Дослідження: Ключ від таємниці

Сувора реальність змушує правників усе більше заглиблюватись у сферу захисту персональних даних, формуючи новий напрям юридичної практики

Захист персональних даних став топ-темою кінця 2011 року. І це не дивно, адже в державі з’явилася цілком нова, незрозуміла багатьом сфера законодавчого регулювання. Що таке персональні дані та «з чим їх їдять» — цього досі не можуть чітко пояснити ані науковці, ані держслужбовці. Точніше — пояснення є, але їх багато і всі вони різняться.

Добре забуте старе

При спостереженні за панічним напливом населення на «штаб-квартиру» Служби в листопаді-грудні минулого року, мимоволі спадала на думку відома всім народна мудрість: «Доки грім не вдарить…». Адже проб­лема захисту персональних даних постала перед суспільством аж ніяк не в 2011 році.

Якщо згадати положення Закону України «Про інформацію» (причому не нову редакцію, яка діє з травня минулого року, а ту, що була чинною ще з 1992-го), то можна помітити, що в статті 23 цього Закону у стислому вигляді міститься ті самі положення, що покладені в основу Закону України «Про захист персональних даних». Зокрема, визначено, що «основними даними про особу (персональними даними) є: національність, освіта, сімейний стан, релігійність, стан здоров’я, а також адреса, дата і місце народження», встановлена заборона на збирання відомостей про особу без її попередньої згоди, передбачене право кожної особи на ознайомлення з інформацією, зібраною про неї.

Власне, Закон України «Про захист персональних даних» від 1 червня 2010 року № 2297 (Закон) був підписаний Президентом ще позаторік, але суспільного резонансу тоді не спричинив. Викликав він лише досить-таки кволу хвилю обговорень у середовищі юристів, яка швидко вщухла, адже на той час положення Закону були цілковито декларативними — не було ані «спеціально уповноваженого органу», ані «передбаченої законом відповідальності». Але за майже півтора року «підготовчого періоду» громадськість та бізнес так і не були підготовлені до правильного сприйняття Закону, що змусило парламентарів відтермінувати введення відповідальності до 1 липня 2012 року.

Цей час надавався не лише для того, щоб працівники Державної служби з питань захисту персональних даних (Служба) встигли обробити декілька мільйонів заяв на реєстрацію баз даних, які надійшли до них наприкінці минулого року, але й для вироблення єдиного, правильного уявлення про те, як саме законодавство про захист персональних даних має застосовуватися.

Конкретна ідентифікація

Перше яблуко розбрату приховане в самому визначенні поняття «персональні дані» (далі за текстом також ПД, а їхні бази — БПД). Як відомо, стаття 2 Закону встановлює, що «ПД — це відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована». Одразу помітна позитивна риса цього визначення — воно справді охоплює весь масив даних, які потребують захисту. Водночас впадає в око і риса негативна — складно знайти двох людей, які дійшли б згоди стосовно того, що таке «конкретна ідентифікація» та яким чином вона має/може/повин­на відбуватися.

«Єдиним критерієм віднесення відомостей до ПД, який встановлений Законом, є те, що за їхньою допомогою фізична особа може бути ідентифікована», — слушно вказує на цей недолік старший юрист АК «Правочин» Сергій Дзюбенко.

Різні особи та структури мають різні можливості для ідентифікації особи. Доклавши зусиль, як правило, можна ідентифікувати особу навіть за IP-адресою комп’ютера, з якого ця особа здійснювала доступ до мережі Інтернет. За номером автомобіля можна ідентифікувати його власника. Так само — за номером паспорта, водійського посвідчення тощо. Але здійснити таку ідентифікацію здатні не всі і не завжди.

Пан Дзюбенко вважає, що за таких обставин в кожному випадку отримання відомостей про особу необхідно оцінювати можливість за їх допомогою ідентифікувати її та відповідно приймати рішення, чи є такі відомості персональними даними, які підлягають захисту згідно із Законом.

Зрозуміло, що власникам великих БПД доведеться розробити внутрішні механізми, за допомогою яких ті чи інші дані визнаються «персональними» або ні, і, відповідно, прий­мається рішення про реєстрацію/нереєстрацію бази таких даних або про включення/невключення таких даних до зареєстрованої бази.

Необхідний мінімум даних, які за звичайних обставин дозволяють ідентифікувати особу,— ось те, чого критично не вистачає Закону. «Ідентифікаційний мінімум», тобто мінімальний обсяг даних, достатній для ідентифікації конкретної особи, Законом не встановлюється, як і перелік ПД»,— зазначає юрист АО «Волков і Партнери» Маріанна Бек.

Керівник практики МПЦ EUCON, адвокат Євген Петренко звертає увагу на те, що у Директиві Європейського Союзу «Про захист осіб у зв’язку з обробкою персональних даних та переміщенням (передачею) таких даних» від 24 жовтня 1995 року (Директива ЄС), а саме: в абзаці 26 зазначено, «щоб визначити, чи є особа такою, що може бути конкретно ідентифікованою, до уваги необхідно брати всі можливі способи, які можуть застосовуватися як власником інформації, так і будь-якою третьою особою для ідентифікації зазначеної особи».

