Перспективы совершенствования правового регулирования защиты персональных данных в отельном бизнесе России и Китая

Понятие и правовая природа персональных данных в российском и китайском законодательстве Персональные данные представляют собой любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу. [13] Этот термин широко используется в области защиты данных и конфиденциальности, а также имеет юридическое значение в рамках законодательства о защите персональных данных, такого как Общий регламент по защите данных (GDPR) [9] в Европейском Союзе и соответствующие законы в других странах, включая Россию.

Идентифицируемое физическое лицо – это лицо, которое может быть непосредственно или косвенно определено, прежде всего, на основании такой информации, как имя, идентификационный номер, данные о местоположении, онлайн-идентификаторы или на основании одного или нескольких факторов, специфичных для физического, физиологического, генетического, психического, экономического, культурного или социального положения.

Защита таких данных становится все более актуальной, поэтому знание прав и обязанностей, связанных с обработкой персональных данных, необходимо как для бизнесов, так и для пользователей.

Вопрос классификации персональных данных является важным, как в России, так и в Китае, поскольку эти страны имеют свои специфические законодательные рамки, касающиеся сбора, хранения и обработки данных о физических лицах.

В России основным нормативным актом, регулирующим вопросы, связанные с персональными данными, является Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных». [3] Закон предоставляет четкие определения и категории персональных данных, которые можно разделить на несколько групп (таблица 1). Таблица 1. Классификация персональных данных в России № Название Описание 1 Обычные персональные данные Данные, которые не относятся к категории специальных. К ним относятся информация, идентифицирующая физическое лицо, например, имя, фамилия, дата рождения, адрес, контактная информация и другие идентификаторы. 2 Специальные категории персональных данных К ним относятся данные, которые подлежат повышенной защите из-за их чувствительности. Это информация о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, сексуальной жизни, а также биометрические данные (например, отпечатки пальцев, изображения лица и т. д.). Обработка таких данных допускается только в строго определенных случаях, например, с согласия субъекта или на основании закона.

3 Общие персональные данные Информация, которая не относится к конкретному физическому лицу или не может быть использована для его дальнейшей идентификации. Важно отметить, что даже общие данные могли бы быть использованы в сочетании с другими источниками для определения личности, поэтому они должны обрабатываться с осторожностью.

В Китае законодательство о персональных данных стало более строгим в последние годы, особенно после принятия Закона о защите персональных данных, который вступил в силу 1 ноября 2021 года. [5] Данный закон также классифицирует персональные данные накладывая обязательства на организации, обрабатывающие такие данные.

Таблица 2. Классификация персональных данных в Китае [17] № Классификация Описание 1 Обычные персональные данные Под понятие обычных персональных данных попадают все данные, которые могут идентифицировать личность пользователя, включая имя, идентификационный номер, адрес, телефонный номер и электронную почту. Организации обязаны защищать эти данные и обрабатывать их в соответствии с принципами законности, справедливости и прозрачности.

2 Специальные персональные данные Как и в России, специальными данными в Китае считаются те, которые требуют особой защиты. К ним относятся биометрические данные, данные о состоянии здоровья, о сексуальной ориентации, расе и этнической принадлежности, а также информация, касающаяся личных финансов. Закон требует от организаций получить четкое согласие от пользователей на обработку таких данных.

3 Критически важные персональные данные В соответствии с китайским законодательством существую дополнительные требования для критически важных данных, которые требуют еще большего уровня защиты. Это данные, которые могут угрожать безопасности должностных лиц или национальной безопасности. Примеры могут включать данные, используемые в оборонной или правительственной сферах.

Китайский закон о защите персональных данных также ввёл новые требования, касающиеся трансграничной передачи данных, включая обязанность оценивать риски и гарантировать уровень защиты, соответствующий национальному законодательству. Сопоставляя классификации персональных данных в России и Китае, можно выделить несколько значимых аспектов. В обеих странах выделяют стандартные и специальные категории данных, подчеркивая общее стремление защищать наиболее чувствительную информацию. Однако Китай дополнительно выделяет особую группу критически важных данных, что обусловлено особенностями внутренней политики и вопросами безопасности.

