Міжнародно-правові стандарти захисту інформації про особу

Размещено на http://www.allbest.ru

Міжнародно-правові стандарти захисту інформації про особу

Врублевська-Місюна К.М.,

кандидат юридичних наук, доцент кафедри правового забезпечення господарської діяльності ХНУМГ

ім. О.М. Бекетова

Тичина В.П.,

кандидат юридичних наук, доцент кафедри права та правоохоронної діяльності Державного університету

«Житомирська політехніка»

У статті проаналізовано чинне законодавство щодо захисту персональних даних про особу на міжнародному рівні, в межах чого проведено з'ясування сутності таких понять як «інформація про особу», «персональні дані», «особа», «особистість». Здійснено аналіз та узагальнення чинних норм міжнародних стандартів, визначено основні елементи і особливості міжнародно-правового захисту права людини на приватність персональної інформації, що дозволяє визначити коло питань, які потребують усунення суперечностей, задля підвищення ефективності їх застосування. Актуальність питання щодо дієвого законодавчого забезпечення обробки, зберігання, передачі інформації про особу пов'язана з швидким технологічним прогресом та викликами, які постають у зв'язку з перебуванням осіб у цифровому середовищі. Окрім того, поява такого явища як кібер- тероризм, наголошує на необхідності регламентації чітких механізмів протидії подібним явища, визначенням нових стандартів задля забезпечення безпеки обігу інформації про особу. Проаналізувавши чинне міжнародне законодавство у сфері персональних даних зроблено висновок, що міжнародні документи у сфері захисту інформацію про особу мають споріднену мету, однак разом з тим, не мають єдиного визначення основних понять, таких як особа, інформація, інформація про особу, ідентифікована особа, обробка персональних даних тощо, що ускладнює їх ефективне розуміння та застосування всіма учасниками цих відносин. Зазначається, що прийняття Регламенту 2016/67 стало проривом у спрощені правового регулювання. Адже рамкова Директива 95/46/ ЄС, що діяла до його прийняття трактувалась кожною країною по своєму, що спричиняло велику кількість непорозумінь та створювало перешкоди для забезпечення права особи на приватність. Саме тому, питання уніфікації правової регламентації у цій сфері завжди є актуальним та вимагає безперервного удосконалення та своєчасного реагування на зміни у інформаційно-технологічному просторі.

Ключові слова: персональні дані, інформація про особу, міжнародні стандарти, правове регулювання. захист інформація особа

Vrublevska-Misiuna К., Tychyna V. International legal protection standards personal information.

The article examines the specificities of personal data protection at the international level, clarifying the meaning of concepts such as “personal information”, “personal data”, “person” and “identity”. The analysis and synthesis of existing norms of international standards have been carried out, allowing to identify the range of issues requiring elimination of contradictions at the legislative level, in order to increase the efficiency of their application, given the rapid processes of globalisation, development of high technologies and as a consequence - appearance of a new international terrorism form - cyber terrorism, the society requires new approaches and definition of new standards for modem personal data system, resolution of contradictions arising in modern law, legal control over the development of electronic environment and computer systems. To address these issues, the dynamics and specifics of legal regulation in this area have been studied.

A significant number of monographs and periodicals are devoted to the issue personal data protection. Among them, we can highlight the scientific achieve-ments of M. Bem. K. Bennett, V Bryzhko, S. Vorren, T. Kostetska, T. Obukhovska, A. Paziuk, K. Polinkevych, I. Sopilko, M. Shvets. Given a large number of statutory regulations and their differences in defining conceptual and categorical apparatus, mechanisms of application of personal information protection standards, a large range of issues in this area of relations are unresolved today, in connection with which their consideration and systematization are relevant.

Definition of the content and scope of essential features of the “personality”, “natural person” and “personal data” terms. The statutory regulations of the European legal system regulating issues related to the protection of personal data are investigated and the most important provisions are highlighted. New European standards in accordance with Regulation 2016/679 are identified.

It should be noted that international documents in the field of personal data protection have a similar purpose, but at the same time, they do not have a single definition of basic concepts, such as natural person, information, information about a natural person, identified natural person, personal data processing, etc. that complicates their effective understanding and application by all participants of these relations.

