На днях вышел пост-релиз по конференции ICDPPD 2018 (International Conference of Data Protection and Privacy Commissioners), которая прошла в октябре прошлого года в Брюсселе под кодовым названием «Debating Ethics».

ICDPPD 2018 это международная площадка для обсуждения законодательства в области защиты персональных данных. В прошлом году, на фоне вступления в силу GDPR, мероприятие достигло небывалого размаха — более 85 стран-участниц и 1100 зарегистрированных делегатов, на церемонию открытия в Европейском парламенте приехал лично Тим Кук, а среди тех, кто виртуально посетил конференцию Марк Цукерберг и король Испании Филипп VI.

1. Почему конференция регуляторов привлекла к себе столько внимания, что на неё лично приехали такие гости как Тим Кук?
2. Где международная общественноcть была раньше?

В этой статье небольшое описание прошедшей конференции, и личные размышления, почему затрагиваемые на ней темы важны.

Внутри статьи:

• 1. конференция ICDPPD, история создания и миссия
• 2. цифровая этика или что конференция имеет в виду
• 3. результаты конференции
• 4. тем временем в РФ
• вместо заключения

1. О конференции Конференция ICDPPD собирается уже в 40-й раз (!), начиная с 1979 года. Впервые это было сделано как реакция на увеличивающийся темп развития мировой экономики и вызовы информационных технологий, но чем дальше, тем более техническая сторона была заменена более глобальными вопросами. Начиная с 21-го созыва (в Гонг Конге) конференция приняла мировой характер и стала площадкой для создания международных соглашений в цифровой сфере.

Миссия конференции – собрать вместе все регулирующие организации, занимающиеся защитой данных на уровне стран. Но фактически мероприятие перестало быть собранием регуляторов, а приобрело более широкий формат площадки переговоров бизнеса (а также учёных, философов и юристов) с законодателями.

Всего в составе конференции 125 аккредитованных организаций из 78 стран, Россия не в их списке членов. У нас Роскомнадзор в списке членов-наблюдателей в последних трёх конференциях. Забавно, что зарегистрированные члены называются Authority и в основном занимаются data protection, а в нашем случае это именно надзор (surveillance), но не суть.

Вопрос 1: Почему конференция регуляторов привлекла к себе столько внимания, что на неё лично приехали такие гости как Тим Кук?

• Частично оттого, что это юбилейная конференция.
• Частично потому, что в прошлом году вступил в силу GDPR (Habr уже много говорил про этот закон, например тут, тут и тут). Кстати, именно из-за этого образцово-показательного закона о защите персональных данных 40-ая конференция прошла в столице Европейского Союза.
• Частично оттого, что критическая масса мировых изменений достигла своего предела — тема поведения в цифровом пространстве занимает мировую философскую мысль (многие учёные лично присутствовали на конференции).
• Главное, потому, что основные участники цифрового пространства сегодня это не государства. Это компании, которые предоставляют сервисы в интернете: Facebook, Google, Amazon, etc. Настанет день, и это они будут приглашать государственных регуляторов на свои конференции, а не наоборот, и, день этот недалеко. Например известно, что в обсуждении GDPR активно принимал участие Цукерберг, пытаясь убедить регуляторов снизить возраст data subjects до 14 лет, и регуляторы старались найти пути это сделать.

Вопрос 2: Где все были раньше? Неужели только с приходом GDPR появились международные нормы о защите персональных данных?

Конечно нет. Разговоры велись давно и первые акты, соглашения и регламенты были приняты уже в начале 90-х. В 2009 на конференции в Мадриде были выработаны основные международные принципы защиты персональных данных, которые в целом повторяют основные принципы GDPR.

Разница в том, что до GDPR не было никакого механизма по оценке правильности соблюдения принципов и наказания тех, кто их нарушает. Как только принципы благих намерений по отношению к данным были подвергнуты материальной оценке и закреплены на официальном уровне, золотой стандарт защиты данных был определён.

Сейчас на международной арене, среди списка организаций ООН нет универсального органа, занимающегося безопасностью данных или «цифровой экономикой». Поэтому ICDPPD взяла на себя функцию международного (европейского) регулятора на первое время.

Итак, 40-ая конференция по защите данных ICDPPD была посвящена Цифровой Этике.

2. Digital Ethics или что конференция имеет в виду

ЭТИКА (греч. ethika — обычай, нрав), философская дисциплина, изучающая мораль, нравственность.

На хабре немало рассуждений о современном развитии этики. Мы живём в удивительное время, всё меняется, меняются и вопросы, которые занимают людей. Мы говорим об этике opensource, об этике свободного копирования, об этике для роботов и робомобилей.

Грубо говоря, с развитием новых сфер экономики появляются новые сферы человеческих взаимоотношений, которые требуют регулирования — официального и неофициального.

Простая аналогия — автомобильное движение. Есть официальные ПДД, а есть «понятия» и вежливость водителей. Согласно официальному ПДД водитель не должен создавать аварийную ситуацию на дороге. Согласно неофициальным понятиям, если водитель видит аварийную ситуацию впереди на дороге, он также подаёт сигнал аварийкой, чтобы предупредить водителей сзади.

Именно о таких обиходных правилах, своеобразных ground rules поведения в цифровом мире шёл разговор в Брюсселе.

В качестве введения в тему организаторы отдали честь Эрже и сделали основную раздатку в виде комикса, очень милую и не без юмора.

