Ваші дані вже передано…

Практика свідчить: наші персональні дані потребують захисту від посягань зловмисників. Окрім правоохоронців, цим питанням віднині опікуватиметься й секретаріат Уповноваженого Верховної Ради з прав людини.

Штрафи для порушників

Ще три роки тому Верховна Рада ратифікувала європейську Конвенцію про захист осіб у зв’язку з автоматизованою обробкою персональних даних. У другій статті цього міжнародного документа чітко записано: «Україна не буде застосовувати цю Конвенцію до персональних даних, які обробляються фізичними особами виключно для непрофесійних особистих чи побутових потреб».

Саме тому в нашій країні й створили Державну службу з питань захисту персональних даних (ДСЗПД). Проте в наступному році ситуація дещо зміниться: із січня 2014-го функції з контролю за дотриманням законодавства в цій сфері будуть покладені на секретаріат Уповноваженого Верховної Ради з прав людини (українському омбудсмену нададуть право складати протоколи про притягнення до адміністративної відповідальності та направляти їх до суду). Про це свідчить новий Закон № 383-VII, який нещодавно підписав глава держави з урахуванням висунутих ним вимог і зроблених зауважень.

Головне нововведення пов’язане з Кодексом України про адміністративні правопорушення: згідно з новою редакцією статті 188-39 КУпАП, несвоєчасне повідомлення омбудсмена про обробку персональних даних загрожує штрафом у розмірі від ста до чотирьохсот неоподатковуваних мінімумів доходів громадян (1 700–6 800 грн), невиконання його приписів – від двохсот до п’ятисот «мінімалок» (3 400 – 8 500 грн). Систематичне ж порушення законодавства в цій сфері «тягне» на штраф у розмірі від тисячі до двох тисяч «мінімалок» (17 000 – 34 000 грн).

Завдяки ухваленню закону № 383-VII відомство Валерії Лутковської має отримати доступ до державного реєстру баз персональних даних (раніше дані держреєстру планували знищити, але потім їх вирішили передати омбудсмену з огляду на важливість величезного масиву інформації, зібраної впродовж останніх років).

Уповноважений із прав людини отримає досить вагомі повноваження: одержувати на свою вимогу та користуватися будь-якою інформацією (документами) власників або розпорядників персональних даних, які необхідні для здійснення контролю за забезпеченням захисту персональних даних (зокрема доступ до персональних даних, відповідних баз даних чи картотек, інформації з обмеженим доступом); розглядати пропозиції, скарги та інші звернення фізичних і юридичних осіб із питань захисту персональних даних; проводити планові та позапланові перевірки власників та розпорядників персональних даних (для внесення відповідних рекомендацій і приписів); узгоджувати корпоративні кодекси поведінки; здійснювати моніторинг нових практик, тенденцій і технологій у сфері захисту персональних даних.

Доволі суттєві доповнення передбачає й ст. 7 Закону України «Про захист персональних даних»: «Забороняється обробка персональних даних про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, засудження до кримінального покарання, а також даних, що стосуються здоров’я, статевого життя, біометричних або генетичних даних».

Фізичні особи – підприємці (адвокати, нотаріуси, лікарі, що мають відповідну ліцензію) особисто забезпечуватимуть захист персональних даних, якими вони володіють. Щоправда, незрозуміло, яким має бути механізм для реалізації такої вимоги.

Під маскою «досліджень»

Згідно з чинним законодавством, не допускається обробка персональних даних про особу без її особистої згоди (окрім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини).

Обсяг даних, які можуть бути внесені до бази персональних даних, визначається умовами згоди, насамперед, письмової. Проте існує один суттєвий момент: ані відсутність згоди на використання персональних даних, ані належна реєстрація самої бази даних не гарантують, що право на приватне життя не буде ніким порушене. Доволі часто зловмисники не зважають навіть на вимоги ст. 182 Кримінального кодексу, де передбачено суворе покарання за незаконне збирання та використання конфіденційної інформації про особу: від штрафу (8 500 – 17 000 грн) до позбавлення волі на строк від 3 до 5 років.

Встановити винуватця «витоку» інформації про особу – справа непроста. Як відомо, обробку персональних даних здійснюють на підставі вільного волевиявлення сторін (відповідно до їхніх правовідносин). Під час працевлаштування працівник пише заяву, в якій вказує паспортні дані та інші особисті відомості (вік, стать, сімейний стан, освіта, професія, особисті інтереси й захоплення). Зазначена інформація пов’язана з реалізацією різних цивільно-правових відносин: трудових, соціальних, адміністративних, управлінських, податкових тощо. Тобто, до цієї сфери залучено чимало посадовців (директорів, бухгалтерів, податківців, роботодавців), які мають безпосередній стосунок до бази персональних даних фізичних осіб.

