Что угрожает персональной информации и правам пользователей в социальных сетях: объяснение юриста

В современном мире невозможно представить свою жизнь без онлайн-общения. Утро каждого украинца начинается с чашки кофе и проверки новостных лент в Facebook или Instagram, отправка сообщений на Messenger, WhatsApp или в Telegram.

Как нарушаются права пользователей в социальных сетях и в каких случаях персональная информация оказывается под угрозой, — объяснил юрист Центра стратегических дел Украинского Хельсинкского союза по правам человека Максим Войнов.

За последние годы мы стали свидетелями повышения популярности социальных сетей, распространения блогов, развития сайтов по передаче знаний и совместному использованию видеоматериалов, широкому распространению онлайн форумов и вебинаров.

Самые социальные сети мира и Украины насчитывают миллионы пользователей. Люди встречаются в интернете для общения, делятся опытом, эмоциями или новостями, размещают свои фотографии и оставляют комментарии. Социальные сети расширили возможности людей пользоваться правом на свободу выражения мнений и получать и распространять большой объем информации.

Право на конфиденциальность (right to privacy) относится к основным правам и свободам человека.

Однако существуют проблемы, связанные с безопасностью личных данных в социальных сетях, в частности, умышленное наблюдение ИТ-компаний за своими пользователями и уязвимость системы хранения персональных данных лиц.

Крупные компании, такие как Meta Platforms (материнская компания Facebook, Instagram и Tik-tok), собирают значительный объем конфиденциальной информации своих пользователей. Facebook осуществляет сбор персональной информации и за пределами своей платформы – может быть установлен IP адрес пользователя, посещенные им сайты, вид используемого браузера и много другой личной информации.

Компании могут собирать информацию из онлайн форм, которые пользователи заполняют в интернете при регистрации на любом вебсайте или покупке товаров в Интернете, и даже тогда, когда соглашаются на использование файлов cookies при посещении вебсайтов. В сети хранятся фотографии пользователей, их предпочтения, история просмотров и широкий спектр других источников для создания пользовательского профиля, который в дальнейшем может быть продан другим компаниям. В результате возникает риск утечки персональных данных и нарушения права человека на конфиденциальность.

Все данные о личности хранятся на сервере веб-сайта, и при желании человека удалить свой профиль и персональные данные из социальных сетей – фактически эти данные удаляются только для пользователя, а в сети они остаются. Это нарушает право человека «быть забытым» (right to be forgotten), регламентируемым GDPR (General Data Protection Regulation) – Общим Регламентом по защите персональных данных лиц в рамках Европейского Союза.

Согласие с «Условиями пользования» и передача данных третьему лицу

Обычно для использования определенного программного обеспечения или социальной сети пользователю необходимо согласиться с «Условиями пользования», это контракт между поставщиком услуги и пользователем. Однако, соглашаясь с такими условиями определенного сервиса, пользователь дает согласие на обработку, передачу и хранение его персональной информации, а границы и средства ее использования часто остаются неопределенными.

Facebook, Snapchat, YouTube и многие другие онлайн-сервисы ставят подключение к услуге в зависимости от согласия с «Условиями использования», включающими в себя текущие «Сообщения о конфиденциальности» и будущие изменения к ним. Эти условия не подлежат обсуждению и предлагаются по принципу «соглашайся или иди». На практике это означает, что у людей часто нет другого выбора, кроме как согласиться, если они хотят пользоваться услугой. Поэтому возникает вопрос, действительно ли добровольно было предоставлено такое согласие.

Фиктивное согласие лица с Условиями пользования противоречит праву на неприкосновенность частной жизни. При предоставлении такого согласия пользователи самостоятельно принимают решения и несут ответственность за то, как используются их данные. Однако на практике невозможно выяснить, кому передаются личные данные пользователей, остановить их передачу или удалить неточную информацию о себе из социальных сетей.

