ПРАВОВІ ОСНОВИ ЗАХИСТУ ПЕРСОНАЛЬНИХ ДАНИХ Автореферат

У вступі обґрунтовано актуальність теми дослідження, ступінь наукової розробки проблеми, вказано на зв’язок роботи з напрямами наукових досліджень, визначено мету і задачі дослідження, його об’єкт, предмет, використані методи, висвітлено наукову новизну роботи, її значення у правотворчій, правозастосовній, науково-дослідній та навчально-методичній діяльності, наведено дані про апробацію і публікації результатів дослідження, відображено структуру дисертації.

Розділ 1 «Наукова розробленість, методологія дослідження та теоретичні засади захисту персональних даних» складається з трьох підрозділів і присвячений висвітленню історичних, методологічних і теоретичних аспектів захисту персональних даних у вітчизняній правовій доктрині, а саме дослідженню стану наукової розробленості теми, окресленню методології дослідження, визначенню поняття «персональні дані», відмежуванню його від інших споріднених понять, виокремленню їх структури.

У підрозділі 1.1 «Стан наукових досліджень, присвячених захисту персональних даних у вітчизняній правовій доктрині» розглядається генезис наукових досліджень, присвячених персональним даним у вітчизняній правовій доктрині.

Становлення, розвиток наукових досліджень, присвячених захисту персональних даних, має складну та тривалу історію. У зв’язку зі своєю актуальністю даний феномен розглядається різними юридичними науками, але здебільшого такий розгляд має не цілісний, несформований характер. При чому кількість та якість наукових розробок у досліджуваній сфері є недостатніми порівняно з потребами українського суспільства і держави.

Дослідження генезису наукових джерел, присвячених персональним даним, дало змогу дійти таких висновків: 1) персональні дані є предметом дослідження багатьох юридичних наук – теорії держави та права, інформаційного права, адміністративного права, кримінального права, цивільного права та інших; 2) здебільшого ця проблематика порушується в рамках конституційного, інформаційного, міжнародного права, а також спеціалізованих досліджень, присвячених інформаційній безпеці чи інформації з обмеженим доступом; 3) генезис таких досліджень має не системний, фрагментарний характер, що унеможливлює виокремлення стадій розвитку з окресленням їх змістовних характеристик; 4) у монографічних працях, предметом розгляду яких є персональні дані, здебільшого розкриваються правові та організаційні засади захисту цього феномену, залишаючи осторонь інші важливі аспекти (теоретичні, психологічні, технічні тощо); 5) ураховуючи зміни та доповнення до вітчизняного законодавства у цій сфері, зокрема доповнення до КУпАП, відповідно до яких встановлена адміністративна відповідальність за порушення у цій сфері чи норми Закону України «Про захист персональних даних», нині відсутні будь-які монографічні дослідження, що безпосередньо розглядають персональні дані в умовах оновлення вітчизняного законодавства у цій сфері; 6) відсутній єдиний уніфікований понятійно-категоріальний апарат в зазначеній сфері, оскільки здебільшого у дослідженнях використовуються як синонімічні поняття без чіткої аргументації такі категорії: «персональні дані», «особиста інформація», «приватна інформація про фізичну особу», «приватна інформація», «персональна інформація», «конфіденційна особиста інформація», «персоніфікована інформація» тощо.

У підрозділі 1.2 «Методологія дослідження» окреслюється світоглядні, філософські та наукознавчі засади дослідження, використані домінуючі методологічні принципи і підходи, застосовані основні наукові методи для вивчення предмету і побудови відповідних наукових знань, що склали понятійно-категоріальний апарат дослідження.

Зауважено, що визначення методологічних засад дослідження має особливе значення для досліджень, присвяченій інформаційній проблематиці, зокрема персональним даним, оскільки вона стала актуальною лише наприкінці ХХ – початку ХХІ ст.ст., внаслідок чого її дослідження не має давніх, усталених традицій, а сам феномен персональних даних є доволі своєрідним за своєю природою та діалектично взаємопов’язаним з різними сферами суспільного буття та його пізнання.

