Захист біометричних персональних даних уповноваженим Верховної ради України з прав людини

Размещено на http://www.allbest.ru/

Размещено на http://www.allbest.ru/

Інститут права

Київського національного університету імені Тараса Шевченка

Захист біометричних персональних даних уповноваженим Верховної ради України з прав людини

Бойко А.М.,

аспірантка

Анотація

Стаття присвячена дослідженню питання захисту біометричних персональних даних Уповноваженим Верховної Ради України з прав людини, алгоритму та процедури захисту біометричних персональних даних, аналізу законодавчого закріплення захисту біометричних персональних даних в Україні. У статті визначаються шляхи захисту особою персональних даних, зокрема біометричних персональних даних. Зазначається, що українське законодавство не відповідає вимогам Конвенції щодо відповідності процедури збирання, оброблення, використання та захисту біометричних персональних даних, а також процедури контролю та нагляду за процесом збирання, оброблення, використання та захисту біометричних персональних даних з боку Уповноваженого. Стаття містить визначення питання алгоритму звернення особи, право на захист біометричних персональних даних якої порушено, до Уповноваженого Верховної Ради України з прав людини. Статтею визначаються форми захисту персональних даних Уповноваженим Верховної Ради України з прав людини, зокрема отримання, розгляд і прийняття рішень у результаті звернень через порушення права на захист персональних даних у межах своїх повноважень, визначених чинним законодавством України. Стаття наводить законодавче обґрунтування звернення особи, право на захист біометричних персональних даних якої порушено, до Уповноваженого Верховної Ради України з прав людини, посилаючись на національне та міжнародне законодавство. У статті розглядаються недоліки реалізації права на звернення до Уповноваженого Верховної Ради України з прав людини у контексті захисту права на захист біометричних персональних даних. У статті наголошується на необхідності деталізації процедури та способів звернення до Уповноваженого Верховної Ради України з питань захисту біометричних персональних даних шляхом прийняття відповідних законодавчих норм.

Ключові слова: біометричні персональні дані, Уповноважений Верховної Ради України з прав людини, захист біометричних персональних даних, процедура захисту біометричних персональних даних, способи захисту біометричних персональних даних в Україні.

Abstract

Protection of biometric personal data by the commissioner of the Verkhovna rada of Ukraine for human rights

The article is devoted to the research of biometric personal data protection by the Commissioner of the Verkhovna Rada of Ukraine for Human Rights, algorithm and procedure of biometric personal data protection, analysis of legislative consolidation of biometric personal data protection in Ukraine. The article identifies ways to protect personal data, including biometric personal data. The article states that Ukrainian legislation does not meet the requirements of the Convention in terms of compliance with the procedure for collection, processing, use and protection of biometric personal data, as well as the procedure of control and supervision over the collection, processing, use and protection of biometric personal data. The article contains a definition of the algorithm of treatment of a person whose right to protection of biometric personal data has been violated to the Verkhovna Rada of Ukraine Commissioner for Human Rights. The article defines the forms of personal data protection by the Commissioner for Human Rights of the Verkhovna Rada of Ukraine, in particular receiving, reviewing and making decisions as a result of appeals due to violation of the right to personal data protection The article provides a legislative justification for the appeal of a person whose right to protection of biometric personal data has been violated to the Commissioner for Human Rights of the Verkhovna Rada of Ukraine, referring to national and international law. The article considers the shortcomings of the exercise of the right to appeal to the Commissioner for Human Rights of the Verkhovna Rada of Ukraine in the context of protection of the right to protection of biometric personal data. The article emphasizes the need to detail the procedure and methods of applying to the Commissioner of the Verkhovna Rada of Ukraine for the protection of biometric personal data by adopting relevant legislation.

Key words: biometric personal data, Commissioner of the Verkhovna Rada of Ukraine for Human Rights, protection of biometric personal data, procedure for protection of biometric personal data, methods of protection of biometric personal data in Ukraine.

