Обробка персональних даних в Україні: правові аспекти

Обробка персональних даних в Україні: правові аспекти

«Обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб’єкта персональних даних,
або у випадках, передбачених законами України, у порядку, встановленому законодавством». 
Закон України «Про захист персональних даних»

Сучасні темпи розвитку інформаційних відносин безпосередньо пов’язані зі збільшенням обсягів і напрямів використання персональної інформації в різних сферах суспільного життя.

В Україні питання захисту персональних даних регулюється Законом України «Про захист персональних даних», який набрав чинності у 2011 р. На виконання його завдань у 2012 р. був створений спеціальний орган – Державна служба України з питань захисту персональних даних. Однак вже через два роки її ліквідували, а тягар захисту персональних даних поклали на Уповноваженого Верховної Ради України з прав людини та суди.

Володільцем найбільшої кількості персональних даних є держава, тому саме до неї висуваються найсуворіші вимоги щодо їх збереження та уникнення поширення у випадках, коли це не передбачається згодою особи. Витік інформації з державних баз даних лише посилює недовіру до держави та створює відчуття незахищеності перед внутрішніми й зовнішніми загрозами . Таким чином, ми не можемо говорити про захист персональних даних приватними особами, якщо навіть державні бази даних перебувають під загрозою.

Питання захисту персональних даних в інших країнах, традиційно, найбільш розвиненою юрисдикцією вважається США. Однією з причин необхідності розвитку такого законодавства є значна кількість порушень у сфері персональних даних. У зв'язку з цим у 2020 р. у штаті Каліфорнія був прийнятий новий закон про захист персональних даних. Насамперед, його важливість полягає в тому, що в Каліфорнії знаходяться такі компанії як Facebook, Google, Apple, що працюють з персональними даними користувачів по всьому світу.

Метою зазначеного закону є захист персональних даних, які обробляють юридичні особи приватного права та є розпорядниками такої інформації. Саме тому цим законом користувачам надається право дізнатися відомості про те, як компанія розпоряджається їхніми даними, а також можливість вимагати видалення інформації про себе та зупинення її розповсюдження. За невиконання вимог закону передбачені значні штрафи у кілька тисяч доларів, навіть якщо компанія порушує законодавство через необережність. Таким чином, завдяки впровадженню цього закону Каліфорнія підвищила дисциплінованість та відповідальність юридичних осіб під час роботи з персональними даними фізичних осіб.

ЄС у 2018 р. прийнято Загальний регламент захисту даних (GDPR), яким встановлюються суворі вимоги до опрацювання персональних даних. Вони полягають в тому, що персональні дані мають збиратися законно, правомірно, прозоро та відповідно до цільового обмеження. Окрім того, їх зберігання обмежується строком, необхідним для опрацювання, яке має відбуватися під захистом від несанкціонованого впливу. Найважливіше, що законом Каліфорнії, встановлюється значна відповідальність юридичних осіб за порушення вимог Регламенту щодо захисту персональних даних.

Про ефективність застосування GDPR говорить статистика, оскільки за 2 роки функціонування за його порушення стягнуто майже 360 млн євро. Водночас ця статистика вказує на те, що в Європі все ще залишаються проблеми щодо захисту персональних даних. Однак ефективний захист, запроваджений GDPR, у перспективі має призвести до значного зменшення кількості задоволених скарг та накладених штрафів у цій сфері.

Українська практика в цьому питанні відрізняється набагато меншою кількістю справ, але не через відсутність порушень, а у зв'язку з низькою правовою культурою громадян щодо власних персональних даних та неефективною системою їх захисту. Сьогодні найбільш дієвим способом захисту своїх персональних даних є ретельна фільтрація, кому та з якою метою ці дані передаються. На жаль, забезпечити абсолютний захист персональних даних наразі не може жодна держава у світі, проте особа може обмежити обсяг тих відомостей, на обробку яких вона надає згоду.