Поэтому компании должны сделать механизм использования и распространения личных данных их пользователей более прозрачными, а также предоставить пользователям возможность отказаться от использования их конфиденциальной информации.

Кроме того, сервисы иногда передают личную информацию лиц другим компаниям, мотивируя это необходимостью персонализации рекламы и таргетинга для большего удобства пользователей. В таком случае также существует большой риск нарушения права на конфиденциальность личной жизни человека.

Операторы социальных медиаплатформ имеют технические средства для удаления и блокирования нежелательной информации пользователей и приостановки действия их аккаунтов. Эти действия могут применяться через собственный коммерческий интерес или в целях соблюдения юридических обязанностей или правительственных распоряжений, что приводит к подавлению потенциально законных форм выражения мнений пользователей. В этой связи возникает вопрос, могут ли конечные пользователи законно обжаловать решение об удалении данных из социальных сетей и оградить себя от такого вмешательства.

Пользователи социальных сетей должны тщательно анализировать информацию, размещаемую в социальных сетях, проверять предоставленные ими данные и понимать риски, связанные с утечкой, передачей и распространением их личных данных в киберпространстве.

Защита персональных данных лиц на национальном уровне

Общий Регламент по обработке данных GDPR унифицирует принципы защиты персональных данных в пределах ЕС и их передачу за пределы стран Евросоюза. Этот регламент содержит перечень законных оснований для обработки персональных данных пользователей, и в контексте предоставления интернет-услуг наиболее распространенным основанием является наличие согласия и законного интереса.

Хотя законы о защите персональных данных приняты уже в большинстве стран Европы, в Украине еще нет надлежащего регулирующего законодательства и качественного подхода к работе с такими технологиями.

Основным законом в сфере защиты персональных данных лиц остается Закон Украины «О защите персональных данных», устанавливающий исчерпывающий перечень оснований для обработки персональных данных, и именно наличие согласия субъекта личных данных является обязательным условием для сбора таких данных в интернете. Однако этот закон не содержит норм, позволяющих применять его к социальным сетям, учитывая их специфику обработки персональных данных.

Украинское законодательство требует усовершенствования для предоставления лицам больших гарантий защиты их приватности. В специальном национальном законодательстве нужно закрепить основополагающие принципы, которые могли бы требовать пользователи социальных сетей:

• право на принятие решений о приемлемости «Условий использования»;
• право на контроль за использованием персональной информации;
• право на окончательное удаление информации из сети при удалении страницы пользователя из социальных сетей и т.п.

В настоящее время в Верховной раде Украины рассматривается «Проект Закона о защите персональных данных» № 8153 от 25.10.2022 года, который должен восполнить существующие законодательные пробелы.

Действующим украинским законодательством предусмотрено, что одним из средств защиты в сфере персональных данных является обращение к Уполномоченному Верховной Рады по правам человека, которое может принять предложения, жалобы, другие обращения от физических и юридических лиц по защите персональных данных, в частности в социальных сетях, провести проверить, предоставить рекомендации по применению законодательства в этой сфере и т.д.

Национальным украинским законодательством установлены санкции за нарушение прав и свобод в сфере частной жизни, в частности, это закреплено в ст. 182 Уголовного Кодекса Украины (штрафы, исправительные работы, арест или лишение свободы за незаконный сбор, хранение, использование, уничтожение, распространение конфиденциальной информации о лице или незаконное изменение такой информации), и в статье 188 Кодекса Украины об административных правонарушениях (штрафы по нарушению законодательства в области защиты персональных данных).

Рассмотрение жалоб о нарушении статьи 8 Конвенции Европейским Судом по правам человека

Статья 8 Европейской Конвенции по правам человека провозглашает право на уважение к частной жизни, непосредственно содержащей защиту персональных данных и соблюдение конфиденциальности корреспонденции и коммуникации.