Висновується, що від методологічного інструментарію залежить як широта когнітивних можливостей для видобування нового знання про предмет вивчення, так і адекватність одержуваних результатів; предмет дослідження лежить у площині декількох наук, що потребує використання широкого спектру загальних, філософських, загальнонаукових, частково-наукових та спеціальних методів дослідження; лише комплексне використання методологічних підходів та методів дослідження сприятиме об’єктивному, всебічному, повному розкриттю специфіку персональних даних як правого феномена.

У підрозділі 1.3 «Персональні дані як вид інформації» визначається специфіка персональних даних як виду інформації, досліджується поняття «персональні дані», окреслюється співвідношення цього поняття з іншими спорідненими поняттями, а саме «інформація про особу», «конфіденційна інформація про особу», «персоніфікована інформація», «особиста інформація» тощо.

Аналіз вітчизняного законодавства у сфері захисту персональних даних, а також відповідних доктринальних джерел дав змогу дійти висновку, що, незважаючи на прийняття Закону України «Про захист персональних даних», де законодавчо закріплено дефініцію «персональних даних», поряд з цим поняттям у інших нормативно-правових актах використовуються поняття «інформація про особу», «конфіденційна інформація про особу» тощо.

Висновується, що поняття «персональні дані» та «інформація про особу» є змістовно ідентичними. Не всі персональні дані є інформацією з обмеженим доступом. Винятки охоплюють знеособлені персональні дані та персональні дані певних категорій громадян, зокрема персональні дані фізичної особи, яка претендує зайняти чи займає виборну посаду (у представницьких органах) або посаду державного службовця першої категорії. Саме тому поняття «персональні дані» та «конфіденційна інформація про особу» співвідносяться між собою як загальне та часткове, тобто саме конфіденційна інформація про особу є завжди інформацією з обмеженим доступом і її поширення без згоди цієї особи можливе лише у чітко визначених випадках: у інтересах національної безпеки, економічного добробуту та прав людини. Конфіденційна інформація про особу охоплює поряд з іншими відомостями і інформацію про особисте та сімейне життя особи. При прийнятті основного нормативно-правового акту, що регулює суспільні відносини, пов’язані із захистом персональних даних (Закон України «Про захист персональних даних»), а також у основі легальної дефініції «персональні дані» лежать нормативно-правові акти Ради Європи та Європейського Союзу. Щодо інших понять, що використовують дослідники цієї проблематики («особиста інформація». «особистісна інформація», «конфіденціальна інформація», «персональна інформація» тощо), то етимологічний їх аналіз дозволив дійти висновку, що вони є змістовно однозначними між собою та поняттям «персональні дані». Плюралізм цих понять пов'язаний з авторським перекладом зарубіжних нормативно-правових актів.

Нині у вітчизняному законодавстві відсутній чіткий безальтернативний перелік відомостей, що становлять зміст персональних даних. Лише комплексне дослідження значної кількості нормативно-правових актів та певних рішень Конституційного Суду України дозволяє визначити приблизне коло таких відомостей. Головне правило при цьому є те, що за допомогою таких відомостей можна точно визначити про яку особу йде мова, і необхідно ураховувати конкретну ситуацію, за якої такі дані цією особою надаються чи мають надаватися. Саме тому не поодиноке, а комплексне, системне зазначення відомостей дозволить чітко ідентифікувати особу, а їх використання без її згоди порушити право на приватність.

Розділ 2. «Зарубіжне законодавство у сфері захисту персональних даних» складається з двох підрозділів і присвячений дослідженню особливостей правового регулювання суспільних відносин у сфері захисту персональних даних в окремих країнах СНД та окресленню європейських стандартів у зазначеній сфері.

