Забута реформа: як Європейський Союз охороняє особисту інформацію та чому Україна рухається в цьому напрямку так повільно.
Коли ви робите покупки онлайн, пишете в соцмережах і навіть коли йдете з телефоном у кишені - ви всюди залишаєте цифровий слід.
З інформації, яку ви створюєте, такі компанії, як Google, можуть отримувати значний дохід. Наприклад, вони можуть показувати вам рекламу продуктів або послуг, які схожі на те, що ви шукали раніше. Тому популярна фраза "дані - це нова нафта" є абсолютно виправданою: якщо у 2008 році дві з п'яти найбільших світових корпорацій займалися видобутком нафти, то вже у 2018 році всі п’ять лідируючих позицій зайняли компанії, які працюють з даними.
Оскільки інформація приносить фінансові вигоди, постає ряд запитань: хто є власником цих даних, а також хто і на яких умовах має право їх використовувати?
Які стратегії використовуються в Європейському Союзі?
У правовій системі Європейського Союзу відповіді на ці питання надає ряд регуляторних актів, таких як Конвенція 108+ щодо захисту персональних даних, Регламент про захист даних, Закон про цифрові послуги, Закон про цифровий ринок, Закон про штучний інтелект та інші. Ці норми зобов'язують дотримуватися їх не лише компанії з країн ЄС, а й організації з інших держав, які мають справу з даними громадян Євросоюзу.
Сучасна система регулювання захисту персональних даних в Європейському Союзі вважається однією з найрозвиненіших у світі, що спонукає інші країни наслідувати її приклад.
У цьому контексті Європейська комісія має можливість скласти список країн та організацій, що забезпечують рівноцінний рівень захисту персональних даних, як у країнах ЄС. Наразі до цього списку входять 16 юрисдикцій та організацій, серед яких Аргентина, Бразилія та Уругвай. Фірмам з цих країн та організацій не потрібно отримувати додаткові дозволи чи укладати окремі угоди для обміну даними з підприємствами Європейського Союзу.
Як і багато іншого європейського законодавства, згаданий вище Регламент ЄС про захист персональних даних (General Data Protection Regulation, або GDPR) заснований на принципі балансу між різними цілями та інтересами різних сторін.
Наприклад, індивіди мають право на забуття (видалення своїх даних, коли відпадає необхідність у їх обробці) — однак це право не діє, якщо його реалізація суперечить суспільно важливим інтересам. Інша ситуація: контролер даних зобов'язаний інформувати суб'єктів обробки про зміну цілей обробки, але не в тих випадках, коли така інформація вимагала б від контролера значних ресурсів.
Це означає, що Регламент залишає чимало питань на розгляд стейкхолдерів та національних правових систем. У тексті часто вживаються такі терміни, як "адекватні" або "належні" заходи.
Конкретне наповнення таких термінів залишено на розсуд учасників обробки даних та регуляторів цього процесу.
Перед приєднанням до Європейського Союзу Україні потрібно адаптувати своє законодавство у сфері захисту персональних даних відповідно до європейських стандартів та розробити систему для забезпечення безпеки цих даних.
Забуті законодавчі ініціативи
Цей процес вже відбувається, але прогрес іде дуже повільно.
Перший кластер перемовин про вступ включає розділ 23 "Судова влада та основоположні права" та розділ 24 "Юстиція, свобода і безпека" і передбачає повне узгодження українського законодавства з Регламентом ЄС про захист персональних даних.
Існують два законопроєкти, що мають важливе значення: 8153, який передбачає оновлення чинного закону про захист персональних даних, та 6177, що стосується створення Національної комісії з питань захисту персональних даних.
Ці законопроєкти були внесені до парламенту в 2022 та 2021 роках відповідно, проте досі не отримали схвалення.
Що передбачають ці законопроєкти та що зміниться, коли Україна буде дотримуватись GDPR?
Чинний закон про захист персональних даних (2010) впроваджує основні положення GDPR.
Це означає:
* необхідність отримання згоди на обробку даних та заборона їх використання для цілей, які не були зазначені у цій згоді;
* Заборона на обробку даних, що стосуються расової та етнічної приналежності, а також політичних і соціальних поглядів, без отримання окремої згоди.
* можливість для суб'єкта отримати інформацію про обробника та контролера даних;
* право на запит видалення даних (такі норми містилися й у Директиві 1995 року, на основі якої був прийнятий цей закон).
Законопроєкт 8153, який був прийнятий у першому читанні наприкінці 2024 року, передбачає введення нових норм до Регламенту. Це включає чітке та усвідомлене погодження особи на обробку її даних, а також право змінювати та видаляти власну інформацію.
Якщо згода не є вільною (наприклад, суб'єкт перебуває в залежному становищі щодо контролера або не має можливості отримати послугу без згоди на обробку даних), вона буде визнана недійсною. Законопроєкт пропонує значно підвищити штрафи за порушення захисту персональних даних: зараз вони становлять від 1700 до 34 тисяч грн, а відповідно до законопроєкту становитимуть до 90 млн грн або 5% річного обороту компанії.
Згідно з Національною програмою адаптації українського законодавства до норм права Європейського Союзу (acquis ЄС), планувалося, що цей законопроєкт буде прийнято у червні 2026 року.
Втім, українські медіа, а також компанії, які працюють на ринку ЄС, уже мусять дотримуватися Регламенту ЄС. Для останніх омбудсман, який зараз займається захистом персональних даних, розробив низку рекомендацій про транскордонну передачу даних.
