Захист персональних даних в Україні: юридичні аспекти та відповідальність компаній. Інтерв’ю з Аліною Шулікою, адвокатом Dynasty Law & Investment

Захист персональних даних в Україні – це одна з ключових сфер, що потребує постійної модернізації та вдосконалення. Важливим залишається не лише вдосконалення законодавства, а й підвищення цифрової грамотності громадян, а також відповідальність компаній за безпечне зберігання та обробку даних. Лише комплексний підхід дозволить забезпечити ефективний захист персональної інформації в умовах цифрового суспільства, розповіла в інтерв’ю UA.NEWS Аліна Шуліка, адвокат Dynasty Law & Investment. 

Закон «Про захист персональних даних» відіграє ключову роль у формуванні безпечного цифрового простору в Україні. Його дотримання є обов’язковим для всіх суб’єктів, які працюють з персональними даними. Запровадження сучасних заходів кібербезпеки, а також належний контроль за обробкою інформації, допоможуть мінімізувати ризики витоку даних та порушення прав громадян. Удосконалення законодавства та впровадження міжнародних стандартів у сфері захисту даних сприятиме розвитку ІТ-індустрії та підвищенню довіри до цифрових сервісів в Україні, наголосила адвокат. 

Що таке персональні дані? Які дані вони включають?

Аліна Шуліка: Персональні дані — відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована та включають інформацію про особисте життя людини, її сімейні обставини, листування, телефонні переговори, партійну належність, віросповідання, національність, а також різні види професійних таємниць. 

Захист цих даних є важливим аспектом прав людини.

Що означає обробка персональних даних? 

Аліна Шуліка: Під обробкою персональних даних розуміється будь-яка дія або сукупність дій, таких як збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання і поширення (розповсюдження, реалізація, передача), знеособлення, знищення персональних даних, у тому числі з використанням інформаційних (автоматизованих) систем.

Які є ключові принципи захисту персональних даних? 

Аліна Шуліка: Основними принципами захисту персональних даних є:

• Законність та прозорість обробки – персональні дані можуть оброблятися лише за згодою суб’єкта або на підставі законних підстав. Згода суб’єкта персональних даних — добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, висловлене у письмовій формі або у формі, що дає змогу зробити висновок про надання згоди.


• Цільове обмеження – дані повинні збиратися лише для конкретних, чітко визначених цілей. Мінімізація даних – оброблятися повинні лише ті дані, які необхідні для виконання певного завдання. 


• Обмежений строк зберігання – персональні дані мають зберігатися не довше, ніж це потрібно для їх обробки. 


• Конфіденційність та безпека – компанії та державні установи зобов’язані впроваджувати заходи безпеки для запобігання витоку або несанкціонованого доступу до даних.

Як в Україні регулюється захист персональних даних?

Аліна Шуліка:  Захист персональних даних в Україні регулюється Конституцією України, Законами «Про інформацію», «Про захист персональних даних», «Про звернення громадян», а також іншими нормативними актами. Відповідно до статті 32 Конституції, збір, зберігання та використання конфіденційної інформації без згоди особи забороняється, за винятком випадків, передбачених законом. Водночас стаття 64 Конституції України передбачає, що в умовах воєнного стану можуть запроваджуватися тимчасові обмеження прав і свобод, включно із захистом персональних даних.



Які обмеження щодо захисту персональних даних можуть бути запроваджені під час воєнного стану?

Аліна Шуліка: В умовах воєнного стану можливі тимчасові обмеження прав щодо персональних даних, особливо якщо це необхідно для національної безпеки, боротьби з кримінальними правопорушеннями чи захисту прав інших осіб. Це узгоджується з положеннями міжнародного права, зокрема Конвенції про захист прав людини і основоположних свобод. Органи державної влади можуть обробляти персональні дані без згоди особи на підставі законодавчих норм, які регламентують виконання їхніх повноважень.

Чи відповідає українське законодавство європейським нормам в контексті захисту персональних даних?

Аліна Шуліка:  Українське законодавство щодо захисту персональних даних ще не повністю відповідає європейським стандартам, зокрема Конвенції Ради Європи № 108 та Директиві ЄС 95/46/ЄС. Конвенція № 108 спрямована на захист прав особи від незаконного збору, обробки та поширення персональних даних. 

Які є юридичні норми щодо захисту персональних даних?

