Шевчук Олександр Олександрович Правове регулювання охорони персональних даних в Європейському Союзі

Короткий опис

Шевчук Олександр Олександрович, аспірант кафедри порівняльного і європейського права Інституту міжна­родних відносин Київського національного університету імені Тараса Шевченка: «Правове регулювання охорони персональних даних в Європейському Союзі» (12.00.11 - міжнародне право). Спецрада Д 26.001.10 у Київському національному університеті імені Тараса Шевченка МОН України

Київський на Київський національний університет імені Тараса Шевченка
Міністерство освіти і науки України
Київський національний університет імені Тараса Шевченка
Міністерство освіти і науки України
Кваліфікаційна наукова праця
на правах рукопису
ШЕВЧУК ОЛЕКСАНДР ОЛЕКСАНДРОВИЧ
УДК 341.171
ДИСЕРТАЦІЯ
ПРАВОВЕ РЕГУЛЮВАННЯ ОХОРОНИ ПЕРСОНАЛЬНИХ ДАНИХ В
ЄВРОПЕЙСЬКОМУ СОЮЗІ
Спеціальність 12.00.11 – міжнародне право

Подається на здобуття наукового ступеня кандидата юридичних наук
Дисертація містить результати власних досліджень. Використання ідей,
результатів і текстів інших авторів мають посилання на відповідне джерело
_________________________ О.О. Шевчук
Науковий керівник Муравйов Віктор Іванович,
доктор юридичних наук, професор

Київ – 2018

ЗМІСТ
Перелік умовних позначень…………………………………………………. 14
Вступ……………………………………………………………………………. 15
Розділ 1. СТАНОВЛЕННЯ ІНСТИТУТУ ЗАХИСТУ ПЕРСОНАЛЬНИХ
ДАНИХ В ЄВРОПЕЙСЬКОМУ СОЮЗІ
1.1 Загальнотеоретичні та історичні основи розвитку інституту захисту
персональних даних в Європейському Союзі……………………………….. 23
1.2 Захист персональних даних в контексті розвитку простору свободи,
безпеки та юстиції в Європейському Союзі…………………………………. 42
1.3 Правові принципи та стандарти захисту персональних даних в
Європейському Союзі………………………………………………………….. 53
Висновки до розділу 1………………………………………………………...... 76
Розділ 2. ОРГАНІЗАЦІЙНО-ПРАВОВИЙ МЕХАНІЗМ ЗАХИСТУ
ПЕРСОНАЛЬНИХ ДАНИХ В ЄВРОПЕЙСЬКОМУ СОЮЗІ
2.1 Договірні та інституційні механізми захисту персональних даних в
Європейському Союзі …………………………………………………………. 79
2.2 Механізми забезпечення контролю за дотриманням правомил щодо
захисту персональних даних в Європейському
Союзі…………………………………………………………………………… 102
2.3 Правове регулювання транскордонної передачі персональних даних в
Європейському Союзі ……………………………………………………… 117
Висновки до розділу 2………………………………………………………… 131
Розділ 3. СПІВРОБІТНИЦТВО МІЖ ЄВРОПЕЙСЬКИМ СОЮЗОМ ТА
УКРАЇНОЮ У СФЕРІ ЗАХИСТУ ПЕРСОНАЛЬНИХ ДАНИХ
3.1 Нормативно-правове забезпечення і стандарти захисту персональних
даних в Україні.……………………………………………………………….. 135
3.2 Співпраця щодо захисту персональних даних в рамках Угоди про
асоціацію між Україною та Європейським Союзом ………………………. 145
3.3 Реформування системи захисту персональних даних в Україні у
відповідності до європейських стандартів………………………………....... 153
Висновки до розділу 3……………………………………………………….... 162
Висновки………………………………………………………………………. 166
Список джерел та літератури………………………………………………… 171
Додаток………………………………………………………………………… 194