Краткий пересказ брошюры:

• В обычном мире существуют законы, которые составлены в соответствии с нормами морали и этики. Но чем дальше, тем больше жизнь переходит в цифровую сферу, где пока отсутствует понятие универсальной этики.
• В цифровом мире можно делать то, что невозможно в физическом. (Тотальная слежка, профайлинг, контекстная реклама). Кроме того, ваши данные стоят деньги. Большие деньги. Компании готовы предоставлять любые услуги бесплатно, чтобы просто собрать данные.
• Интернет всё знает и всё помнит. И это приводит к новым рискам: потеря конфиденциальности, риск обмана и дезинформарования, риск распространения экстремизма, надзор правительства, монополия на сервис от больших корпораций (google, facebook)
• Можно попытаться адаптировать старые этические правила для новой реальности, например так: относись к данным других людей также как ты хотел бы, чтобы относились к твоим. Но кроме этого нужны новые понятия (мы хотим не только этического поведения людей, но и этического поведения машин и ПО).
• Задача в том, чтобы вкусить плоды технического прогресса, но минимизировать проблемы. Нужно создать правильные законы, но кроме законов – нужна этика.

3. Результаты конференции

Вопросы, обсуждаемые на панельных дискуссиях, были близки к риторическим: — Должны ли технологии быть сконструированы на благо людей? — Этика vs Общество — Как технологии меняют наше мышление, поведение, взаимодействие — Как привить этику и кто за это в ответе?

Понятно, что такая постановка вопросов возможна для разгона дискуссии и никто не ждёт готовых ответов за пару часов обсуждения. Важен символ открытости к диалогу, знак, что все участники (read: Big Businesses – Facebook, Microsoft, Apple,etc) готовы идти на контакт. Мне, как стороннему наблюдателю, порой казалось, что на сцене идёт скрытая битва: регуляторы обвиняют глобальные сервисы в манипулировании информацией, а бизнес встаёт в позу – если бы не наши сервисы, то вы бы здесь не сидели и обсуждать было бы нечего.

В связи с этим возникает вопрос 3 — этично ли требовать бесплатный сервис от корпорации ничего не отдавая взамен?

Как сказал Ярон Ланье включившись по телемосту: если бы автомобили не продавались за деньги, а предлагались бы в качестве бесплатной услуги, то они бы ездили только по заданному маршруту мимо магазинов, которые заплатили разработчикам за рекламу.

В целом и участники и организаторы сошлись на мнении, что конференция прошла более чем успешно. Для бизнеса, свободных посетителей и прессы был отведён один день из шести, в остальные работали целевые группы и комитеты, разрабатывая новые правила нашей матрицы. Среди принятых резолюций:

Декларация об этике и защите данных в сфере Искусственного Интеллекта. Некоторые моменты:

• фактически в этой декларации законодатели применили принципы, ранее закрепленные во второй главе GDPR к искусственному интеллекту: privacy by design in AI, ограничение цели работы ИИ с данными, безопасность пользователей, прозрачность операций, недопущение дискриминации при обработке данных
• интересный акцент был сделан, что при разработке ИИ нужно рассматривать не только защиту отдельных пользователей, но группы пользователей: «taking into consideration… the collective impact on groups and on society at large»
• в резолюции закрепили термин ethics by design, которого не было в предыдущих законах о защите персональных данных. По сути подразумевается соответствие ИИ основным принципам о защите данных.
• при чтении также создаётся ощущение что законодатели планируют ввести некий блокчейн ответственности «fostering collective and joint responsibility» при работе с персональными данными — каждый в звене обработки данных должен быть ответственен за то, с какими данными работает.
• наконец, явно чувствуется желание законодателей понимать ИИ чуть больше — планируется инвестирование в понятный ИИ: «investing in public and private scientific research on explainable artificial intelligence»

Декларация по регулированию онлайн образования — если коротко, то онлайн образование должно соответствовать принципам GDPR

Планы на развитие конференции ICDPPC в самостоятельную организацию были также официально закреплены.

Полный список принятых документов .

А что в РФ

Как я сказала выше, Россия на конференции была только в статусе наблюдателя, но всё-таки мы участники мировых отношений, и рано или поздно под этими резолюциями придётся подписаться и нам. Уже сейчас GDPR на нас влияет как на участников европейских отношений (взаимодействуя с гражданами из ЕС или обрабатывая их данные).

Кроме того у нас есть свой закон о защите персональных данных от 2006 года, с обновленной базой ответственности. Правда штрафы, несерьёзные – что такое для компании 75 тыс рублей?

Меня, правда, мучает вопрос, как скоро общий водоворот цифрового права затянет в себя Россию и насколько нам «горит» вливаться в мировое движение по защите данных? Может мы ещё десять лет будем спокойно продавать базы данных.

Обязывать компании устанавливать чёткие правила работы с персональной информацией, делать регулярный мониторинг — боюсь, что это произойдёт не завтра, но хотелось бы не отставать.

Вместо заключения

Представьте, что меньше чем 100 лет назад нормы международного права были совсем другими, например оно разрешало владение колониями и даже рабство в некоторых странах. Объявление войны, обмен пленными, правила демаркационных линий и принципы (не)применения ядерного оружия – всё это было когда-то озвучено и когда-то впервые занесено на бумагу первыми договорившимися между собой государствами. Впоследствии к соглашениям присоединялись другие члены.

На фоне этого, новые правила поведения в цифровом мире выглядят достаточно законно и не то что своевременно, но даже запоздало – мы уже давно находимся в цифровой экономике, крупнейшие мировые корпорации — это корпорации, занимающиеся обработкой данных планетарного масштаба. При этом вся цифровая экономика регулируется договорами о международном экономическом сотрудничестве. Тогда как, на мой взгляд, это полностью новое пространство.

GDPR можно сравнить с бурей и громом, который формировался давно, грохотал вдалеке, постепенно набирая звук, и, наконец, трестул раскатом прямо над нашими головами, возвещая о трансформации мировых отношений и новой эре в международном законодательстве. В этой эре цифровая этика переходит из в поля обсуждения, на страницы международных договоров.

Автор:Ирина