«Ідентифікація або гіпотетична можливість ідентифікації конкретної людини є ключовим критерієм», — вважає пан Євген. На думку адвоката, список прізвищ та імен осіб, що проживають в Україні, наприклад, не містить достатнього набору даних, щоб ідентифікувати конкретну людину, оскільки імена і прізвища в такому списку не прив’язані до конкретних осіб. «Для ідентифікації такої особи знадобляться додаткові відомості, наприклад, ідентифікаційний номер, адреса проживання, професія, вік або будь-які інші специфічні дані», — пояснює він.

Сергій Дзюбенко вважає, що даними, за допомогою яких особу можливо конкретно ідентифікувати, можуть бути відомості (наприклад, ідентифікаційний номер особи або її паспортні дані, реквізити інших документів, що видані на ім’я особи, свідоцтва про народження, посвідчення водія, документа про освіту), а також сукупність відомостей (наприклад, прізвище, ім’я, по батькові, дата та місце народження, місце проживання, засоби зв’язку, місце навчання або роботи тощо).

Втрачена справедливість

Окремі фахівці вже звертали увагу на відмінність положень Закону від їхніх аналогів у Директиві ЄС, де сказано, що «для того, щоб обробка даних була справедливою, суб’єкт даних повинен дізнатися про існування факту обробки». Напевне, законодавець вирішив не запозичувати оціночне поняття «справедливість» у європейських колег, справедливо побоюючись, що воно стане предметом зловживань та спорів.

Та «з пісні слів не викинеш» — не може Закон успішно працювати без забутої авторами «справедливості». Специфічною рисою правовідносин у сфері захисту персональних даних є їхня динамічність і багатогранність, які не дають змоги поставити ці відносини в жорсткі законодавчі рамки. Норми законодавства в цій сфері вимушено гнучкі — лише так вони здатні охопити весь спектр відносин, які існують та можуть виникнути в найближчому майбутньому.

«Широкий підхід до визначення поняття «персональні дані» надає змогу застосовувати Закон у майбутньому до різноманітних ситуацій, які змінюються під впливом розвит­ку комп’ютерної, технологічної, економічної та інших сфер нашого суспільного життя», — зазначає Інна Скузь із ПГ «Павленко і Побережнюк». На думку пані Інни, законодавець свідомо надав поняттю «персональні дані» гнучкості та різноманітності його тлумачення, аби мати можливість застосовувати його положення до будь-яких відносини, які ще не існували на момент прий­няття цього Закону, але які можуть виникнути і обов’язково виникнуть у майбутньому.

Виявлений законодавцем широкий підхід, можливо, має право на існування. Але не потрібно забувати, що «приміряти» розпливчасті законодавчі норми до кожного конкретного випадку будуть співробітники Служби, судді та працівники правоохоронних органів.

Відокремлені бази

Положення Закону України «Про захист персональних даних» та супутніх нормативних актів, як не крути, націлені передусім на великі корпорації, які обробляють значні масиви персональних даних — банки, страхові компанії, оператори стільникового зв’язку тощо. Саме вони здебільшого є джерелом несанкціонованого витоку інформації про особу.

Як правило, корпорації мають розгалужену мережу відокремлених підрозділів — філій, представництв та відділень, а також дочірніх підприємств. Усі ці «структурні елементи» так чи інакше користуються загальними базами даних корпорації, а буває, що мають також власні міні-бази. Виникає закономірне запитання — чи підлягатимуть такі міні-бази окремій реєстрації та чи може відок­ремлений підрозділ юридичної особи виступати володільцем або розпорядником бази персональних даних?

На думку Інни Скузь, відокремлений підрозділ юридичної особи може виступати тільки як розпорядник бази персональних даних. У свою чергу, володільцем бази персональних даних може бути тільки сама юридична особа.

Є й інший підхід, за яким відок­ремлений підрозділ не може бути навіть розпорядником бази персональних даних. Як зазначає юрист ЮФ «Астерс» Юлія Янюк, згідно із роз’ясненнями Служби на її веб-сайті, відокремлений структурний підрозділ юридичної особи може бути володільцем/розпорядником бази якщо:

—?бази персональних даних юридичної особи та її відокремленого структурного підрозділу мають різне найменування;

—?ведення таких баз персональних даних регулюється різними нормативно-правовими актами та/або внутрішніми актами;

—?структурний підрозділ має статус окремої юридичної особи.

У інших випадках володільцем баз персональних даних буде відповідна юридична особа, а різні місцезнаходження баз персональних даних повинні зазначатися у розділі ІІ заяви про реєстрацію бази персональних даних.

Це роз’яснення дає однозначну відповідь на запитання — відокремлений підрозділ (філія, представництво, відділення) не може бути ані володільцем, ані розпорядником бази персональних даних, а дочірнє підприємство — може. А отже, міні-база «Клієнти банківського відділення» — всього лише частина великої бази персональних даних «Клієнти банку». У той же час при реєстрації цієї бази у відповідній заяві необхідно зазначити всі адреси фактичного місцезнаходження бази даних (або її частин).

