Что в соцсетях угрожает персональной информации и правам пользователей

Что в соцсетях угрожает персональной информации и правам пользователей

В современном мире невозможно представить свою жизнь без онлайн-общения. Утро каждого украинца начинается с чашки кофе и проверки новостных лент в Facebook или Instagram, отправка сообщений на Messenger, WhatsApp или в Telegram.

Как нарушаются права пользователей в социальных сетях и в каких случаях персональная информация оказывается под угрозой, — объяснил юрист Центра стратегических дел Украинского Хельсинкского союза по правам человека Максим Войнов.

Максим Войнов, юрист ЦСС

За последние годы мы стали свидетелями повышения популярности социальных сетей, распространения блогов, развития сайтов по передаче знаний и совместному использованию видеоматериалов, широкому распространению онлайн-форумов и вебинаров.

Самые популярные социальные сети мира и Украины насчитывают миллионы пользователей. Люди встречаются в интернете для общения, делятся опытом, эмоциями или новостями, размещают свои фотографии и оставляют комментарии. Социальные сети расширили возможности людей пользоваться правом на свободу выражения мнений и получать и распространять большой объем информации.

Право на конфиденциальность (right to privacy) относится к основным правам и свободам человека.

Однако существуют проблемы, связанные с безопасностью личных данных в социальных сетях, в частности, умышленная слежка ИТ-компаний за своими пользователями и уязвимость системы хранения персональных данных лиц.

Крупные компании, такие как Meta Platforms (материнская компания Facebook, Instagram и Tik-tok), собирают значительный объем конфиденциальной информации своих пользователей. Facebook осуществляет сбор персональной информации и за пределами своей платформы – может быть установлен IP адрес пользователя, посещенные им сайты, вид используемого браузера и много другой личной информации.

Компании могут собирать информацию из онлайн форм, которые пользователи заполняют в интернете при регистрации на любом веб-сайте или покупке товаров в Интернете, и даже когда соглашаются на использование файлов cookies во время посещения вебсайтов. В сети хранятся фотографии пользователей, их предпочтения, история просмотров и широкий спектр других источников для создания пользовательского профиля, который в дальнейшем может быть продан другим компаниям. В результате возникает риск утечки персональных данных и нарушения права человека на конфиденциальность.

Иллюстративная фотография. Источник: depositphotos.com

Все данные о личности хранятся на сервере веб-сайта, и при желании человека удалить свой профиль и персональные данные из социальных сетей – фактически эти данные удаляются только для пользователя, а в сети они остаются. Это нарушает право человека «быть забытым» (right to be forgotten), регламентируемым GDPR (General Data Protection Regulation) – Общим Регламентом по защите персональных данных лиц в рамках Европейского Союза.

Согласие с «Условиями пользования» и передача данных третьему лицу

Обычно для использования определенного программного обеспечения или социальной сети пользователю необходимо согласиться с «Условиями пользования», это контракт между поставщиком услуги и пользователем. Однако, соглашаясь с такими условиями определенного сервиса, пользователь дает согласие на обработку, передачу и хранение его персональной информации, а границы и средства ее использования часто остаются неопределенными.

Facebook, Snapchat, YouTube и многие другие онлайн-сервисы ставят подключение к услуге в зависимости от согласия с «Условиями использования», включающими в себя текущие «Сообщения о конфиденциальности» и будущие изменения к ним. Эти условия не подлежат обсуждению и предлагаются по принципу «соглашайся или иди». На практике это означает, что у людей часто нет другого выбора, кроме как согласиться, если они хотят пользоваться услугой. Поэтому возникает вопрос, действительно ли добровольно было предоставлено такое согласие.

Фиктивное согласие лица с Условиями пользования противоречит праву на неприкосновенность частной жизни. При предоставлении такого согласия пользователи самостоятельно принимают решения и несут ответственность за то, как используются их данные. Однако на практике невозможно выяснить, кому передаются личные данные пользователей, остановить их передачу или удалить неточную информацию о себе из социальных сетей.

