Уповноважений орган у сфері захисту інформації про особу в Україні: проблеми правового регулювання

Виклад основного матеріалу

Звертаючись до українських реалій, зазначимо, що вітчизняний досвід створення спеціальної інституційної структури, що здійснює контроль над законністю операцій із персональними даними і здійснює захист прав їх суб'єктів, багато в чому схожий з європейським. Одразу ж після набрання чинності Законом «Про захист персональних даних» було створено Державну службу України з питань захисту персональних даних. Проте основною критичною характеристикою статусу Уповноваженого органу, що виділялася, є його «залежність» від інших владних структур з огляду на його входження в систему виконавчої влади України [1, с. 624]. Крім того, діяльність зазначеної служби була пов'язана із законодавчим обов'язком реєструвати всі бази персональних даних під ризиком значних штрафів до осіб, які не подали заяву про реєстрацію. Такий механізм був вкрай неефективним і взагалі невиправданим.

З огляду на досвід функціонування системи захисту персональних даних в Україні, 3 липня 2013 р. Верховна Рада України ухвалила Закон України «Про внесення змін до деяких законодавчих актів України щодо удосконалення системи захисту персональних даних», який набув чинності 1 січня 2014 р. Законом скасовувалася процедура реєстрації баз даних, замість неї вводилася процедура повідомлення про такі бази і лише тоді, якщо вони охоплюють чутливі персональні дані, а функції з контролю за дотримання законодавства в цій сфері з метою забезпечення незалежності уповноваженого органу з питань захисту персональних даних, як того вимагає Конвенція Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних, покладено на Уповноваженого Верховної Ради України із прав людини. З метою забезпечення виконання функцій контролю за виконанням законодавства у сфері захисту персональних даних у Секретаріаті Уповноваженого Верхової Ради України із прав людини створено Департамент із питань захисту персональних даних.

У зв'язку із зазначеним, наказом Уповноваженого Верховної Ради України із прав людини від 8 січня 2014 р. № 1/02-14 було затверджено:

1. Типовий порядок обробки персональних даних.

2. Порядок здійснення Уповноваженим ВРУ контролю за додержанням законодавства про захист персональних даних.

3. Порядок повідомлення Уповноваженого ВРУ із прав людини про обробку персональних даних, яка становить особливий ризик для прав і свобод суб'єктів персональних даних, про структурний підрозділ або відповідальну особу, що організовує роботу, пов'язану із захистом персональних даних під час їх обробки, а також оприлюднення вказаної інформації.

Стосовно заміни процедури реєстрації баз персональних даних на повідомлення Уповноваженого Верховної Ради України із прав людини про обробку персональних даних, яка становить особливий ризик для прав і свобод суб'єктів персональних даних, визначеної ст. 9 Закону «Про внесення змін до деяких законодавчих актів України щодо удосконалення системи захисту персональних даних», то зазначена процедура досить критично оцінюється в літературі. Взагалі, необхідність такого повідомлення саме щодо баз персональних даних, які становлять особливий ризик, випливає зі ст. 6 («Особливі категорії даних») Конвенції Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних, де передбачається, що персональні дані, які свідчать про расову належність, політичні, релігійні чи інші переконання, а також дані, щодо здоров'я або статевого життя, судимості особи не можуть піддаватися автоматизованій обробці, якщо внутрішнє законодавство не забезпечує відповідних гарантій. Такою гарантією і мало б стати відповідне повідомлення.

Проте, як зазначає К.С. Мельник, є сумнів у доцільності заміни однієї процедури іншою, фактично однаковою по суті, тільки з іншою назвою. З ухваленням Закону України «Про захист персональних даних» була запроваджена процедура реєстрації баз персональних даних, яка з роками виявила свою низьку ефективність. Натомість процедура, запропонована в новій редакції ст. 9, містить низку суперечливих моментів. У згаданому законі відсутня відповідь на головне питання: з якою метою запроваджується процедура повідомлення про обробку персональних даних, яка становить особливий ризик для прав і свобод суб'єктів персональних даних? Звідси виникає сумнів щодо необхідності запровадження відповідної процедури та пропонується виключити положення ст. 9 Закону «Про захист персональних даних» [2, с. 39].

