Препоръка CM/Rec(2010)13

на Комитета на министрите на държавите-членки

относно защита на лицата при автоматизираната обработка
на лични данни в контекста на профилиране ¹

(Приета от Комитета на министрите на 23 ноември 2010 г.,

на 1099-то заседание на заместник-министрите

Комитетът на министрите,

Като има предвид, че целта на Съвета на Европа е постигане на по-тясно сближаване между своите членове;

Като отбелязва, че информационните и комуникационните технологии (ИКТ) позволяват събирането и обработването в голям мащаб на данни, включително лични данни, както в частния, така и в публичния сектор; Като отбелязва, че ИКТ се използват за широк спектър от цели, включително начини за използване на услуги широко приети и оценени от обществото, защита на потребителите и на икономиката; като отбелязва, в същото време, че непрекъснатото развитие на конвергентни технологии поставя нови предизвикателства по отношение на събиране и по-нататъшна обработка на данни;

Като отбелязва, че това събиране и обработка може да възникне в различни ситуации за различни цели и различни видове данни, като например данни за трафика и потребителските заявки в Интернет, покупателните навици на потребителите, действията, данни за стила на живот и поведение на потребителите на телекомуникационни устройства, включително данни за географско местоположение, както и данните, произхождащи по-специално от социалните мрежи, системи за видеонаблюдение, биометрични системи и радиочестотна идентификация (RFID), системи предшестващи "Интернет на вещите"; като отбелязва, че е желателно да се направи оценка на различните ситуации и целите по диференциран начин;

Като отбелязва, че събираните по този начин данни се обработват именно чрез изчисляващ, сравняващ и статистически софтуер, с цел производство на профили, които биха могли да се използват по много начини за различни цели и употреби чрез съчетаване на данните от няколко лица; като отбелязва, че развитието на ИКТ позволява тези операции да бъдат извършвани при относително ниски разходи;

Като има предвид, че посредством това свързване на голям брой хора, дори и анонимни, наблюдения, техниката за профилиране е в състояние да оказва влияние върху засегнатите чрез поставянето им в предварително определени категории, много често без тяхно знание;

Като има предвид, че профилите, когато те се отнасят към даден субект на данни, дават възможност да се генерират нови лични данни, които не са тези, които субектът е съобщил на контролера или които тя или той може разумно да предположи, че ще бъдат известни на администратора;

Като има предвид, че липсата на прозрачност, или дори "невидимостта", свързана с профилирането и липсата на точност, която може да бъде получена в резултат от автоматичното прилагане на предварително установени правила за заключения може да представлява значителен риск за правата и свободите на физическите лица;

Като има предвид по-специално, че защитата на основните права, по-специално правото на неприкосновеност на личния живот и защитата на личните данни, предполага съществуването на различни и независими сфери на живота, където всеки индивид има право да контролира използването на това, което той или тя счита, че представлява неговата самоличност;

Като има предвид, че профилирането може да бъде вследствие законен интерес, както на лицето, което го използва, така и на лицето, за което се отнасят тези данни, например когато това води до по-добро сегментиране на пазара, даващо възможност за анализ на рисковете и измамите, или адаптиране на оферти, за да се отговори на търсенето на потребителите с цел предоставяне на по-добри услуги; и като има предвид, че профилирането по този начин може да осигури ползи за ползвателите, икономиката и обществото като цяло;

Като има предвид обаче, че профилирането на отделните лица може да доведе до неоправдано лишаване от достъп до определени стоки или услуги за него или нея и по този начин да бъде нарушен принципа за недопускане на дискриминация;

Като има предвид освен това, че техниките за профилиране, влияейки на взаимовръзката между конфиденциалните данни по смисъла на член 6 от Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS №. 108, наричана по-долу "Конвенция № 108") и на други данни, може да доведе до генерирането на нови чувствителни данни, свързани с идентифицирано или подлежащо на идентификация лице; като има предвид също така, че такова профилиране може да изложи лицата на особено висок риск от дискриминация и атаки срещу техните лични права и достойнство;

Като има предвид, че профилирането на децата може да има сериозни последици за тях през целия им живот, и предвид факта, че те не са в състояние, от свое име, да предоставят своето свободно, конкретно и информирано съгласие, когато личните данни се събират за целите на профилирането, трябва да се предприемат специфични и подходящи мерки за защита на децата, които са необходими, за да се вземат предвид най-добрите интереси на детето и развитието на личността им, в съответствие с Конвенцията на ООН за правата на детето;

