Особливості реалізації права фізичної особи на знищення інформації стосовно себе (право на забуття)

Размещено на http://www.allbest.ru/

Особливості реалізації права фізичної особи на знищення інформації стосовно себе (право на забуття)

С.П. Телешев, адвокат, аспірант

Одеський національний університет імені І.І. Мечникова Кафедра цивільно-правових дисциплін

У статті визначено зміст поняття права фізичної особи на знищення інформації стосовно себе (право на забуття) як одного із найважливіших елементів права фізичної особи на інформацію стосовно себе, яке полягає у можливості фізичної особи вимагати видалення або знищення персональної інформації. Автором визначено, що право фізичної особи на знищення інформації стосовно себе дає фізичній особі можливість контролювати наявність та поширення інформації стосовно себе, що може запобігти нескінченному розповсюдженню персональної інформації фізичної особи та потенційному завданню шкоди їй або її конфіденційності в майбутньому. Автором визначено, що вагомий внесок в регулюванні права на забуття в комплексі законодавства щодо захисту персональних даних здійснено ЄС, адже Регламентом ЄС 2016/679 сформовані умови набуття такого права, підстави безумовного виконання запиту на видалення інформації про себе та випадки, у яких це право може бути обмеженим. Тим не менш, останнім не враховано увесь обсяг персональної інформації, що достатньо ускладнює механізм реалізації цього права.

В процесі проведеного аналізу визначено також відсутність у США єдиного федерального законодавчого регулювання права на видалення або забуття і судова практика загалом не задовольняє позови щодо видалення інформації про себе, посилаючись на норми Першої поправки Конституції. У Канаді цивільні норми законодавства зосереджені на окремих випадках реалізації права вимагати видалення або виправлення певної інформації першоджерелом, проте у правовому полі Канади не визначено право бути забутим. Поняття цивільного права бути забутим у розумінні правової системи в Україні теж не визначено.

Підсумовуючи автор зазначає, що судова практика Європейського Суду з прав людини наразі сфокусована на встановленні критеріїв та меж балансування між статтею 8 Європейської конвенції з прав людини (ЄКПЛ) та правом контролера даних на свободу вираження поглядів згідно зі статтею 10 ЄКПЛ в частині забезпечення права фізичної особи на забуття. І в Україні наразі теж постає гостре питання необхідності регулювання права фізичної особи на інформацію стосовно себе, особливо в частині її права на видалення такої інформації та регулювання механізму реалізації права фізичної особи на знищення інформації про себе.

Ключові слова: право на забуття, право на видалення інформації про себе, право фізичної особи на інформацію стосовно себе, право фізичної особи на знищення інформації стосовно себе, право на приватність, контролер, персональна інформація, персональні дані.

Summary

S.Р. Teleshev, Attorney at Law, Ph.D. (Postgraduate) Student

Odesa I.I. Mechnikov National University the Department of Civil Law Disciplines

FEATURES OF IMPLEMENTATION OF THE RIGHT OF AN INDIVIDUAL TO DESTROY INFORMATION REGARDING HIMSELF (RIGHT TO BE FORGOTTEN)

The article defines the content of the concept of an individual's right to destroy information regarding himself (the right to be forgotten) as one of the most important elements of the right of an individual to information regarding himself, which consists in the ability of an individual to demand deletion or erasure of personal information. The author determines that an individual's right to destroy of information regarding himself enables an individual to control the availability and dissemination of information regarding himself, which may prevent the endless dissemination of personal information about an individual and potential damage to him or his confidentiality in the future. The author determines that the EU has made a significant contribution to the regulation of the right to be forgotten in the complex of personal data protection legislation, since EU Regulation 2016/679 sets out the conditions for acquiring such a right, the grounds for unconditional fulfilment of a request for deletion of information regarding oneself and the cases in which this right may be limited. However, the latter does not consider the entire scope of personal information, which complicates the mechanism for exercising this right.

The analysis also revealed that the United States does not have a unified federal legislative regulation of the right to erase or destroy, and that court practice generally does not satisfy claims for the erasure of information regarding oneself, referring to the provisions of the First Amendment to the Constitution. In Canada, civil law is focused on certain cases of exercising the right to demand the removal or correction of certain information by the original source, but the Canadian legal framework does not define the right to be forgotten. The concept of the civil right to be forgotten in the understanding of the legal system in Ukraine is also not defined.

Summing up, the author notes that the case law of the European Court of Human Rights is currently focused on establishing the criteria and limits of balancing between Article 8 of the European Convention on Human Rights (ECHR) and the data controller's right to freedom of expression under Article 10 of the ECHR in terms of ensuring the right of an individual to be forgotten. In Ukraine also there is an urgent need to regulate the right of an individual to information regarding himself, especially in terms of his right to erase such information and to regulate the mechanism for exercising the right of an individual to destroy information regarding himself.

Keywords: the right to be forgotten, the right to erase information regarding himself, the right of an individual to information regarding himself, the right of an individual to destroy information regarding himself, privacy right, controller, personal information, personal data.

Постановка проблеми

право особа на знищення інформації

Розвиток сучасного цифрового суспільства потребує оновлення і трансформації системи особистих немайнових прав фізичної особи, у тому числі права фізичної особи на інформацію стосовно себе. Наразі Інтернет-мережа сприймається як інструмент, який, з однієї сторони, має широке охоплення та є рушійною силою сучасного процесу політичної та економічної демократизації; а з іншої сторони, із поширенням Інтернету та соціальних медіа посилюється проблематика порушення права людини на конфіденційність. При цьому, якщо правові механізми реалізації й захисту особистих немайнових прав фізичної особи в реальному житті можна вважати достатньо розробленими, то аналогічні правові інструменти для онлайн-відносин перебувають на стадії формування, активного обговорення й поточних дискусій.