Поэтому компании должны сделать механизм использования и распространения личных данных их пользователей более прозрачными, а также предоставить пользователям возможность отказаться от использования их конфиденциальной информации.

Кроме того, сервисы иногда передают личную информацию лиц другим компаниям, мотивируя это необходимостью персонализации рекламы и таргетинга для большего удобства пользователей. В таком случае также существует большой риск нарушения права на конфиденциальность личной жизни человека.

Операторы социальных медиаплатформ имеют технические средства для удаления и блокирования нежелательной информации пользователей и приостановки действия их аккаунтов. Эти действия могут применяться через собственный коммерческий интерес или в целях соблюдения юридических обязанностей или правительственных распоряжений, что приводит к подавлению потенциально законных форм выражения мнений пользователей. В этой связи возникает вопрос, могут ли конечные пользователи законно обжаловать решение об удалении данных из социальных сетей и оградить себя от такого вмешательства.

Пользователи социальных сетей должны тщательно анализировать информацию, размещаемую в социальных сетях, проверять предоставленные ими данные и понимать риски, связанные с утечкой, передачей и распространением их личных данных в киберпространстве.

Иллюстративная фотография. Источник: depositphotos.com

Защита персональных данных лиц на национальном уровне

Общий Регламент по обработке данных GDPR унифицирует принципы защиты персональных данных в пределах ЕС и их передачу за пределы стран Евросоюза. Этот регламент содержит перечень законных оснований для обработки персональных данных пользователей, и в контексте предоставления интернет-услуг наиболее распространенным основанием является наличие согласия и законного интереса.

Хотя законы о защите персональных данных приняты уже в большинстве стран Европы, в Украине еще нет надлежащего регулирующего законодательства и качественного подхода к работе с такими технологиями.

Основным законом в сфере защиты персональных данных лиц остается Закон Украины «О защите персональных данных» , устанавливающий исчерпывающий перечень оснований для обработки персональных данных, и именно наличие согласия субъекта личных данных является обязательным условием сбора таких данных в интернете. Однако этот закон не содержит норм, позволяющих применять его к социальным сетям, учитывая их специфику обработки персональных данных.

Украинское законодательство требует усовершенствования для предоставления лицам больших гарантий защиты их приватности. В специальном национальном законодательстве нужно закрепить основополагающие принципы, которые могли бы требовать пользователи социальных сетей:

1. право на принятие решений о приемлемости «Условий использования»;

2. право на контроль за использованием персональной информации;

3. право на окончательное удаление информации из сети при удалении страницы пользователя из социальных сетей и т.п.

В настоящее время в Верховной раде Украины рассматривается «Проект Закона о защите персональных данных» № 8153 от 25.10.2022 года, который должен восполнить существующие законодательные пробелы.

Иллюстративная фотография. Источник: depositphotos.com

Действующим украинским законодательством предусмотрено, что одним из средств защиты в сфере персональных данных является обращение к Уполномоченному Верховной Рады по правам человека, которое может принять предложения, жалобы, другие обращения от физических и юридических лиц по защите персональных данных, в частности в социальных сетях, провести, проверить, предоставить рекомендации по применению законодательства в этой сфере и т.д.

Национальным украинским законодательством установлены санкции за нарушение прав и свобод в сфере частной жизни, в частности, это закреплено в ст. 182 Уголовного Кодекса Украины (штрафы, исправительные работы, арест или лишение свободы за незаконный сбор, хранение, использование, уничтожение, распространение конфиденциальной информации о лице или незаконное изменение такой информации), и в статье 188 Кодекса Украины об административных правонарушениях (штрафы по нарушению законодательства в области защиты персональных данных).

Рассмотрение жалоб о нарушении статьи 8 Конвенции Европейским Судом по правам человека

Статья 8 Европейской Конвенции по правам человека провозглашает право на уважение частной жизни, непосредственно содержащей защиту персональных данных и соблюдение конфиденциальности корреспонденции и коммуникации.

