Право в сфере технологий, ИИ и защиты данных

Вопросы, которыми мы занимаемся в рамках Закона Турции № 6698 о защите персональных данных (KVKK), Закона Турции № 5651 о регулировании публикаций в интернете и положений о киберпреступлениях Уголовного кодекса Турции № 5237:

• Приведение деятельности в соответствие с турецким законодательством о защите данных и GDPR, реестры данных и разработка политик
• Уведомления о конфиденциальности, процедуры получения явного согласия и политики в отношении файлов cookie
• Соглашения между оператором и обработчиком данных и обязанности операторов по регистрации в реестре
• Трансграничная передача персональных данных и доступные для неё правовые механизмы
• Данные работников, личные дела и видеозаписи на рабочем месте
• Данные о здоровье, биометрические данные и персональные данные особых категорий
• Уведомление об утечке данных, управление утечками и иски об отмене решений Совета по защите персональных данных
• Требования о возмещении вреда, причинённого неправомерной обработкой персональных данных
• Неправомерный доступ к информационным системам, незаконное получение данных и преступления с банковскими картами
• Оскорбление, угроза и шантаж, совершённые через интернет
• Обращения об удалении контента, блокировке доступа и о реализации права на забвение
• Взломанные аккаунты в социальных сетях и процедуры обеспечения цифровых доказательств
• Договоры на разработку и сопровождение программного обеспечения, облачные вычисления и соглашения об уровне обслуживания
• Ответственность, использование данных и обязанности по прозрачности при применении искусственного интеллекта
• Споры в сфере электронной торговли, электронной подписи и электронных договоров
• Обязанности в сфере кибербезопасности и управление инцидентами после кибератаки
• Ответственность цифровых платформ и отношения между платформой и пользователем
• Право в сфере игр и киберспорта; споры о цифровом контенте и виртуальных предметах
• Прямой маркетинг, коммерческие электронные сообщения и связанные с ними обязанности
• Ответственность при алгоритмическом принятии решений и исключительно автоматизированной обработке
• Правовая оценка криптоактивов и приложений на основе блокчейна

В работе в этой области учитывается прежде всего Закон Турции № 6698 о защите персональных данных, а также нормы о публикациях в интернете, электронной торговле, электронной подписи, киберпреступлениях, кибербезопасности, потребительском праве и интеллектуальной собственности. Правовой риск в этой сфере часто возникает из разрыва между письменными политиками и фактической практикой; поэтому процессы оцениваются не только по договорам и текстам политик, но и через бизнес-модель, техническую инфраструктуру, пользовательские сценарии и фактические потоки данных.

В рамках приведения деятельности в соответствие с законодательством о защите данных отдельно изучаются процессы в сфере управления персоналом, продаж, маркетинга, бухгалтерского учёта, колл-центра, видеонаблюдения, мобильных приложений, веб-сайта, управления поставщиками и ИТ. Определяются обрабатываемые персональные данные, правовые основания обработки, сроки хранения, права доступа, группы получателей и каналы передачи за рубеж, а для операторов, подлежащих регистрации, проверяется соответствие между уведомлением в турецком Реестре операторов данных (VERBİS) и фактической деятельностью по обработке.

Уведомления о конфиденциальности и процедуры получения явного согласия готовятся отдельно для работников, соискателей, клиентов, посетителей, видеонаблюдения, файлов cookie, мобильных приложений, рекламных кампаний и поставщиков. Обязанность по информированию и явное согласие — не одно и то же действие; явное согласие требуется лишь тогда, когда отсутствует иное предусмотренное законом условие обработки. Запросы субъектов данных о доступе, исправлении или удалении данных рассматриваются в индивидуальном порядке, чтобы ответ был дан своевременно и с документальной фиксацией.

При обработке данных работников корпоративная электронная почта, использование интернета, геолокация, показатели эффективности, записи о входе и выходе, биометрические данные и видеозаписи оцениваются с точки зрения цели, необходимости, соразмерности и предварительного уведомления. При использовании облачных сервисов, CRM, систем управления персоналом, аналитики или искусственного интеллекта определяется, передаются ли персональные данные за рубеж и на каком правовом механизме основана такая передача, а договоры с поставщиками проверяются в части уведомления об утечках, субобработчиков, прав на аудит, удаления данных и распределения ответственности.