У науковій спільноті сьогодні активно тривають пошуки відповідних методів підвищення почуття безпеки фізичних осіб у віртуальному світі шляхом врахування аспектів онлайн-середовища у нормах чинного законодавства. Значна кількість наукових досліджень як суто теоретичного, так і практичного характеру останнім часом присвячується питанням захисту персональної інформації фізичної особи, яка внаслідок Інтернет-активізації суспільства стала максимально доступною. У світлі набрання чинності GDPR (General Data Protection Regulation, Загальний регламент про захист даних - Регламент ЄС 2016/679) активно розглядається необхідність захисту також і «нових» немайнових прав фізичної особи, зокрема права фізичної особи на знищення інформації стосовно себе (право на забуття). Одним із перспективних у цьому напряму законодавчих рішень, прийнятих Європейським Союзом за останні роки щодо захисту персональних даних, є право бути забутим, яке дозволяє людині контролювати свої дані, розміщені онлайн.

Аналіз останніх досліджень і публікацій

Дослідженням проблем реалізації права на забуття займалися О. Калітенко, Н. Куніцин, Дж. Лейрд, Д. А. Рєпін, А. С. Славко, Х. Соломон, В. О. Токарева, де Хеєр С. та інші. Загалом дослідження зосереджуються на проблематиці визначення права на забуття, аналізі існуючої судової практики, порівняльного аналізу різних країн щодо визначення концепту «права на забуття» та його імплементації у судових рішеннях при розгляді практичних ситуацій, а також на питаннях необхідності забезпечення балансування приватних та суспільних інтересів щодо права на приватність та права на свободу самовираження.

Метою статті є дослідження сучасного стану правового регулювання та цивільно-правового захисту права фізичної особи на знищення інформації стосовно себе (право на забуття) як елементу права фізичної особи на інформацію стосовно себе.

Виклад основного матеріалу

Глобальна комп'ютеризація суспільства та масове поширення Інтернету призвели до значних змін, серед яких викликають занепокоєння можливості втручання в приватне життя людини, що може, у свою чергу, призвести до порушення основних прав людини. При цьому А.С. Славко зазначає, що сучасний каталог прав людини, встановлений регіональними та універсальними актами, формувався протягом кількох століть. Нині, незважаючи на зусилля ООН, Ради Європи, Європейського Союзу та деяких інших організацій, практика правоохоронної діяльності певною мірою «відстає» від викликів, які постають перед комп'ютеризацією прав людини [7]. Визнаним суб'єктивним правом особи є право людини на недоторканність приватного життя, яке, відповідно до загального підходу Європейського Суду з прав людини, складається з чотирьох елементів: права на таємницю приватного життя, сімейного життя, недоторканності житла та листування. І захист персональної інформації визнано маючим фундаментальне значення для здійснення особою свого права на повагу до приватного та сімейного життя [18].

Одним із найважливіших елементів права особи на інформацію стосовно себе є її право на знищення такої інформації або право бути забутим (право на забуття), суть якого полягає у можливості фізичної особи вимагати видалення або знищення інформації стосовно себе. З широким проникненням у повсякденне життя людства можливостей Інтернету, який містить багато інформації, яку важко систематизувати, відфільтрувати, а тим більше видалити, реалізація права на забуття набуває особливого значення. З огляду на те, що функціонування Інтернету не перетинає національні кордони, заходи, вжиті на національному рівні, не завжди ефективні. Тому погоджуємося із зауваженням А. С. Славко щодо необхідності узгоджувати гарантії дотримання цього права на регіональному та універсальному рівнях [18].

Право бути забутим (право на забуття) або право на знищення інформації стосовно себе надає фізичній особі інструмент контролю над власними даними з метою їх захисту. Це може запобігти нескінченному розповсюдженню персональної інформації фізичної особи та потенційному завданню шкоди їй або її конфіденційності в майбутньому.

Значний внесок у регулюванні права на забуття здійснено ЄС. Так, у 2010 році Єврокомісія почала роботу над розробкою Регламенту ЄС 2016/679 про захист персональних даних, а у 2012 році в опублікованому проєкті містилася ст. 17, у якій детально описано право суб'єктів даних бути забутими та право вимагати видалення інформації та даних стосовно себе. Надалі стаття була вдосконалена та доповнена Європейською Радою та Європейським Парламентом [9]. Даним Регламентом визначено обмеження на застосування права на забуття. Так, право на забуття не застосовується у наступних випадках (ч. 3 ст.17 Регламенту ЄС 2016/679):

1) коли обробка персональних даних необхідна для реалізації права на свободу вираження поглядів та інформації;

2) дотримання юридичних вимог законодавства Європейського Союзу та держав-членів та виконання завдань, що виконуються в суспільних інтересах або в рамках виконання офіційних повноважень, покладених на адміністратора;

3) коли інформація використовується в суспільних інтересах у сфері охорони здоров'я;

4) коли інформація архівується в суспільних інтересах, наукових та історичних досліджень, для статистичних та інших подібних цілей;

5) коли інформація використовується для цілей судового розгляду, у разі оскарження правових вимог і позовів [6].

У той же час, фізична особа має право на знищення інформації стосовно себе, яке повинен здійснити контролер без будь-якої безпідставної затримки, також контролер повинен бути зобов'язаним стерти персональні дані без будь-якої необгрунтованої затримки у разі виникнення однієї із наведених нижче підстав:

1) відсутності потреби зберігання такої інформації;

2) відкликано згоду на опрацювання;

3) фізична особа заперечує проти опрацювання даних стосовно себе, застосовуючи обґрунтоване право на заперечення та використовуючи правові підстави;

4) незаконний характер опрацювання даних;

5) персональні дані потребують знищення для дотримання встановленого законом зобов'язання;

6) персональні дані збиралися в зв'язку з пропонуванням послуг інформаційного суспільства [6].