Практика ЕСПЧ по поводу нарушений, связанных с использованием социальных сетей, постепенно расширяется. В деле «Volodina v. Russia» Суд установил, что государство имело возможность наказать сожителя заявительницы за продолжающийся кибербуллинг, который осуществлялся через социальные сети, но государственные органы не сделали этого и не провели эффективное расследование преступления. Таким образом, имело место нарушение права на уважение частной жизни заявительницы.

Относительно критериев, рассматриваемых Судом в отношении нарушения Конвенции по такого рода делам, следует отметить, что возникает вопрос нахождения баланса между правом на уважение частной жизни, предусмотренного статьей 8 ЕКПЧ и правом на свободу выражения мнений, регламентированной статьей 10 Конвенции.

Для понимания логики Суда при вынесении решений следует рассмотреть дело «Einarsson v. Iceland». Это дело освещает трудности, связанные с балансировкой между конкурирующими правами на неприкосновенность частной жизни и репутацию, с одной стороны, и свободой выражения мнений, с другой. В этом деле Европейский суд по правам человека предоставил приоритет праву известного комментатора на уважение его частной жизни (в соответствии со статьей 8 ЕКПЧ) над правом лица на свободу выражения мнений (в соответствии со статьей 10 ЕКПЧ) в контексте публикации в Instagram по обвинению заявителя в изнасиловании .

Относительно соотношения свободы выражения мнений и права на конфиденциальность, важным прецедентом ЕСПЧ по этому вопросу является дело «Sanchez v. Франция». Суть этого дела состоит в том, что господин Санчеc в ходе предвыборной кампании накануне парламентских выборов во Франции изложил пост на своей странице Фейсбук, содержавший обвинения и оскорбления в адрес его политического оппонента. Комментарии, оставленные третьими лицами под указанной публикацией, содержали дискриминационные высказывания в адрес мусульманского национального меньшинства.

Иллюстративная фотография. Источник: depositphotos.com

В результате г-н Санчеc был привлечен к уголовной ответственности за разжигание межэтнической, расовой и религиозной вражды и обязан выплатить штраф. В высших инстанциях сумма штрафа была снижена, однако решение осталось в силе. После этого политик подал жалобу в ЕСПЧ, утверждая, что его право на свободу выражения, гарантированное статьей 10 ЕКПЧ, было нарушено.

Однако, рассмотрев это дело, Суд пришел к выводу, что нарушение статьи 10 не имело места. Обосновывая свое решение, Суд отметил свою позицию, что явно незаконные комментарии с «языком вражды» устанавливают предел, когда речь идет о свободе выражения мнений в Интернете.

В своем тесте на пропорциональность Суд применил критерии, установленные им по делу «Delfi AS v. Estonia» и в дальнейшем развиты по делу «MTE and Index v. Hungary», такие как наличие насущной общественной потребности, пропорциональность преследуемой законной цели, а также релевантность и достаточность, чтобы оценить, возлагались ли национальные суды на соответствующие и достаточные основания, оправдывающие вмешательство в права, предусмотренные статьей 10 ЕКПЧ. В то же время, Суд изменил свой подход, который он ввел по делу «Delfi AS v. Estonia», отойдя от разграничения между коммерческими новостными интернет-порталами, с одной стороны, и платформами социальных сетей или частными лицами, ведущими вебсайт или блог как хобби, с другой.

По делу «Delfi AS v. Estonia» ЕСПЧ отметил, что крупный коммерческий новостной интернет-портал может быть привлечен к ответственности за комментарии, содержащие «язык вражды», если он предоставляет пользователям возможность комментировать. Однако в рассматриваемом деле господин Санчес действовал не в коммерческих целях и не как журналист, а как обычный пользователь социальной сети. Таким образом, Суд применил новый подход, расширяя пределы ответственности с владельцев платформы к пользователям платформы, не объяснив, чем обусловлена такая разница в подходах по разным делам.

Из этого следует, что Суд при вынесении решения крайне придирчиво относится к наличию в определенной публикации в соцсети «языка вражды».