It is worth noting that the adoption of Regulation 2016/67 was a breakthrough in the simplification of the legal regulation. After all, the framework Directive 95/46/EC, which was in force before its adoption, was interpreted differently by each country, which caused many misunderstandings and created obstacles to ensure the human right to privacy. That is why the issue of unification of legal regulation in this area is always relevant and requires continuous improvement and timely response to changes in the information technology space.

Key words: personal data, personal information, international standards, legal regulation.

Постановка проблеми. На сьогодні питання про захист інформації про особу стає надзвичайно актуальним у всьому світі та становить не лише науковий інтерес, а й практичний. Зважаючи на стрімкий розвиток технологій, збільшення обсягів використання персоніфікованої інформації, її передача різноманітними інформаційно-комунікаційними засобами потребує належної правової регламентації. Адже недосконалість законодавства у вказаній сфері, наявність прогалин та розбіжностей у правовому врегулюванні цих відносин призводить до збільшення атак на сервери державних органів, на персональну інформацію про фізичних осіб, розкрадання та поширення корпоративної інформації тощо.

Формування системи охорони персональних даних бере свій початок із середини XX ст. Так, Загальна декларація про права людини 1948 р. у ст. 12 закріпила захист персональної інформації як невід'ємного права людини на захист особистого життя, у свою чергу, Європейська конвенція про захист прав людини і основоположних свобод 1953 р. у ст. 8 зазначила, що кожен має право на повагу до свого приватного і сімейного життя, до свого житла і кореспонденції. Наразі, беручи до уваги стрімкі процеси глобалізації, розвиток високих технологій, та як наслідок появи нової форми міжнародного тероризму - кібертероризму, суспільство потребує формування нових підходів та визначення нових стандартів сучасної системи персональних даних.

Вирішення стратегічних завдань, пов'язаних із удосконаленням інформації про особу полягає у розвитку нових програм, створенні вітчизняних систем захисту, розв'язання протиріч, що виникають у сучасному законодавстві. Також важливого значення нині набуває законодавчий контроль за розвитком електронного середовища. Цей аспект є дуже важливим, оскільки майбутній розвиток суспільства в усіх галузях буде пов'язаний із розвитком комп'ютерних систем і мереж [1; с. 71].

Стан дослідження. Вказаним питанням у тій чи іншій мірі приділяли увагу М. Бем. К. Беннетт, В. Брижко, С. Воррен, Т. Костецька, Т. Обуховська, А. Пазюк, К. Полінкевич, І. Сопілко, М. Швець та ін. Разом із цим, зважаючи на велику кількість нормативно-правових актів та їх розбіжностей у визначенні понятійно-категоріального апарату, механізмів застосування стандартів захисту інформації про особу велике коло питань у вказаній сфері відносин на сьогодні є не вирішеними, у зв'язку із чим актуальним є їх розгляд та систематизація.

Мета статті. Метою є з'ясування сутності таких понять, як «інформація про особу», «персональні дані», «особа», «особистість» та аналіз чинних міжнародних норм у сфері захисту персональних даних про особу, виявлення сутності, динаміки та специфіки правового регулювання у вказаній сфері.

Виклад основного матеріалу. У формуванні правового захисту персональних даних відправним є визначення змісту та обсягу істотних ознак термінів «персона», «особа» та «персональні дані».

Термін «персона» з'явився у давньогрецькій мові, однак його зміст не мав соціального та юридичного значення аналогічного сучасним поняттям «особа» та «особистість». У видатного поета давнини Гомера (VIII ст. до н. е.) зустрічається слово prosopon, що означало ритуальну маску чи маску актора в театрі. Лише в пізній античності, під впливом латини, це слово стало позначати соціальний статус людини (те, чим вона є для інших). З'явилося слово persona, що також спочатку позначало театральну маску, потім - персонаж п'єси, саме театральну особу і, нарешті, взагалі будь-яку особу. У Цицерона (106-43 рр. до н. е.) поняття persona містить у собі вже і юридичний сенс (на противагу речі), і соціальну функцію, і колективну гідність, і особистість у психологічному змісті (тобто конкретного індивіда), і філософське поняття індивідуальної людської природи [2; с. 6].