В обеих странах установлено требование получения согласия субъекта на обработку его данных, но китайские нормы дополняются дополнительными обязательствами по информированию пользователей. Стоит подчеркнуть, что применение данных принципов варьируется в зависимости от культурных, социальных и политических особенностей каждой страны. Российским и китайским организациям необходимо не только соблюдать законодательные нормы, но и учитывать культурные различия, влияющие на восприятие гражданами вопросов защиты их личной информации.

Классификация персональных данных в России и Китае направлена на обеспечение защиты личной информации граждан, хотя различия в подходах и нюансах законодательства могут представлять дополнительные вызовы для компаний, действующих в этих юрисдикциях. [18] Обработка персональных данных является важным аспектом защиты информации, которая касается индивидуальных прав и свобод. Основные принципы обработки персональных данных были сформулированы в международных и национальных нормативных актах, включая Общий регламент по защите данных (GDPR) в Европейском Союзе и Закон о персональных данных в России. [15] – Первый принцип обработки данных гласит о необходимости соблюдения законности, честности и прозрачности при работе с персональными данными. [19] То есть обработка должна проводиться в полном соответствии с действующими законами и установленными нормами. Пользователям обязательно предоставляется информация о том, какие данные собираются, зачем и на каком основании осуществляется их обработка, а также как долго эта информация будет храниться. Законность обработки гарантируется наличием конкретных оснований, таких как согласие самого субъекта данных, выполнение контрактов, соблюдение юридических обязательств или защита важнейших интересов.

– Принцип ограничения цели: Персональные данные собирают исключительно для четко обозначенных и правомерных целей, дальнейшая обработка вне рамок этих целей недопустима. Таким образом, организации обязаны ясно формулировать цели обработки и воздерживаться от сбора данных, не относящихся к заданным целям. Например, данные, собранные для выполнения договора, недопустимо использовать в маркетинговых целях без дополнительного согласия пользователя.

– Минимизация данных: Объем обрабатываемых персональных данных ограничивается необходимым минимумом для достижения поставленных целей. Организации должны собирать, сохранять и обрабатывать только такую информацию, которая действительно требуется для конкретного задания. Это снижает риск нарушений конфиденциальности и возможных утечек данных, уменьшая общий объем обрабатываемой информации.

– Точность данных: Организациям необходимо обеспечить точность и актуальность персональных данных. Они обязаны принимать меры для постоянного поддержания достоверности информации и вовремя вносить нужные изменения. Пользователи должны иметь возможность самостоятельно исправить некорректные или устаревшие данные, что повышает доверие и предотвращает ответственность за распространение ложной информации.

– Срок хранения данных: Персональные данные сохраняются ровно столько времени, сколько необходимо для достижения объявленных целей. После завершения обработки данные подлежат безопасной утилизации.

Организациям рекомендуется установить точные сроки хранения и неукоснительно их соблюдать, чтобы предотвратить накопление лишней информации.

– Целостность и конфиденциальность:

Должны приниматься надлежащие меры для защиты персональных данных от несанкционированного доступа, хищения, порчи или фальсификации. Среди таких мер — использование шифрования, безопасных хранилищ и регулярных проверок на выявление уязвимостей. Работники должны быть проинформированы о правилах безопасности, а ответственными за сохранение данных назначаются специально уполномоченные лица. – Принцип ответственности: Организации не только обязаны соблюдать изложенные выше принципы, но и должны уметь наглядно показать своё соответствие требованиям.

Это включает составление необходимой документации, проведение анализа влияния на защиту данных и назначение специального сотрудника (ответственного за защиту данных, Data Protection Officer, DPO), который осуществляет контроль выполнения норм. Организации должны быть подготовлены к различным видам проверок и аудитов, чтобы подтвердить соответствие требованиям действующего законодательства в области обработки персональных данных.

Принципы обработки персональных данных задают основные правила и минимальные требования для обеспечения защиты личной информации. Их выполнение способствует формированию доверительных отношений между организациями и физическими лицами, чьи данные обрабатываются. [14] Реализация указанных принципов гарантирует соблюдение прав и свобод граждан, укрепляет репутацию организаций и снижает риски, связанные с нарушениями режима конфиденциальности и возможной ответственностью.

Таким образом, персональные данные в российском и китайском законодательстве представляют собой любую информацию, позволяющую идентифицировать физическое лицо, при этом обе юрисдикции выделяют обычные и специальные категории данных, требующие различного уровня защиты. Обработка персональных данных в обеих странах основывается на универсальных принципах законности, минимизации, точности и безопасности, что отражает общемировую тенденцию к усилению защиты конфиденциальности граждан в цифровую эпоху.