У разі потреби знищення вже оприлюднених даних, контролер зобов'язаний інформувати контролерів, які опрацьовують такі оприлюднені персональні дані, про те, що суб'єкт даних направив запит на стирання такими контролерами будь-яких посилань на такі персональні дані, їхні копії чи відтворення [6].

За слушним твердженням О.М. Калітенко, дискусійність законодавчого закріплення права на забуття визначається тим, що право бути забутим знаходиться на межі двох особистих немайнових прав: права на інформацію, яке виявляється у необмеженому доступі до інформації та право висловлювати свою думку (ст. 19 Загальної декларації прав людини), а також про право особи на приватне життя, недоторканність і повагу до її приватного та сімейного життя та про захист персональних даних відповідно до ст. 7, 8 Хартії основоположних прав Європейського Союзу, ст. 12 Загальної декларації прав людини [4].

В Україні не існує поняття цивільного права бути забутим у розумінні правової системи [5]. Водночас, відповідно до абз. 4 ч. 2 ст. 15 Закону України «Про захист персональних даних» персональні дані підлягають видаленню або знищенню, зокрема у разі закінчення строку зберігання або припинення правовідносин між фізичною особою-власником даних та розпорядником (обумовлених у згоді), прийняття судом рішення про видалення або знищення персональних даних [3]. Таким чином, чинне законодавство передбачає 2 етапи «забуття»: рішення суду та скарга на недотримання умов згоди на обробку та зберігання персональних даних.

Найбільш резонансним випадком у світовій судовій практиці щодо реалізації права фізичної особи на знищення інформації стосовно себе стало рішення Європейського Суду від 13.05.2014 року у справі Гугл та М. Костехі Гонсалеса. У 2010 році М. Костеха Гонсалес подав скаргу до Agencia Espanola de Protection de Datos (AEDP), Іспанського агентства із захисту даних, проти місцевої газети та Google Іспанія за претензії, пов'язані з повідомленнями про аукціон, у яких згадується Гонсалес, опублікованими в 1998 році. Повідомлення стосувалися реальних аукціонів нерухомості, які були проведені для забезпечення погашення боргів Гонсалеса за соціальне страхування. Гонсалес стверджував, що ці сторінки більше не потрібні, оскільки провадження щодо нього було повністю вирішено протягом кількох років, і тепер посилання на них абсолютно не мало значення. Він домагався, щоб місцева газета La Vanguardia видалила сторінки або змінила їх, щоб його особиста інформація більше не відображалася. Він також позивався до Google Inc щодо не відображання його персональних даних у пошуковій системі. AEDP відхилив претензії позивача проти газети, але задовольнив позови проти Google. Google подав апеляцію до Вищого суду Іспанії, який, у свою чергу, передав три запитання до Європейського Суду:

1) Чи застосовуються правила ЄС до пошукових систем, якщо вони мають філію або дочірню компанію в державі-члені;

2) Чи застосовується Директива до пошукових систем;

3) Чи має особа право вимагати видалення її персональних даних із результатів пошуку (тобто «право бути забутим»).

Спочатку Європейський Суд постановив, що Директива 95/46 (від 24 жовтня 1995 року про захист осіб щодо обробки персональних даних і про вільний рух таких даних [16]) поширюється на пошукові системи. Директива встановлює правила для «контролерів», залучених до «обробки персональних даних». Європейський Суд постановив, що пошукові системи займаються «обробкою даних», оскільки вони досліджують Інтернет «автоматично, постійно і систематично в пошуках інформації». Європейський Суд також постановив, що пошукові системи є «контролерами» за значенням Директиви, оскільки пошукові системи «визначають цілі та засоби» обробки даних. По-друге, Суд дійшов висновку, що оскільки компанія Google Inc. мала дочірню компанію (Google в Іспанії), яка діяла на території Іспанії (держава-член), хоча сама компанія Google розташована в країні, що не є членом (Сполучені Штати), директива належним чином застосовувався до Google, і Google діяв як «заклад» у значенні директиви. З цих причин, постановив Суд, у певних випадках Google зобов'язана видаляти посилання на сторінки, які відображаються третіми сторонами. По-третє, Європейський Суд постановив, що особи мають право вимагати від пошукових систем видалення посилань на особисту інформацію. Суд також чітко дав зрозуміти, що немає необхідності встановлювати, що посилання завдають шкоди суб'єкту даних. Суд постановив, що «слід шукати справедливий баланс, зокрема, між цим інтересом і основними правами суб'єкта даних». Однак «ці Права переважають, як правило, не тільки над економічним інтересом оператора пошукової системи, але й над інтересом широкої громадськості в пошуку цієї інформації. Цей баланс змінюватиметься в кожному конкретному випадку та може залежати від «характеру відповідної інформації та її чутливості для приватного життя суб'єкта даних», а також інтересу громадськості до інформації. Інтерес громадськості, у свою чергу, може відрізнятися залежно від того, чи є особа публічною особою» [14]. Так, у 2014 році Європейський Суд постановив, що інтереси особи до конфіденційності є настільки важливими, що вони можуть вимагати видалення даних про них із результатів пошуку Google, навіть якщо ці дані жодним чином не завдають шкоди. Вирішуючи, чи повинен контролер даних видалити чиїсь дані, вони враховували інші фактори, окрім явної шкоди особі. Також вперше визнано, що оператор пошукової системи в Інтернеті несе відповідальність за обробку, яку він здійснює з персональних даних, які з'являються на веб-сторінках, опублікованих третіми сторонами. Таким чином, якщо після пошуку, здійсненого на основі імені особи, список результатів відображає посилання на веб-сторінку, яка містить інформацію про відповідну особу, такий суб'єкт даних може звернутися безпосередньо до оператора та, якщо оператор не задовольняє його запит, передати питання на розгляд компетентних органів з метою отримання, за певних умов, видалення цього посилання із інформацією стосовно себе зі списку результатів.

