Про державу і згоду на обробку персональних даних

Дисклеймер. Парламент у першому читанні розглянув проект закону «Про захист персональних даних» 8153, який є дуже потрібним для нашої інтеграції в ЄС, але викликав бурю емоцій, питань та невдоволень саме з причини нерозуміння окремих особливостей реалізації фундаментального права людини на приватність. Тому ми вирішили зробити для вас серію пояснень окремих норм проекту. І почнемо з найактуальнішого.

Про державу і згоду на обробку персональних даних

Довго думала з чого почати нашу розмову про захист персональних даних та його національні особливості.

І ось тут допомогли нещодавні закиди окремих народних обранців про те, що в законі про реєстр військових не написали про обробку даних в державному реєстрі лише за згодою особи.

Інший орган виконавчої влади обурився про розкриття лікарської таємниці без згоди пацієнта.

Третій орган написав в Постанові Кабміну, що для надання соціальних послуг треба особі організувати згоди родичів, які з нею проживають на обробку даних.

Загалом за роки існування в Закону України «Про захист персональних даних» в нашій державі і суспільстві склалося хибне враження, що будь-яка обробка персональних даних має відбуватись тільки на підставі згоди, проте це уявлення помилкове.

То що не так, спитаєте ви.

Спробую коротко пояснити неюридичною мовою. Можливо, тоді і політики, не юристи, зрозуміють.

Що таке згода на обробку персональних даних

Згода як підстава для обробки означає усне або письмове добровільне волевиявлення особи, за умови поінформування її про контактні дані володільця, підставу, мету, засіб та вид обробки її персональних даних, яке дозволяє зробити висновок про надання нею дозволу на обробку її персональних даних.

За загальним правилом, згода не може бути отримана від третьої особи (тобто одна особа, як правило, не може погодитися на обробку даних іншої особи). При цьому існують деякі незначні винятки, наприклад, у випадку якщо батьки надають згоду у зв’язку з обробкою персональних даних своїх дітей).

Згода містить в собі три основоположних елементи: добровільність, поінформованість і однозначність.

Добровільність означає, що особа зробила вибір самостійно. Будь-який елемент тиску або впливу робить згоду недійсною (нікчемною). Особа має право в будь-який час відкликати свою згоду, після чого обробка повинна бути негайно припинена. Відкликання згоди має бути таким же простим, як і її надання.

Щоб згода була поінформованою, володілець повинен повідомити особі його контактні дані, а також підставу, мету, засіб та вид обробки її персональних даних. Поінформованість має гарантувати, що особа розуміє ризики, пов’язані з обробкою її персональних даних.

Згода повинна бути чітко вираженою у відповідній формі (наприклад, проставлення підпису, галочки, вибір технічних налаштувань або у вигляді усної заяви).

Які існують способи надання згоди

Згода на обробку персональних даних має бути вираженою у відповідній формі: усній (шляхом усної заяви) або письмовій.

Письмова згода може надаватися як на папері, так і в електронному вигляді.

У сфері електронної комерції надання згоди на обробку даних може здійснюватися за допомогою відмітки, яка проставляється під час реєстрації в електронній системі  (наприклад, на сайті інтернет-магазину).

Згода може бути “замаскована” у параметрах сайтів, налаштуваннях програм та мобільних додатків. Так, під час реєстрації на сайті особа, як правило, надає згоду на обробку і використання персональних даних, після чого отримує розсилку на свою електронну скриньку.

Іншим прикладом можуть слугувати дозволи до різних даних та функцій, які просять надати застосунки для смартфону при завантаженні. Якщо особа надає доступ до спису контактів, фотографій, місцезнаходження, камери, мікрофону тощо, вважається, що вона водночас і надає згоду на обробку даних розробником чи власником додатку, в тому числі тих, що будуть зібрані пристроєм під час використання додатку в майбутньому.

______________________________________________________________________________________________________________________________________

Згода, надана державі

В цьому реченні вже криється певна колізія, бо майже ніколи фізичні та юридичні особи з державою не мають справи добровільно. Сама держава – це вже форма примусу.

______________________________________________________________________________________________________________________________________

Виконання офіційних повноважень державними органами та іншими суб’єктами владних повноважень як підстава для обробки персональних даних

Суб’єкти владних повноважень, як представники державної влади, у межах передбачених законом повноважень діють від імені суспільства, забезпечуючи та представляючи його інтереси.

Кого ж зараховують до суб’єктів владних повноважень?