Зарубіжна юридична теорія та практика виробила достатньо узагальнене юридичне визначення поняття персональних даних. Згідно зі ст. 2 Конвенції № 108 Ради Європи «Про захист осіб у зв'язку з автоматизованою обробкою персональних даних»: «персональні дані означають будь-яку інформацію, яка стосується конкретно визначеної особи або особи, яка може бути конкретно визначеною». Згідно зі ст. 4 Регламенту 2016/679: «персональні дані» означають будь-яку інформацію, що стосується фізичної особи, яку ідентифіковано чи можна ідентифікувати («суб'єкт даних»).

Зауважимо, що вперше своє нормативне закріплення норми з правового регулювання захисту персональних даних знайшли своє відображення в положеннях міжнародних договорів зі захисту прав людини, як складова права на приватність. Так, у ст. 17 Міжнародного пакту про громадянські та політичні права 1966 р. закріплено: «Ніхто не повинен зазнавати свавільного чи незаконного втручання в його особисте і сімейне життя, свавільних чи незаконних посягань на недоторканність його житла або таємницю його кореспонденції чи незаконних посягань на його честь і репутацію. Кожна людина має право на захист закону від такого втручання чи таких посягань». Аналогічне за змістом положення включене і до ст. 16 Конвенції про права дитини 1989 р. У подальшому в рамках Організації з економічного співробітництва та розвитку (далі - ОЕСР) було розроблено «Базові принципи захисту недоторканності приватного життя і транскордонних потоків персональних даних» (англ. OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data), схвалені Рекомендацією Ради ОЕСР від 23 вересня 1980 р., нова редакція яких була ухвалена у 2013 р. У свою чергу, Генеральна Асамблея ООН резолюцією № 95 (XLV) прийняла «Керівні принципи регулювання комп'ютерних файлів, які містять персональні дані» (англ. Guidelines for the Regulation of Computerized Personal Data Files). Крім універсальних міжнародних договорів, відповідні норми містилися і в регіональних міжнародних договорах щодо захисту прав людини. Так, положення щодо захисту права на приватність містяться в ст. 11 Американської конвенції з прав людини 1969 р., ст. 7 Хартії основних прав Європейського Союзу тощо [3; с. 6].

Серед нормативно-правових актів європейської системи законодавств, що регулюють питання пов'язані із захистом персональних даних необхідно виокремити наступні: Конвенція Ради Європи «Про захист осіб у зв'язку з автоматизованою обробкою персональних даних» від 28.01.1981 р. (далі - Конвенція № 108); Додатковий протокол до Конвенції про захист осіб у зв'язку з автоматизованою обробкою персональних даних щодо органів нагляду та транскордонних потоків даних від 08.11.2001 р.; Директива 97/66/ЄС «Про обробку персональних даних і захист прав осіб у телекомунікаційному просторі» від 15.12.1997 р. та ін. Розглянемо найважливіші положення вказаних документів.

Конвенція Ради Європи «Про захист осіб у зв'язку з автоматизованою обробкою персональних даних» містить основні принципи захисту від неправомірного збирання, обробки, зберігання та поширення персональних даних, базові норми щодо транскордонної передачі даних. Прийнята 28.01.1981 р. Конвенція стала відправною точкою закріплення регулювання захисту персональних даних та виокремлення у самостійний вид діяльності.

Конвенція № 108 Ради Європи передбачає дуже важливий момент, згідно з яким збирання, накопичення, зберігання і поширення персональних даних може здійснюватися лише з дозволу особи, дані про яку обробляються. Цій особі надано право знати місце роботи та проживання розпорядника бази персональних даних (відповідно за обробку даних), а також право отримувати відповідні дані без затримки та у зрозумілій формі. У випадку відмови зацікавлена особа може звернутися до суб'єкту нагляду за дотриманням законодавства у державі, який повинен забезпечити припинення порушень положень, що зазначені у національному законодавстві [4; с. 53-54].

Крім того, на думку Сопілко І.М., позитивним моментом даного акту є його спрямованість на об'єднання країн світу для визначення основних вимог до передачі індивідуальної інформації про людину у всесвітньому електронному просторі, тобто створення ряду процедур і правил, які стають обов'язковими при обробці персональних даних та відповідно забезпечує захист від їх порушень [1; с. 72].