Загалом українські суб'єкти можуть передавати персональні дані лише державам-членам ЄС або учасницям Конвенції 108+. З іншими країнами Україна має укладати окремі договори, які визначають правові підстави обміну даними.
Супровідні документи до законопроєкту ілюструють суттєву різницю в підходах до написання законодавства між Україною та ЄС. Більшість зауважень від органів влади стосуються правової визначеності.
Наприклад, можна запропонувати включити чіткі критерії для визначення того, що саме вважається "коротким" і "зрозумілим" у контексті вимоги, що повідомлення про обробку даних повинно містити "лаконічний і зрозумілий опис технології відстеження для суб'єкта персональних даних".
GDPR не перешкоджає національним органам влади формулювати власні визначення терміна "відповідні та достатні заходи" і уточнювати інші подібні поняття. В Україні існує традиція регулювання таких питань на рівні законодавства, тоді як європейські законодавці вважають, що це має здійснюватися на підзаконному рівні. Наприклад, через роз'яснення від національного регулятора або створення галузевих кодексів поведінки. Таким чином, прийняття цього законопроєкту стане своєрідним тестом, який покаже, яка правова традиція виявиться домінуючою.
Омбудсман у ролі тимчасового контролера
Інший крок, який нам потрібно зробити до вступу в ЄС - запустити національного регулятора у сфері захисту персональних даних.
У період з 2010 по 2013 рік в Україні діяла Державна служба, що займалася захистом персональних даних. Однак, замість того щоб надати цій установі автономію, з 1 січня 2014 року її ліквідували, передавши її повноваження Уповноваженому Верховної Ради з прав людини, що не зовсім відповідає його основній діяльності.
Проте, з початку 2022 року Офіс омбудсмена організував більше 50 просвітницьких заходів та здійснив понад 170 перевірок щодо захисту персональних даних у різних установах, таких як місцеві ради, ЦНАПи та регіональні відділення статистики.
Відповідно до результатів перевірок, деяким державним установам були надані приписи щодо виправлення правових порушень.
Окрім цього, Офіс затвердив стандартний порядок обробки персональних даних та надав до нього пояснення, а також випустив близько двадцяти рекомендацій щодо захисту персональних даних у різних контекстах. Були здійснені переклади шести настанов Європейської ради з питань захисту даних, з яких загалом налічується приблизно 40. Додатково, було розроблено онлайн-курс, присвячений захисту персональних даних.
Отже, незалежний національний регулятор, якого Україні потрібно буде створити, починатиме свою роботу не з нуля.
Згаданий раніше законопроєкт 6177, що стосується створення відповідного регуляторного органу, розглядається в парламенті з 2021 року.
Він пропонує, щоб регулятором стала Національна комісія з питань захисту персональних даних та доступу до публічної інформації, яка складатиметься з семи членів, призначених Кабміном за конкурсом. Безпосередньо перевіряти дотримання правил захисту персональних даних буде Служба інспекторів Національної комісії, а голову цієї служби призначатиме голова Нацкомісії за результатами конкурсу.
Національна комісія сформує Раду громадського контролю та Консультативну раду, до складу яких увійдуть представники Міністерства юстиції, Міністерства цифрової трансформації, Державної служби спеціального зв'язку, Уповноваженого Верховної Ради з прав людини, Торгово-промислової палати, Національної ради з питань розвитку науки і технологій, а також Ради громадського контролю.
Які ще заходи повинна реалізувати Україна?
Звіт Європейської Комісії щодо України на 2025 рік підкреслює необхідність приведення доступу до інтернет-ресурсів у відповідність з європейськими нормами свободи слова. В особливості, акцентується на важливості підвищення прозорості рішень щодо блокування веб-сайтів. Окрім цього, Україні слід адаптувати використання технологій розпізнавання обличчя та інших подібних технологій, а також Національну систему e-Health до європейських стандартів захисту даних.
Систему відкритих даних в Україні необхідно привести у відповідність до Директиви про відкриті дані та Закону про управління даними.
Країна вже досягла певних успіхів у цій сфері. Зокрема, портал "Дія" відповідає стандартам Регламенту ЄС щодо електронної ідентифікації та довірчих послуг (е-IDAS). Тепер залишилося тільки впровадити європейську сертифікаційну процедуру для пристроїв, що генерують кваліфіковані електронні підписи, оскільки наразі сертифікація таких пристроїв в Україні здійснюється уповноваженими органами в країнах Європейського Союзу.
Не варто ігнорувати й штучний інтелект.
Адже AI Act Україна зрештою також повинна буде впровадити в рамках вступу до ЄС.
На сьогоднішній день доступна Біла книга на 2024 рік, в якій Міністерство цифрової трансформації представило своє уявлення щодо регулювання штучного інтелекту в Україні. Основна ідея полягає в впровадженні регуляцій, які формуються "знизу вгору". Це означає, що спочатку будуть тестуватися певні норми в "регуляторних пісочницях", а потім збиратися пропозиції від бізнесу та громадських організацій.
Завершення цього процесу вимагатиме узгодження з AI Act на законодавчому рівні.
Цей матеріал підготовлений громадською організацією "Вокс Україна" за підтримки Фонду "Аскольд і Дір", який адмініструє ІСАР Єднання в рамках ініціативи "Сильне громадянське суспільство України - рушій реформ і демократії", фінансованої Норвегією та Швецією. Відповідальність за зміст публікації покладається на ГО "Вокс Україна", і він не відображає думки урядів Норвегії, Швеції чи ІСАР Єднання.