Като има предвид, че използването на профили, дори и легитимно, без необходимите предохранителни и специални гаранции, може сериозно да навреди на човешкото достойнство, както и на други основни права и свободи, включително икономическите и социалните права;

Като изразява увереност, че поради това е необходимо да се регулира профилирането по отношение на защитата на личните данни с цел защита на основните права и свободи на физическите лица, и по-специално правото на неприкосновеност на личния живот, както и за предотвратяване на дискриминацията въз основа на пол, расов или етнически произход, религия или убеждения, увреждане, възраст или сексуална ориентация;

Като припомня в това отношение общите принципи за защита на данните в съответствие с Конвенция № 108;

Като припомня, че всеки човек има право на достъп до данните, отнасящи се до него или нея и като има предвид, че всеки човек трябва да познава логиката на профилиране; като има предвид, че това право не следва да засяга правата и свободите на другите, и по-специално не следва да влияе неблагоприятно върху търговската тайна или интелектуалната собственост, или защитата на авторските права на софтуера;

Като припомня необходимостта за съблюдаване на вече съществуващите принципи, установени от други съответни препоръки на Съвета на Европа, по-специално Препоръка Rec(2002)9 относно защитата на личните данни, събирани и обработвани за целите на осигуряването и Препоръка Rec(97)18 относно защитата на личните данни, събирани и обработвани за статистически цели

Като има предвид Конвенцията на Съвета на Европа за престъпленията в кибернетичното пространство (ETS NO. 185 - Конвенцията от Будапеща), която съдържа разпоредби за опазване, събиране и обмен на данни, при съблюдаване на условия и гаранции, осигуряващи адекватна защита на човешките права и свободи;

Като има предвид както на член 8 от Европейската конвенция за правата на човека (ETS №. 5), както се тълкува от Европейския съд по правата на човека, така и новите рискове, породени от използването на информационни и комуникационни технологии;

Като има предвид, че защитата на човешкото достойнство и други основни права и свободи в контекста на профилирането може да бъде ефективна, единствено и само ако всички заинтересовани страни допринесат заедно за справедливо и законосъобразно профилиране на физическите лица;

Като има предвид, че мобилността на индивидите, глобализацията на пазарите и използването на нови технологии изискват трансграничен обмен на информация, включително в контекста на профилиране, и изискват сравнима степен на защита на личните данни във всички държави-членки на Съвета на Европа,

Препоръчва на правителствата на държавите-членки:

1. да прилагат приложението към настоящата препоръка относно събирането и обработването на лични данни, използвани в контекста на профилиране по-специално чрез предприемане на мерки, за да гарантират, че принципите, изложени в приложението към настоящата препоръка, са отразени в тяхното законодателство и практика;

2. да обезпечат широкото разпространение на принципите, посочени в приложението към настоящата препоръка измежду лица, държавните органи и публичните или частни организации, особено тези, които участват в създаването и използването на профилиране, като дизайнери и доставчици на софтуер, в разработчици на профилиране, доставчици на услуги на електронни комуникация и доставчици на услуги на информационното общество, както и между органите, и органите, отговарящи за защитата на данните и стандартизацията;

3. насърчаване на такива лица, държавните органи и публични или частни органи, да въведат и насърчават механизми за саморегулиране, като например кодекси за поведение, гарантиране на зачитането на неприкосновеността на личния живот и защита на данните, както и въвеждане на съответните технологии, упоменати в приложението към настоящата препоръка .

Приложение към Препоръка CM/Rec(2010)13

1. Определения

За целите на настоящата препоръка:

а. "Лични данни" означава всяка информация, свързана с идентифицирано или лице, което може да бъде идентифицирано ("субект на данните"). Едно лице не може да бъде считано за "идентифицируемо ", ако идентификацията изисква необосновано дълго време и усилия.

б. "Чувствителни данни" означава лични данни, разкриващи расов произход, политически убеждения или религиозни или други убеждения, както и лични данни за здравословното състояние, сексуалния живот или наказателни присъди, както и други данни, определени като чувствителни от вътрешното законодателство.

в. "Обработка" означава всяка операция или набор от операции, извършвани изцяло или частично с помощта на автоматизирани процеси и приложими към личните данни, като например съхранение, опазване, адаптиране или промяна, извличане, консултиране, използване, комуникация, съвпадение или взаимно свързване, а също и заличаване или унищожаване.