У підрозділі 2.1 «Правові засади захисту персональних даних у СНД» досліджуються особливості правового регулювання суспільних відносин у сфері захисту персональних даних СНД та окремих країн-учасниць СНД.

Зауважено, що 16 жовтня 1999 року на чотирнадцятому пленарному засіданні Міжпарламентській Асамблеї держав-членів Співдружності Незалежних Держав був ухвалений Модельний Закон СНД «Про персональні дані».

Аналіз вітчизняного Закону України «Про захист персональних даних» та цього Модельного Закону СНД дозволив дійти висновку, що структурні підрозділи цих актів здебільшого збігаються. Це доводить, що не лише європейські стандарти, але й стандарти СНД були ураховані вітчизняним законодавцем при прийнятті вітчизняного основоположного нормативно-правового акту, що регулює суспільні відносини у сфері захисту персональних даних.

У країнах СНД системою захисту персональних даних обрано закон типу Data Protection Act (Закон про захист даних), де обов’язково закріплюються: ознаки персональних даних; права суб’єкта даних у зв’язку з обробкою і використанням даних; правила доступу до чужих персональних даних, їх розкриття і передача; вилучення з правового регулювання даних в інтересах державної і суспільної безпеки, у зв’язку з розслідуванням злочинів; заходи правового регулювання збору, збереження, обробки, передачі і використання персональних даних; вимоги до організаційно-технічних заходів по забезпеченню безпеки при їх обробці, використанні, передачі та збереженні; норми, що встановлюють відповідальність за порушення принципів захисту даних тощо.

Висновується, що Модельний закон СНД «Про персональні дані» має ряд недоліків, зокрема: не визначено повноваження і діяльність Уповноваженого органу відповідно до національних законодавств країн-учасниць СНД щодо захисту персональних даних; не закріплено загальні засади узгодження механізмів правового захисту персональних даних згідно з прийнятими нормативно-правовими актами країн СНД на державному рівні.

Було проаналізовано законодавчу базу у сфері захисту персональних даних країн-учасниць СНД та зауважено, що лише у декількох з них наявні відповідні нормативно-правові акти, зокрема у Молдові, Азербайджанській Республіці, Республіки Вірменія, Киргизькій Республіці, Російській Федерації та Україні. У Республіці Узбекистан та Республіці Казахстан розроблені проекти аналогічних законів. Щодо інших країн-учасниць СНД, то спеціалізовані закони, що регулюють суспільні відносини у сфері захисту персональних даних на даний час відсутні. Здебільшого це коло відносин урегульовано іншими неспеціалізованими нормативно-правовими актами інформаційного характеру. Наприклад, у Республіці Білорусь Закону «Про захист персональних даних» немає, але діє Закон Республіки Білорусь «Про інформацію, інформатизацію і захист інформації» від 10 листопада 2008 року. На основі дослідження цих актів дисертант виокремив позитивні та негативні їх риси.

У підрозділі 2.2 «Європейські стандарти захисту персональних даних» охарактеризовано правовий досвід ЄС захисту персональних даних та специфіку правового регулювання суспільних відносин у сфері захисту персональних даних в окремих країнах ЄС.

Зауважено, що в європейських країнах правовий захист персональних даних здійснюється на рівні двох законів, що взаємодоповнюються – закон Data Protection Act і закон Information Freedom Act (закон про свободу інформації). Такі типи законів, як правило, розробляються і приймаються одночасно. В окремих країнах принцип свободи доступу до інформації безпосередньо закладається в положеннях закону Data Protection Act.

