Руководство по GDPR. Мария Беляева
для идентификации субъектов в цифровом пространстве.
Для применения Общего регламента по защите данных не требуется фактической идентификации субъекта данных, достаточно, чтобы субъект был потенциально идентифицируемым. Субъект считается потенциально идентифицируемым, если имеется достаточно атрибутов данных, с помощью которых его можно прямо или косвенно идентифицировать. Согласно разделам 2 и 3 Общего регламента по защите данных все идентифицируемые данные, хранящиеся у обработчика, должны быть доступны субъекту данных, равно как и все сведения об обработке, включая третьих лиц, которым такие данные доступны.
Например, местный орган власти собирает данные об автомобилях на улицах города. По его указанию происходит автоматическая фотофиксация времени и местоположения автотранспортного средства с целью оформления штрафов, в случаях выявления нарушений. Субъект данных подает жалобу, заявляя, что местный орган власти не имеет правовых оснований в соответствии с законодательством о защите данных. Местный орган власти утверждает, что не осуществляет сбор персональных данных, поскольку номерные знаки автомашин обрабатываются без других идентификаторов и орган власти не имеет доступа к реестру полиции для идентификации субъекта.
Данное утверждение не соответствует требованиям Общего регламента по защите данных. Принимая во внимание, что цель сбора данных состоит в конечной идентификации субъекта для наложения штрафных санкций, можно сделать вывод, что субъект данных будет идентифицирован. Следовательно, будет произведена обработка персональных данных в реестрах полиции. Общий регламент по защите данных предусматривает дополнительных получателей данных, кроме непосредственного обработчика, которые могут предпринять попытку идентификации личности. В данном контексте действия местных властей равносильны сбору данных об идентифицируемых лицах и требуют наличия правовой основы в соответствии с законодательством о защите данных.
Для определения критериев вероятности идентификации субъекта следует учитывать все объективные факторы, такие как стоимость и время, затраченное на идентификацию, а также принять во внимание физические и программные возможности.
В соответствии с законодательством Совета Европы, Пояснительный доклад к Модернизированной Конвенции 108 содержит следующую формулировку понятия «идентификация»: понятие «идентифицируемый» относится не только к гражданской или юридической идентичности человека как таковой, но и к тому, что может позволить «определить личность субъекта» средствами обработки и, как следствие, подвергнуть классификации. Такое «определение субъекта» может быть осуществлено с помощью доступа к его (ее) электронным устройствам или комбинации таких устройств (стационарные или мобильные гаджеты, камеры, игровые устройства и т. д.), а также