Основна частина

Постановка проблеми. В Україні на законодавчому рівні існують закріплені шляхи захисту біометричних персональних даних, а саме шляхом звернення до суду та Уповноваженого Верховної Ради України з прав людини. Наведені способи є основними шляхами особи звернутися за захистом своїх біометричних персональних даних в Україні. Особа, чиє право на захист біометричних персональних даних порушено, має вибрати один із вищезазначених шляхів та захистити свої біометричні персональні дані, однак постає питання про те, чи є законодавчо визначені механізми, шляхи, способи захисту особою свого права на захист біометричних персональних даних дієвими. Вочевидь, що ні, отже, відповідна тема є актуальною та потребує детального дослідження.

Стан наукового дослідження. Питанню захисту біометричних персональних даних своїх наукові роботи присвятили такі вчені, як І. Арістова, А. Баранов, О. Іоффе, О. Заярний, І. Кушнір, Л. Красицька, О. Підопригора, А. Мельник, М. Різак, Р Стефанчук, О. Татаров.

Виклад основного матеріалу. Питання захисту біометричних персональних даних Уповноваженим Верховної Ради України з прав людини є одним з основних способів захисту особою своїх біометричних персональних даних. Сьогодні процедура, засоби та умови реалізації права особи щодо звернення за захистом своїх прав до Уповноваженого Верховної Ради України є надзвичайно складними та одночасно актуальними питаннями у контексті дослідження інституту біометричних персональних даних. Алгоритм звернення особи за захистом біометричних персональних даних відсутній.

Конвенція про захист осіб у зв'язку з автоматизованим обробленням персональних даних та додатковий протокол до неї (далі - Конвенція) ухвалена у 1981 році Радою Європи та ратифікована Верховною Радою України у 2010 році [1].

Конвенція врегульовує відносини у контексті обробки та захисту біометричних персональних даних у зв'язку з автоматизованим обробленням персональних даних, зокрема біометричних персональних даних, отже, є одним з основних міжнародних документів, які регулюють предмет наукової статті.

В Україні основним законом визначено, що ніхто не може зазнавати втручання в його особисте і сімейне життя, крім випадків, передбачених Конституцією України відповідно до статті 32 [2].

Основним законом врегульовано, що не допускаються збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, а також кожний громадянин має право знайомитися в органах державної влади, органах місцевого самоврядування, установах і організаціях з відомостями про себе, які не є державною або іншою захищеною законом таємницею.

Кожен має гарантію судового захисту у контексті права спростовувати недостовірну інформацію про себе і членів своєї сім'ї та права вимагати вилучення будь-якої інформації, а також право на відшкодування матеріальної і моральної шкоди, завданої збиранням, зберіганням, використанням та поширенням такої недостовірної інформації.

Відповідна норма Конституції України врегульовує основні положення захисту біометричних персональних даних, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

Закон України «Про захист персональних даних» №2297-VI в редакції від 20 березня 2020 року в Україні є профільним законодавчим актом, який врегульовує процедуру захисту персональних даних, у своєму тексті згадує про обіг, оброблення та захист персональних даних, однак не містить деталізації захисту саме біометричних персональних даних.

Досліджуючи захист біометричних персональних даних саме Уповноваженим Верховної Ради України з прав людини, маємо наве сти норму спеціалізованого нормативно-правового акта. Зокрема, відповідно до пункту сьомого частини першої статті 3 Закону України «Про Уповноваженого Верховної Ради України з прав людини» №776/97-ВР в редакції від 1 січня 2021 року, Уповноважений Верховної Ради України з прав людини здійснює парламентський контроль у контексті правової інформованості населення та захисту конфіденційної інформації про особу [3].

Відповідно до статті 23 Закону України «Про захист персональних даних», Уповноважений Верховної Ради України з прав людини має перелік повноважень у сфері захисту персональних даних, які ми маємо на меті проаналізувати. Відповідно до вищезазначеної статті, Уповноважений Верховної Ради України з прав людини отримує, розглядає та приймає рішення у результаті звернень через порушення права на захист персональних даних у межах своїх повноважень, визначених чинним законодавством України. Однак процедура самого звернення до Уповноваженого Верховної Ради України не врегульована, способи не визначені.