Обмеження прав людини та правових підстав дл я обробки персональних даних державними органами, відповідно до частин першої, другої статті 32 Конституції України ніхто не може втручатися в особисте і сімейне життя, крім випадків, передбачених Конституцією України. Не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

Водночас статтею 64 Конституції України передбачено, що в умовах воєнного або надзвичайного стану можуть встановлюватися окремі обмеження прав і свобод із зазначенням строку дії цих обмежень. Указом Президента України від 24.02.2022 № 64/2022 в Україні введено воєнний стан. Згідно з пунктом 3 Указу у зв’язку із введенням в Україні воєнного стану тимчасово, на період дії правового режиму воєнного стану, можуть обмежуватися конституційні права і свободи людини і громадянина, передбачені, зокрема, статтею 32 Конституції України.

Це узгоджується із положеннями статті 8 Конвенції про захист прав людини і основоположних свобод, згідно з якою органи державної влади не можуть втручатись у здійснення права на повагу до приватного і сімейного життя, за винятком випадків, коли втручання здійснюється згідно із законом і є необхідним у демократичному суспільстві в інтересах національної та громадської безпеки чи економічного добробуту країни, для запобігання заворушенням чи злочинам, для захисту здоров’я чи моралі або для захисту прав і свобод інших осіб.

Також відповідно до статті 15 цієї Конвенції під час війни або іншої суспільної небезпеки, яка загрожує життю нації, будь-яка Висока Договірна Сторона може вживати заходів, що відступають від її зобов’язань за цією Конвенцією, виключно в тих межах, яких вимагає гострота становища, і за умови, що такі заходи не суперечать іншим її зобов’язанням згідно з міжнародним правом. У статті 9 Конвенції про захист осіб у зв’язку з автоматизованою обробкою персональних даних передбачено, що відхилення від положень статей 5 (Якість даних), 6 (Особливі категорії даних) та 8 (Додаткові гарантії для суб’єкта даних) цієї Конвенції дозволяється тоді, коли таке відхилення передбачене законодавством Сторони та є в демократичному суспільстві необхідним заходом, спрямованим на:

• захист державної та громадської безпеки, фінансових інтересів Держави або на боротьбу з кримінальними правопорушеннями;
• захист суб’єкта даних або прав і свобод інших людей. Закон України «Про захист персональних даних», який регулює правові відносини, пов’язані із захистом і обробкою персональних даних, також містить положення, що стосуються обмеження його дії.

Обробка персональних даних має здійснюватися з урахуванням положень законодавства України. Така обробка має бути пропорційною та здійснюватися для конкретних і законних цілей. Щодо обов’язків володільців та розпорядників персональних даних стосовно забезпечення захисту персональних даних Органи державної влади, органи місцевого самоврядування, підприємства, установи і організації усіх форм власності, фізичні особи-підприємці, фізичні особи, що провадять незалежну професійну діяльність, які обробляють персональні дані, зобов’язані забезпечити захист цих даних від випадкових втрати або знищення, від незаконної обробки, у тому числі незаконного знищення чи доступу до персональних даних.

Використання персональних даних працівниками суб’єктів відносин, пов’язаних з персональними даними, повинно здійснюватися лише відповідно до їхніх професійних чи службових або трудових обов’язків. Ці працівники зобов’язані не допускати розголошення у будь-який спосіб персональних даних, які їм було довірено або які стали відомі у зв’язку з виконанням професійних чи службових або трудових обов’язків, крім випадків, передбачених законом.

Відповідно до Типового порядку обробки персональних даних, затвердженого наказом Уповноваженого Верховної Ради України з прав людини, володільці, розпорядники персональних даних самостійно визначають порядок обробки персональних даних, враховуючи специфіку обробки персональних даних у різних сферах, відповідно до вимог, визначених Законом України «Про захист персональних даних» та Типовим порядком. Обов’язково мають бути вжиті заходи щодо забезпечення захисту персональних даних на всіх етапах їх обробки, у тому числі за допомогою організаційних та технічних заходів. 

Організаційні заходи охоплюють:

• визначення порядку доступу до персональних даних працівників володільця/розпорядника;
• визначення порядку ведення обліку операцій, пов’язаних з обробкою персональних даних суб’єкта та доступом до них;
• розробку плану дій на випадок несанкціонованого доступу до персональних даних, пошкодження технічного обладнання, виникнення надзвичайних ситуацій;
• регулярне навчання співробітників, які працюють з персональними даними. Працівники, які мають доступ до персональних даних, дають письмове зобов’язання про нерозголошення персональних даних, які їм було довірено або які стали їм відомі у зв’язку з виконанням професійних чи службових або трудових обов’язків.

