В тех случаях, когда личные данные собираются в контексте профилирования, контролер должен представить субъектам данных следующую информацию:

1) что их данные будут использоваться в контексте профилирования;

2) о целях проведения профилирования;

3) о категориях персональных данных;

4) о контролере и при необходимости о ее/его представителе;

5) о наличии надлежащих гарантий.

Также контролер должен предоставить указанным лицам всю информацию, необходимую для гарантий добросовестности при проведении профилирования, такую как:

6) категории лиц или органов, которым могут быть переданы персональные данные, и в каких целях;

7) возможность, когда это целесообразно, для субъекта данных отказать в публикации или отозвать согласие на публикацию и о последствиях отзыва;

8) условия применения права доступа, возражения или поправок, а также о праве подать жалобу в компетентные органы;

9) лица или органы, от которых личные данные собираются или будут собираться;

10) обязательный или факультативный характер ответов на вопросы, которые будут использованы для сбора персональных данных, а также последствия для субъектов данных в случае отказа отвечать на такие вопросы;

11) длительность хранения;

12) предполагаемые последствия присвоения профиля субъекту данных.

Статья 12 Конвенции СЕ № 108 устанавливает следующие требования к трансграничной передаче персональных данных: сторона (страна, подписавшая Конвенцию СЕ № 108) не должна запрещать или обусловливать специальным разрешением трансграничные потоки персональных данных, идущие на территорию другой стороны, с единственной целью защиты частной жизни.

Тем не менее каждая сторона вправе отступать от вышеуказанного положения:

1) в той степени, в какой ее внутреннее законодательство включает специальные правила в отношении определенных категорий персональных данных или автоматизированных файлов персональных данных в силу характера этих данных или этих файлов, за исключением случаев, когда правила другой стороны предусматривают такую же защиту;

2) когда передача осуществляется с ее территории на территорию государства, не являющегося стороной настоящей Конвенции, через территорию другой стороны, в целях недопущения такой передачи, которая позволит обойти законодательство страны – участницы Конвенции.

Наднациональное регулирование Великобритании определяется членством данной страны в Совете Европы и в ЕС, в связи с чем нормы Конвенции СЕ № 108 «О защите прав физических лиц в отношении автоматизированной обработки персональных данных» и Директивы ЕС 95/46/ЕС имплементированы в национальное законодательство данной страны.

Кроме того, Великобритания входит в Организацию по экономическому сотрудничеству и развитию и выполняет требования Директивы ОЭСР о защите неприкосновенности частной жизни и международных обменов персональными данными[44].

Среди основных национальных нормативных актов, которые регламентируют вопросы защиты персональных данных в Великобритании, можно назвать следующие:

Акт о защите данных 1998 г. (Data Protection Act 1998)[45], принятый во исполнение Директивы ЕС 95/46/ЕС;

Акт о свободе информации (Freedom of Information Act 2000)[46];

Акт о свободах 2012 (The Protection of Freedoms Act 2012, включающий положения об уничтожении, удалении и использовании биометрических данных, а также дополнения к данному акту, касающиеся передачи данных (Amendment) (No. 2) Order 2013)[47];

Кодекс об уголовных преступлениях (The Criminal Justice and Data Protection (Protocol No. 36) Regulations 2014)