Це створило прецедент у Європі, який сильно вплинув на GDPR. Пізніше, у 2018 році, GDPR офіційно закріпив право на забуття як одне з прав суб'єктів даних.

Щодо географічного поширення на процес знищення інформації в рамках права на забуття, то цікавим є рішення суду за позовом Google до Управління із захисту даних Франції (CNIL). Велика палата Суду Європейського Союзу постановила, що чинне законодавство ЄС не зобов'язує Google виконувати наказ про скасування посилань на результати пошуку в усіх версіях пошукової системи. Справа почалася у Франції після того, як Управління із захисту даних Франції (CNIL) оштрафувало компанію Google LLC за те, що вона не змогла глобально знищити посилання на інформацію щодо суб'єкта даних. Суд пояснив, що законодавство ЄС, яке встановлює та регулює право на скасування посилань (право бути забутим), не містить жодної інформації щодо географічного охоплення наказів про скасування посилань. Суд постановив, що в принципі знищення посилань мало бути здійснено щодо всіх держав-членів, але оскільки захист конфіденційності не узгоджувався в ЄС, суди та інші відповідні органи в кожній державі-члені повинні приймати рішення щодо географічних меж знищення посилань. Крім того, суд підкреслив, що хоча законодавство ЄС не вимагає знищення посилань з усіх версій пошукової системи, воно не забороняє таку практику [25].

Як свідчать дані рішення суду, право людини вимагати від компаній видалення (знищення) інформації стосовно себе зародилося як європейська концепція. Але з того часу інші країни та регіони прийняли подібні закони чи принципи. І як і GDPR, нові правила мають досить широку сферу дії. Це дає можливості фізичним особам у цих регіонах мати певний контроль над своєю персональною інформацією.

Проте право на забуття також має певні межі. Так, в Аргентині Закон про захист персональних даних дає людям право вимагати видалення, знищення або анонімізації їх особистої інформації [21]. Проте межі цього права були визначені у судовій справі відомої телеведучої Н. Денегрі проти Google. Верховний суд Аргентини одноголосно відхилив позов ведучої щодо права на забуття, а саме: щоб Google деіндексував незручний вміст з її минулого. Н. Денегрі подала петицію щодо відео її участі в телевізійному ток-шоу, де вона словесно та фізично ображала інших учасників. Вона стверджувала, що вміст більше не актуальний і що його легкий доступ порушує її права на приватне життя, інтимність, честь і репутацію. Суд зауважив, що запити на деіндексацію можуть призвести до певної форми попереднього обмеження, а тому вимагають суворої перевірки. Крім того, Суд визнав деіндексацію «крайнім заходом», оскільки вона обмежує потік інформації, що становить суспільний інтерес. У даній справі просто плин часу не зробив інформацію нерелевантною [15]. Цим рішенням встановлено, що видалення загальнодоступної інформації може вплинути на «свободу слова та позбавити суспільство доступу до відповідної інформації. Суд вирішив, що новини чи інформація, які є частиною публічних дебатів, можуть залишатися ак-туальними для громадськості незалежно від того, скільки часу минуло, так як до неї причетний громадський діяч.

На відміну від ЄС у США не існує всеосяжного федерального закону, який би конкретно регулював право на видалення. Однак деякі штати прийняли закони, які вимагають видалення певних типів конфіденційної інформації або, у деяких випадках, усієї особистої інформації. Наприклад, Закон Каліфорнії про конфіденційність споживачів (CCPA) [11] і Закон Вірджинії про захист даних споживачів (CDPA) [20] надають споживачам право вимагати видалення їх особистої інформації, визначаючи умови та винятки.

Як Закон про захист даних споживачів (CDPA), так і Закон Каліфорнії про конфіденційність споживачів (CCPA, та CPRA, який відображає зміни у 2023 році) регулюють, як підприємства можуть обробляти особисті дані, надані їхніми клієнтами. CDPA та CCPA (CPRA) принципово схожі. Персональна інформація визначається однаково в обох законах як будь-яка інформація, яку можна пов'язати з особою або використати для її ідентифікації. Обробники даних або постачальники послуг не можуть обробляти дані від імені контролера, якщо немає письмового договору. Перш ніж збирати чиїсь дані, потрібно розробити Політику конфіденційності або Повідомлення про конфіденційність, повідомляючи користувачів про їхні права на конфіденційність і допомогти їм скористатися цими правами. Крім того, законами визначені чіткі випадки, коли потрібна згода на обробку даних. Також даними законами визначено, що кожен користувач має право попросити видалити або змінити його дані. У той же час дані Закони мають відмінності, які полягають у наступних аспектах:

1) потрібна згода на збір конфіденційних даних відповідно до CDPA, тоді як відповідно до CCPA потрібна лише згода на продаж особистої інформації. Отже, правила згоди відрізняються;

2) CDPA надає людям більше прав на їхні дані, ніж CCPA (CPRA);

3) норми CCPA (CPRA) є набагато суворішими щодо того, які дані вважаються «загальнодоступною інформацією»;

4) кожен веб-сайт, сумісний із CCPA/CPRA, потребує обов'язкової відмітки із зазначенням «Не продавати мою інформацію», тоді як CDPA цього не вимагає;

5) CDPA використовує суворіший підхід до регулювання обробки даних;

6) відповідно до CDPA запроваджено більші штрафи за порушення [20].