Персональні дані залежно від способу їх зберігання (паперові, електронні носії) мають оброблятися у такий спосіб, щоб унеможливити доступ до них сторонніх осіб. З метою забезпечення безпеки обробки персональних даних володільцями, розпорядниками вживаються спеціальні технічні заходи захисту, у тому числі щодо виключення несанкціонованого доступу до персональних даних, що обробляються та роботі технічного та програмного комплексу, за допомогою якого здійснюється обробка персональних даних.

Отже, у разі здійснення обробки персональних даних необхідно створити належні умови для їх захисту.

Правові підстави для обробки персональних даних підприємствами, установами і організаціями приватної форми власності, фізичними особами – підприємцями, фізичними особами, що провадять незалежну професійну діяльність з метою надання адресної благодійної допомоги громадянам, які постраждали від військової агресії:

• згода суб’єкта персональних даних на обробку його персональних даних (пункт 1);
• укладення та виконання правочину, стороною якого є суб’єкт персональних даних або який укладено на користь суб’єкта персональних даних чи для здійснення заходів, що передують укладенню правочину на вимогу суб’єкта персональних даних (пункт 3);
• захист життєво важливих інтересів суб’єкта персональних даних (пункт 4).

Згода суб’єкта персональних даних – це добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, висловлене у письмовій формі або у формі, що дає змогу зробити висновок про надання згоди.

Згода на обробку персональних даних має відповідати таким вимогам:

• добровільність – означає відсутність прямого або опосередкованого примусу при її наданні;
• поінформованість – означає, що перед наданням згоди суб’єкт повинен отримати достовірну інформацію про те, ким, з якою метою будуть оброблятися його персональні дані, кому будуть передаватися, які саме дані, а також про права, визначені Законом;
• форма надання згоди може бути будь-якою – означає, що умови згоди на обробку персональних даних можуть бути викладені у формі єдиного письмового документа, викладеного доступною для суб’єкта персональних даних мовою, що підписується ним особисто або його законним представником, у електронній формі проставивши відмітку про надання згоди, або ж навіть усно.

За численними повідомленнями в засобах масової інформації громадяни України постійно піддаються хакерським атакам з боку ворожих кіберзловмисників. Мають місце надсилання електронних листів, повідомлень у месенджерах від начебто державних органів, банків, служби безпеки тощо з рекомендаціями перейти за вказаними у листах/повідомленнях посиланнями. Після завантаження вкладеного файлу зловмисники мають змогу отримати доступ до персональних даних, що містяться на електронному пристрої користувача (контактів телефонної книги, файлів персонального комп’ютера тощо).

Щоб не стати жертвою кіберзловмисників необхідно уважно ставитись до електронних листів від незнайомих адресатів, повідомлень у месенджерах (Viber, Telegram, WhatsApp) з невідомих номерів телефону, а також повідомлень в соціальних мережах (Facebook) від незнайомих користувачів.

У разі їх надходження не відкривати підозрілі посилання та не завантажувати вкладені файли. Відкриття таких посилань або файлів може спричинити завантаження шкідливого програмного забезпечення на пристрій і отримання доступу до персональних даних. Необхідно користуватись перевіреними джерелами інформації – наразі це офіційні сторінки державних органів України, які оприлюднюють інформацію та посилання на сервіси щодо знаходження прихистку, розшуку зниклих, отримання допомоги, проведення евакуації тощо.

Щоб вберегти свої персональні дані рекомендується зробити резервні копії документів, фото, телефонної книги, які необхідно зберігати у надійному місці. Також доцільно виписати номери телефонів найближчих членів родини. Це допоможе не втратити зв’язок з найдорожчими навіть якщо буде втрачено контроль над пристроєм.

