Мобильді қосымшаларға дейінгі дәуір
Тарихқа тым тереңдемей, веб-сайттарға қойылатын талаптарға шолу жасаумен шектелейік, өйткені олар пайдаланушы тұрғысынан мобильді қосымшаларға ең жақын аналог болып табылады. Веб-сайттар да, мобильді қосымшалар сияқты, интернетте жарияланады, әртүрлі әзірлеушілер атынан жариялана алады, пайдаланушы деректерін жинайды және өңдейді. Жалғыз елеулі айырмашылығы — веб-сайттар жариялау алдында ешқандай алғашқы модерациядан өтпейді.
Қызықты факт. Әлемдегі бірінші деректерді қорғау туралы заң Германияда қабылданды. 1970 жылы Гессен жері мемлекеттік органдардың пайдаланушы деректерін машиналық өңдеуіне қойылатын талаптармен заң жариялады. Заңның толық мәтінімен неміс деректерді қорғау қорының сайтында танысуға болады: заңға сілтеме (неміс тілінде).
IT саласының 1970-жылдардағы қарқынды дамуының басынан бастап әртүрлі елдер пайдаланушы деректерін өңдеуге қатысты бірқатар заңдар мен талаптар шығара бастады. Бірақ сайт иелерін сайтқа көрінетін өзгерістер енгізуге жаппай міндеттеген алғашқы құжат 2004 жылы АҚШ-та қабылданған «California Online Privacy Protection Act (CalOPPA)» болды. Ол сайттарға талап қойды: Калифорния штатының кез келген пайдаланушысы құпиялылық саясатын оқи алуы керек. Бұл барлық коммерциялық сайттарға және жеке басты анықтауға болатын ақпаратты жинайтын сайттарға — яғни сайттардың айтарлықтай кең қабатына — қатысты болды. Кез келген дерлік америкалық сайттың Калифорниядан келуші болу мүмкіндігі болғандықтан және — бұдан да маңыздысы — жауапкершілікке тартылу мүмкіндігі болғандықтан, бұл талап америкалық нарықтың бәрі үшін іс жүзінде стандартқа айналды. Құпиялылық саясатын ұсынбағаны үшін айыппұл 2500 АҚШ долларына дейін жетті, бірақ әдетте сайт иелерінің 30 күн ішінде сайтты талаптарға сәйкестендіріп, айыппұлдан босатылу мүмкіндігі болды.
Еуропалық Одақ неғұрлым жан-жақты құжатты 1995 жылы қабылдаған болатын. Бірақ «Data Protection Directive» («Еуропалық одақтың басылымдар бюросы» сайтындағы құжатқа сілтеме) директива болғандықтан, оны ұлттық заңдар арқылы жеке іске асыру қажет болды — дәл осы заңдар бұзушылық жағдайындағы нақты жауапкершілікті анықтады. Сондай-ақ, құжат ақпаратты өңдеудің барлық әдістеріне (қағаз картотекалар сияқты автоматтандырылмаған жүйелерді қоса алғанда) арналған болатын. Ақпаратты жинау мақсаты туралы хабарлау міндеті директивада болғанымен, мұны қалай іске асыру керектігі туралы нақты талаптар болмады.
Үшінші тарап әзірлеушілерінің мобильді қосымшаларының бастапқы дәуірі (2008–2013)
2008 жылдың шілдесінде App Store, ал сол жылдың қазанында Android Market пайда болды. Қызығы, жоғарыда аталған CalOPPA заңы тек сайттарға ғана емес, «онлайн-қызметтерге» де қолданылғанымен, көптеген америкалық компаниялардың қосымша әзірлеушілері бірнеше жыл бойы құпиялылық саясатын мобильді қосымшада қолжетімді етуге мән бермеді. Іс 2012 жылдың желтоқсанында Калифорния прокуратурасының «Delta Air Lines» компаниясына сотқа беруіне дейін жетті (Калифорния штатының Әділет департаменті сайтындағы талап-арызға сілтеме). Дегенмен, авиакомпания ісін жеңіп алды, себебі штат заңдары әуе тасымалдаушысының қызметтеріне қатысты шектеу енгізе алмайды. 2013 жылдың қаңтарында Калифорния прокуратурасы кеңсесі мобильді қосымша әзірлеушілеріне, қосымша платформаларына және осы жүйенің басқа қатысушыларына арналған ұсыныстары бар «Privacy on the go: Recommendations for the mobile ecosystem» (құжатқа сілтеме) құжатын жариялады.
«Delta Air Lines»-қа қарсы сот ісі ұтылғанына қарамастан, мобильді қосымшалардың құпиялылық саясаты тұрғысындағы көрінісі өзгерді. Іс жүзінде бұл App Store пен Google Play-дің қосымша әзірлеушісі толтыра алатын (бірақ әзірге міндетті емес) құпиялылық саясатына сілтеме енгізу өрісін жасағанын білдірді.
ЕО-да да осыған ұқсас процестер жүргенін атап өткен жөн, бірақ дауылды сот істерінсіз. Шамамен сол уақытта (2014 жылы) «Düsseldorfer Kreis» тобы — деректерді қорғау органдарының бейресми бірлестігі — Бавария мемлекеттік деректерді қорғауды қадағалау басқармасымен бірлесіп, мобильді қосымша әзірлеушілеріне арналған деректерді қорғау талаптары бойынша нұсқаулық шығарды (BayLDA сайтындағы мақалаға сілтеме).