Право бути забутим, окрім іншого, означає, що люди мають право за певних обставин змусити пошукові системи видалити посилання про них із минулого. У своїй судовій практиці американські суди не визнають це поняття. Прикладом є відхилений позов проти Google про втручання в конфіденційність по справі «Гарсія проти Google». Так, Актриса Лі Гарсія подала до суду на Google за втручання в конфіденційність, навмисне заподіяння емоційного стресу, порушення авторських прав та інші причини через відмову компанії щодо видалення фільму із її участю. Дев'ятий окружний апеляційний суд США підтвердив відхилення її позову у справі, зазначаючи, що «право бути забутим» підтверджено Судом Європейського Союзу, проте не визнається в Сполучених Штатах [17]. Незважаючи на те, що Європа визнає «право бути забутим», примушення постачальників послуг і пошукових систем, таких як Google, видаляти матеріали з Інтернету, для судової системи США загалом визнано неприпустимою формою примусового виступу згідно з Першою поправкою Конституції США.

Рішення Другого окружного апеляційного суду США у справі «Мартін проти Hearst Corporation» (2015) також є повчальним. У цьому рішенні Л. Мартін була заарештована разом із двома її синами за звинуваченням у торгівлі наркотиками. У мережі з'явилися новини про арешт Мартін. Штат відмовився переслідувати Мартін, і її арешт було видалено з її досьє відповідно до Статуту штату про видалення судимостей. Оскільки її арешт було знято, Мартін попросила ЗМІ видалити статті, які вона вважала неправдивими та наклепницькими. ЗМІ відмовилися, і Мартін подала до суду за наклеп. Федеральний окружний суд відхилив позови Мартіна. Під час апеляції Другий окружний суд підтвердив рішення, мотивуючи це тим, що закон про видалення «не робить історично достовірні повідомлення про арешт злочинними лише тому, що згодом обвинуваченого вважають юридичною фікцією». Ці рішення суду свідчать про те, що в США немає визнаних вимог щодо права бути забутим.

У Канаді федеральні та провінційні закони про конфіденційність регулюють збір, використання та розкриття особистої інформації, включаючи право вимагати видалення або виправлення певної інформації першоджерелом. Окрім права на конфіденційність, канадці також мають право на доступ до інформації та свободу вираження поглядів. У Канаді не існує права бути забутим. Запропонований федеральним урядом перегляд PIPEDA, канадського Закону про конфіденційність споживачів (законопроект C-11 [10]) містить право на стирання в розділі 55. Однак це не те саме, що право бути забутим, тому що законопроект не вимагає від пошукових систем деіндексації веб-сайтів, що містять особисту інформацію [24].

В Україні вже теж присутні прецеденти щодо практики реалізації права на забуття, проте виключно в обмеженому контексті поширення неправдивої інформації про особу. Так, у справі № 464/2809/19 за позовом до ТОВ «Гугл» щодо видалення/блокування інформації, поширеної на веб-сайті, як такої, що містить неправдиву інформацію про фізичну особу, запит було відхилено у зв'язку з відсутністю відповідного судового рішення. Сихівський районний суд міста Львова прийняв рішення на користь позивача, «оскільки поширення недостовірної інформації відносно заявника мало місце в мережі «Інтернет» невстановленими особами, з метою захисту особистих немайнових прав заявника» [2]. Проте Львівським апеляційним судом було задоволено апеляційну скаргу відповідача та ухвалено нове рішення, відповідно до якого, «якщо автор поширеної інформації невідомий або його особу та/чи місце проживання (місцезнаходження) неможливо встановити, а також коли інформація є анонімною і доступ до сайту - вільним, належним відповідачем є власник вебсайту, на якому розміщено зазначений інформаційний матеріал, оскільки саме він створив технологічну можливість та умови для поширення недостовірної ін-формації. Отже, встановлення особи реєстранта доменного імені fttc. сот. ua як особи, яка створила технологічну можливість та умови для поширення недостовірної інформації, є достатнім для визначення відповідача у справі» [8]. Тож право на вилучення інформації про себе аргументовано її недостовірністю, проте відповідачем визнано не пошукову систему ТОВ «Гугл», а реєстратора доменного імені, посилаючись на ст. 1 Закону України «Про авторське право і суміжні права» № 3792-ХІІ від 23.12.1993 року (чинного на той час), в якій визначено, що власник веб-сайту-особа, яка є володільцем облікового запису та встановлює порядок і умови використання веб-сайту. За відсутності доказів іншого власника веб-сайту вважається реєстрант відповідного доменного імені, за яким здійснюється доступ до веб-сайту і (або) отримувач послуг хостингу [2].

Необхідно відзначити, що українські правові норми та судова практика абсолютно не враховує того, що фізична особа по суті є першоджерелом інформації про себе, тому має право знищити таку інформацію у будь-яких випадках, тобто фізична особа володіє правом на знищення будь-якої інформації, а не тільки негативної чи неправдивої. Це право не повинно розглядатися як частковим елементом права про захист честі, гідності та ділової репутації. А повинно формуватися в окрему категорію права на забуття у контексті права фізичної особи на інформацію стосовно себе. І в той же час, у цьому аспекті постає питання щодо балансування права людини та свободи вираження поглядів, які закріплені у Конвенції прав людини. І тут необхідно звернутися до судової практики Європейського Суду з прав людини (ЄСПЛ). Так, у 2016 році Суд виніс рішення у справі Хурбейн проти Бельгії (позов № 57292/16) [19], зобов'язавши газету Le Soir анонімізувати особу реабілітованого злочинця, щоб поважати його право бути забутим. Справа стосувалася цивільного рішення проти пана Хурбейна (видавця щоденної газети «Le Soir»), який наказав йому анонімізувати статтю в її електронному архіві, у якій згадувалося повне ім'я водія, який став винним у смертельній ДТП у 1994 році. Порядок базувався на праві людини бути забутим. Хурбейн поскаржився в ЄСПЛ, що наказ анонімізувати архівну версію статті на веб-сайті його газети порушує його право на свободу вираження поглядів. ЄСПЛ оцінив право пана Хурбейна на свободу вираження поглядів і право водія бути забутим, гарантоване європейським і бельгійським законодавством, і постановив, що захід, застосований до Хурбейна, можна вважати «пропорційним законній меті, що переслідується, і як досягнення справедливого балансу між конкуруючими правами, про які йдеться». Тому ЄСПЛ наказав Le Soir анонімізувати особу водія у своїх цифрових архівах.