У подальшому, а саме 8 листопада 2001 р., було прийнято Додатковий протокол до цього міжнародного договору, який деталізував положення Конвенції № 108 в частині, що стосується транскордонної передачі даних, та містив нові положення щодо необхідності створення її договірними сторонами наглядового органу, який би здійснював контроль за додержанням законодавства про захист персональних даних [5; с. 16].

Доволі тривалий час локомотивом розвитку законодавства у сфері захисту персональних даних була Директива 95/46/ЄС Європейського Парламенту та Ради ЄС «Про захист фізичних осіб при обробці персональних даних і про вільне переміщення таких даних» (далі - Директива 95/46/ЄС), яка була прийнята від 24.10.1995 р. та встановлювала детальні вимоги щодо організації системи захисту персональних даних. Однак, майже одразу після 2000 р., Директива 95/46/ЄС вже не могла справлятися з новими викликами, які з'явились разом з новою технологічною індустрією, яка динамічно розвивалась. Персональні дані суб'єктів персональних даних використовувались не тільки для потреб бізнесу. Все більше і більше процесів з обробки даних та невизначеностей виникало у сфері соціальних медіа, що і спричинило неминуче створення нового підходу до захисту персональних даних.

Зважаючи на те, що всі держави-члени ЄС та Європейської Економічної Зони імплементували Директиву 95/46/ЄС в своє національне законодавство, але зі значною різницею у предметі регулювання це призвело до багатьох труднощів, як для зростаючої кількості міжнародних бізнесів, так і для регуляторів, які мали здійснювати захист на єдиному європейському рівні.

07.12.2000 р. Хартія Європейського Союзу про основні права (далі - «Хартія ЄС») вступила в силу. У ст. 8 вона передбачає захист персональних даних як права людини. Принципи Хартії ЄС про персональні дані також були втілені в Лісабонській угоді від 13.12.2009 р. 04.11.2010 р. Європейська Комісія опублікувала стратегію посилення процесу захисту даних на європейському рівні. У січні 2012 р. Європейська комісія підтвердила комплексний план реформ, у тому числі необхідність заміни Директиви на Регламент ЄС, який буде встановлювати єдині вимоги у всьому ЄС [6; 6]. Таким чином, Регламент Європейського Парламенту і Ради (ЄС) 2016/679 від 27.04.2016 р. про захист фізичних осіб у зв'язку з опрацюванням персональних даних і про вільний рух таких даних, відомий як General Data Protection Regulation (GDPR) (далі - «Регламент 2016/679»), що прийшов на заміну рамкової Директиви про захист персональних даних 95/46/ЄС від 1995 р. став одним з найбільш жорстких та довгоочікуваних нормативно-правових актів у сфері захисту приватності особи за останні 20 років.

Прийняття вказаного документу викликало неабиякий інтерес та обговорення у суспільстві, адже він встановлює більш сувору відповідальність за порушення у сфері дотримання законності обробки персональних даних та орієнтує на необхідність запровадження якомога більшого обсягу персональних даних, що підлягають захисту.

Регламент 2016/679 визначає «персональні дані як будь-яку інформацію, що стосується фізичної особи, яку ідентифіковано чи можна ідентифікувати («суб'єкт даних»); фізична особа, яку можна ідентифікувати, є такою особою, яку можна ідентифікувати, прямо чи опосередковано, зокрема, за такими ідентифікаторами як ім'я, ідентифікаційний номер, дані про місцеперебування, онлайн-іден- тифікатор або за одним чи декількома факторами, що є визначальними для фізичної, фізіологічної, генетичної, розумової, економічної, культурної чи соціальної сутності такої фізичної особи.