г. "Профил" се отнася до набор от данни, който характеризира една категория хора, които са предназначени за прилагане към дадено лице.

д. "Профилиране" означава автоматична техника за обработка на данни, която се състои от прилагане на "профил" на физическо лице, с цел вземане на решения, свързани с нея или него или за анализиране или прогнозиране на нейните или неговите лични предпочитания, поведение и нагласи.

е. "Услуга на информационното общество" се отнася за всяка услуга, нормално предоставяна срещу възнаграждение, от разстояние, по електронен път.

ж. "Администратор" означава физическо или юридическо лице, държавен орган, агенция или друг орган, който сам или в сътрудничество с други определя целите и средствата, използвани за и при събирането и обработването на лични данни.

з. "Обработчик" означава физическо или юридическо лице, държавен орган, агенция или друг орган, който обработва лични данни от името на администратора.

2. Общи принципи

2.1. Зачитането на основните права и свободи, а именно правото на неприкосновеност на личния живот и на принципа на недопускане на дискриминация, трябва да бъдат гарантирани по време на събирането и обработката на лични данни, предмет на настоящата препоръка.

2.2. Държавите-членки трябва да насърчават разработването и прилагането на процедури и системи в съответствие с неприкосновеността на личния живот и защитата на данните, най-вече при техния етап планиране, по-специално чрез използването на технологии за повишаване на защитата на личните данни. Те също трябва да се предприемат подходящи мерки по отношение на развитието и използването на технологии, които са насочени, изцяло или частично, към незаконното заобикаляне на техническите мерки за защита на неприкосновеността на личния живот.

3. Условия за събирането и обработването на лични данни в контекста на профилиране

A. Законност

3.1. Събирането и обработването на лични данни в контекста на профилирането, трябва да бъде добросъвестно, законосъобразно и пропорционално, както и за определени и законни цели.

3.2. Личните данни, използвани в контекста на профилирането, следва да бъдат адекватни, релевантни и да не съдържат излишна информация по отношение на целите, за които са събрани, или за които те ще бъдат обработвани.

3.3. Личните данни, използвани в контекста на профилирането, трябва да се съхраняват във формат, който позволява идентифицирането на съответните физически лица за период не по-дълъг от необходимия за целите, за които те се събират и обработват.

3.4. Събиране и обработка на лични данни в контекста на профилиране може да се извършва само, ако:

а. ако това е предвидено със закон.; или

б,.ако това е позволено от закона и:

- субектът на данните или негов или неин законен представител е предоставил нейното или неговото свободно, конкретно и информирано съгласие;

- е необходимо за изпълнението на договор, по който съответното физическо лице е страна, или за изпълнението на преддоговорни мерки, предприети по искане на съответното физическо лице;

- е необходимо за изпълнението на задача, която се осъществява в обществен интерес или при упражняване на официалните правомощия, предоставени на администратора или на трето лице, на което се разкриват данните;

- е необходимо за целите на законните интереси на администратора или на трето лице или лица, на които се разкриват профилите или данните, освен когато пред тези интереси имат преимущество основните права и свободи на съответното физическо лице;

- е необходимо в жизненоважните интереси на субекта на данните.

3.5. Събирането и обработването на лични данни в контекста на профилиране от лица, които не могат да изразят от свое собствено име своето свободно, конкретно и информирано съгласие, следва да бъде забранено, освен когато това е в рамките на законния интерес на субекта на данните, или ако е налице надделяващ обществен интерес, при условие, че са спазени предпазните мерки, предвидени със закон.

3.6. Когато се изисква съгласие, това е задължение на администратора да докаже, че субектът на данни е дал информирано съгласие профилиране, както е посочено в раздел 4.

3.7. Доколкото е възможно, и освен ако услугата изисква изисква познаване на самоличността на субекта на данните, всеки трябва да има достъп до информацията за стоки или услуги или достъп до тези стоки или самите услуги, без да се налага да съобщава лични данни на доставчика на стоките или услугите. С цел да се осигури свободно, конкретно и информирано съгласие за профилиране, доставчиците на услуги на информационното общество следва да гарантират, по подразбиране, непрофилиран достъп до информация относно техните услуги.

3.8. Разпространението и използването, без знанието на субекта на данни, на софтуер, предназначен за наблюдение или мониторинг в контекста на профилиране, използван като даден терминал или електронна съобщителна мрежа, следва да бъде разрешено, само ако е изрично предвидени от вътрешното право и съпътствано от подходящи гаранции.