До його повноважень законом віднесено проведення перевірок на підставі звернень або за власною ініціативою до підприємств, установ чи організацій. Предметом перевірки є використання, оброблення чи зберігання персональних даних у порядку, визначеному чинним законодавством України. Перевірки можуть бути безвиїзними чи виїзними, адже використання Інтернету речей для біометричних персональних даних є ризиком порушення конфіденційності персональних даних [13], а в результаті перевірок Уповноважений Верховної Ради України з прав людини видає обов'язкові до виконання приписи, вимоги, які необхідно усунути. В результаті приписів персональні дані змінюються, видаляються чи знищуються, доступ обмежується, а оброблення припиняється чи зупиняється.

За вимогою Уповноважений Верховної Ради України з прав людини може отримувати документи (інформацію), необхідні для здійснення контролю чи перевірки за дотриманням забезпечення захисту персональних даних. Також Уповноважений Верховної Ради України з прав людини може запросити інформацію чи документи з обмеженим доступом, адже має відповідний допуск.

У випадках, передбачених Законом України «Про захист персональних даних», Уповноважений Верховної Ради України з прав людини затверджує нормативно-правові акти у сфері захисту персональних даних, а також надає рекомендації та роз'яснення у контексті практичного застосування профільного законодавства та взаємодіє зі структурними підрозділами або відповідальними особами, що стосуються оброблення чи захисту персональних даних.

За Уповноваженим Верховної Ради України з прав людини закріплена законом функція звертатися з пропозиціями до Верховної Ради України, Президента України, Кабінету Міністрів України, інших державних органів, місцевого самоврядування, їх посадових осіб щодо прийняття або внесення змін до нормативно-правових актів з питань захисту персональних даних.

Також Уповноважений Верховної Ради України з прав людини у результаті офіційних звернень осіб надає висновки щодо проєктів кодексів поведінки у сфері захисту персональних даних та змін до них, а також має певне адміністративне повноваження щодо складання протоколів про притягнення до адміністративної відповідальності та направлення їх до суду у випадках, передбачених чинним законодавством України.

Інформаційна функція Уповноваженого Верховної Ради України з прав людини полягає у необхідності здійснювати моніторинг нових практик, тенденцій, технологій захисту персональних даних, у результаті чого слід інформувати про актуальні питання, зміни, чинне законодавство у сфері захисту персональних даних, а також про проблеми його практичного застосування, права та обов'язки суб'єктів відносин у сфері захисту персональних даних [4].

Під час здійснення своєї щорічної доповіді Уповноважений Верховної Ради України з прав людини доповідає про стан додержання та захисту прав і свобод людини й громадянина в Україні, зокрема про стан додержання законодавства у сфері захисту персональних даних.

Науковці у сфері інформаційного права досить часто досліджують питання захисту персональних даних Уповноваженим Верховної Ради України з прав людини. Зокрема, М. Різак, досліджуючи повноваження Уповноваженого Верховної Ради України у досліджуваній нами сфері, наводить класифікацію його функцій у сфері захисту персональних даних, а саме класифікує на розпорядчі функції (зокрема видача приписів); на рекомендаційні (організація обігу, оброблення, захисту персональних даних); на контрольні (розгляд скарг/пропозицій, перевірки, запит на інформацію, протоколи про притягнення до відповідальності); на представницькі (взаємодія, міжнародне співробітництво); на погоджувальні (погодження проєктів кодексів поведінки); на нормотворчі (затвердження нормативно-правових актів у сфері безпеки обігу та оброблення персональних даних відповідно до чинного законодавства України); на інформаційні [5].

Ми погоджуємось із запропонованою М. Різаком класифікацією повноважень Уповноваженого Верховної Ради України з прав людини у сфері захисту персональних даних, однак маємо на меті запропонувати менше підстав до класифікації таких повноважень. Зокрема, пропонуємо класифікувати повноваження Уповноваженого Верховної Ради України з прав людини у сфері захисту біометричних персональних даних на поточні та індивідуальні; на обов'язкові та декларативні; на нормотворчі, розпорядчі, контрольні та організаційні. Також варто наголосити на тому, що профільний законодавчий акт не містить конкретних повноважень у контексті оброблення, обігу та захисту саме біометричних персональних даних, тому ми, враховуючи специфіку біометричних персональних даних, маємо на меті запропонувати доповнити повноваження у статті 23 Закону України «Про Уповноваженого Верховної Ради України» такими повноваженнями, як визначення можливості застосування тих чи інших біометричних технологій до людини перед тим, як вони будуть введені в законодавчий та практичний обіг; необхідність залучення експертів у контексті проведення перевірок щодо порушення законодавства України у сфері захисту біометричних персональних даних.

