Среди дополнительных гарантий субъектов персональных данных в Конвенции СЕ № 108 выделяются следующие:

1) право быть осведомленным о существовании автоматизированной базы персональных данных, о ее главных целях, а также о контролере базы данных;

2) обращаться с запросом о том, накапливаются ли в автоматизированной базе данных касающиеся его персональные данные, и получать информацию о таких данных в доступной форме;

3) требовать уточнения или уничтожения таких данных, если они были обработаны с нарушением положений национального права, реализующих основные принципы ст. 5 и 6 Конвенции СЕ № 108;

4) прибегать к судебной защите персональных данных.

Кроме того, ст. 14 Конвенции предусматривает механизмы реализации прав для субъектов персональных данных, находящихся за рубежом.

Учитывая, что участие страны в Конвенции СЕ № 108 предполагает имплементацию ее ключевых положений в национальное законодательство, ст. 11 Конвенции СЕ № 108 оставляет возможность странам-участницам принимать нормы, обеспечивающие более широкую защиту, нежели предусмотренная Конвенцией.

В соответствии с предложениями CAHDATA в отношении прав субъектов персональных данных каждый человек должен иметь право:

а) не подвергаться решению, которое значительно затрагивает интересы субъекта персональных данных, основано исключительно на автоматизированной обработке данных, не учитывая встречное удовлетворение;

б) получить по запросу в разумный срок и без чрезмерных задержек и расходов подтверждение обработки персональных данных, касающихся субъекта, в доступной форме; в ответе должна содержаться вся доступная информация о происхождении, периоде сохранения, а также любая другая информация о персональных данных в соответствии с обязанностями оператора обеспечить прозрачность персональных данных;

в) получать информацию об обработке персональных данных, когда результат такой обработки позволяет идентифицировать субъекта персональных данных.

Конвенция предоставляет значительную свободу странам-участницам при организации обработки персональных данных. Конвенция предусматривает, что в разных национальных правовых системах должны содержаться точные критерии, позволяющие определить оператора данных. Конвенция оперирует термином «контролер данных», под которым понимается физическое или юридическое лицо, орган государственной власти, учреждение или любой другой орган, компетентный в соответствии с внутренним законодательством решать, какова должна быть цель автоматизированной обработки данных, какие категории персональных данных подлежат хранению или какие операции должны производиться с ними. Контролер данных упоминается также в Дополнительном протоколе к Конвенции СЕ № 108 от 8 октября 2001 г.[42].

В соответствии с положениями ст. 8а необходимо, чтобы всегда было возможно установить лицо, являющееся контролером данных.

CAHDATA под контролером данных понимает физическое или юридическое лицо, государственный орган, службу, агентство или любой другой орган, который – один или совместно с другими – имеет власть принятия решения относительно обработки данных.

Согласно п. «с» ст. 2 Конвенции СЕ № 108 под автоматизированной обработкой понимаются следующие операции, осуществляемые полностью или частично с помощью автоматизированных средств: хранение данных, осуществление логических и/или арифметических операций с этими данными, их изменение, уничтожение, поиск или распространение. Однако понятие обработчика в Конвенции не приводится, что объясняется ее наднациональным характером и предполагает закрепление при необходимости этого понятия и компетенции обработчиков персональных данных в национальном законодательстве стран – участниц Конвенции. Статьей 5 Конвенции предусмотрена обязанность осуществлять обработку персональных данных на законных основаниях.

Предлагаемый модернизированный вариант Конвенции № 108 под обработкой персональных данных понимает операцию или набор операций, которые выполняются с персональными данными: сбор, хранение, изменение, поиск, раскрытие, стирание или уничтожение данных, логические и/или арифметические операции.

Сама Конвенция СЕ № 108 не содержит санкций за предоставление неправомерного доступа к персональным данным неограниченного круга лиц. Однако ст. 10 Конвенции установлено, что каждая сторона обязуется предусмотреть надлежащие санкции и средства правовой защиты на случай нарушения норм внутреннего законодательства, воплощающих основополагающие принципы защиты данных.

Конвенция предполагает закрепление норм, запрещающих несанкционированный доступ третьих лиц к персональным данным, в национальном законодательстве стран-участниц.

В российском законодательстве последствия предоставления доступа неограниченному кругу третьих лиц или ограниченному кругу являются одинаковыми.

Модернизированный вариант Конвенции № 108 предлагает установить на национальном уровне обязанность оператора незамедлительно уведомить контролирующий орган по защите персональных данных обо всех случаях нарушения безопасности персональных данных, если это может повлечь нарушение прав субъектов персональных данных.

Положениями Конвенции ответственность за непринятие мер по защите персональных данных не установлена, но предусмотрена возможность принятия таких мер на национальном уровне (ст. 10).

Рекомендация Комитета министров Совета Европы № R(87) 15 государствам-участникам об использовании персональных данных в деятельности полиции предусматривает возможность передачи персональных данных третьим лицам только в оговоренных случаях.

Другим публичным учреждениям (кроме органов полиции) передача персональных данных разрешается только в особых случаях, если существует четкое правовое обязательство или разрешение субъекта данных, или разрешение надзорного органа, или если эти данные необходимы получателю для выполнения его собственных законных обязанностей. Кроме того, передача информации другим публичным учреждениям разрешается, если:

а) передача информации, несомненно, осуществляется в интересах субъекта данных, или субъект данных согласился, или обстоятельства таковы, что позволяют очевидно предположить возможность такого согласия;

б) передача информации является необходимой для предотвращения серьезной и неизбежной опасности.

Передача данных частным лицам разрешается в особых случаях, только если существуют четкие правовые обязательства или разрешения субъекта данных, или разрешения надзорного органа.

Рекомендация CM/Rec(2010)13 Комитета министров странам-членам по вопросам защиты частных лиц в связи с автоматизированной обработкой персональных данных в контексте профилирования граждан (утверждена Комитетом министров 23 ноября 2010 г. на 1099-м заседании постоянных представителей министров) (далее – Рекомендация CM/Rec(2010)13)[43] предусматривает указания государствам – участникам Конвенции СЕ № 108 обеспечить надлежащее регулирование и защиту граждан при сборе и обработке метаданных, относящихся к информационным потокам, запросам пользователей Интернета, привычкам потребителей, их деятельности, к образу жизни и поведению пользователей телекоммуникационных устройств, в том числе данных о месте (местах) их нахождения, а также данных, получаемых, в частности, из социальных сетей, систем видеонаблюдения, биометрических систем и радиочастотной идентификации (РЧИД), устройств, входящих в состав «Интернета вещей».

Рекомендация CM/Rec(2010)13 вводит понятие «профилирование» как деятельность, в ходе которой большие данные, собранные автоматически, обрабатываются на основе соответствующих расчетов, сравнений и программ статистической корреляции с целью подготовки «профилей» граждан, которые могут быть использованы многочисленными и разнообразными способами, в том числе путем сопоставления данных, предоставленных несколькими лицами.