Процедуру повідомлення в сучасному вигляді вважають абсолютно неефективною і самі представники Уповноваженого ВРУ із прав людини. По-перше, володільці зобов'язані повідомляти Уповноваженого про обробку, яка вже відбувається. Тобто на момент повідомлення Уповноваженого володілець уже організував процес обробки, зібрав певний об'єм персональних даних (обробка яких по суті становить ризик для прав і свобод громадян - А. К.), вклав певні матеріально-технічні ресурси в організацію процесу обробки. Отже, якщо організовані володільцем операції з обробки персональних даних містять певні недоліки:

По-перше, права суб'єктів уже порушено і володілець з огляду на докладені зусилля вже незацікавлений у внесенні змін до операцій з обробки, які ним здійснюються. Тому, і це дуже яскраво простежується в реальному часі, володільці намагаються направити повідомлення з якомога загальнішими відомостями, які по суті не дозволяють зробити конкретні висновки щодо операцій, які здійснюються ними.

По-друге, якщо навіть Уповноваженим за результатами аналізу повідомлень буде виявлено обробку, що є незаконною, єдиним результатом буде винесення припису щодо припинення такої обробки або внесення змін до операцій, пов'язаних з обробкою.

По-третє, рівень знання та розуміння законодавства про захист персональних даних в Україні з огляду на новизну його положень є досить невисоким, що в контексті обов'язку повідомлення Уповноваженого спричиняє направлення великої кількості помилкових повідомлень. Багато хто з володільців не розуміє, чи треба повідомляти, однак про всякий випадок направляє повідомлення. Як наслідок, Уповноваженим вживаються заходи, спрямовані на перевірку отриманої інформації, за результатами яких виявляється, що володілець просто припустився помилки. Такі дії не призводять до відповідальності, однак спричиняють зайве навантаження на контролюючий орган [3, с. 129].

По-четверте, така процедура є вкрай неефективною в контексті роботи державних органів влади. Так, державні органи здійснюють обробку на підставі закону та визначеним законодавством порядком. Під час розроблення проектів відповідних законів і підзаконних нормативно-правових актів, які є підставою чи прямо/опосередковано регламентують порядок обробки персональних даних, у відповідних органів влади відсутнє зобов'язання проводити консультації з Уповноваженим. Отже, велика частина документів приймається без його відома та часто суперечить закону. На момент виявлення проблеми Уповноваженим (самостійно чи з повідомлення - А. К.) обробка вже йде повним ходом і для того, щоб її змінити / припинити необхідно інколи суттєво змінювати закони, що потребує дуже багато часу.

Причиною такої ситуації є хибне розуміння авторами згаданого вище Закону сутності процедури повідомлення, яка в дуже спотвореному вигляді була запозичена з Директиви про захист персональних даних.

Варто зазначити, що процедура повідомлення контролюючого органу (або, якщо точніше, попередніх консультацій володільця з контролюючим органом - А. К.) уже стала звичним явищем серед європейських держав. Так, відповідно до ст. 20 Директиви про захист персональних даних, держава повинна визначити операції з обробки даних, які можуть становити певний ризик для прав і свобод суб'єктів персональних даних. Перед початком таких операцій контролюючий орган повинен перевірити їх відповідність законодавству про захист персональних даних. Для цього володілець має самостійно повідомити контролюючий орган про те, що він планує здійснювати такі операції та узгодити їхній порядок. Звідси логічно випливає, що результатом такої перевірки може бути або заборона таких операцій, або видання розпорядження щодо їхньої модифікації/ зміни.

Окремо варто наголосити на тому, що, відповідно до ч. 3 ст. 20 Директиви про захист персональних даних, аналогічні зобов'язання можуть покладатися на «заходи національного парламенту та заходи, які базуються на таких законодавчих заходах». Отже, як парламент перед ухваленням законів, так і уряд і міністерства перед ухваленням на цій підставі законів, інших нормативно-правових актів зобов'язані забезпечувати їх перевірку контролюючим органом на предмет відповідності закону та Конвенції. Метою таких положень є недопущення та запобігання можливим порушенням законодавства про захист персональних даних [3, с. 130].

Аналогічні та більш детальні правила щодо зазначеного містяться в ст. 34 Регламенту, відповідно до якої в чітко визначених випадках володільці зобов'язані повідомляти наглядовий орган про обробку персональних даних. Якщо, на думку наглядового органу, запланована обробка персональних даних суперечитиме Регламенту, він має право заборонити її та надати рекомендації з метою усунення вказаної невідповідності [3, с. 131].

