Приватность и безопасность сбора данных во время пандемии

Какие данные можно собирать во время пандемии и как это отразится на правах граждан: мировая практика и основные принципы.

Кризис, спровоцированный COVID-19, поставил перед регуляторами всего мира ряд новых вызовов. И помимо угроз медицинских,  еще один вопрос стал ребром — что делать с медицинскими данными и где грань пропорциональности их обработки частными и государственными учреждениями.

Критичным стал и вопрос о том, как отслеживать случаи, анализировать статистику и лимитировать скорость распространения коронавируса. Все эти действия упираются в вопрос о приватности и безопасности сбора таких данных.

Одним из популярных методов контроля за распространением вируса стало отслеживание контактов — практика идентификации и мониторинга тех, кто контактировал с заболевшим.

На фоне недавних утечек данных и уязвимостей в безопасности критичных технологий, вопрос безопасности данных о перемещении и заболевании людей стал критичным, и довольно часто — причиной нового регулирования. 

Мировая практика

Приватность данных как отрасль формируется на принципах, которые тем или иным образом отражены в законодательных актах. Один из них — пропорциональность общественного интереса и личной приватности. Исходя из этой позиции, регуляторы многих стран выставили требования к тому, какие данные можно собирать, что с ними потом будут делать и как это отразиться на правах граждан.

Начнем с Китая, где обязали использовать данные только для целей борьбы с пандемией и установить жесткие меры безопасности, чтобы предотвратить утечку.

ЕС обязал страны-члены разработать локальные гайды по тому, что и как с этим данными делать в части соответствия GDPR. Ст. 6 GDPR и дополнение 46 предусматривает допустимость обработки данных без согласия человека, если такая обработка необходима для защиты его жизненно важных интересов. Так как глобальная пандемия — это именно такой случай, Европейский Борд Защиты Данных выдал рекомендации о том, как стоит проводить отслеживание контактов и как регуляторы должны участвовать в этом процессе. Важно заметить, что в этих рекомендациях, Борд также ограничил использование данных только в целях борьбы с пандемией.

В Палате Представителей США в мае обе партии  предоставили на рассмотрение свои проекты актов, которые регулируют приватность медицинских данных в рамках пандемии. Ранее в феврале, Департамент Здравоохранения США также выдал инструкцию по медицинским данным. Эта инструкция устанавливает ограничения, похожие на выставленные в ЕС, но при этом перекладывает больше ответственности на медучреждение. 

Основные принципы

Итого, мы можем проследить несколько основных принципов, преследуемых регуляторами глобально:

• Ограничение обработки данных по целе их сбора;
• Собирать медицинскую  информацию могут только организации, у которых на это есть острая потребность;
• Минимизация данных: собирать нужно только те данные, которые прямо влияют на работу организации.

Использование приложения для мониторинга, как это делают в Украине, довольно популярная практика. Учитывая ограничения по сроку хранения на период карантина и использование данных только для минимизации пандемии — сопоставима с глобальными практиками, описанными выше.