Нормативная база защиты персональных данных в гостиничном бизнесе России Защита персональных данных в гостиничном бизнесе России регламентируется несколькими основными нормативно-правовыми актами, которые устанавливают требования к обработке, хранению и защите личной информации гостей. Важнейшими из них являются: [14] В России основным документом, устанавливающим требования защиты персональных данные, является Конституция РФ, где декларируется право каждого человека на неприкосновенность частной жизни. [1] Трудовой кодекс РФ прописывает, что все персональные данные сотрудников, их объем, хранение и распространение используются только в целях исполнения законодательства и осуществления трудовых обязанностей.

Гражданский кодекс РФ посвящает охране частной жизни гражданина статью 152.2.

Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» устанавливает конкретные правила получения, обработки, использования и хранения персональных данных. [3] Федеральный закон № 152-ФЗ «О персональных данных» вступил в силу 26 января 2007 года и стал основополагающим актом в области защиты персональных данных в России. Он определяет основные понятия и принципы обработки персональных данных, права субъектов данных, а также обязанности операторов, осуществляющих их обработку.

Пути улучшения российского законодательства о защите персональных данных в гостиничном секторе Актуальные проблемы текущего законодательства – Отсутствие детализированных отраслевых стандартов, учитывающих специфику гостиничного бизнеса.

– Недостаточно жесткие наказания за нарушения требований к защите данных.

– Недостаточная степень цифровизации и автоматизации процессов контроля.

– Несоответствие текущих норм международным стандартам защиты данных.

Рекомендуемые мероприятия по улучшению законодательства I. Разработка специализированных отраслевых стандартов Таблица 3. Категории данных и соответствующие меры защиты Тип данных Меры защиты Обязательные данные Хранение паспортных данных, регистрация, оплата Дополнительные данные Предпочтения гостей, программы лояльности Чувствительные данные Медицинская информация, данные о VIP-гостях Биометрические данные Специальные меры защиты и хранение Рекомендуемые меры:

– Определение четкого перечня данных, подлежащих обработке.

– Утверждение стандартов безопасности для каждой категории данных.

– Регулирование порядка хранения и удаления данных.

II. Увеличение наказаний за нарушения Таблица 4. Уровень ответственности и размеры штрафов Вид правонарушения Уровень штрафа (% от дохода) Незначительное нарушение До 1% от годового дохода Среднее нарушение До 5% от годового дохода Серьезное нарушение До 10% от годового дохода Рекомендуемые меры:

– Дифференциация штрафов в зависимости от тяжести нарушения.

– Прогрессивная шкала штрафов за повторные нарушения.

– Возможное временное прекращение деятельности за серьезные нарушения.

III. Модернизация системы контроля и надзора Таблица 5. Мероприятия по улучшению контроля Метод контроля Описание мероприятия Тематические проверки Проведение целевых инспекций Электронный документооборот Автоматизация процессов подачи отчетности Оценка рисков Анализ уровня риска отдельных гостиниц Предварительное согласование Рассмотрение новых ИТ-решений до их внедрения Рекомендуемые меры:

– Разработка чек-листов и методик для проверок.

– Создание реестра гостиниц с оценкой риска нарушений.

– Интеграция цифровых инструментов для дистанционного контроля.

IV. Повышение осведомленности и подготовка персонала Таблица 6. Программа обучения сотрудников Целевая группа Форма обучения Администраторы Курсы по процедуре регистрации и получения согласия Технический персонал Семинары по кибербезопасности и защите данных Руководители Тренинги по организационному контролю и аудиту Рекомендуемые меры:

– Введение регулярных курсов и тренингов.

– Аттестация сотрудников по итогам обучения. – Документирование проведенных учебных мероприятий.

Результаты предлагаемой реформы – Повышение уровня защиты персональных данных в гостиничном секторе.

– Соответствие российским нормам международных стандартов.

– Устранение пробелов в законодательстве.

– Снижение количества нарушений и улучшение качества услуг.

Таким образом, комплексное реформирование законодательства о защите персональных данных в гостиничном секторе обеспечит надежное функционирование отрасли и создаст комфортные условия для гостей.

Особенности правового регулирования защиты персональных данных в гостиничном бизнесе Китая В Китае защиту персональных данных регулируют несколько законов и положений, которые касаются обработки личной информации, кибербезопасности и гражданского законодательства.