Положення національного законодавства можуть зобов'язати володільця повідомляти компетентний наглядовий орган про операції з обробки для того, щоб їх було оприлюднено. Як альтернатива, у них може бути передбачено, що володільці можуть користуватися послугами фахівця з питань захисту персональних даних, відповідального, зокрема, за ведення реєстру здійснюваних володільцем операцій з обробки (ст. 18 (2), абз. 2 Директиви про захист персональних даних). Доступ до цього внутрішнього реєстру має бути забезпечений для осіб, які звертаються із запитами [4, с. 106].

Оприлюднені наглядовим органом повідомлення повинні заноситись до спеціального реєстру. Для того, щоб відповідати своїй меті, доступ до цього реєстру має бути легким і безкоштовним. Те саме стосується і документації, яку зберігає фахівець із захисту персональних даних володільця. У національному законодавстві можуть бути встановлені винятки з обов'язку повідомляти компетентний наглядовий орган або звертатись до внутрішнього фахівця з питань захисту персональних даних у випадках обробки, щодо яких існує мала вірогідність особливого ризику для суб'єктів персональних даних, що також передбачено в ст. 18 (2) Директиви про захист персональних даних [4, с. 107].

Стосовно самої доцільності покладення обов'язків щодо контролю у сфері захисту персональних даних на Уповноваженого ВРУ із прав людини, зазначимо таке. Останніми роками для таких цілей активно обговорюється створення окремого інформаційного уповноваженого на кшталт тих, що існують за кордоном. Так, О.В. Нестеренко, аналізуючи питання забезпечення доступу до публічної інформації, зауважує, що кардинально змінити ситуацію із правом на доступ до інформації в Україні неможливо без запровадження інституту інформаційного уповноваженого, уповноважений повинен бути наділений тими ж правами, що й уповноважений із прав людини, але, на відміну від омбудсмана, рішення інформаційного уповноваженого повинні мати обов'язковий характер. Вони можуть бути оскаржені у Вищому адміністративному суді. Спеціалізований уповноважений з питань інформації має обиратися парламентом із рекомендованих громадськими організаціями кандидатів строком на п'ять років. Уповноваженим із питань інформації може бути обраний громадянин України з вищою освітою [5, с. 15], досвідом роботи у сфері захисту й утвердження прав людини. Інформаційним уповноваженим не може бути обраний громадянин, який має судимість за вчинення умисного злочину, якщо ця судимість не погашена і не знята встановленим законом порядком, а також особа, що працювала в органах Міністерства внутрішніх справ, Служби безпеки України, Прокуратури, посадова та службова особа органів державної влади і місцевого самоврядування, член політичної партії. О.В. Нестеренко пропонує закріплення в Конституції положення про запровадження інформаційного уповноваженого утворити посаду представника Уповноваженого із прав людини, який буде відповідати за охорону і захист права на доступ до інформації та особистих даних [5, с. 16]. З метою захисту права на інформацію до майбутнього інформаційного кодексу пропонується додати положення про інформаційного омбудсмена, після внесення відповідних змін до Конституції, оскільки чинна не передбачає можливості створення спеціалізованих омбудсменів [6].

О.В. Нестеренко пропонує скористатися прикладом Словенії (ч. 2 ст. 159 Конституції) та включити до проекту нової Конституції України положення такого змісту: «Для захисту окремих конституційних прав Верховна Рада України може обирати спеціалізованих уповноважених» [7, с. 208].

Варто погодитися також із В.О. Серьогіним у тому, що вимоги ст. 28 Директиви 95/46/ ЄС від 24 жовтня 1995 р. про захист фізичних осіб під час обробки персональних даних і вільному переміщенні таких даних, додаткового протоколу (2001 р.) до Конвенції Ради Європи від 28 січня 1981 р. про захист фізичних осіб під час автоматичної обробки персональних даних змушують Україну також йти шляхом створення спеціалізованого органу з питань прайвесі, якщо вона дійсно прагне долучитися до європейської інтеграції та зміцнити захист приватності своїх громадян [8, с. 289].

Висновки

Отже, можемо дійти висновку про те, що чинна модель захисту інформації про особу в Україні потребує вдосконалення. Насамперед йдеться про повноваження спеціалізованого органу, які мають бути переглянуті. Також в інституційному плані варто йти шляхом створення спеціалізованого інформаційного уповноваженого, окремо від Уповноваженого ВРУ із прав людини, який би мав незалежність. Для цього потрібно внести відповідні зміни до Конституції України

законодавство інформація особа

Література