Під час здійснення парламентського контролю за додержанням законодавства про захист персональних даних виявлено факти шахрайських дій під виглядом виплати грошової допомоги українцям під час воєнного стану. Такий вид шахрайства як «фішинг в інтернеті», який полягає у крадіжці персональних даних за допомогою підставних веб-сайтів, залишається актуальною проблемою в умовах воєнного стану. Суть фішингу в тому, що ошукана особа повідомляє дані про себе добровільно. Разом із тим, зловмисник у цьому випадку відіграє роль уповноваженої особи державного органу або благодійного фонду тощо. Тепер під виглядом надання державних виплат зловмисники виманюють гроші у громадян також шляхом направлення повідомлень. Як це працює:

• Зловмисники здійснюють розсилку електронних листів, повідомлень у месенджерах (Viber, Telegram, WhatsApp), повідомлень в соціальних мережах (Facebook), SMS-повідомлень, де інформують про виплату матеріальної допомоги вимушеним переселенцям.
• Такі повідомлення містять заклик перейти за наданим гіперпосиланням на певний веб-сайт та заповнити персональні дані (ПІБ, телефон, електронну адресу, реквізити банківських карток тощо) для отримання грошової допомоги.
• Після цього шахраї отримують передані особою персональні дані та привласнюються собі кошти.

Щоб не стати жертвою зловмисників необхідно уважно ставитись до отриманих повідомлень і не розголошувати свої персональні дані на сумнівних, неперевірених веб-сайтах. Є загрози для громадян при наданні персональних даних на тимчасово окупованих територіях.

Громадянам України, необхідно бути обережними зі своїми персональними даними. Центр протидії дезінформації при РНБО України повідомляє про нові підступні дії окупанта, які полягають у зборі персональних даних містян під приводом «перепису населення» або під час роздачі «гуманітарної допомоги» для подальшого їх переслідування і залякування. Це насамперед може стосуватись військовослужбовців, членів їх сімей, а також громадських активістів, журналістів та культурних діячів. Саме тому необхідно відповідально і свідомо ставитися до безпеки своїх персональних даних і даних своїх близьких та знайомих.

Корисні нормативно-правові документи щодо процедури захисту персональної інформації людини:

• Стаття 32 Конституції України;
• Рішення Конституційного Суду України №2-рп/2012 від 20 січня 2012 року;
• Конвенція про захист прав людини і основоположних свобод;
• Конвенція Ради Європи №108 «Про захист осіб у зв’язку з автоматизованою обробкою персональних даних»;
• Додатковий протокол до Конвенції Ради Європи №108 «Про захист осіб у зв’язку з автоматизованою обробкою персональних даних щодо органів нагляду та транскордонних потоків даних»;
• Закон України «Про захист персональних даних»;
• Закон України «Про внесення змін до Закону України «Про захист населення від інфекційних хвороб» щодо запобігання поширення коронавірусної хвороби (COVID-19)»;
• Типовий порядок обробки персональних даних;
• Порядок здійснення Уповноваженим Верховної Ради України з прав людини контролю за додержанням законодавства про захист персональних даних;
• Порядок повідомлення Уповноваженого Верховної Ради України з прав людини про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, про структурний підрозділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних при їх обробці, а також оприлюднення вказаної інформації;
• Стаття 188-39 Кодексу України про адміністративні правопорушення «Порушення законодавства у сфері захисту персональних даних»;
• Стаття 188-40 Кодексу України про адміністративні правопорушення «Невиконання законних вимог Уповноваженого Верховної Ради України з прав людини»;
• Стаття 182 Кримінального кодексу України «Порушення недоторканності приватного життя».

Варто пам’ятати, що потрібно  уникати надмірної деталізації даних про себе у різноманітних анкетах, а також уважно ознайомлюватись з умовами використання даних клієнтів, які пропонують компанії та фірми.

Отже, розвиток системи захисту персональних даних є одним із найбільш актуальних завдань, які стоять перед українським суспільством на сучасному етапі. Захист персональних даних та його вдосконалення є не просто обов’язком держави і предметом державно-правового регулювання, але повинно нерозривно розглядатися в поєднанні з захистом прав та свобод людини, в тому числі захистом права на повагу до приватного життя. Крім того, створення дієвої системи захисту персональних даних належить до міжнародних зобов’язань України, в тому числі пов’язаних із європейською інтеграцією нашої держави. Зокрема, саме від виконання цього зобов’язання значною мірою залежать євроінтеграційні прагнення української держави.