Важливою ознакою європейського підходу у цій сфері є визначення обробки персональних даних в державному і приватному секторі, яка повинна здійснюватись:

- справедливо, законно і на пропорційній основі для досягнення конкретних, чітко сформованих і законних цілей;

- на основі прозорої політики, адекватного інформування суб’єктів даних, без дискримінацій;

- з дотриманням точності, приватності і безпеки даних, законності обробки, а також прав суб’єктів даних на доступ, виправлення, знищення даних;

- з дотриманням принципів підзвітності та відповідальності, навіть якщо обробка відбувається від імені державних органів;

- забезпечення відповідних гарантій, якщо дані є вразливими (інтимна сфера життя суб’єкта даних, чи дані, які при зловживанні чи незаконному використанні можуть призвести до серйозних змін у житті суб’єкта даних);

- на основі контролю зі сторони незалежних наглядових органів, які мають відповідні повноваження і ресурси;

- шляхом застосування сучасних профілактичних заходів, спрямованих на попередження і виявлення порушень у цій сфері.

Закони про захист персональних даних у розглянутих в межах дослідження країнах намагаються охопити усі послідовні етапи циклу, починаючи зі збору даних і закінчуючи їх знищенням, інформуванням, участю і контролем зі сторони індивідуума. Розбіжності в національних підходах, що спостерігаються в даний час у законах, законопроектах і законодавчих пропозиціях, стосуються таких аспектів, як масштаб дії законодавчого акта, акцентування в ньому різних елементів системи захисту, дотримання вищезазначених принципів, система контролю за виконанням законодавства. Крім того, можна вказати на розбіжності в категоріях даних, що не підлягають розголошенню, в методах забезпечення відкритості та індивідуальної участі. Акцентовано, що механізми захисту даних, які відносяться до приватних осіб не можуть бути аналогічні тим, що необхідні для захисту даних ділових підприємств, асоціацій і груп, що мають статус юридичної особи.

Водночас, дослід багатьох країн свідчить проте, що чітко розмежовувати персональні і не персональні дані досить складно. Наприклад, дані, які стосуються невеликої компанії, можуть одночасно торкатися інтересів її власників, що вже є секретною персональною інформацією. На думку дисертанта, в подібних випадках рекомендовано поширювати дії механізмів захисту, в першу чергу на персональні дані, а потім – на корпоративні структури.

У розділі 3 «Стан та шляхи удосконалення захисту персональних даних в Україні» проаналізовано сучасний стан вітчизняного законодавства у сфері захисту персональних даних, а також запропоновано перспективні напрями підвищення його ефективності.

У підрозділі 3.1 «Стан вітчизняного законодавства у сфері захисту персональних даних» було визначено, що суспільні відносини у сфері захисту персональних даних регулюються Конституцією України, Законом України «Про захист персональних даних», іншими нормативно-правовими актами та міжнародними договорами України, згода на обов’язковість яких видана Верховною Радою України.

Констатовано, що, незважаючи на значну кількість нормативно-правових актів у цій сфері, якість правового забезпечення та правореалізації є незадовільною. Так, Конституція України має ряд обмежень діяльності, що пов’язана з інформаційними даними про особу та конфіденційною інформацією щодо особистого життя людини, хоча механізму, спроможного реалізовувати конституційні гарантії на практиці не існує.

Висновується, що згідно з вітчизняним законодавством персональними даними може бути визнана практично будь-яка інформація про людину. Щодо законодавства більшості європейських держав, то персональні дані розділяються за критерієм «чутливості» на дані загального характеру (прізвище, ім’я, по батькові, дата і місце народження, громадянство і місце проживання) і «чутливі» (вразливі) персональні дані (дані про стан здоров’я (історія хвороби, діагнози); етнічна приналежність, ставлення до релігії, ідентифікаційні коди чи номери, відбитки пальців, записи голосу, фотографії, кредитна історія, дані про судимість тощо). Для чутливих персональних даних передбачений більш високий ступінь захисту. Так, забороняється збирання, зберігання, використання та передача без згоди суб’єкта чутливих даних, а не всіх персональних даних. У Законі України «Про захист персональних даних» така класифікація відсутня.