Окрім того, Регламент 2016/679 встановлює нові європейські стандарти, серед яких можна виокремити наступні:

щодо територіальної сфери застосування. На відміну від положень Директиви 95\46\ЄС [7], положення якої застосовувались тільки суб'єктів, що перебувають в інших країнах, Правила GDPR [8] відповідно до ст. 3 застосовують також до суб'єктів, що знаходяться в інших країнах світу. Разом з тим, кожен хто перебуває на території Європейського Союзу автоматично отримує право на захист своїх даних по GDPR;

щодо отримання згоди. п. 2 ст. 7 визначає, що якщо суб'єкт даних надає згоду в контексті письмової декларації, що також стосується інших питань, запит на надання згоди необхідно подавати у формі, що чітко відрізняється від інших питань, у зрозумілій та доступній формі, з використанням чітких і простих формулювань. Будь-яка частина такої декларації, що становить порушення цього Регламенту, не є зобов'язальною. Тобто, відтепер запит на отримання згоди на передавання персональних даних має бути чіткий за змістом та доступним для розуміння кожного;

щодо прав суб'єктів даних. У цьому аспекті GDPR значно розширив права тих осіб, чиї дані обробляються, що детально визначено у ст. 13-22. Відповідно до вказаних положень за суб'єктом закріплено право отримувати інформацію щодо особи та контактних даних контролера; цілі опрацювання, для досягнення яких призначено персональні дані; інформацію щодо періоду зберігання персональних даних; право на запит від контролера щодо доступу до персональних даних та її виправлення, стирання, обмеження опрацювання щодо суб'єкта даних тощо. Таким чином, можна зробити висновок, що основою концепції згоди на обробку даних є те, що вона має бути вільною та існування реальної можливості її вільного відкликання;

п. 85 Преамбули встановлює, що як тільки контролеру стає відомо про порушення захисту персональних даних, він повинен повідомити наглядовий орган про порушення захисту персональних даних без неналежної затримки та, за можливості, не пізніше ніж за 72 годин після того, як йому стало про це відомо, за винятком якщо контролер може довести, згідно з принципом підзвітності, що порушення захисту персональних даних малоймовірно створить ризик для прав і свобод фізичних осіб;

щодо відповідальності. Відповідно до статті 83 Регламенту за порушення положень Регламенту сума штрафу може становити до 4% річного обороту або до 20000000 євро. Окрім зазначених вище пунктів, новели стосуються питань пов'язаних з питаннями політики конфіденційності, оцінкою ризиків, встановлення відповідальних осіб.

Перші скарги за порушення GDPR надійшли вже в перший же день після набрання чинності нормами Регламенту. Судова практика яскраво демонструє актуальність питань щодо порушення права особи на конфіденційність та необхідність чіткого правового регулювання. Відповідно до GDPR, контролери та процесори несуть відповідальність не лише за витік даних, але і за будь-яку невідповідність стандартам GDPR. Два з п'яти найбільших штрафів в історії GDPR було накладено за невідповідність положенням GDPR. 1) у «Справі Google LLC» французький DPA (CNIL) за скаргами приватних позивачів (суб'єктів даних) наклав штраф у розмірі 50 млн євро за невиконання зобов'язання щодо прозорості та поінформованості і нездатність отримати дійсну правову основу для обробки даних. Штраф у «Справі Google LLC» є найбільшим штрафом GDPR із досі накладених; та 2) у «Справі Deutsche Wohnen SE» німецький DPA наклав штраф у розмірі 14,5 млн євро за неможливість встановити систему зберігання даних, яка б могла стерти дані, які вже не потрібні для цілей обробки. Такий значний штраф був зменшений (DPA міг накласти до 28 млн євро), тому що порушник намагався виправити порушення і DPA не зміг довести, що порушення призвело до витоку чи іншого несанкціонованого розголошення. «Справа Deutsche Wohnen SE» залишається четвертим за величиною штрафом в історії GDPR [6; с. 11].

Висновки

Стрімкий технічний розвиток і інтеграція різних технологій накладає на державу особливу відповідальність. Не можна виходити тільки з економічних вигод. Проникнення інформаційно-комп'ютерних технологій та телекомунікаційних мереж до всіх сфер діяльності суспільства породжує небезпеку несанкціонованого і безконтрольного використання персональних даних, наслідки якого можуть завдати шкоди людині чи державі в цілому. Є сенс виходити з основних морально-етичних, духовних і культурних цінностей, які держава зобов'язана захищати і пріоритетному розвитку яких усіляко сприяти, на противагу вузькому техніко-економічному спрямуванню. Повинні з'явитися нові ідеї, нові інструменти правової регламентації захисту людини [1; с. 19-20].

