Захист персональних даних в Україні

Персональні дані як правовий інститут, який потребує захисту, з’явився в українському законодавстві у 2011 році, з набуттям чинності 1 січня 2011 року Закону України «Про захист персональних даних» (далі – «ЗУ «Про захист ПД»). Для суспільства та державних органів це було приголомшливою новиною та головним болем, країну сколихнула хвиля різноманітних семінарів та практикумів з питань захисту персональних даних, по ходу дії створювалася спеціалізована служба, яка сама не зовсім розуміла як захищати та оберігати персональні дані, на які до цього ніхто не звертав ніякої уваги, натомість виявляється, що персональні дані це такі ж немайнові цінності та блага як життя, гідність, ділова репутація. Бази персональних даних почали масово реєструвати, що паралізувало роботу служби з питань захисту персональних даних.

До цього персональним даним присвячувалась лише стаття 23 Закону України «Про інформацію», а Конституційний Суд України в своєму Рішенні № 5-зп від 30.10.1997 ще в 1997 році звертав увагу на необхідності привести законодавство України у відповідність до європейських стандартів.

На початку 2012 року, все той самий Конституційний Суд України в своєму рішенні № 2 рп/2012 від 20.01.2012, деталізував, що інформацією про особисте та сімейне життя особи (персональними даними), серед іншого, є: національність, освіта, сімейний стан, релігійні переконання, стан здоров’я, матеріальний стан, адреса, дата і місце народження, місце проживання та перебування тощо, дані про особисті майнові та немайнові відносини цієї особи з іншими особами, зокрема членами сім’ї, а також відомості про події та явища, що відбувалися або відбуваються у побутовому, інтимному, товариському, професійному, діловому та інших сферах життя особи, за винятком даних стосовно виконання повноважень особою, яка займає посаду, пов’язану зі здійсненням функцій держави або органів місцевого самоврядування.

Не встигла служба з питань захисту персональних даних запрацювати, як вже з 1 січня 2014 року основним органом, відповідальним за захист персональних відомостей, став Уповноважений Верховної Ради України з прав людини (далі – «Омбудсмен»).

Пройшло 7 років, а юристи продовжують повторювати, що існує цивільно-правова, адміністративна, кримінальна відповідальності в сфері захисту персональних даних. Однак це все суха, аморфна теорія, а що відбувається на практиці?

При розгляді спорів щодо відшкодування моральної шкоди, зокрема в справах про розголошення персональних даних та втручання в особисте життя, слід виходити із презумпції спричинення особі моральної шкоди відповідачем та обов’язку саме відповідача спростувати таку презумпцію, про що йдеться в Постанові Верховного Суду України від 27.09.2017 справі № 6-1435цс17.

Широкого розголосу боротьба за захист персональні дані набула в сфері споживчого кредитування та протидії колекторським компаніям. Банки досить часто передавали та передають персональні дані в рамках переуступки права вимоги, факторингових операцій своїх клієнтів-боржників третім особам. Натомість і в силу положень ст. 10 ЗУ «Про захист ПД» фінансові установи діють в рамках наданих повноважень з метою захисту своїх прав, і у договорах банківські установи зі своїми клієнтами додатково прописують процедуру передачі персональних даних (для прикладу, Ухвала Вищого спеціалізованого суду з розгляду цивільний і кримінальних справ від 26.10.2016 у справі № 473/2644/15-ц).

Омбудсмен на сторожі захисту наших персональних даних

Положення ст. 28 ЗУ «Про захист ПД» щодо відповідальності в сфері захисту персональних даних не містять жодної конкретики, а носять лише загальний характер та відсилають до законодавства України, загалом.

У свою чергу, відповідно до ст. 188-39 Кодексу України про адміністративні правопорушення (далі – «КУпАП») передбачена адміністративна відповідальність у формі різноманітних штрафів, які коливаються від 1 700 грн. до 17 000 грн.