Справи про право бути забутим часто пов'язані з балансуванням між правом суб'єкта даних на приватне життя згідно зі статтею 8 Європейської конвенції з прав людини (ЄКПЛ) та правом контролера даних на свободу вираження поглядів згідно зі статтею 10 ЄКПЛ [1].

Тож у своїх останніх рішеннях ЄСПЛ дещо розширив сферу дії права бути забутим. У вищезгаданій справі «Хурбейн проти Бельгії» [23] ЄСПЛ встановив, що наказ анонімізувати ім'я особи, винної в аварії, у статті в онлайн-архіві газети не порушує прав видавця-заявника на свободу вираження поглядів. Суд постановив, що критерій, встановлений у справі «Аксель Спрінгер проти Німеччини» [12], є провідним у збалансуванні права на приватне життя та свободи вираження поглядів, тобто суд може бути зобов'язаний перевірити, чи національні органи влади досягли справедливого балансу, захищаючи ці дві цінності. Суд повинен втрутитися лише тоді, коли національні суди не врахували певних конкретних обставин під час врівноваження або якщо результат цього був явно непропорційним. Крім того, цей висновок підтверджується статтею 53 Конвенції прав людини: у стосунках між державою та громадянином отримання свободи для відповідної особи означало лише втрату компетенції для держави, тоді як у відносинах між двома громадянами факт надання більшої ваги праву однієї із заінтересованих осіб обмежував права інших, що було заборонено статтею. У лютому 2022 році у рішенні «Біанкарді проти Італії», що стосується подібного запиту, позивач стверджував про порушення його свободи вираження поглядів за статтею 10 Конвенції. У даній справі позивача, головного редактора інтернет-газети, було притягнуто до цивільної відповідальності за те, що він зберіг на веб-сайті своєї газети та не деіндексував статтю, в якій повідомлялося про факти кримінальної справи, порушеної проти приватних осіб. Суд надав додаткові вказівки щодо застосування Спрінгер-тесту в онлайн-контексті, ще більше розширюючи сферу дії права бути забутим, а саме: якщо баланс між, з одного боку, свободою вираження поглядів, захищеною статтею 10 Конвенції, і, з іншого боку, правом на повагу до приватного життя, як закріплено у статті 8 Конвенції, було здійснено національними органами влади, відповідно до критеріїв, встановлених прецедентною практикою Суду, то Суду знадобляться вагомі аргументи, щоб замінити точку зору національних судів [1].

Висновки і пропозиції

Проблематика реалізації права фізичної особи на знищення інформації стосовно себе сьогодні є дискусійною. Значного розвитку щодо правового визначення права на забуття досягнуто в ЄС. Крім того, судова система ЄС має прецеденти щодо розгляду питань стосовно видалення даних. При цьому судова практика встановила, що фізичні особи мають право вимагати від пошукових систем, насамперед, Google, видаляти пошукові запити, що містять ім'я людини чи інші персональні дані. Це стало необхідною умовою для створення системи, яка дозволяє людині подати запит на «забуття», щоб результати пошуку в ІТ-системах більше не асоціювалися з її персональними даними.

І в той же час, у світовій спільноті загострюється питання необхідного балансування між правом на приватність та правом на свободу поглядів. Посилаючись на Першу поправку до Конституції США, суди США не підтримують право на забуття у повному його сенсі. Канадські законотворці наразі працюють над проєктом, у якому визначається «право на стирання», яке передбачає видалення певної інформації, яке за змістом не тотожне праву на забуття. Це питання розглядається у ЄСПЛ, у судових рішеннях якого сформовані критерії врівноваження та врахування і права на конфіденційність, і права на свободу поглядів.

Наразі в національному законодавстві України немає стандартів, які б гарантували реалізацію права бути забутим і цивільне право не визначає зміст поняття права на забуття. Закон України «Про захист персональних даних» досить застарілий і майже не враховує специфіку онлайн-відносин. Його має замінити новий закон, спрямований на імплементацію положень GDPR, зокрема права на забуття, в українські реалії. Перша спроба розробити такий закон була у 2021 році, але проект відхилили. Наразі вже розроблено новий законопроект, який перебуває на розгляді Верховної Ради України. Зважаючи на те, що Україна взяла курс на цифровізацію держави та суспільних відносин, і має у цьому напрямку вагомі здобутки, проблематика захисту персональної інформації набуває значної актуальності, особливо в частині права на забуття та регулювання механізму реалізації права фізичної особи на знищення інформації про себе.

Список використаної літератури

1. Європейська конвенція з прав людини. Протокол від 04.11.1950 р. URL: https:// zakon.rada.gov.ua/laws/show/995_004#Text (дата звернення: 10.09.2023).

2. Про авторське право і суміжні права: Закон України № 3792-ХІІ від 23.12.1993 р. URL: https://zakon.rada.gov.Ua/laws/show/3792-12#Text (дата звернення: 10.09.2023).

3. Про захист персональних даних: Закон України № 2297-VI від 01.06.2010 р. URL: https://zakon.rada.gov.Ua/laws/show/2297-17#Text (дата звернення: 10.09.2023).

4. Калітенко О. М. Право на забуття: здобуток європейський чи глобальний? Часопис цивілістики. 2022. Випуск 35. № 60-64. URL: https://cutt.ly/iwzHturw (дата звернення: 10.09.2023).