Нині до ідентифікації людини застосовується велика кількість технологій, зокрема, для отримання біометричних персональних даних. Однак те, ким має бути враховано ризик шкоди здоров'ю людини у результаті застосування цих технологій, хто має визначити, чи не виходить за рамки контроль, чи не порушуватиметься право людини на приватне життя, гарантоване Конституцією України, залишається запитанням, як і залишається невідомою особа, що контролює законність технології ідентифікації людини з необхідністю залучення експерта. На нашу думку, це мають бути повноваження Уповноваженого Верховної Ради України з прав людини, які слід законодавчо закріпити.

Реалізація контролю як основної функції Уповноваженого Верховної Ради України з прав людини у сфері захисту персональних даних здійснюється як за заявою/ скаргою зацікавленої особи, так і з власної волі через здійснення наглядових, розпорядчих та інших повноважень.

Окрім Закону України «Про Уповноваженого Верховної Ради України», питання захисту біометричних персональних даних регулює ще Порядок здійснення Уповноваженим контролю за додержанням законодавства про захист персональних даних №0002715-14 в редакції від 8 січня 2014 року (далі - Порядок), який закріплює форму скарги особи та її зміст [6].

Зокрема, Порядком передбачено, що викладені у скарзі обставини мають бути підкріплені реальними доказами у вигляді додатків у письмовій формі. Однак ми переконані в тому, що найефективніший спосіб повідомлення про порушення права на захист біометричних персональних даних - це звернення через мережу, що сьогодні чинним законодавством не передбачено. Порядком обмежено право особи одночасно подати заяву Уповноваженому Верховної Ради України з прав людини та заяву до суду з того самого предмету, що суперечить конституційному праву особи на судовий захист. Зокрема, Порядком визначено право Уповноваженого Верховної Ради України з прав людини зупиняти своє провадження по справі, коли останньому стає відомо про наявність відкритого судового провадження у цій самій справі [7].

Наступним документом, що врегульовує предмет дослідження, є Лист Уповноваженого Верховної Ради України з прав людини «Щодо захисту персональних даних» від 3 березня 2014 року №2/9-227067.14-1/НД-129 (далі - Лист), який закріплює механізм контролю судів за додержанням законодавства про захист персональних даних у межах повноважень та має рекомендаційний характер. Листом передбачається фактично те саме, що й Законом України «Про захист персональних даних», однак особливість Листа полягає у наявності визначення поняття «біометричні дані» як різновиду персональних даних, що мають особливий ризик для прав і свобод суб'єктів персональних даних. На нашу думку, неприпустимо, що визначення поняття біометричних даних відсутнє у законодавчих актах, і єдиним документом, де їх можна знайти, є вищезазначений Лист [8].

В. Лутковська, будучи Уповноваженим Верховної Ради України з прав людини, зазначила, що громадяни достатньо часто не переймаються можливими ризиками, пов'язаними з безпекою оброблення та обігу своїх персональних даних, загалом через відсутність інформації про наявні законодавчі стандарти та вимоги у цій сфері. Відсутність обізнаності громадян у відповідній сфері є найголовнішою проблемою, адже, будучи обізнаними, вони б рідше допускали порушення процедури обігу та оброблення персональних даних щодо себе [9].

Прослідковуючи роботу у різні періоди України, зокрема за останні десять років, інституту Уповноваженого Верховної Ради України та його звернення до суду щодо скасування чи зміни різних законодавчих норм щодо порушення прав на захист біометричних персональних даних, зокрема В. Лутковської та Л. Денісової, можемо констатувати, що їх вимоги не були задоволені [11; 12].

Висновки. Українське законодавство не відповідає вимогам Конвенції щодо передбачення положень, що регулюють збирання, оброблення, використання та захист біометричних персональних даних, відповідно, відсутня вимога контролю та нагляду за цим процесом з боку Уповноваженого.