Невиправданою також є всеосяжність Закону України «Про захист персональних даних»: базою персональних даних визнається не лише база даних в автоматизованих комп’ютерних системах (як в європейській практиці), але й паперові картотеки – такою картотекою, наприклад, можна назвати папку з договорами. Всі такі бази персональних даних необхідно реєструвати в державному реєстрі (це означає, що за обсягом він значно перевищує державний реєстр).

Законом також встановлено положення про те, що обробка персональних даних може здійснюватись тільки відповідно до мети обробки, яка була сформульована при отриманні у суб’єкта персональних даних згоди на обробку даних. Кожного разу при зміні мети використання персональних даних, власник бази персональних даних зобов’язаний повторно звернутись до суб’єкта персональних даних за отриманням згоди на використання його персональних даних для нової мети. Однак, у Законі відсутні норми, які деталізували і конкретизували його застосування для окремих категорій суб’єктів (страхові компанії, медичні установи, банки тощо). Законом встановлено, що обов’язок володільця персональних даних полягає у повідомленні виключно у письмовій формі суб’єкта персональних даних про його права у зв’язку із включенням його даних в базу персональних даних протягом десяти робочих днів від дати такого розміщення. Доведено, що така вимога Закону не є доцільною, адже будь-яка обробка персональних даних і так є можливою після отримання попередньої документованої згоди суб’єкта персональних даних. Тому є незрозумілим, не тільки для чого додатково повідомляти суб’єкта персональних даних про його права у зв’язку із включенням його даних в базу, якщо від нього попередньо отримана згода використання його даних, а також чому встановлена адміністративна відповідальність у вигляді штрафних санкцій за несвоєчасне повідомлення або відсутність такого повідомлення.

Згідно з Законом підставами виникнення права на використання персональних даних є згода суб’єкта персональних даних на обробку його персональних даних, при чому суб’єкт персональних даних має право при наданні згоди внести застереження стосовно обмеження права на обробку своїх персональних даних, а також дозвіл на обробку персональних даних, наданий володільцю бази персональних даних відповідно до Закону виключно для здійснення його повноважень. При цьому, якщо суб’єкт персональних даних відмовляється надати згоду на обробку його персональних даних власник бази повинен знищити усі персональні дані такого суб’єкта. Постає питання: як має вчинити власник бази при прийманні на роботу особи, яка відмовляється надати згоду на обробку даних. Роботодавець, обробляючи персональні дані свого працівника, лише реалізовує свої права та обов’язки, покладені на нього Законом як на роботодавця, а тому, в такому випадку необхідно обробляти персональні дані на підставі Закону без згоди суб’єкта. У Законі загалом відсутня чітка процедура знищення персональних даних, що є дуже вважливим, враховуючи особливості комп’ютерних технологій обробки даних. Закон дає право суб’єкту персональних даних вимагати видалення його даних з формальних причин. Як приклад, цікавою може бути така ситуація: позичальник банку вимагає видалити його дані з бази персональних даних банку і, таким чином, уникнути відповідальності по договору позики.

Занадто широкі повноваження надані контролюючому органу, хоча на законодавчому рівні не встановлено ні порядок проведення, ні механізм проведення перевірок. Також повноваженому органу надається право накладати приписи та покарання на власників баз персональних даних (при всеохоплюючому визначенні цього поняття – на будь-яку юридичну чи фізичну особу), при чому можливість покарання жодним чином не пов’язується з фактом порушення прав конкретного громадянина – суб’єкта персональних даних.

Доведено, що не чітко визначено і відповідальність за порушення норм Закону. Так, законодавець у п.4 ст.6 цього Закону нічого не говорить про статус персональних даних, отриманих із загальнодоступних джерел (газети, телебачення, Інтернет). Такого поняття як «загальнодоступні джерела» Закон взагалі не розкриває і не включає його в джерело отримання таких персональних даних. Однак саме з них отримують масу персональних даних суб’єкти, які використовують персональні дані.