5. Куніцин Н. Право на забуття: правовий контекст і судова практика. Pravo. URL: https://pravo.ua/pravo-na-zabuttia-pravovyi-kontekst-ta-sudova-praktyka/ (дата звернення: 10.09.2023).

6. Регламент Європейського Парламенту і Ради (ЄС) 2016/679 від 27 квітня 2016 року про захист фізичних осіб у зв'язку з опрацюванням персональних даних і про вільний рух таких даних, та про скасування Директиви 95/46/ЄС (Загальний регламент про захист даних). URL: https://zakon.rada.gov.ua/laws/show/984_008- 16#Text (дата звернення: 10.09.2023).

7. Славко А. С., Рєпін Д. А. Механізм реалізації та захисту права на забуття. Юридичний науковий електронний журнал. 2020. № 8. С. 522-525. URL: http://www. lsej.org.ua/8_2020/132.pdf (дата звернення: 10.09.2023).

8. Справа № 464/2809/19. Рішення Львівського апеляційного суду від 30.11.2020 р. URL: https://reyestr.court.gov.ua/Review/93826723 (дата звернення: 10.09.2023).

9. Токарева В. О. Окремі питання реалізації права на видалення. Актуальні проблеми вітчизняної юриспруденції. 2022. № 4. С. 42-47. URL: http://apnl.dnu.in.ua/4_2022/8. pdf (дата звернення: 10.09.2023).

10. Bill C-11: An Act to enact the Consumer Privacy Protection Act and the Personal Information and Data Protection Tribunal Act and to make related and consequential amendments to other Acts. URL: https://www.justice.gc.ca/eng/csj-sjc/pl/charter-charte/ c11.html (дата звернення: 10.09.2023).

11. California Consumer Privacy Act of 2018. URL: https://leginfo.legislature.ca.gov/faces/ codes_displayText.xhtml?division=3.&part=4.&lawCode=CIV&title=1.81.5 (дата звернення: 10.09.2023).

12. Case of Axel Springer AG v. Germany. Application no. 39954/08. Judgment. Strasbourg. February 2012. URL: https://hudoc.echr.coe.int/eng#{%22item id%22:[%22001-109034%22]} (дата звернення: 10.09.2023).

13. Case of Biancardi v. italy. Application no. 77419/16. JUDGMENT. URL: https://hudoc.echr.coe.int/eng#{%22appno%22:[%2277419/16%22],%22item id%22:[%22001-213827%22]} (дата звернення: 10.09.2023).

14. Court of Justice of the European Union. PRESS RELEASE No 70/14 Luxembourg, 13 May 2014 Judgment in Case C-131/12 Google Spain SL, Google Inc. v Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez. URL: https://curia.europa.eu/jcms/ upload/docs/application/pdf/2014-05/cp140070en.pdf (дата звернення: 10.09.2023).

15. Denegri, Natalia Ruth c. Google Inc. s/derechos personalisimos: Acciones relacionadas. Corte Suprema de Justicia de la Nacion. 19.08.2022. URL: https://www.fiscales.gob.ar/ wp-content/uploads/2022/06/DENEGRI.pdf (дата звернення: 10.09.2023).

16. Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data. URL: https://eur-lex.europa.eu/legal-content/EN/ TXT/?uri=celex%3A31995L0046 (дата звернення: 10.09.2023).

17. Garcia v. Google, Inc., No. 12-57302 (9th Cir. 2014). URL: https://lawjustia.com/cases/ federal/appellate-courts/ca9/12-57302/12-57302-2014-02-26.html (дата звернення: 10.09.2023).

18. Guide on Article 8 of the Convention - Right to respect for private and family life, home and correspondence. Council of Europe. European Court of Human Rights. 2022. URL: https://www.echr.coe.int/documents/guide_art_8_eng.pdf. (дата звернення: 10.09.2023).

19. Hurbain v. Belgium - 57292/16. Judgment 22.6.2021 [Section III]. URL: https://hudoc.

echr.coe.int/fre#{%22itemid%22:[%22002-13318%22]} (дата звернення: 10.09.2023).

20. Laird J. Virginia's CDPA v. California's CCPA (CPRA). 2023. URL: https://www. privacypolicies.com/blog/cdpa-v-ccpa/ (дата звернення: 10.09.2023)

21. Ley de Proteccion de Datos Personales (PDPA) de Argentina. Ley 25.326. 4.10.2020. URL: https://servicios.infoleg.gob.ar/infolegInternet/anexos/60000-64999/64790/norma. htm (дата звернення: 10.09.2023).

22. Martin v. Hearst Corporation. 2015. Docket No. 13-3315. URL: https://scholar.google.com/ scholar_case?case=17020447715187840855&hl=en&as_sdt=6&as_vis=1&oi=scholarr (дата звернення: 10.09.2023).

23. Sarah de Heer. Hurbain v. Belgium: towards a fairer balancing exercise between the right to freedom of expression and the right to privacy? Strasbourgobservers. November 26, 2021. URL: https://strasbourgobservers.com/2021/11/26/hurbain-v-belgium-towards-a- fairer-balancing-exercise-between-the-right-to-freedom-of-expression-and-the-right-to- privacy/ (дата звернення: 10.09.2023).

24. Solomon H. Canada's privacy law applies to Google search, says judge in right to be forgott. 2021. URL: https://www.itworldcanada.com/article/canadas-privacy-law-applies- to-google-search-says-judge-in-right-to-be-forgotten-case/455681 (дата звернення: 10.09.2023).

25. Gudgment Of The Court (Grand Chamber). 24 September 2019. Case C507/17. URL: https://curia.europa.eu/juris/document/document.jsf?docid=218105&doclang=EN (дата звернення: 10.09.2023).