Также Китай участвует в международных договорах, регулирующих защиту персональных данных. Конституция Китайской Народной Республики (КНР) прямо не упоминает защиту персональных данных. Однако некоторые статьи Конституции косвенно регулируют этот институт.

Например, статья 38 Конституции гласит, что достоинство граждан защищается как одно из конституционных прав. Статья 40 регулирует свободу и конфиденциальность индивидуального общения. [2] Закон о защите персональных данных (PIPL) Вступил в силу 1 ноября 2021 года. Направлен на защиту прав и интересов физических лиц в области обработки персональной информации, стандартизацию деятельности по обработке данных и стимулирование рационального использования информации.

Закон о кибербезопасности (CSL) [6] Вступил в силу 1 июня 2017 года. Регламентирует действия поставщиков сетевых продуктов и услуг по сбору, хранению и обработке пользовательских данных, определяет порядок и специфику обеспечения безопасности информационной инфраструктуры в стратегически важных отраслях.

Гражданский кодекс (ГК КНР) [8] В 2020 году в Гражданский кодекс КНР включена глава, посвящённая правам личности, включая защиту персональной информации. [16] Международные договоры Китай участвует в международных договорах, регулирующих защиту персональных данных, например:

– Конвенция СЕ 108 — Китай использует международно-признанное определение «персональной информации», закреплённое в Руководящих принципах OECD 1980 года. Направления модернизации китайского законодательства о защите персональных данных в гостиничном бизнесе Таблица 7. Направления модернизации китайского законодательства о защите персональных данных в гостиничном бизнесе Направление Детали Принцип минимизации обработки персональных данных Сбор и обработка только необходимых данных Требования к технической защите Стандартизация шифрования, регулярное обновление систем Регулирование доступа к персональным данным Дифференцированный доступ, журнал операций Использование технологий псевдонимизации и анонимизации Сохранение обезличенных данных Защита биометрических данных Получение согласия, специальные методы защиты Физическая безопасность помещений Контролируемый доступ, защита информационных систем Конфиденциальность при передаче данных третьим лицам Заключение соглашений об обеспечении конфиденциальности Уведомление клиентов о нарушениях безопасности Быстрая реакция, информирование пострадавших Обучение персонала Подготовка и аттестация сотрудников Прозрачность процессов обработки данных Доступ клиентов к информации о своих данных Внутренний контроль и аудит Оценка эффективности мер защиты Улучшение взаимодействия между госорганами и бизнесом Консультации, обсуждение вопросов защиты данных Поддержка саморазвития рынка Преференции для компаний с высокими стандартами защиты Мониторинг эффективности мер защиты Исследования и аналитика Расширение прав субъектов персональных данных Подробная информация о сборе и обработке данных Временные рамки для ответа на запросы о доступе к данным Максимальный срок – 15 рабочих дней Бесплатное предоставление базовых данных Без взимания платы за первый запрос в течение года Формы предоставления информации Машиночитаемый формат, защита данных третьих лиц Ответственность за отказ в предоставлении доступа к данным Соразмерные санкции Информация о передаче данных третьим лицам Четкая регламентация случаев передачи данных Регулирование автоматизированных систем принятия решений Объяснения логики работы автоматизированных систем Итоговые выводы Модернизация китайского законодательства о защите персональных данных в гостиничном бизнесе должна сосредоточиться на следующих аспектах:

– Минимизация обработки данных – Повышение требований к технической защите – Децентрализация доступа к данным – Использование анонимизации и псевдонимизации – Защита биометрии – Безопасность помещений – Ограничение передачи данных – Регулярное обучение персонала – Прозрачность процессов обработки данных – Внедрение эффективного внутреннего контроля – Активное взаимодействие госорганов и бизнеса – Поощрение добросовестных участников рынка – Постоянный мониторинг эффективности мер защиты – Расширение прав субъектов данных – Предсказуемость и ясность юридических процедур – Открытость и доступность нормативно-правовых актов – Быстрое реагирование на угрозы – Эффективные способы разрешения споров – Информационная поддержка пользователей – Надежная идентификация заявителей – Оптимизация процесса предоставления информации Это позволит создать эффективную систему защиты персональных данных, соответствующую международным стандартам и удовлетворяющую потребности современного гостиничного бизнеса. Международное сотрудничество в области защиты персональных данных Таблица 8. Основные правовые системы защиты персональных данных Страна / Регион Характеристика Особенности Европейский Союз Комплексная система, GDPR Единая правовая среда, экстерриториальный принцип, штраф до 20 млн € Соединенные Штаты Секторальное регулирование HIPAA, GLBA, COPPA, FTC контролирует соблюдение требований Россия Локализация данных, строгие ограничения на трансграничную передачу Высокие требования к защите данных на национальном уровне Китай Локализация критически важных данных, оценка безопасности Китайский закон о защите персональных данных аналогичен российскому Проблемы международного сотрудничества – Различия в правовых традициях: Европа защищает данные как фундаментальное право, тогда как англосаксонская система полагается на рынок и саморегулирование.

