Забытая реформа: как в ЕС защищают персональные данные и почему Украина идет к этому так медленно

Коли ви робите покупки онлайн, пишете в соцмережах і навіть коли йдете з телефоном у кишені – ви всюди залишаєте цифровий слід.

З даних, які ви генеруєте таким чином, компанії на кшталт Google можуть отримувати прибуток. Наприклад, показувати вам рекламу товарів чи послуг, аналогічних тим, які ви шукали. Тож відомий вислів "дані – це нова нафта" є обґрунтованим: якщо у 2008 році дві з п'яти найбільших світових компаній були нафтовими, то вже у 2018 році всі топ-5 позицій обіймали компанії, пов'язані з даними.

Оскільки дані генерують прибуток, виникають запитання: хто власник даних та хто і за якими правилами може ними користуватися?

Які підходи у ЄС

У праві ЄС відповіді на ці запитання дає низка регламентів та директив: Конвенція 108+ про захист даних, Регламент із захисту даних, Закон про цифрові послуги, Закон про цифровий ринок, Закон про ШІ та інші). Їх мають виконувати не тільки компанії з держав ЄС, але й з інших країн, що працюють із даними мешканців Євросоюзу.

Сучасне регулювання правил захисту персональних даних в ЄС вважається найбільш "просунутим", тому інші країни використовують його як взірець.

При цьому Єврокомісія може визначити перелік країн та організацій, які мають такий саме захист персональних даних, як і ЄС. Наразі це 16 юрисдикцій та організацій, зокрема Аргентина, Бразилія та Уругвай. Компаніям із цих країн та цим організаціям не потрібно отримувати додаткові погодження чи укладати окремі контракти для обміну даними з компаніями з Євросоюзу.

Як і багато іншого європейського законодавства, згаданий вище Регламент ЄС про захист персональних даних (General Data Protection Regulation, або GDPR) заснований на принципі балансу між різними цілями та інтересами різних сторін.

Наприклад, особи мають право на забуття (видалення даних після того, як зникає потреба їх обробляти) – але не тоді, коли це право суперечить суспільно важливим інтересам. Інший випадок: контролер даних повинен повідомити суб'єктів обробки даних про зміну мети обробки, але не тоді, коли таке повідомлення вимагає від контролера забагато ресурсів.

Тобто Регламент залишає доволі багато питань на розсуд стейкхолдерів і національного законодавства. У ньому часто можна зустріти такі формулювання як "відповідні" (reasonable) або "достатні" (sufficient) заходи.

Конкретне наповнення таких термінів залишено на розсуд учасників обробки даних та регуляторів цього процесу.

До моменту вступу в ЄС Україна має гармонізувати власне регулювання захисту персональних даних з європейськими правилами та створити інфраструктуру захисту даних.

Забуті законопроєкти

Цей процес уже триває, але дуже повільно.

Перший кластер перемовин про вступ включає розділ 23 "Судова влада та основоположні права" та розділ 24 "Юстиція, свобода і безпека" і передбачає повне узгодження українського законодавства з Регламентом ЄС про захист персональних даних.

Є два відповідні законопроєкти – 8153 про захист персональних даних, що має замінити чинний закон, та 6177 про створення Нацкомісії з питань захисту персональних даних.

Їх подали до парламенту ще у 2022 і 2021 роках відповідно, але досі не ухвалили.

Що передбачають ці законопроєкти та що зміниться, коли Україна буде дотримуватись GDPR?

Чинний закон про захист персональних даних (2010) впроваджує основні положення GDPR.

Це:

обов’язковість надання згоди на обробку даних і заборону обробляти дані для цілей, не визначених у згоді;
заборона обробки інформації про расове та етнічне походження, про політичні та суспільні погляди без отримання спеціальної згоди;
можливість для суб'єкта отримати інформацію про обробника та контролера даних;
можливість вимагати видалення даних (ці положення були й у Директиві 1995 року, на основі якої ухвалений закон).

Законопроєкт 8153, ухвалений у першому читанні наприкінці 2024 року, пропонує впровадити додаткові положення Регламенту – явно виражену та інформовану згоду особи на обробку даних та право особи змінювати та видаляти свої дані.

Якщо згода не є вільною (наприклад, суб'єкт перебуває в залежному становищі щодо контролера або не має можливості отримати послугу без згоди на обробку даних), вона буде визнана недійсною. Законопроєкт пропонує значно підвищити штрафи за порушення захисту персональних даних: зараз вони становлять від 1700 до 34 тисяч грн, а відповідно до законопроєкту становитимуть до 90 млн грн або 5% річного обороту компанії.

Відповідно до Національної програми адаптації законодавства України до права Європейського Союзу (acquis ЄС), цей законопроєкт мав бути ухвалений у червні 2026 року.

Втім, українські медіа, а також компанії, які працюють на ринку ЄС, уже мусять дотримуватися Регламенту ЄС. Для останніх омбудсман, який зараз займається захистом персональних даних, розробив низку рекомендацій про транскордонну передачу даних.

