы системы обеспечивать ее надежность, соответствие ее результатов применяемой модели, а также ее воспроизводимость. Система должна быть защищена от атак или иных манипуляций с данными или алгоритмами.

7.8. Контролеры и, там, где это возможно, обработчики должны обеспечивать критическую оценку качества, репрезентативности и количества используемых данных, исключив ненужные данные и любые данные, которые могут повлиять на конечный результат. В частности, должны соблюдаться пороговые значения точности результатов. Контролеры должны обеспечивать надежность модели в случае ввода новых данных. Сами результаты должны быть проанализированы для оценки их воздействия на субъект персональных данных, в том числе в отношении запрета на дискриминацию. Приложения ИИ должны позволять субъектам персональных данных и заинтересованным группам эффективно контролировать воздействие этих приложений на отдельных лиц, группы и общество в целом.

7.9. Для целей регулярной оценки как индивидуальных, так и коллективных рисков — и в любом случае, когда речь идет о работе по созданию профиля с высоким уровнем риска — контролеры и при необходимости обработчики должны документально фиксировать проверки работоспособности модели и проводить регулярные оценки воздействия со стороны конкретных рисков при создании профиля на основе систем ИИ. Для достижения этой цели им следует сотрудничать с межведомственной группой по оценке и консультироваться с лицами, участвующими в создании профилей, включая лиц, в отношении которых они создаются. Этот процесс оценки должен проводиться квалифицированными и информированными специалистами, способными оценивать различные последствия, включая их правовые, социальные, этические и технические аспекты.

8. Надзорные органы

8.1. Надзорные органы в соответствии со статьей 15 Конвенции № 108+ обеспечивают соблюдение внутригосударственного законодательства, реализуя принципы, предусмотренные в настоящей Рекомендации.

8.2. Если планируемая деятельность по созданию профиля несет в себе высокий риск, государства-члены могут установить, что контролеры обязаны уведомлять о его существовании надзорный орган и по запросу последнего предоставлять все документы, относящиеся к применяемым процедурам, самой оценке, а также сообщать информацию о принятых или планируемых мерах по исправлению ситуации.

8.3. Вопросы, касающиеся интеллектуальной собственности или коммерческой тайны, не могут лишать надзорный орган возможности осуществлять свои полномочия, например оценивать работу автоматизированной системы принятия решений.

8.4. При выполнении настоящей Рекомендации надзорным органам следует, насколько это возможно, сотрудничать с органами по защите прав потребителей и в области конкуренции, а также с учреждениями, ответственными за обеспечение равных возможностей или за продвижение демократии. Если существует независимый межведомственный национальный орган для оценки рисков, связанных с ИИ, в частности с созданием профиля при помощи процессов машинного обучения, надзорному надзора следует координировать свою работу с этим учреждением.

8.5. Сфера деятельности надзорных органов должна быть расширена и включать в себя коллективные и общественные риски. Заключения надзорных органов должны содержать указание на такие риски и учитываться при принятии решений.

8.6. В этих условиях надзорные органы должны иметь право принимать и рассматривать жалобы от ассоциаций, касающиеся коллективных интересов группы или общих интересов, и при необходимости применять соответствующие санкции.

8.7. Вышеупомянутые надзорные органы должны информировать общественность о применении законодательства, которое призвано обеспечивать соблюдение принципов, изложенных в настоящей Рекомендации.

9. Дополнительные меры

A. Маркировка и сертификация ИИ и систем защиты данных

9.1. Государствам-членам и надзорным органам следует поощрять создание независимых и квалифицированных механизмов сертификации систем ИИ на их соответствие законодательным требованиям по защите данных, в частности, обучающей и рабочей модели, на которой основано создание профиля, а также связанной с ними маркировки и знаков доверия, подтверждающих, что обработка данных, выполняемая контролерами и обработчиками, проводится в соответствии с настоящей Рекомендацией.

9.2. Государства-члены могут устанавливать процедуру согласования со стороны соответствующих органов, которые будут создавать механизмы надзора, указанные в пунктах 8.1 и 8.2.

9.3. Сертификация должна быть добровольной и доступной посредством прозрачных процедур. Сертификация в соответствии с этим принципом не должна уменьшать ответственность контролера или обработчика за соблюдение настоящей Рекомендации или действующего законодательства.

9.4. Контролеры и обработчики данных, чьи системы сертифицированы или маркированы, должны сообщать о такой сертификации или размещать маркировку, по крайней мере, на своих веб-сайтах и в информации, предоставляемой субъектам персональных данных. Они должны принимать меры для того, чтобы с помощью этого знака доступ к сертификату или маркировке мог быть предоставлен любому лицу. Срок действия сертификата должен быть ограничен во времени.

B. Работы по созданию профиля, проводимые государственными органами

9.5. Не умаляя значения иных принципов, изложенных в настоящей Рекомендации, работы по созданию профилей, выполняемые государственными органами, должны быть законными, соразмерными и необходимыми в соответствии с целями этих работ.

9.6. Работы по созданию профиля, осуществляемые государственными органами с использованием автоматизированных систем принятия решений, выполняемые для разработки своих стратегий либо для их применения должны основываться на внутригосударственном законодательстве (ясном, предсказуемом и доступном), преследовать законную цель и ограничиваться тем, что необходимо и соразмерно для достижения этой законной цели, в полной мере учитывать все основные права, признанные в демократическом обществе, в соответствии с прецедентной практикой Европейского Суда по правам человека.

9.7. Проектирование, разработка, внедрение и мониторинг систем ИИ, в частности систем создания профиля, должны быть представлены компетентному органу, который будет проводить оценку рисков, связанных с ИИ.

9.8. Государственные органы должны публиковать информацию о причинах, лежащих в основе обработки данных, или в случае использования обработки, основанной на машинном обучении, объяснение на понятном языке модели, на которой основана система.

9.9. Отдельные решения или проекты решений, принимаемые государственными органами на основании работы автоматизированных систем принятия решений, должны быть прозрачными. Отдельные лица и объединения, созданные на законной основе, должны, несмотря на любые технические или юридические доводы, иметь доступ к аргументам, послужившим причиной обработки данных, или в случае использования обработки, основанной на машинном обучении, к объяснению понятным языком решения, принятого моделью, на которой основана система. Без этого эффективная правовая защита от таких решений не может быть гарантирована.

9.10. Государственные органы должны обеспечивать, чтобы требования данных рекомендаций, в частности те, которые относятся конкретно к ним, были доведены до сведения их обработчиков и стали частью их обязанностей.

C. Положения, касающиеся научных исследований и образования

9.11. Государствам-членам следует поощрять независимые, междисциплинарные и открытые исследования, включая фундаментальные исследования, в частности, в области надежности, проверяемости, устойчивости и прозрачности систем ИИ, и выделять ресурсы для этих целей. В соответствующих случаях эти исследования следует проводить в диалоге с представителями гражданского общества.

9.12. Государствам-членам необходимо поощрять инициативы по использованию открытых источников для разработки и бесплатного распространения алгоритмов обработки данных.

9.13. Государствам-членам следует выделять ресурсы на междисциплинарные программы цифровой грамотности на всех уровнях образования с целью повышения осведомленности людей в вопросах влияния создания профилей и ИИ на их основные права. Они также должны поощрять профессиональную подготовку, в том числе руководителей государственных организаций и бизнеса, касающуюся технических аспектов, а также социальных проблем и проблем прав человека, связанных с использованием систем создания профилей. Междисциплинарные курсы обязательно должны быть предусмотрены в учебных программах для студентов и в программах постдипломного образования для специалистов в области информационных технологий.

---