Порядок не передбачає права особи звернутись у електронній формі до Уповноваженого Верховної Ради України з прав людини у результаті порушення її права на захист біометричних персональних даних, однак ми переконані в тому, що в результаті порушення права на захист біометричних персональних даних сама специфіка різновиду персональних даних передбачає необхідність звернутися зі скаргою в електронній формі, що спростить закріплення електронного посилання за його наявності, на сторінку з порушенням. Ми переконані, що Уповноважений Верховної Ради України з прав людини не має призупиняти своє провадження за наявності судового провадження у того самого заявника. Уповноважений має здійснювати моніторинг процесу, однак не призупиняти своє провадження, адже суд може йти роками, а специфіка біометричних персональних даних передбачає негайне виявлення та ліквідацію порушення.

Таким чином, загалом національне законодавство України відповідає основним міжнародним вимогам у контексті захисту біометричних персональних даних, однак має недоліки у врегулюванні використання, обігу та захисту біометричних даних та відсутність конкретного регулювання їх захисту, обігу та оброблення з боку Уповноваженого Верховної Ради України з прав людини.

Література

звернення право біометричний персональний

1. Конвенція про захист осіб у зв'язку з автоматизованим обробленням персональних даних: міжнародний документ від 28 січня 1981 року. Офіційний вісник України. 2011. №1 / №58. 2010. Ст 1994. С. 701. Ст 85.

2. Конституція України. Документ №254к/96-ВР в редакції від 21 лютого 2019 року. URL: https://zakon.rada.gov.ua/laws/ show/254% D0% BA/96-%D0% B2% D1% 80 (дата звернення: 11.02.2021).

3. Про Уповноваженого Верховної Ради України з прав людини: Закон України №776/97-ВР в редакції від 4 листопада 2018 року. URL: https://zakon4.rada.gov.ua/laws/show/776/97-%D0% B2% D1% 80 (дата звернення: 11.02.2021).

4. Про захист персональний даних: Закон України №2297-VI в редакції від 30 січня 2018 року. URL: https://zakon.rada.gov.ua/laws/ show/2297-17 (дата звернення: 11.02.2021).

5. Різак М. Діяльність Уповноваженого Верховної Ради України з прав людини щодо захисту персональних даних. URL: http:// www.nvppp.in.ua/vip/2016/6/tom_1/12.pdf (дата звернення: 11.02.2021).

6. Секретаріат Уповноваженого // Офіційна веб-сторінка Уповноваженого Верховної Ради України з прав людини. URL: http:// www.ombudsman.gov.ua/ua/page/secretariat (дата звернення: 11.02.2021).

7. Роз'яснення до Порядку здійснення Уповноваженим контролю за додержанням законодавства про захист персональних даних №0002715-14 в редакції від 8 січня 2014 року. URL: https://zakon.rada.gov.ua/laws/show/n0002715-14SText (дата звернення: 11.02.2021).

8. Лист Уповноваженого Верховної Ради України з прав людини «Щодо захисту персональних даних» від 3 березня 2014 року №2/9-227067.14-1/НД-129. URL: https://zakon.rada.gov.ua/laws/show/v7067715-14SText (дата звернення: 11.02.2021).

9. Бем М., Городинський І., Саттон Г та ін. Захист персональних даних. Правове регулювання та практичні аспекти: науково-практичний посібник. Київ: К.І.С., 2015. 220 с.

10. Татаров О. Чи суперечать Конституції повноваження поліції щодо збору біометричних даних? URL: https://zib.com.ua/ua/127637 - ombudsmen_zvernulasya_do_ks_schodo_zboru_zrazkiv_dnk_policie.html (дата звернення: 11.02.2021).

11. Омбудсмен закликає Януковича ветувати закон про біометричні паспорти. Радіо Свобода. URL: https://www.radiosvoboda.org/ a/24740263.html (дата звернення: 11.02.2021).

12. КСУ взявся за подання Денісової щодо накопиченої в поліції біометрики. Укрінформ. URL: https://www.ukrinform.ua/rubric - society/2536965-ksu-vzavsa-za-podanna-denisovoi-sodo-nakopicenoi-v-policii-biometriki.html (дата звернення: 11.02.2021).

13. Заярний О. Деякі проблеми правового забезпечення правомірної обробки біометричних персональних даних у процесі використання Інтернету речей. Інтернет речей: проблеми правового регулювання та впровадження: матеріали другої науково-практичної конференції. Київ, 2018. С. 93-96.

Размещено на Allbest.ru