Ця категорія охоплює органи державної влади та місцевого самоврядування, а також всіх інших суб’єктів, які здійснюють владні управлінські функції, в тому числі нотаріус як особа, яка виконує делеговані їй державою функції засвідчення безспірності відносин між сторонами угод (правочинів).

Які ж особливості обробки персональних даних суб’єктами владних повноважень?

Суб’єкти владних повноважень зобов’язані діяти лише на підставі, в межах повноважень та у спосіб, що передбачені Конституцією та законами України.

Якщо володілець є суб’єктом владних повноважень і має визначені законом повноваження, для реалізації яких необхідне здійснення обробки персональних даних, така підстава для обробки вважається законною.

Прикладом такої обробки може слугувати обробка персональних даних при наданні адміністративних послуг в ЦНАП (Центр надання адміністративних послуг).

Законодавство та внутрішні документи володільця детально регламентують порядок обробки персональних даних суб’єктами влади.

Цей порядок встановлюється або безпосередньо суб’єктом владних повноважень, або вищим органом. Наприклад, Типовий порядок обробки персональних даних затверджується Уповноваженим Верховної Ради з прав людини.

Відповідні акти суб’єктів владних повноважень повинні містити норми, які визначають:

– мету та підстави обробки персональних даних;

– категорії суб’єктів персональних даних;

– склад персональних даних;

– порядок обробки персональних даних.

Які існують правові підстави в органів державної влади для обробки персональних даних

Ще раз наголошую, що при веденні будь-якої діяльності, в тому числі й обробки персональних даних, органи державної влади повинні діяти лише на підставі, в межах повноважень та у спосіб, що передбачені Конституцією та законами України.

Існують наступні підстави для обробки персональних даних суб’єктами владних повноважень:

• виконання повноважень, визначених законом. Це включає, наприклад, надання адміністративних послуг, розслідування кримінальних справ чи розгляд скарг та звернень;
• наявність юридичного зобов’язання, встановленого законом. Це може бути виконання вимог Кодексу законів про працю України при працевлаштуванні співробітників або обробка даних учасників тендерів на виконання Закону України “Про публічні закупівлі”;
• укладання та виконання договору. Наприклад, закупівля товарів та послуг, якщо договір укладений з фізичною особою чи ФОПом.

На практиці державні органи часто використовують згоду як підставу для  обробки. Однак вони на мають права обробляти персональні дані на підставі згоди, оскільки ця не відповідає Закону України “Про захист персональних даних” щодо добровільності згоди.

Крім того, особа має право відкликати свою згоду, у випадку чого припиняє діяти підстава для обробки даних і має припинитися сама обробка. Проте державні органи зазвичай зобов’язані продовжувати обробку, зберігати та систематизувати відомості, і персональні дані.

______________________________________________________________________________________________________________________________________

Увага!!!

Особливістю обробки даних на підставі згоди є те, що особа, яка її надала у будь-який момент часу має право її відкликати, що тягне за собою невідворотні правові наслідки – повне припинення обробки даних та їх знищення.

______________________________________________________________________________________________________________________________________

Саме тому не може держава обробляти дані особи на підставі згоди, особливо в таких сферах як мобілізація, надання безоплатних медичних, публічних (електронних), в тому числі адміністративних, соціальних та інших видів послуг.

Таким чином, більшість процесів, де можуть оброблятись дані за згодою, це геть не відносини між державою і особою, а комерційні та звичайні цивільні відносини між особами та бізнесом, особами і особами, або в процесах, де послуги надаються за бажанням особи.

Підсумовуючи, хотіла б зазначити, що вкрай важливим є завжди коректне розуміння обсягу та змісту поняття «згода на обробку персональних даних». Основним, як показує практика, є надмірна «абсолютизація» такої згоди, що, на жаль, доволі часто підтримується (встановлюється і деталізується) навіть на рівні підзаконних актів. Органи державної влади не можуть і не повинні «ставати заручниками» некоректного сприйняття поняття «згода на обробку персональних даних» при здійсненні своїх повноважень, що передбачені законом.

Ключовою рисою згоди є її добровільність, в той час, як функціонування державної влади в більшості випадків може здійснюватися і без добровільного залучення особи до такої діяльності органу державної влади. Надання згоди на обробку персональних даних не може ставати умовою діяльності органу в інтересах самої людини. Вимога одержання згоди особи як умова надання їй же адміністративної послуги у більшості випадків порушуватиме Закон України «Про захист персональних даних», права людини та може спричинити інші, вкрай негативні наслідки.

Наступного разу розглянемо інші можливі підстави для обробки персональних даних.