Але це не означає, що в розділі II заяви потрібно перелічити адреси всіх наявних відокремлених підрозділів, а при створенні нового підрозділу одразу ж подавати заяву про внесення змін. Адже реєструється саме «місцезнаходження бази», а не «місцезнаходження точки, з якої здійснюється постійний доступ до бази». Якщо база персональних даних в електронній формі міститься на єдиному сервері, до якого працівники численних відокремлених підрозділів мають віддалений доступ, то є лише одне місцезнаходження бази — місцезнаходження сервера. Якщо відокремлені підрозділи мають «дублікати» бази або її частини на власних серверах — місцезнаходжень буде декілька, але база — все одно єдина.

«Наявність декількох носіїв інформації, наприклад декількох серверів, може впливати на відомості, які потрібно зазначати при реєстрації бази персональних даних у Державній службі України з питань захисту персональних даних, — наголошує адвокат АО «ЮФ Василь Кісіль та Партнери» Владислав Подоляк. — Наприклад, обробка даних відбувається за допомогою сервера компанії, а також за допомогою сервера, який належить розпоряднику бази персональних даних (у тому числі материнській компанії). У цьому разі у заяві про реєстрацію бази персональних даних потрібно зазначити дві адреси щодо місцезнаходження бази персональних даних».

Той самий принцип має застосовуватися не тільки до відокремлених підрозділів. Не секрет, що персональні дані клієнтів або контрагентів підприємства можуть являти собою не єдину впорядковану систему, а декілька. Наприклад, різні відділи або навіть різні менеджери можуть мати власні бази контактів клієнтів (постачальників), які не є ідентичними між собою. І все ж цю ситуацію не треба розглядати як утворення великої кількості окремих баз персональних даних.

Надмірне дроблення та звуження поняття «база персональних даних» не відповідатиме меті Закону — воно призведе лише до виникнення невиправданої бюрократичної тяганини всеукраїнських масштабів, яка не піде на користь ані громадськості, ані бізнесу, ані державі.

Недвозначна згода

Відповідно до пункту 6 статті 6 Закону, не допускається обробка даних про фізичну особу без її згоди. Щодо вразливих персональних даних (частина 1 статті 7), то Закон додатково встановлює, що згода має бути «однозначною». Законом прямо не визначено, що така згода має бути «письмовою», і взагалі не врегульовано її форму.

Звужене тлумачення цієї норми (тобто уявлення про згадану «згоду» як про документ з обов’язковим підписом особи) не відповідатиме реаліям інформаційного суспільства та тенденції до поступової відмови від «марнування паперу» в тих випадках, коли бажаного результату можна досягнути з використанням сучасних засобів зв’язку.

Чимало підприємств (наприклад, магазини електронної торгівлі) спілкуються із споживачами та контр­агентами винятково засобами зв’язку. В інтересах таких підприємств — мати можливість отримувати згоду особи на обробку її персональних даних в мережі Інтернет (наприклад, шляхом проставляння відповідної відмітки у графі «Я згоден на обробку моїх персональних даних…» при заповненні анкети), електронною поштою, телефоном тощо.

Законодавство в сфері захисту персональних даних не дає чіткої відповіді на запитання щодо форми згоди на обробку персональних даних, проте тлумачення положень Закону свідчить не на користь апологетів «дистанційної згоди».

«Надання згоди суб’єктом персональних даних через засоби зв’язку, наприклад під час телефонної розмови, є недійсним та не може використовуватись, оскільки така згода не задокументована та виражена лише у звуковій формі», — вважає Інна Скузь, при цьому не виключаючи можливості надання згоди у мережі Інтернет, але тільки з використанням електронного цифрового підпису (ЕЦП).

Схожої думки дотримується і Сергій Дзюбенко. «Згода суб’єкта персональних даних на обробку його персональних даних не може надаватися в усній формі, в тому числі за допомогою телефону», — однозначно констатує пан Сергій.

На думку Маріанни Бек, надання згоди будь-якими засобами зв’язку, наприклад у телефонному режимі, явно суперечить вимогам законодавства. У той же час пані Маріанна припускає можливість онлайн-згоди. Відмітка у графі «Я згоден на обробку моїх ПД…», поставлена на конкретному сайті у мережі Інтернет, означає згоду особи на обробку її персональних даних винятково володільцем БПД цього сайту відповідно до визначеної у згоді мети та передбачає відповідальність останнього за порушення законодавства про захист ПД, вважає вона.

Використання ЕЦП у нашій державі поки що не набуло масового характеру серед населення і навряд чи набуде в найближчі п’ять-десять років. А отже, можна спрогнозувати, що деякі підприємства практикуватимуть отримання онлайн-згоди без ЕЦП, а так само і «телефонної згоди». Чи зазнають такі сміливці терору з боку інспекторів Служби — покаже друге півріччя 2012 року.