26. Virginia Consumer Data Protection Act (CDPA). URL: https://law.lis.virginia.gov/ vacodefull/title59.1/chapter53/ (дата звернення: 10.09.2023).

References

1. European Convention on Human Rights. Protocol dated 04.11.1950. URL: https://zakon. rada.gov.ua/laws/show/995_004#Text [in Ukrainian].

2. Law of Ukraine: Copyright and Related Rights № 3792-ХІІ dated 23.12.1993. URL: https://zakon.rada.gov.ua/laws/show/3792-12#Text [in Ukrainian].

3. Law of Ukraine: Personal Data Protection № 2297-VI dated 01.06.2010. URL: https:// zakon.rada.gov.ua/laws/show/2297-17#Text[in Ukrainian].

4. Kalitenko O. (2022). Right to be forgotten: european or global achievement? Law Herald. Issue 35. P 60-64. URL: https://cutt.ly/iwzHturw [in Ukrainian].

5. Kunitsyn N. Right to be forgotten: legal context and case law. Pravo. URL: https://pravo. ua/pravo-na-zabuttia-pravovyi-kontekst-ta-sudova-praktyka/ [in Ukrainian].

6. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation). URL: https://zakon.rada.gov.ua/laws/show/984_008-16#Text [in Ukrainian].

7. Slavko A. S., Riepin D. A. (2020). Mechanism of realization and protection of the right to be forgotten. Juridical scientific and electronic journal. № 8. p. 522-525. URL: http:// www.lsej.org.ua/8_2020/132.pdf [in Ukrainian].

8. Case № 464/2809/19. Decision of the Lviv Court of Appeal dated 30.11.2020. URL: https://reyestr.court.gov.ua/Review/93826723 [in Ukrainian].

9. Tokareva V (2022). Some issues of exercising of the right to erasur. Current issues of national jurisprudence. № 4. p. 42-47. URL: http://apnl.dnu.in.ua/4_2022/8.pdf [in Ukrainian].

10. Bill C-11: An Act to enact the Consumer Privacy Protection Act and the Personal Information and Data Protection Tribunal Act and to make related and consequential amendments to other Acts. URL: https://wwwjustice.gc.ca/eng/csj-sjc/pl/charter-charte/ c11.html.

11. California Consumer Privacy Act of 2018. URL: https://leginfo.legislature.ca.gov/faces/ codes_displayText.xhtml?division=3.&part=4.&lawCode=CIV&title=1.81.5.

12. Case of Axel Springer AG v. Germany. Application no. 39954/08. Judgment. Strasbourg. February 2012. URL: https://hudoc.echr.coe.int/eng#{%22item id%22:[%22001-109034%22]}

13. Case of Biancardi v. italy. Application no. 77419/16. JUDGMENT. URL: https://hudoc.echr.coe.int/eng#{%22appno%22:[%2277419/16%22],%22item id%22:[%22001-213827%22]}

14. Court of Justice of the European Union. PRESS RELEASE No 70/14 Luxembourg, 13 May 2014 Judgment in Case C-131/12 Google Spain SL, Google Inc. v Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez. URL: https://curia.europa.eu/jcms/ upload/docs/application/pdf/2014-05/cp140070en.pdf

15. Denegri, Natalia Ruth c. Google Inc. s/derechos personalisimos: Acciones relacionadas. Corte Suprema de Justicia de la Nacion. 19.08.22. URL: https://www.fiscales.gob.ar/wp- content/uploads/2022/06/DENEGRI.pdf

16. Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data. URL: https://eur-lex.europa.eu/legal-content/EN/ TXT/?uri=celex%3A31995L0046

17. Garcia v. Google, Inc., No. 12-57302 (9th Cir. 2014). URL: https://lawjustia.com/cases/ federal/appellate-courts/ca9/12-57302/12-57302-2014-02-26.html

18. Guide on Article 8 of the Convention - Right to respect for private and family life, home and correspondence. Council of Europe. European Court of Human Rights. 2022. URL: https://www.echr.coe.int/documents/guide_art_8_eng.pdf.

19. Hurbain v. Belgium - 57292/16. Judgment 22.6.2021 [Section III]. URL: https://hudoc. echr.coe.int/fre#{%22itemid%22:[%22002-13318%22]}

20. Laird J. Virginia's CDPA v. California's CCPA (CPRA). 2023. URL: https://www. privacypolicies.com/blog/cdpa-v-ccpa/

21. Ley de Proteccion de Datos Personales (PDPA) de Argentina. Ley 25.326. 4.10.2020. URL: https://servicios.infoleg.gob.ar/infolegInternet/anexos/60000-64999/64790/norma.htm

22. Martin v. Hearst Corporation. 2015. Docket No. 13-3315. URL: https://scholar.google.com/ scholar_case?case=17020447715187840855&hl=en&as_sdt=6&as_vis=1&oi=scholarr

23. Sarah de Heer. Hurbain v. Belgium: towards a fairer balancing exercise between the right to freedom of expression and the right to privacy? Strasbourgobservers. November 26, 2021. URL: https://strasbourgobservers.com/2021/11/26/hurbain-v-belgium-towards-a- fairer-balancing-exercise-between-the-right-to-freedom-of-expression-and-the-right-to- privacy/

24. Solomon H. Canada's privacy law applies to Google search, says judge in right to be forgott. 2021. URL: https://www.itworldcanada.com/article/canadas-privacy-law-applies- to-google-search-says-judge-in-right-to-be-forgotten-case/455681

25. Gudgment Of The Court (Grand Chamber). 24 September 2019. Case C507/17. URL: https://curia.europa.eu/juris/document/document.jsf?docid=218105&doclang=EN

26. Virginia Consumer Data Protection Act (CDPA). URL: https://law.lis.virginia.gov/ vacodefull/title59.1/chapter53/

Размещено на Allbest.ru