Деректерді қорғау ұстанымының күшеюі: Сноуден ісі, GDPR, CCPA (2013–2020)
2013 жылдың маусымынан бастап Эдвард Сноуден — АҚШ Ұлттық қауіпсіздік агенттігінің (NSA) мердігер инфрақұрылымының талдаушысы — БАҚ арқылы АҚШ арнайы қызметтерінің көптеген мемлекеттердің азаматтарын бақылау көлемін әшкерелейтін ақпаратты жариялай бастады. Бұл бүкіл әлемде деректерді қорғау тақырыбында кең пікірталастар туғызды.
ЕО контекстінде австриялық активист Максимилиан Шремстің Facebook-ке қарсы ісін атап өткен жөн. Ол ирландиялық деректерді қорғау органына (Facebook-тың ЕО-дағы бас кеңсесі орналасқан жерге) ЕО-ның деректерді қорғау нормаларына бірқатар сәйкессіздіктер туралы бірнеше шағым берді. Оның ішінде — жойылған хабарламаларды сақтау, жойылған «достарды» әлеуметтік желіде сақтау, профилі жоқ адамдар туралы да деректерді жинау (shadow profiles). Барлық шағымдардың толық тізімін «Europe versus facebook» сайтынан көруге болады: сілтеме. Оқырманды заң талқыларының барлық кезеңдерімен жалықтырмай, 2015 жылы Еуропалық Одақ Сотының (CJEU) деректерді қорғау бойынша өзін-өзі сертификаттаудан өткен америкалық компанияларға ЕО нарығында жиналған деректерді сақтауға және өңдеуге мүмкіндік беретін «Safe Harbour» деп аталатын тәжірибені жоюға шешім қабылдағанын атап өтейік.
2016 жылы қабылданып, 2018 жылы GDPR (General Data Protection Regulation) — ЕО-ның деректерді қорғау саласындағы негізгі реттеуші құжаты — күшіне енді. Ол ескі «Data Protection Directive»-ті алмастырды. Рухы мен идеялары бойынша ол ескі құжатқа ұқсас болды. Негізгі және іс жүзінде маңызды өзгерістер мыналар болды:
- Енді бұл директива емес, регламент — яғни ол ұлттық заңдарды қабылдау қажеттілігінсіз ЕО аумағында автоматты түрде күшіне енеді;
- Бұзушылықтар үшін біртұтас әрі елеулі айыппұлдар — 20 млн еуроға дейін немесе жаһандық айналымның 4%-ы.
АҚШ-та да CCPA (California Consumer Privacy Act) — GDPR-дің америкалық аналогы — қабылданды. Ол 2018 жылы қабылданып, 2020 жылы күшіне енді.
GDPR дәуіріндегі мобильді қосымшалардағы практикалық өзгерістер
Соңғы жылдары мобильді қосымшалар саласында деректерді қорғауға қатысты болған маңызды практикалық өзгерістерді жинауға тырысайық. Олардың бәрі бірдей тікелей GDPR-мен айқындалмаса да, қоғамның деректерді қорғауға деген қызығушылығының артуы оларға айқын әсер етті:
- Google Play 2017 жылы, ал App Store 2018 жылы құпиялылық саясатына сілтеме енгізу өрісін міндетті етті, енді ол опционалды емес;
- Apple «оқуға оңай» құпиялылық саясаттары үшін сауалнама толтыруды 2020 жылдан, Google 2022 жылдан бастап талап етеді;
- Google 2023–2024 жылдары әзірлеуші аккаунтын міндетті түрде растауды енгізеді. Әзірлеуші жеке тұлға болса, оған жеке басын және тұрғылықты мекенжайын растайтын құжаттарды жіберу қажет. Заңды тұлға жағдайында — DUNS нөмірін ұсыну қажет;
- 2022 жылдан бастап iOS пайдаланушылары өз аккаунтын қосымшаның өзі арқылы жоя алуы керек. Google 2024 жылы осыған ұқсас талап енгізді;
- 2024 жылы ЕО-да «gatekeeper» — ірі технологиялық компаниялар — тарапынан бақылауды азайтуға арналған көптеген өзгерістерді қамтитын DMA (Digital Markets Act) құжаты қабылданды. Мобильді әзірлеу саласы үшін нақты өзгеріс — iOS қосымшасының әзірлеушісі енді өз қосымшасын тек App Store арқылы ғана емес, тарата алатын болды. Жаңа дүкендердің әсері әзірге шектеулі;
- 2025 жылы Apple өз гайдлайнын жаңартады, оған сәйкес енді әзірлеуші пайдаланушының деректерін сыртқы AI қызметіне жіберер алдында оның нақты келісімін алуы керек.
Қорытынды
App Store пен Google Play (бұрынғы Android Market) пайда болғаннан бері деректерді қорғау тәжірибелері, тіпті мобильді қосымшалар контекстінде де, үлкен өзгерістерге ұшырады. Тәжірибелердің өзгеру процесі әлі жалғасуда. Орталық тақырыптардың бірі — жарияланған құпиялылық саясаттарының шындыққа сәйкес келмеуі, ұзақ құпиялылық саясаты беттерін түсінудің қиындығы және ЖИ-дің барған сайын белсенді қолданылуы болып қалуда.
Пайдаланушылардың құқықтарын тек мемлекеттік және мемлекетаралық органдар ғана емес, сонымен қатар Эдвард Сноуден мен Максимилиан Шремс сияқты жеке активистер де қорғайды.