Часто персональні дані українці змушені надавати навіть тій особі (фізичній чи юридичній), яка жодним чином не причетна до їхньої трудової та службової діяльності. Наприклад, щоб поселитись у готелі, спочатку потрібно погодитися з його правилами, які розміщують у місцях оформлення поселення. Ці правила можуть бути викладені приблизно таким чином: «Шановний відвідувачу! Заповнюючи картку, ви надаєте готелю свої персональні дані. Надалі готель використовуватиме їх для реалізації адміністративно-правових, податкових відносин, а також для маркетингових досліджень. Відповідно до Закону України «Про захист персональних даних», який набрав чинності 1 січня 2011 року, ми забезпечуємо захист ваших персональних даних, що стали відомі готелю, зокрема від несанкціонованого доступу, незаконного використання. Просимо надати згоду на обробку ваших персональних даних відповідно до законодавства для забезпечення зазначених вище відносин».

Насправді ж таке прохання сприймається як необхідна умова (читай – вимога) для отримання доступу до персональних даних відвідувача. Виникає запитання: де гарантія, що працівники готелю чи пансіонату справді захищатимуть права відвідувача, а не передаватимуть персональні дані «потрібним» людям, прикриваючись необхідністю здійснення «маркетингових досліджень»?

Продається копія паспорту. Ціна – договірна

Ще один малоприємний момент пов’язаний із процесом обробки персональних даних під час валютно-обмінних операцій. У «валютній» Інструкції, затвердженій постановою Нацбанку, ідеться: фінансова установа (банк) має право здійснювати такі операції «за умови пред’явлення будь-якого документа, що посвідчує особу» (із зазначенням у довідках та квитанціях прізвища, імені та по батькові).

У зазначеній Інструкції також записано: «Копіювання сторінок документа, що посвідчує особу, забороняється». Тобто, на папері все виглядає нібито солідно. А в реальному житті? Наш кореспондент на власному прикладі переконався в протилежному: під час продажу 50-доларової купюри працівниця банківської установи неподалік Києво-Печерської лаври взяла паспорт і з відчуттям повністю виконаного обов’язку зробила ксерокопію кількох сторінок. Постає запитання: навіщо?

То чи ж варто після цього дивуватися численним повідомленням мас-медіа про те, що нині в Україні відбувається нелегальна торгівля персональними даними українців? У соцмережі «Вконтакте» і на численних форумах виявили осіб, які пропонували продати копії українських паспортів.

За словами банкірів та юристів, головні постачальники паспортних копій – організації й підприємства, які не мають можливості (і бажання) захищати конфіденційні дані про особу. Бездіяльність і безвідповідальність таких розтринькувачів інформації може призвести (а інколи й призводить) до того, що зловмисники беруть великі кредити на чужі паспорти, а справжні власники цих документів потім змушені виправдовуватись і доводити непричетність до несподіваних фінансових боргів і грошових зобов’язань.

Сподіватися на те, що ці проблеми вирішаться самі по собі, не варто. Звернімо увагу на статистику: нині в Україні нараховується майже мільйон суб’єктів господарювання. Як їх можна проконтролювати? Більше того, вимога щодо обов’язкової реєстрації баз персональних даних призвела до надмірного й необґрунтованого навантаження на бізнесменів і підприємців за цілковитої відсутності при цьому будь-якої реальної користі від такої реєстрації.

У багатьох компаніях (рекламний бізнес, кол-центри, дата-центри тощо) кількість баз персональних даних вимірюється сотнями. Контролювати їхню дільність дуже важко, інколи взагалі неможливо. Це пояснюється тим, що власник або розпорядник часто не повідомляє про місце фізичного розташування обладнання, яке використовується для зберігання бази персональних даних.

Нині виник такий парадокс: потреба в гарантуванні прав громадян на захист персональних даних об’єктивно є, але суспільством ця необхідність серйозно не сприймається. А даремно: основа свободи – власність, зокрема й власність на інформацію про приватне життя.

Очевидно, вітчизняний законодавець має враховувати те, що межі ознайомлення з персональними даними повинні бути максимально звужені, а порядок доступу до них – чітко регламентований. Повага до гідності людини, захист її прав та інтересів – прямий конституційний обов’язок будь-якої посадової особи. Така основна вимога правової держави до апарату влади та управління. Вимога ця поширюється й на всіх громадян України.

Валентин КОВАЛЬСЬКИЙ, м. Київ.

Фото Олега ТАБОРОВСЬКОГО

друкувати