Загалом українські суб'єкти можуть передавати персональні дані лише державам-членам ЄС або учасницям Конвенції 108+. З іншими країнами Україна має укладати окремі договори, які визначають правові підстави обміну даними.

Супровідні документи до законопроєкту ілюструють суттєву різницю в підходах до написання законодавства між Україною та ЄС. Більшість зауважень від органів влади стосуються правової визначеності.

Наприклад, пропозиція додати об'єктивні критерії того, що таке "короткий" і "зрозумілий" до положення про те, що повідомлення про обробку даних має містити "короткий та зрозумілий суб’єкту персональних даних опис технології відстеження".

GDPR не забороняє національним органам влади запроваджувати власні визначення того, що таке "відповідні й достатні заходи", й уточнювати інші подібні формулювання. Просто українська традиція – робити це на рівні закону, а за логікою європейських законодавців, це має відбуватися на підзаконному рівні. Наприклад, через роз'яснення національного регулятора, розробку галузевих кодексів поведінки тощо. Таким чином ухвалення цього законопроєкту стане своєрідним тестом на те, яка правова традиція переможе.

Омбудсман як тимчасовий регулятор

Інший крок, який нам потрібно зробити до вступу в ЄС – запустити національного регулятора у сфері захисту персональних даних.

У 2010-2013 роках в Україні вже існувала Державна служба з питань захисту персональних даних. Проте замість того, щоб надати їй незалежність, з 1 січня 2014-го її скасували та передали її функції Уповноваженому ВР з прав людини, для якого вони не зовсім властиві.

Тим не менш Офіс омбудсмана з початку 2022 року провів понад 50 інформаційно-просвітницьких заходів та понад 170 перевірок захисту персональних даних (у місцевих радах, ЦНАПах, регіональних відділеннях статистики тощо).

За результатами перевірок для деяких органів влади видано приписи з усунення порушень законодавства.

Крім того, Офіс затвердив Типовий порядок обробки персональних даних та роз'яснення до нього, випустив два десятки рекомендацій із захисту персональних даних у різних ситуаціях та переклади шести настанов Європейської ради захисту даних (усього цих настанов близько 40). А також створив онлайн-курс про захист персональних даних.

Отже, незалежний національний регулятор, якого Україні потрібно буде створити, починатиме свою роботу не з нуля.

Вищезгаданий законопроєкт 6177 про створення такого регулятора перебуває в парламенті з 2021 року.

Він пропонує, щоб регулятором стала Національна комісія з питань захисту персональних даних та доступу до публічної інформації, яка складатиметься з семи членів, призначених Кабміном за конкурсом. Безпосередньо перевіряти дотримання правил захисту персональних даних буде Служба інспекторів Національної комісії, а голову цієї служби призначатиме голова Нацкомісії за результатами конкурсу.

При Нацкомісії буде Рада громадського контролю та Консультативна рада, що складатиметься з представників Мін'юсту, Мінцифри, Держспецзв'язку, Уповноваженого ВР з прав людини, Торговельно-промислової палати, Нацради з питань розвитку науки і технологій та Ради громадського контролю.

Що ще має впровадити Україна?

Звіт Єврокомісії по Україні 2025 року зазначає, що доступ до інтернет-ресурсів потрібно узгодити з європейськими стандартами свободи слова. Зокрема, підвищити прозорість рішень про блокування сайтів. Крім того, Україна має узгодити з європейськими стандартами захисту даних використання технологій розпізнавання обличчя й подібних та Національну систему e-Health.

Українську систему відкритих даних потрібно узгодити з Open Data Directive та Data Governance Act.

Країна вже має здобутки у цій царині. Так, портал "Дія" відповідає вимогам Регламенту ЄС про е-ідентифікацію та довірчі послуги (е-IDAS), залишилося впровадити європейську процедуру сертифікації приладів, що створюють кваліфіковані електронні підписи (зараз такі прилади для України сертифікують визначені органи в країнах ЄС).

Не слід забувати й про штучний інтелект.

Адже AI Act Україна зрештою також повинна буде впровадити в рамках вступу до ЄС.

Наразі є Біла книга 2024 року, в якій Мінцифри виклало своє бачення регулювання ШІ в Україні. Воно полягає у створенні регулювання "знизу вгору", тобто тестування певних регуляцій в "регуляторних пісочницях", отримання пропозицій від бізнесу та громадських організацій.

Законодавче узгодження з AI Act має відбутися наприкінці цього процесу.

Матеріал створено ГО "Вокс Україна" за підтримки Фонду "Аскольд і Дір", що адмініструється ІСАР Єднання в межах проєкту "Сильне громадянське суспільство України – рушій реформ і демократії" за фінансування Норвегії та Швеції. Зміст публікації є відповідальністю ГО "Вокс Україна" та не є відображенням поглядів урядів Норвегії, Швеції або ІСАР Єднання.