Якщо закон спрямований на захист права особи приватного життя, то видається доцільним притягати до відповідальності порушників закону лише у випадку спричинення реальної шкоди особі внаслідок неправомірного використання її персональних даних (при чому, якщо сама особа вважає, що її права порушені), а не за ухилення від державної реєстрації баз персональних даних та не за неповідомлення або несвоєчасне повідомлення суб’єкта персональних даних про його права у зв’язку із включенням його даних до відповідної бази.

У підрозділі 3.2 «Шляхи удосконалення захисту персональних даних в Україні» визначаються перспективи розвитку законодавчої бази щодо захисту персональних даних.

Відповідно до опитування фахівці зауважують, що держава задля покращення ситуації у сфері захисту персональних даних має посилити відповідальність за порушення персональних даних (47 %), посилити превентивну діяльність у сфері захисту персональних даних (30 %) та у цілому здійснити адекватні заходи, щоб покращити інформаційну безпеку суспільства (20 %), а також залучити іноземних фахівців у цій сфері (3 %).

Пропонується створення системної цілеспрямованої інформаційної політики, що повинна в першу чергу забезпечити такі основні стратегічні напрямки розвитку суспільства і законодавства щодо захисту інформації про особу: 1) захист конституційних прав та свобод громадян в інформаційній сфері, а саме свободи висловлювання та права на поінформованість; 2) протидія структурам міжнародної організованої злочинності, які користуються недосконалістю та прозорістю світових інформаційних потоків; 3) забезпечення об’єктивної діяльності засобів масової інформації на рівні владних, наукових, господарчих та інших структур; 4) створення умов для входження України до європейського та світового інформаційного простору; 5) розв’язання протиріч між національною нормативно-правовою базою та європейським та міжнародним законодавством у сфері захисту інформації про особу; 6) впровадження новітніх медіа-інформаційних технологій, розвитку в Україні електронних систем для захисту інформаційних баз; 7) створення програм для підтримки інтелектуальної еліти країни та підтримки молодих фахівців; 8) розвиток так званої «інтелектуальної економіки» на обов’язкових засадах створення нормативно-правової бази, для захисту інтелектуальної власності, інтелектуальних продуктів і боротьбу з проявами незаконного вторгнення до інформаційних баз.

Дисертант також виокремлює два підходи до удосконалення системи захисту інформації про особу - «реалістичний» і «ліберальний». Перший підхід характеризується такими аспектами і вимогами: збільшення безпеки в середині інформаційної системи; створення нових внутрішніх мереж, що можуть додатково контролювати інформацію незалежно від глобальних мереж; постійний моніторинг рівня інформаційної безпеки, цілеспрямований пошук недоліків в програмному забезпечені, контроль за розповсюдженням інформації і відповідних технологій; зменшення відкритості доступу до персональних баз даних. «Ліберальний» підхід порівняно з «реалістичним» підходом більш ідеалістичний, а його функції полягають у: збільшенні взаємозалежності щодо захисту персональних даних між країною і особою власником персональних даних; забезпеченні загальної безпеки через створення мережі спеціалізованих організацій і підписання спеціалізованих договорів; лібералізації інформаційних стосунків. Загальне визнання «ліберального» підходу дозволяє більш ефективно, на основі спільних дій боротися зі злочинністю і контролювати розповсюдження персональних даних без згоди власника персональних даних. Однак цей підхід передбачає, що між країною і власником персональних даних стосунки повинні будуватись на основі взаємної довіри і неухильного виконання договорів. Нажаль, сьогодні рівень забезпечення довіри у цій галузі не може робити таку політику ефективною. Водночас такий підхід передбачає зниження обмежень на подачу інформації третім особам, від чого у критичних ситуаціях може постраждати діяльність окремих спецслужб.

Крім того, пропонується внести доповнення до деліктного законодавства України щодо запровадження юридичної відповідальності (адміністративної та кримінальної) за порушення персональних даних неповнолітніх.