Договоры на разработку программного обеспечения, лицензионные договоры, SaaS, договоры на техническое обслуживание, хостинг, API и цифровые платформы, корпоративные политики использования искусственного интеллекта, правовая оценка проектов на основе криптоактивов и блокчейна, коммерческие электронные сообщения, а также вопросы удаления контента, блокировки доступа, захвата аккаунтов и киберпреступлений также входят в область нашей практики.

К числу вопросов, наиболее часто встречающихся на практике, относятся соблюдение требований о защите данных, сведённое к уведомлению о конфиденциальности на веб-сайте, явное согласие, полученное без необходимости или объединённое в одном поле подтверждения, облачные сервисы, передающие данные за рубеж вопреки заявленному в политике компании, а также системы видеонаблюдения, установленные в целях безопасности, но используемые для постоянного контроля за работниками.

Утечки данных могут возникать из-за электронного письма, отправленного не тому адресату, утерянного устройства, взломанной учётной записи пользователя, программ-вымогателей, базы данных, оставленной открытой в интернете, или сохраняющегося доступа бывшего работника к системам. Не каждый технический инцидент влечёт одинаковые правовые последствия; однако вывод о том, что утечки данных не произошло, сделанный без расследования, столь же неверен. Необходимо сохранить журналы событий, установить затронутые системы и группы данных и зафиксировать дату обнаружения инцидента.

При использовании искусственного интеллекта то обстоятельство, что инструмент приобретён у внешнего поставщика или работает через общедоступный сервис, не снимает ответственности с применяющей его компании. Системы, используемые при подборе персонала, скоринге клиентов, в рекламе, при создании контента или поддержке принятия решений, оцениваются в совокупности с точки зрения персональных данных, дискриминации, потребительского права, интеллектуальной собственности, коммерческой тайны и договорной ответственности.

В технологических договорах неурегулированность вопросов приёмочных испытаний, уровней обслуживания, ответственности за сбои, потери данных, исходного кода, прав интеллектуальной собственности и доступа к данным после прекращения договора может привести к серьёзным спорам. В делах о захвате аккаунтов, поддельных профилях, несанкционированном использовании изображений, онлайн-мошенничестве или деловой репутации приоритетом является обеспечение доказательств, поскольку контент может быть удалён, а записи платформ со временем становится труднее получить.

Процесс начинается с понимания того, как фактически произошёл инцидент или работает система, и лишь затем — с обращения к правовым текстам. В совокупности изучаются используемое программное обеспечение, источники данных, поставщики, договоры, снимки экрана, записи о доступе, журналы событий, переписка по обращениям и даты событий.

Затем определяются применимое законодательство, критически важные сроки, имеющиеся доказательства и ответственность сторон. В проектах по приведению деятельности в соответствие с требованиями законодательства готовится практически применимый план задач, охватывающий реестр данных, уведомления о конфиденциальности, правила хранения и доступа, договоры с поставщиками и механизмы передачи данных, чтобы соответствие обеспечивалось на практике, а не только на бумаге.

В случае утечки данных или киберинцидента организуется взаимодействие с технической командой, специалистом по цифровой криминалистике, страховщиком и подразделением по коммуникациям. Обеспечение доказательств, подготовка текстов уведомлений, информирование затронутых субъектов данных и фиксация корректирующих мер, принятых после инцидента, осуществляются в этих рамках.

В спорах административные обращения, судебное разбирательство, заявления о возбуждении уголовного дела, обращения об удалении контента и блокировке доступа, официальные претензии, обеспечение доказательств и требования о возмещении вреда оцениваются отдельно, поскольку каждое средство защиты подчинено различным условиям и служит различной цели. Доверитель регулярно информируется об этапах процесса, возможных рисках и средствах правовой защиты, которые могут быть использованы.