Аліна Шуліка: Україна ратифікувала Конвенцію № 108 у 2005 році, що стало підставою для ухвалення у 2010 році Закону України «Про захист персональних даних». Цей закон регулює обробку персональних даних з використанням автоматизованих і неавтоматизованих засобів. Для посилення відповідальності за порушення правил захисту персональних даних у 2011 році були внесені зміни до законодавства, що передбачають адміністративну відповідальність.

Яка відповідальність очікує за порушення законодавства про захист персональних даних? 

Аліна Шуліка: Недодержання встановленого законодавством про захист персональних даних порядку захисту персональних даних, що призвело до незаконного доступу до них або порушення прав суб’єкта персональних даних передбачає адміністративну та кримінальну відповідальність за порушення правил обробки персональних даних:

• Адміністративна відповідальність (ст. 188-39 КУпАП) – штрафи для фізичних та юридичних осіб за порушення порядку збору, обробки та зберігання персональних даних. Штрафи для фізичних осіб від 1 700 до 8 500 грн, для посадових осіб та громадян-суб’єктів підприємницької діяльності– від 5 100 до 17 000 грн.


• Кримінальна відповідальність (ст.182 КК України) – у разі серйозних порушень, таких як незаконне збирання, зберігання, використання або поширення конфіденційної інформації про особу карається штрафом від 8 500 грн до 17 000 грн або виправними роботами на строк до двох років, або пробаційним наглядом на строк до трьох років, або обмеженням волі на той самий строк.

Що можна вдосконалити в українському законодавстві про персональні дані? 

Аліна Шуліка: На сьогодні тривають дискусії щодо оновлення Закону України «Про захист персональних даних» з метою гармонізації з європейськими нормами, зокрема Загальним регламентом захисту даних (GDPR). Планується розширення прав суб’єктів персональних даних, посилення контролю над їх обробкою та запровадження нових механізмів захисту.

А що говорить українська судова практика про конфіденційну інформацію? 

Аліна Шуліка: Постановою КАС ВС від 21.01.2021 — № 160/7938/19 надано роз’яснення, що інформацією з обмеженим доступом є конфіденційна, таємна та службова інформація. Конфіденційною є інформація про фізичну особу, а також інформація, доступ до якої обмежено фізичною або юридичною особою, крім суб`єктів владних повноважень. 

Конфіденційна інформація може поширюватися за бажанням (згодою) відповідної особи у визначеному нею порядку. Важливо знати, що заборонено обробку даних про фізичну особу без її згоди, а особисті немайнові права на персональні дані, які має кожна фізична особа, є невід`ємними і непорушними.



Як відбувається захист персональних даних в інформаційних системах та на підприємствах?

Аліна Шуліка: Захист персональних даних в автоматизованих системах забезпечується комплексною системою захисту інформації. Власники баз персональних даних повинні створювати умови для запобігання незаконному доступу до них. Процес захисту включає розробку політики безпеки, її впровадження, постійний моніторинг та коригування заходів.

На підприємствах для дотримання законодавства щодо захисту персональних даних необхідно визначити мету обробки даних, реєструвати бази персональних даних у відповідному реєстрі, оформлювати письмову згоду суб’єктів на обробку їхніх даних, а також призначити відповідальних осіб.

Які існують виклики в сфері захисту персональних даних?

Аліна Шуліка: З поширенням цифрових технологій та автоматизованих систем постає низка викликів у сфері захисту персональних даних. До основних загроз належать:

• Кібератаки та витоки персональних даних унаслідок хакерських атак;


• Недостатня правова регламентація збору та обробки даних у приватному секторі;


• Використання персональних даних у шахрайських схемах;


• Недостатня обізнаність громадян щодо захисту своїх даних в онлайн-середовищі.

Як захистити дані у кіберпросторі?

Аліна Шуліка: Особливу увагу слід приділяти захисту персональних даних від кібератак та шахрайських дій. Важливо не відкривати сумнівні електронні листи, повідомлення в месенджерах та соціальних мережах, оскільки вони можуть містити фішингові посилання, що використовуються зловмисниками для збору конфіденційної інформації. Надійний захист персональних даних включає використання перевірених джерел інформації, резервне копіювання важливих файлів та обмеження доступу до особистої інформації.

Таким чином, організації та підприємства повинні впроваджувати ефективні заходи для дотримання законодавства та захисту персональних даних, що допоможе уникнути санкцій та забезпечить правовий захист громадян.