Практика ЕСПЧ по поводу нарушений, связанных с использованием социальных сетей, постепенно расширяется. В деле «Volodina v. Russia» Суд установил, что государство имело возможность наказать сожителя заявительницы за продолжающийся кибербуллинг, который осуществлялся через социальные сети, но государственные органы не сделали этого и не провели эффективного расследования преступления. Таким образом, имело место нарушение права на уважение частной жизни заявительницы.

Относительно критериев, которые Суд рассматривает в отношении нарушения Конвенции по такого рода делам, следует отметить, что возникает вопрос обретения баланса между правом на уважение частной жизни, предусмотренного статьей 8 ЕКПЧ и правом на свободу выражения мнений, регламентированной статьей 10 Конвенции.

Для понимания логики Суда при вынесении решений следует рассмотреть дело «Einarsson v. Iceland». Это дело освещает трудности, связанные с балансировкой между конкурирующими правами на неприкосновенность частной жизни и репутацию, с одной стороны, и свободой выражения мнений, с другой. В этом деле Европейский суд по правам человека предоставил приоритет праву известного комментатора на уважение его частной жизни (в соответствии со статьей 8 ЕКПЧ) над правом лица на свободу выражения мнений (в соответствии со статьей 10 ЕКПЧ) в контексте публикации в Instagram по обвинению заявителя в изнасиловании .

Относительно соотношения свободы выражения мнений и права на конфиденциальность, важным прецедентом ЕСПЧ по этому вопросу является дело Sanchez v. Франция». Суть этого дела состоит в том, что господин Санчеc в ходе предвыборной кампании накануне парламентских выборов во Франции изложил пост на своей странице Фейсбук, содержавший обвинения и оскорбления в адрес его политического оппонента. Комментарии, оставленные третьими лицами под указанной публикацией, содержали дискриминационные высказывания в адрес мусульманского национального меньшинства.

В результате г-н Санчеc был привлечен к уголовной ответственности за разжигание межэтнической, расовой и религиозной вражды и обязан выплатить штраф. В высших инстанциях сумма штрафа была снижена, однако решение осталось в силе. После этого политик подал жалобу в ЕСПЧ, утверждая, что его право на свободу выражения, гарантированное статьей 10 ЕКПЧ, было нарушено.

Однако, рассмотрев это дело, Суд пришел к выводу, что нарушение статьи 10 не имело места. Обосновывая свое решение, Суд отметил свою позицию, что явно незаконные комментарии с «языком вражды» устанавливают предел, когда речь идет о свободе выражения мнений в Интернете.

В своем тесте на пропорциональность Суд применил критерии, установленные им по делу «Delfi AS v. Estonia» и в дальнейшем развиты по делу «MTE and Index v. Hungary», такие как наличие насущной общественной потребности, пропорциональность преследуемой законной цели, а также релевантность и достаточность, чтобы оценить, возлагались ли национальные суды на соответствующие и достаточные основания, оправдывающие вмешательство в права, предусмотренные статьей 10 ЕКПЧ. В то же время, Суд изменил свой подход, который он ввел по делу «Delfi AS v. Estonia», отойдя от разграничения между коммерческими новостными интернет-порталами, с одной стороны, и платформами социальных сетей или частными лицами, ведущими вебсайт или блог как хобби, с другой.

По делу «Delfi AS v. Estonia» ЕСПЧ отметил, что крупный коммерческий новостной интернет-портал может быть привлечен к ответственности за комментарии, содержащие «язык вражды», если он предоставляет пользователям возможность комментировать. Однако в рассматриваемом деле господин Санчес действовал не в коммерческих целях и не как журналист, а как обычный пользователь социальной сети. Таким образом, Суд применил новый подход, расширяя пределы ответственности с владельцев платформы к пользователям платформы, не объяснив, чем обусловлена такая разница в подходах по разным делам.

Из этого следует, что Суд при вынесении решения крайне придирчиво относится к наличию в определенной публикации в соцсети «языка вражды».