Радимо почитати:

1. Бабійчук В.С. Міжнародний захист прав людини у сфері інформаційно-телекомунікаційних технологій. Молодий вчений. 2020. № 10. С. 71-73.
2. Берназюк І.М. Захист права на повагу до приватного й сімейного життя у практиці Європейського суду з прав людини. Вчені записки Таврійського національного університету імені В.І. Вернадського. Сер. Юридичні науки. 2020. № 31, 4. С. 104-110.
3. Бєлова Ю. Згода та інші підстави виникнення цивільних правовідносин щодо персональних даних. Юридичний вісник. 2020. № 3. С. 348-355.
4. Бєлова Ю. Система спеціальних цивільно-правових способів захисту права на персональні дані. Право України. 2019. № 1. С. 314-327.
5. Веселова Л.Ю. Кібербезпека в умовах гібридної війни: адміністративно-правові засади: монографія. Одеса. 2020. 486 с.
6. Головченко О.  Правові основи захисту персональних даних. https://yur-gazeta.com/publications/practice/inshe/pravovi-osnovi-zahistu-personalnih-danih.html (дата звернення 05.06.2024)
7. Гуйван О. Охорона персональних даних як потреба демократичного суспільства. Підприємництво, господарство і право. 2018. № 4. С. 34-40.
8. Гуйван П.Д. Міжнародний досвід захисту чутливих категорій персональних даних. Альманах міжнародного права. 2019. № 22. С. 3-14.
9. Гуйван П.Д. Окремі аспекти законодавства про захист персональних даних у Європейському Союзі. Право і суспільство. 2018. № 4, ч. 2. С. 60-66.
10. Гуйван П.Д. Права суб'єкта персональних даних у процесі їх обробки. Держава та регіони. Сер. Право. 2018. № 3. С. 52-58.
11. Даниленко Б. Порушення права на недоторканність особистого життя: прихований наступ на свободу людини. Публічне право. 2021. № 1. С. 23-36.
12. Дяковський О.С. Процесуальні особливості обігу інформації, що містить персональні дані. Вчені записки Таврійського національного університету імені В.І. Вернадського. Сер. Юридичні науки. 2018. № 29, 1. С. 58-63.
13. Іванов О. Обов'язкове інформування, контроль та великі штрафи: як новий законопроєкт змінює правила захисту персональних даних. https://www.epravda.com.ua/columns/2024/02/9/709745/ (дата звернення 09.06.2024)
14. Кардаш А.В. Уповноважений орган у сфері захисту інформації про особу: зарубіжний досвід. Право і суспільство. 2017. № 6. С. 7-13.
15. Ключові принципи обробки ПД. http://zpd.inf.ua/page14.html (дата звернення 05.06.2024)
16. Конопельцева О.О. Персональні дані працівника: поняття та правове регулювання. Право і суспільство. 2018. № 5. С. 105-109.
17. Лісовська Ю.П. Кібербезпека: ризики та заходи. Київ. 2019. 270 с.
18. Пилипчук В.Г. Теоретико правові засади розвитку системи стратегічних комунікацій сектору безпеки і оборони. Вісник Національної академії правових наук України. 2019. № 3. С. 32-50.
19. Про захист персональних даних : Закон України від 1 червня 2010 р. № 2297-VI. Відомості Верховної Ради України. 2010. № 34. Ст. 481. https://zakon.rada.gov.ua/laws/show/2297-17#Text (дата звернення  12.06.2024).
20. Про інформацію : Закон України від 2 жовтня 1992 р. № 2657-XII. Відомості Верховної Ради України. 1992. № 48. Ст. 650.
21. Рибальченко Л.В. Проблеми безпеки персональних даних в Україні. Регіональна економіка та управління. 2019. № 4, ч. 2. С. 68-72.
22. Філатова-Білоус Н. Теорія пропертизації даних: критичний аналіз із погляду доктрини права власності. Право України. 2021. № 5. С. 85-102.
23. Фісун В. Проблеми захисту персональних даних: досвід України та інших країн. https://yur-gazeta.com/publications/practice/informaciyne-pravo-telekomunikaciyi/problemi-zahistu-personalnih-danih-dosvid-ukrayini-ta-inshih-krayin.html (дата звернення 05.06.2024).

Підготувала: Т. Федько