Б. Качество на данните

3.9. Администраторът следва да предприеме подходящи мерки за коригиране на данните в случай на поява на неточности и за ограничаване на рисковете от грешки, свързани с профилирането.

3.10. Администраторът трябва периодично и в разумен срок да извършва преоценка на качеството на данните, както и на използваните статистически заключения.

В. Чувствителни данни

3.11. Събирането и обработването на чувствителни данни в контекста на профилиране е забранено, освен ако те са необходими за законни и конкретни цели на обработка и за продължителност, за каквато вътрешното законодателство предвижда подходящи гаранции за тези данни. Когато се изисква съгласие, това да бъде изрично, когато обработването се отнася до чувствителни данни.

4. Информираност

4.1. Когато личните данни се събират в контекста на профилирането, администраторът трябва да предостави на субектите на данни следната информация:

а. че техните данни ще бъдат използвани в контекста на профилиране.

б. целите, за които профилирането се извършва.

в. категориите на използваните лични данни;

г. самоличността на администратора и, ако е необходимо, неин или негов представител;

д. наличието на подходящи гаранции;

е. цялата информация, която е необходима за гарантиране на добросъвестността при извършването на профилирането, като например:.

- категориите лица или органи, на които или към които може да бъдат предадени личните данни, и целите за това;

- възможността, когато е уместно, за субектите на данните да откажат или оттеглят съгласието си и последиците от оттеглянето;

- условията за упражняване на правото на достъп, възражение или корекция, както и правото за подаване на жалба пред компетентните органи;

- лицата или органите, от които са събирани личните данни или ще бъдат събирани;

- задължителния или доброволен характер на отговори на използваните методи за събиране на лични данни, и последиците за субектите на данни в случай, че не отговорят;

- продължителността на съхранение;

- предвижданите последици от предоставянето на профила на субекта на данните.

4.2. Когато личните данни се събират от самия субект на данните, администраторът трябва да предостави на съответното физическо лице информацията, посочена в Принцип 4.1, най-късно в момента на събирането.

4.3. Когато личните данни не се събират от самия субект на данните, администраторът трябва да предостави на субектите на данните информацията, посочена в Принцип 4.1, веднага след като личните данни бъдат вписани или ако се планира личните данни да бъдат предоставени на трета страна, не по-късно от първата дата, на която са съобщени за първи път.

4.4. Когато се събират лични данни, без намерение за прилагане на методи за профилиране, се обработват допълнително в контекста на профилиране, администраторът трябва да предостави същата информация като тази, предвидена в Принцип 4.1.

4.5. Разпоредбите по Принципи 4.2, 4.3 и 4.4, за информиране на субектите на данните не се прилагат, ако:

а. субектът на данните вече е бил информиран;

б. предоставянето на информацията се оказва невъзможно или предоставянето ѝ би довело до непропорционално големи усилия;

в. обработката или съобщаването на лични данни за профилиране е изрично предвидено от националното законодателство.

В случаите, посочени в точки б и в, трябва да бъдат предоставени подходящи гаранции.

4.6. Информацията, предоставена на субекта на данните, трябва да бъде подходяща и адаптирана към конкретните обстоятелства.

5. Права на субектите на данните

5.1. Субектът на данните, за когото е или е бил изготвен профил, следва да има право да получи от администратора, по нейна или негова молба, в разумен срок и в разбираема форма, информация относно:

а. нейните или неговите лични данни;

б. логическата обосновка за обработката на нейните или неговите лични данни, както и че са били използвани, за изготвяне на нейния или неговия профил, най-малкото в случай на автоматизирано решение;

в. целите, за които се извършва профилирането и категориите на лицата или органите, на които може да бъдат съобщени на личните данни.

5.2. Субектите на данните следва да имат право да нанасят корекции, да заличава или блокират своите лични данни в тези случаи, когато профилирането в хода на обработването на лични данни се извършва в противоречие с разпоредбите на националното законодателство, които налагат спазването на принципите, изложени в настоящата препоръка.

5.3. Освен когато законът предвижда профилиране в контекста на обработката на лични данни, субектът на данните следва да има право да се противопостави на сериозни законни основания, свързани с нейната или неговата ситуация, относно използването на нейната или неговата лична информация за профилиране. В случай на обосновано възражение, профилирането повече не трябва да включва използването на личните данни на субекта на данните. Когато целта на обработването е директен маркетинг, субектът на данните не е длъжен да предоставя никаква обосновка.