В подтверждение этого подхода можно привести решение Суда по делу «Kilin v. Россия». По этому делу заявитель был привлечен к уголовной ответственности национальными судами за разжигание межнациональной розни из-за размещения на его странице в социальной сети «Вконтакте» материалов, в которых содержались призывы к экстремистским действиям в отношении национальных меньшинств, в частности азербайджанцев. В этом случае Суд не выявил нарушения права заявителя на свободу выражения мнений и признал санкции, наложенные на него национальными судами пропорциональным, поскольку видео и аудиофайлы, разместившие заявитель, обоснованно воспринимались как разжигающие межнациональную рознь путем призывов к насилию против лиц азербайджанского происхождения. и лиц нерусского этнического происхождения

При вынесении решения суд обращал внимание на следующие критерии:

социальный и политический контекст, в котором были сделаны высказывания;
могут ли заявления, если их должным образом толковать и рассматривать в непосредственном или более широком контексте, рассматриваться как прямой или косвенный призыв к насилию или как оправдание насилия, ненависти или нетерпимости;
способ, которым были сделаны заявления, и их способность, прямая или косвенная, привести к вредным последствиям.

Именно взаимодействие между этими разными факторами, а не любой из них, взятый изолированно, определяет результат, когда Суду необходимо найти баланс между свободой выражения мнений и правами других людей.

Другим примером балансировки между правом на конфиденциальность и свободой выражения мнений может служить дело «Balaskas v. Greece». Это дело касалось жалобы журналиста на привлечение его к уголовной ответственности по статье, в которой он критиковал директора местной средней школы за то, что тот в своем личном блоге выражал неонацистские взгляды. ЕСПЧ установил, что греческие суды не обеспечили баланс между правом журналиста на свободу выражения мнений и правом директора школы на уважение частной жизни и выявил нарушение статьи 10 ЕКПЧ.

В этом случае национальные суды не приняли во внимание тот факт, что статья заявителя способствовала дискуссии по вопросу, представляющему общественный интерес. Директор школы был государственным служащим, который сам привлек внимание к своим политическим взглядам через свой блог, а потому должен быть более толерантным к критике. Кроме того, заявитель обратил внимание на ранее размещенные директором школы публикации об арийской расе и национал-социализме как фактическую основу для поддержки своих высказываний. Более того, греческие суды признали статью заявителя оскорбительной, не принимая во внимание общий контекст и его возможность вызвать общественную полемику, а также использованный язык, который, хотя и был провокационным, но не составлял безосновательных личных оскорблений в сторону директора школы.

В деле «Tamiz v. United Kingdom» Суд подчеркнул важность свободы выражения взглядов в контексте онлайн-форумов. В этом деле грубые комментарии, размещенные в блоге компании Google Inc (в частности, о том, что заявитель был «жестоким расистом»), были признаны слишком тривиальными по своему характеру и недостаточно распространены для того, чтобы представлять риск для репутации заявителя, чтобы оправдать ограничения. свободы выражения мнений Google Inc и ее пользователей. Было подчеркнуто, что комментарии такого характера являются распространенным явлением в Интернете и как политик Тамиз должен был терпеливо относиться к ним.

Следовательно, при определении баланса между правом на уважение частной жизни и репутацией с правом на свободу выражения мнений при принятии решения Суд принимает во внимание такие критерии, как:

• вклад в дискуссию, представляющий общий интерес;
• насколько хорошо известно соответствующее лицо и являющееся предметом сообщения;
• ее предварительное поведение;
• способ получения информации и ее правдивость;
• содержание, форма и последствия публикации; а также строгость наложенных санкций.

Кроме того, для того чтобы оценить обоснованность обжалуемого высказывания, необходимо различать констатацию фактов и оценочные суждения.

За последние годы Европейским судом по правам человека был принят ряд решений, связанных с нарушением права на неприкосновенность личной жизни. Решения ЕСПЧ имеют большое значение и для Украины, ведь последняя остается активно вовлеченной в развитие и использование цифровых технологий.