– Технические трудности: разные стандарты шифрования и протоколов усложняют унификацию механизмов защиты.

– Геополитические факторы: торговые конфликты и санкции влияют на свободный обмен данными и технологиями.

– Вопросы юрисдикции: неясность в определении применимых законов при трансграничной обработке данных.

Пути решения

– Гармонизация подходов: выработка общего понимания ключевых понятий и принципов защиты данных.

– Механизмы взаимного признания: создание критериев оценки эффективности национального законодательства.

– Международная стандартизация: внедрение единых технических требований к защите данных.

– Образовательное сотрудничество: сертификация и обмен опытом между специалистами разных стран.

Выводы

Международное сотрудничество в сфере защиты персональных данных осложняется рядом препятствий, таких как различие правовых традиций, несоответствие технических стандартов и влияние геополитических факторов. Вместе с тем, достижение успешных результатов возможно лишь через сближение подходов, взаимное при- знание систем защиты данных и активное содействие образовательному обмену между странами.

Заключение

Проведённый анализ позволил выявить важнейшие проблемы и перспективы правового регулирования защиты персональных данных в гостиничном бизнесе России и Китая, сформулировав следующие заключения.

1. Специфика регулирования:

Хотя нормативная база в обеих странах достаточно развита, существует значительная разница в подходах к регулированию указанной сферы. Российское законодательство отличается детализацией процедур обработки данных и ориентацией на получение согласия субъекта данных, в то время как китайская правовая система подчёркивает государственный контроль и приоритеты национальной безопасности.

2. Выявленные проблемы:

1) В российском правовом поле выявлены недостатки, связанные с отсутствием чётко сформулированных норм для гостиничного бизнеса, трудностями в соблюдении требований локализации данных для международных гостиничных сетей, отсутствием механизмов трансграничной передачи данных и бюрократическими преградами.

2) В китайской правовой системе выделяются проблемы неопределённости трактовки новых законодательных положений, жёсткость требований к локализации данных, серьёзные ограничения для международного бизнеса и недостаток отраслевых стандартов для гостиничного сектора.

3. Направления совершенствования законодательства:

1) Для России предлагается:

– Разработать отраслевые стандарты для гостиничного бизнеса.

– Упрощать процедуры трансграничной передачи данных.

– Создать механизмы саморегулирования отрасли.

– Применять риск-ориентированный подход к регулированию.

2) Для Китая целесообразно:

– Уточнить действующие нормативные положения.

– Определить специальные режимы для международных гостиничных операторов.

– Способствовать международному сотрудничеству и повышению юридической определённости.

4. Необходимость международного сотрудничества:

– Успех достигается благодаря развитию двусторонних и многосторонних соглашений о взаимном признании стандартов защиты данных, унификации подходов к трансграничной передаче информации и проведению совместных образовательных программ.

5. Основные тенденции и перспективы:

– Будущие преобразования в законодательстве обусловлены адаптацией к цифровой трансформации гостиничного бизнеса, внедрением инновационных технологий обработки данных и ростом потребностей потребителей в повышении уровня конфиденциальности.

6. Практическая значимость выводов:

– Результаты исследования закладывают фундамент для дальнейшей оптимизации правового регулирования защиты персональных данных в гостиничном секторе и вносят вклад в развитие теории информационного права в условиях цифровизации экономики.

Итоговый вывод заключается в том, что устранение выявленных недостатков потребует комплексного подхода, сочетающего доработку национального законодательства, активацию международного сотрудничества и вовлечение профессиональных сообществ в процессы разработки отраслевых стандартов.