Закон о защите персональных данных: что гарантирует египтянам закон № 151 от 2020 года

Каждый раз, когда гражданин заказывает еду через приложение, открывает банковский счёт или покупает SIM-карту, персональные сведения уходят из его рук к тем, кого он никогда не видит: имя, номер телефона, адрес, а порой и гораздо больше. Десятилетиями этот поток данных оставался без всеобъемлющего правового регулирования — пока летом 2020 года не был принят закон № 151 от 2020 года о защите персональных данных, первый в Египте цельный акт, определяющий, как компании и учреждения вправе собирать, хранить, обрабатывать и использовать сведения о людях.

У закона отчётливые конституционные корни: статья 57 Конституции 2014 года провозглашает частную жизнь неприкосновенной, а переписку и связь любого рода — защищёнными, и посягнуть на эту защиту можно лишь по мотивированному судебному решению. Закон переводит этот конституционный принцип в практические обязанности для всех, кто работает с данными граждан. Кроме того, он появился на гребне мировой законодательной волны, поднявшейся после европейского Общего регламента по защите данных, известного под аббревиатурой «GDPR», который вдохновил схожие законы в десятках стран.

Что же считается «персональными данными» с точки зрения закона? Определение намеренно широкое: любые сведения, относящиеся к идентифицированному или поддающемуся идентификации — прямо или косвенно — физическому лицу, от имени и номера национального удостоверения личности до данных о местоположении и электронных идентификаторов. Отдельно закон выделяет категорию усиленной защиты — «чувствительные персональные данные»: сведения о физическом и психическом здоровье, биометрию, финансовые данные, религиозные убеждения, политические взгляды и сведения о судимости, а также данные детей, для обработки которых требуется согласие законного представителя.

Краеугольный принцип всего закона — согласие: по общему правилу персональные данные нельзя собирать, обрабатывать или раскрывать без явного согласия их обладателя, кроме случаев, прямо разрешённых законом. Данные должны собираться для законных, конкретных и объявленных субъекту целей, быть достоверными и своевременно обновляться, а храниться — не дольше, чем того требует цель их сбора.

Закон вручает субъекту данных набор прав, которыми можно воспользоваться на практике: право знать, какими сведениями о вас располагает организация, право ознакомиться с ними и получить к ним доступ, право требовать исправления или изменения неверных данных, право на их удаление после того, как цель отпала, право возражать против обработки и право отозвать ранее данное согласие. Закреплено и право получить уведомление о любом взломе или утечке, затронувших ваши данные.

Чтобы эти права не остались чернилами на бумаге, закон создал специализированный надзорный орган — Центр защиты персональных данных при Министерстве связи и информационных технологий. Центр выдаёт лицензии и разрешения тем, кто обрабатывает данные, принимает жалобы граждан, проверяет подпадающие под закон организации, издаёт методические правила и налагает административные взыскания на нарушителей.

В свою очередь на компании и учреждения закон возлагает конкретные обязанности: назначить ответственного за защиту данных там, где это предписано, вести реестры обработки, принимать технические и организационные меры безопасности и уведомлять Центр в течение семидесяти двух часов о любом взломе, затронувшем данные. Закон регулирует и прямой электронный маркетинг: требуются предварительное согласие адресата, раскрытие личности отправителя и реальная возможность в любой момент прекратить получение сообщений.

Передавать персональные данные за пределы страны допускается только по лицензии или разрешению Центра и при условии, что уровень правовой защиты в принимающем государстве не ниже установленного египетским законом. В эпоху облачных вычислений, когда данные египтян могут храниться на серверах за тысячи километров от Каира, это условие весит немало.

Закон появился не беззубым: за нарушения грозят штрафы, начинающиеся с сотен тысяч египетских фунтов и доходящие по отдельным составам до миллионов, а в определённых случаях — например, при незаконном раскрытии чувствительных данных — и наказания, связанные с лишением свободы. Однако полное применение закона было увязано с исполнительным регламентом, издание которого затянулось на годы после вступления акта в силу; специалисты зафиксировали эту задержку как самый заметный разрыв между текстом и действительностью.

Остаётся добавить, что закон охватывает не всех и не всё: есть чётко очерченные изъятия — данные, которые люди обрабатывают исключительно для личных нужд, данные, подчинённые особым регуляторным режимам, например относящиеся к ведению Центрального банка, а также соображения национальной безопасности, урегулированные другими законами. Понимать пределы закона — часть того, чтобы понимать свои права в нём.

Что же делать обычному гражданину со всем этим? На практике: читайте политику конфиденциальности, прежде чем с ней согласиться, пусть даже бегло; не давайте приложениям разрешений, без которых их работа прекрасно обходится; спрашивайте у организаций, с которыми имеете дело, что происходит с вашими данными; сохраняйте подтверждения своих обращений. Закон дал гражданину инструменты, которых прежде попросту не существовало, но их подлинная ценность зависит от того, знают ли о них сами обладатели прав и достроят ли в ближайшие годы механизм их исполнения.