Історичний аналіз щодо прийняття міжнародних документів у сфері захисту інформації про особу демонструє неабияку актуальність та потребу у розробці ефективного правового механізму. Правове регулювання захисту персональних даних, що бере свій початок з другої половини XX століття активно розвивалось паралельно зі стрімким технологічним прогресом, що має безпосередній вплив на питання, пов'язані з регулювання вказаних відносин, це пояснює невідповідність правового механізму вказаних відносин реаліям сьогодення.

Необхідно зазначити, що міжнародні документи у сфері захисту інформацію про особу мають споріднену мету, однак разом з тим, не мають єдиного визначення основних понять, таких як особа, інформація, інформація про особу, ідентифікована особа, обробка персональних даних тощо, що ускладнює їх ефективне розуміння та застосування всіма учасниками цих відносин. При цьому варто зазначити, що прийняття Регламенту 2016/67 стало проривом у спрощені правового регулювання. Адже рамкова Директива 95/46/ЄС, що діяла до його прийняття трактувалась кожною країною по своєму, що спричиняло велику кількість непорозумінь та створювало перешкоди для забезпечення права особи на приватність. Саме тому, питання уніфікації правової регламентації у цій сфері завжди є актуальним та вимагає безперервного удосконалення та своєчасного реагування на зміни у інформаційно-технологічному просторі.

Загалом, захист персональних даних - це вміння балансувати між інформаційною відкритістю та закритістю, між двома прагненнями: максимально розширити доступ громадян до невтаємниченої публічної інформації (державної, наукової, освітньої, персональної тощо) і водночас максимально захистити інформацію приватного змісту. Вирішення стратегічних завдань, пов'язаних із удосконаленням інформації про особу полягає у розвитку нових програм, створенні вітчизняних систем захисту, розв'язання протиріч, що виникають у сучасному законодавстві. Також важливого значення нині набуває законодавчий контроль за розвитком електронного середовища, комп'ютерних систем. Цей аспект є дуже важливим, оскільки майбутній розвиток суспільства в усіх галузях буде пов'язаний із розвитком комп'ютерних систем і мереж та відповідно існує потреба захисту персональних даних при їх обробці та використанні [1; с. 74].

Список використаних джерел

Сопілко І.М. Міжнародно-правовий досвід захисту персональних даних: напрямки вдосконалення для УкраїниЮридичний вісник. 2014. №4 (33). С. 70-75. URL: http://www.law.nau.edu. ua/images/Nauka/Naukovij_jumal/2014/statji_n4-33_2014/16.PDF.

Брижко В.М., Радянська А.І., Швець М.Я. Порівняльно-правове дослідження відповідності законодавства України законодавству ЄС у сфері персональних даних. Київ: Тріумф, 2006. 256 с.

Бем М.В., Городиський І.М. Стандарти захисту персональних даних в соціальній сфері. Львів: б.в., 2018. 110 с.

Обуховська Т.І. Державні механізми забезпечення захисту персональних даних в Україні: дис. на здобуття ступеня кандидати наук з державного управління: спец. 25.00.02 «Механізми державного управління». Київ, 2016. 229 с.

Бем М.В., Городиський І.М., Саттон Г., Родіоненко О.М. Захист персональних даних: Правове регулювання та практичні аспекти: науково-практичний посібник. Київ: К.І.С., 2015. 220 с. URL: ttps://rm.coe.int/168059920c.

Аналіз законодавства про захист персональних даних України. підготовлений АО «Саєнко Ха- ренко». 14 вересня 2020. URL: https://ecpl.com.ua/wp-content/uploads/2020/09/UKR_09142020_ CEP_Finalnyy-zvit.pdf.

Директива 95/46/ЄС Європейського Парламенту і Ради «Про захист фізичних осіб при обробці персональних даних і про вільне переміщення таких даних» від 24.10.1995 р. URL: https:// zakon.rada.gov.ua/laws/show/994_242#Text.

Регламент 2016/679 Європейського Парламенту і Ради «Про захист фізичних осіб у зв'язку з опрацюванням персональних даних і про вільний рух таких даних» від 27.04.2016 р. URL: https://zakon.rada.gov.ua/laws/show/984_008-16tfText.

Размещено на Allbest.ru