5.4. Ако има някакви основания за ограничаване на правата, посочени в този раздел, в съответствие
с Раздел 6,това решение трябва да бъде съобщено на субекта на данните с всякакви средства, които позволяват регистриране на документите, с посочване на правните и фактическите причини за такова ограничение.

Това упоменаване може да бъде пропуснато, когато съществува причина, която застрашава целта на ограничението. В такива случаи трябва да се дава информация на субекта на данните за това как да оспори това решение пред компетентния национален надзорен орган, съдебен орган или съд.

5.5. Когато едно лице е обект на решение, което има правни последици по отношение на нея или него, или засяга него или нея в значителна степен, решение, взето въз основа единствено на профилиране, той или тя трябва да бъдат в състояние да се противопоставят на решението, освен ако:

а. това е предвидено със закон, с който се определят мерки за защита на законните интереси на субектите на данните, по-специално като им осигурява възможност да изложат своята гледна точка;

б. решението е било взето в хода на изпълнението на договор, по който съответното физическо лице е страна, или за изпълнението на преддоговорна мерки, предприети по искане на съответното физическо лице и че съществуват мерки за защита на законните интереси на субекта на данните.

6. Изключения и ограничения

Когато е необходимо в едно демократично общество за целите на държавната сигурност, обществената безопасност, финансовите интереси на държавата или за предотвратяването и борбата с престъпленията, или защита на съответното физическо лице или на правата и свободите на други лица, държавите-членки не са длъжни да прилагат разпоредбите, предвидени в раздели 3, 4 и 5 на настоящата препоръка, когато това е предвидено в закон.

7. Средства за правна защита

Националното законодателство трябва да осигури подходящи санкции и средства за правна защита в случаи на нарушение на разпоредбите на вътрешното право, обезпечаващо прилагането на принципите, установени в настоящата препоръка.

8. Сигурност на данните

8.1. Трябва да се предприемат подходящи технически и организационни мерки, за да се гарантира защитата на личните данни, обработвани в съответствие с разпоредбите на националното законодателство, прилагането на принципите, изложени в настоящата препоръка, за да бъдат предпазени от случайно или незаконно унищожаване и случайна загуба, както и неоторизиран достъп, промяна, комуникация или всяка друга форма на незаконна обработка.

Тези мерки следва да гарантират надежден стандарт на сигурност на данните с оглед техническото състояние на техниката, а също и на чувствителния характер на личните данни, събирани и обработвани в контекста на профилиране, и оценка на потенциалните рискове. Те трябва да бъдат преразглеждани периодично и в разумен срок.

8.2. Администраторите следва, в съответствие с националното законодателство, да установят подходящи вътрешни правила при спазване на съответните принципи на настоящата препоръка.

8.3. Ако е необходимо, администраторите следва да назначат независимо лице, отговарящо за сигурността на информационните системи и за защитата на данните, както и с необходимата квалификация да дава съвети по тези въпроси.

8.4. Администраторите трябва да изберат обработчици, които предлагат достатъчни гаранции по отношение на техническите и организационните аспекти на извършваната обработка и следва да гарантират, че тези мерки се наблюдават и че, по-специално, обработването е в съответствие с техните инструкции.

8.5. Следва да се въведат подходящи мерки, за да се избегне всяка възможност, такива анонимни и обобщени статистически резултати в профилиране, които могат да бъдат използвани за повторно идентифициране на субектите на данните.

9. Надзорни органи

9.1. Държавите-членки трябва да упълномощят един или повече независими органи, които могат да обезпечат съответствие с националното законодателство, прилагащо принципите, изложени в настоящата препоръка, като при това тези органи трябва да разполагат с необходимите правомощия за разследване и намеса, по-специално правомощието да разглеждат искове, подадени от всяко физическо лице.

9.2. Освен това, в случаи на обработка, които използват профилиране и водят до специфични рискове по отношение на защитата на личния живот и личните данни, държавите-членки могат да предвидят следното:

а. администраторите трябва или да уведомят надзорния орган, преди обработката; или

б. самата обработка да подлежи на предварителна проверка от страна на надзорния орган.

9.3. Посочените по-горе органи следва да информират обществеността за прилагането на законодателство, което трябва да обезпечи принципите, изложени в настоящата препоръка.

¹ 1. При приемането на настоящата препоръка:

В съответствие с член 10.2.в от Процедурния правилник на заместник- министрите, представителят на Обединеното кралство запазва правото дали нейното правителство да се съобрази с нея или не.