В силу приписів ст. 255 КУпАП Омбудсмен вправі складати протоколи про адміністративні правопорушення, після чого матеріали адміністративної справи передаються до суду.

Якщо взяти до уваги щорічні доклади Омбудсмена, то протягом 2016 року Омбудсменом було проведено 76 перевірок володільців персональних даних, за результатами яких видано та передано для обов’язкового виконання 33 приписи про усунення порушення вимог законодавства у сфері захисту персональних даних виявлених під час перевірки, а також складено 5 протоколів про адміністративне правопорушення.

Минулого року кількість перевірок було значно меншою – 45, за результатами яких було видано та передано для обов’язкового виконання 38 приписів про усунення порушення вимог законодавства у сфері захисту персональних даних, а також складено та направлено до суду 34 протоколи.

За результатами розгляду судами справ про адміністративні правопорушення у 2 справах осіб було визнано винними та накладено адміністративне стягнення, у 13 справах – особу визнано винною, проте провадження у справі було закрите у зв’язку із закінченням на момент розгляду справи строків накладення адміністративного стягнення.

Мабуть, найбільш резонансною справою цього року стало притягнення до адміністративної відповідальності та накладання штрафу в розмірі 5 100 грн. на військового комісара Львівського обласного військкомату за розміщення на офіційній сторінці військкомату списків громадян, які підлягають призову на строкову військову службу і не з’явилися до військового комісаріату (Постанова Личаківського районного суду м. Львова від 19.02.2018 у справі № 463/255/18). На даний час справа слухається в апеляційній інстанції, і скоріше за все, особі вдасться уникнути відповідальності. Адже основною проблемою притягнення до адміністративної відповідальності є архаїчність та застарілість положень КУпАП, оскільки суд має прийняти рішення про притягнення до відповідальності в межах 3 місяців з моменту вчинення правопорушення, а при триваючому правопорушенні – не пізніш як через три місяці з дня його виявлення. Виходить, що особі досить часто вдається уникнути досить солідних штрафів. На жаль, про це в щорічних доповідях Омбудсмена не йдеться.

Злочин є, а що з відповідальністю?

Статтею 182 Кримінального кодексу України (далі – «КК України») передбачена кримінальна відповідальність за сам факт незаконного збирання, зберігання, використання, знищення, поширення конфіденційної інформації про особу або незаконна зміна такої інформації, крім випадків, передбачених іншими статтями цього Кодексу, у формі штрафу від п’ятисот (8 500 грн.) до однієї тисячі (1 700 грн.) неоподатковуваних мінімумів доходів громадян або виправними роботами на строк до двох років, або арештом на строк до шести місяців, або обмеженням волі на строк до трьох років.

Натомість, якщо правопорушення стосується саме не додержання встановленого законодавством про захист персональних даних порядку захисту персональних даних, що призвело до незаконного доступу до них або порушення прав суб’єкта персональних даних, то не уникнути адміністративної відповідальності відповідно до положень КУпАП.

Зважаючи на статистику, наведену на сайті Генеральної прокуратури України, за ст. 182 КК України реєструвалося щомісячно протягом 2017 році приблизно по 150 злочинів, більшість з яких були закриті і лише одиниці доходили до суду, що загалом свідчить про неефективність роботи правоохоронних органів, наявності труднощів в розслідуванні та притягнення до кримінальної відповідальності.

Висновок

Отже, виходить, що система захисту персональних даних наших громадян залишається на рівні десяти років тому, штрафи та відповідальність періодично переглядається, проте механізм притягнення до відповідальності залишається в стадії реформування та осмислення.

Євген Власов

Адвокат

#трудові_спори, #податковий_адвокат, #оскарження_звільнення, #господарські_спори, #стягнення_заборгованості, #стягнення_інфляційних, #житловиселення, #АБвласоваВектор, #сімейніспори, #АдвокатськебюроВектор, #familylaw, #аліменти, #податковий_адвокат, #АБвласоваВектор, #фіктивне_підприємство, #фіктивність,  #порушення_постачальником_податкового_законодавства,