В подтверждение этого подхода можно привести решение Суда по делу «Kilin v. Россия». По этому делу заявитель был привлечен к уголовной ответственности национальными судами за разжигание межнациональной розни из-за размещения на его странице в социальной сети «Вконтакте» материалов, в которых содержались призывы к экстремистским действиям в отношении национальных меньшинств, в частности азербайджанцев. В этом случае Суд не выявил нарушения права заявителя на свободу выражения мнений и признал санкции, наложенные на него национальными судами пропорциональным, поскольку видео и аудиофайлы, размещенные заявителем, обоснованно воспринимались как разжигающие межнациональную рознь путем призывов к насилию против лиц азербайджанского происхождения и лиц нерусского этнического происхождения

При вынесении решения суд обращал внимание на следующие критерии:

• социальный и политический контекст, в котором были сделаны высказывания;

• могут ли заявления, если их должным образом толковать и рассматривать в непосредственном или более широком контексте, рассматриваться как прямой или косвенный призыв к насилию или как оправдание насилия, ненависти или нетерпимости;

• способ, которым были сделаны заявления, и их способность, прямая или косвенная, привести к вредным последствиям.

Именно взаимодействие между этими разными факторами, а не любой из них, взятый изолированно, определяет результат, когда Суду необходимо найти баланс между свободой выражения мнений и правами других людей.

Другим примером балансировки между правом на конфиденциальность и свободой выражения мнений может служить дело «Balaskas v. Greece». Это дело касалось жалобы журналиста на привлечение его к уголовной ответственности по статье, в которой он критиковал директора местной средней школы за то, что тот в своем личном блоге выражал неонацистские взгляды. ЕСПЧ установил, что греческие суды не обеспечили баланс между правом журналиста на свободу выражения мнений и правом директора школы на уважение частной жизни и выявил нарушение статьи 10 ЕКПЧ.

В этом случае национальные суды не приняли во внимание тот факт, что статья заявителя способствовала дискуссии по вопросу, представляющему общественный интерес. Директор школы был государственным служащим, который сам привлек внимание к своим политическим взглядам через свой блог, а потому должен быть более толерантным к критике. Кроме того, заявитель обратил внимание на ранее размещенные директором школы публикации об арийской расе и национал-социализме как фактическую основу для поддержки своих высказываний. Более того, греческие суды признали статью заявителя оскорбительной, не принимая во внимание общий контекст и его возможность вызвать общественную полемику, а также использованный язык, который, хотя и был провокационным, но не составлял безосновательных личных оскорблений в сторону директора школы.

В деле «Tamiz v. United Kingdom» Суд подчеркнул важность свободы выражения мнений в контексте онлайн-форумов. В этом деле грубые комментарии, размещенные в блоге компании Google Inc (в частности, о том, что заявитель был «жестоким расистом»), были признаны слишком тривиальными по своему характеру и недостаточно распространены для того, чтобы представлять риск для репутации заявителя, чтобы оправдать ограничения свободы выражения мнений Google Inc и ее пользователей. Было подчеркнуто, что комментарии такого характера являются распространенным явлением в Интернете и как политик Тамиз должен был терпеливо относиться к ним.

Следовательно, при определении баланса между правом на уважение частной жизни и репутацией с правом на свободу выражения мнений при принятии решения Суд принимает во внимание такие критерии, как:

• вклад в дискуссию, представляющий общий интерес;

• насколько хорошо известно соответствующее лицо и являющееся предметом сообщения;

• ее предварительное поведение;

• способ получения информации и ее правдивость;

• содержание, форма и последствия публикации; а также суровость наложенных санкций.

Кроме того, для того чтобы оценить обоснованность обжалуемого высказывания, необходимо различать констатацию фактов и оценочные суждения.

За последние годы Европейским судом по правам человека был принят ряд решений, связанных с нарушением права на неприкосновенность частной жизни. Решения ЕСПЧ имеют большое значение и для Украины, ведь последняя остается активно вовлеченной в развитие и использование цифровых технологий.

Автор: Максим Войнов, юрист Центра стратегических дел Украинского Хельсинкского союза по правам человека