Список літератури

ВИСНОВОК
У рамках дослідження системи захисту персональних даних в
Європейському Союзі та Україні ми проаналізували наявний теоретикометодологічний науковий доробок, а також низку нормативно-правових
джерел, що дозволило підтвердити ідею про те, що сьогодні система захисту
персональних даних в Україні та Європейському Союзі перебуває на етапі
свого переформатування. В ході дослідження особлива увага приділялася
таким аспектам заявленої проблеми: відображення особливостей захисту
персональних даних при їх транскордонній передачі; характерні риси
формування та розвитку інституту захисту персональних даних;
закономірності проведення нових реформ у системі захисту персональних
даних в Україні та ЄС. В результаті завершення дослідження ми прийшли до
наступних висновків:
1. Становлення інституту захисту персональних даних у
Європейському Союзі пройшло чотири етапи: від ухвалення перших
національних актів у сфері захисту персональних даних у 70-х рр. ХХ ст.
(перший етап), створення системи захисту персональних даних при їхній
обробці і транскордонній передачі в межах міжнародних інституцій (другий
етап), прийняття в Європейському Союзі Директиви 95/46, що
регламентувала основні принципи та засади захисту даних у державах-членах
(третій етап), і до створення єдиного правового простору регулювання
системи захисту персональних даних на території усіх 28 держав – членів
Європейського Союзу (четвертий етап).
2. На переформатування та необхідність становлення нової єдиної
для всього Європейського Союзу системи захисту персональних даних
впливають такі тенденції, як: наслідки стрімкого технологічного прогресу,
упровадження нових інформаційно-інноваційних технологій у роботу
державного сектору та великих приватних корпорацій у Європейському
Союзі тощо.
167
3. Дотримання найвищих стандартів захисту персональних даних у
правоохоронній галузі мають першочергове значення для забезпечення
безпеки та захисту громадян держав – членів Європейського Союзу.
Безпрецедентні кошти, що витрачаються на збір та аналіз даних, доступних у
наші дні, приносять із собою зобов'язання поважати право кожної людини
мати належний захист персональних даних і звести до мінімуму небезпеку
зловживань та ризик витоку даних.
4. Зроблено висновок, що впровадження нових законодавчих
розробок й удосконалення існуючих механізмів захисту даних і механізмів
забезпечення контролю за захистом даних мають підвищити рівень захисту
даних на території Європейського Союзу, відповідаючи тим самим на
постійні нові технологічні виклики та процеси глобалізації.
5. Як найбільш вдалу систему повідомлення про порушення
безпеки даних автором запропоновано ланцюгову систему повідомлення про
випадки порушення безпеки персональних даних:
- про порушення безпеки даних процесор без необґрунтованих
затримок інформує контролера;
- після цього контролер інформує відповідний наглядовий орган.
За можливості таке повідомлення надається не пізніше 72 год після
отримання інформації про порушення;
- у випадку виникнення суттєвої загрози для суб'єкта даних про
порушення даних контролер без необґрунтованих затримок інформує
суб'єкта таких даних.
6. Ключовою новелою Регламенту (ЄС) 2016/679 є нові підходи
стосовно штрафних санкцій за порушення правил безпеки персональних
даних. Положення Регламенту (ЄС) 2016/679 з накладання грошових санкцій
замінюють фрагментарну систему заходів примусу, одночасно
запроваджуючи механізми невідворотності та послідовності призначення
покарання, відсутні в Директиві 95/46/ЄС. Суттєві штрафи за порушення
правил безпеки персональних даних не лише стимулюють невідворотність
168
покарання, вони є помітною особливістю Регламенту 2016/679, яка змусить
національні та транснаціональні компанії інвестувати більше ресурсів у
системи та механізми безпеки. Треті країни, які оброблятимуть персональні
дані громадян держав – членів Європейського Союзу, у разі порушення
безпеки даних відповідно до Регламенту (ЄС) 2016/679 також підпадатимуть
під дію аналогічних санкцій.
7. Зроблено висновок, що Регламент (ЄС) 2016/679 запроваджує дві
нові підстави для транскордонної передачі даних: дотримання кодексу
поведінки або стандартів системи сертифікації, які мають передбачати
правові зобов'язання з можливістю примусу до їхнього виконання. Регламент
(ЄС) 2016/679 не тільки полегшує транскордонну передачу даних за
допомогою вдосконалених механізмів, але також передбачає процедури,
умови й обмеження для передачі персональних даних за межі ЄС.
8. Доведено, що трансатлантичне співробітництво між
Європейським Союзом і Сполученими Штатами Америки в контексті
боротьби зі спільними загрозами зовнішньої безпеки нині є вкрай важливим.
Угода «Про захист конфіденційності», що набула чинності 21 липня 2016 р.,
має стати основою для подальшого розвитку трансатлантичних відносин
між ЄС та США. Вона має відновити довіру між Європейським Союзом і
Сполученими Штатами в контексті обміну та передачі персональних даних, а
саме щодо дотримання фундаментальних прав громадян Союзу при передачі,
обробці та збереженні їхніх даних компаніями США, забезпечити та
гарантувати дотримання найвищих стандартів захисту персональних даних і
створити ефективні механізми контролю за дотриманням державними
органами влади та приватними компаніями правил, закріплених у цій угоді.
Зазначена угода має гарантувати високий рівень захисту фундаментальних
прав громадян ЄС і забезпечити необхідну правову визначеність для компанії
з обох боків Атлантики для безперешкодного обміну між ними
персональними даними.
169
9. Гармонізація українського законодавства із законодавством ЄС
залишається найпотужнішим правовим інструментом впливу acquis ЄС на
законодавство України. Згідно з Угодою про асоціацію, Україна та
Європейський Союз погодилися співпрацювати з метою забезпечення
належного рівня захисту персональних даних відповідно до найвищих
європейських і міжнародних стандартів, зокрема відповідних документів
Ради Європи. План заходів з виконання Угоди про асоціацію, затверджений
Постановою Кабінету Міністрів України від 25 жовтня 2017 р. № 1106
передбачає завдання з удосконалення законодавства про захист персональних
даних з метою приведення його у відповідність до Регламенту (ЄС) 2016/679.
Внесення до Додатків до Угоди про асоціацію Регламенту (ЄС) 2016/679 та
реалізація проекту «GDPR SOS» стануть важливими механізмами
приведення системи захисту персональних даних в Україні у відповідність до
стандартів ЄС.
10. Існуюча вітчизняна система захисту персональних даних
потребує подальшого удосконалення правових стандартів і принципів
захисту персональних даних та реформування нормативних положень.
Особливо важливим є:
- приведення термінологічного апарату Закону України «Про
захист персональних даних» у відповідність до Регламенту (ЄС) 2016/679;
- зміцнення контролю у відносинах між контролером і процесором;
- розроблення та удосконалення кодексів поведінки і механізмів
сертифікації;
- введення та удосконалення ряду прав суб'єктів щодо їх
особистих даних, включаючи право на стирання («право бути забутим»),
право на обмеження обробки даних, право на мобільність даних, профайлінг,
використання псевдонімів;
- реформування системи повідомлення про порушення безпеки
даних;
170
- удосконалення процедури притягнення до відповідальності та
накладання штрафних санкцій за порушення законодавства про захист
персональних даних