За несовершенство Закона ?О защите персональных данных? заплатят предприниматели

2. Критерии персональных данных очень широки

Определенные трудности создает отсутствие разграничения персональных данных на «идентифицирующие» и «уязвимые». Так, согласно Закону к персональным данным может относиться любая информация о лице (см. определение «персональные данные» в Законе). Следовательно, не понятно, что должно являться предметом защиты. Считается ли персональными данными база мобильных номеров? Является ли персональными данными отдельно взятый идентификационный номер физического лица (без указания фамилии и имени его владельца)? Считаем, что ответы на эти вопросы можно получить путем установления в Законе минимальной совокупности сведений (либо несколько вариантов таких совокупностей сведений), которые могут считаться персональными данными.

Кроме того, в соответствии с европейскими стандартами персональные данные разделяются на данные общего характера (фамилия, имя, отчество, дата и место рождения, гражданство, местожительство) и уязвимые персональные данные (данные о состоянии здоровья – история болезни и диагнозы, этническая принадлежность, отношение к религии; кредитная история, идентификационные коды). В соответствии с европейскими стандартами именно к уязвимым данным относится запрет сбора, хранения, использования и распространения их без согласия субъекта данных. В Законе это относится ко всем без исключения персональным данным, что фактически парализует развитие бизнеса во многих направлениях. Считаем, что нужно установить упрощенный порядок использования идентифицирующих персональных данных человека (к примеру, в маркетинговых целях). Кроме того, из-под действия Закона должны быть выведены адресные данные лиц, которые относятся к их служебной деятельности (например, служебные номер телефона, почтовый и электронный адрес, местонахождение офиса и т. д.)

3. Полномочия контролирующего органа ничем не оправданы

По Закону представители Государственной службы по вопросам защиты персональных данных имеют право беспрепятственно входить в любое помещение, где обрабатываются персональные данные (в условиях современного распространения компьютеров базы персональных данных есть в каждом офисе), что является равнозначным праву на проведение обыска, которое до сих пор имели лишь правоохранительные органы.

Уполномоченному органу дано право проверять состояние защиты персональных данных и накладывать предписания и наказания на владельцев баз персональных данных. Также Указом Президента Украины от 09.12.2010 утверждена «Схема организации и взаимодействия центральных органов исполнительной власти». Согласно Схеме Государственная служба Украины по вопросам защиты персональных данных получила статус центрального органа исполнительной власти, деятельность которого направляется и координируется Камбином через соответствующих членов Кабмина, через министра юстиции Украины.

Стоит заметить, что такие положения Закона не соответствуют европейской законотворческой практике, которая настаивает на независимости органов, осуществляющих защиту персональных данных. Если говорить о ЗУ «О защите персональных данных», то о независимости уполномоченного государственного органа в нем не говорится вообще, ведь, исходя из текста Закона и Указа Президента, уполномоченный орган является составляющей частью исполнительной власти, что фактически лишает его независимости как таковой.

4. Проблемы привлечения к ответственности за нарушение Закона

Важно отметить, что в ВР уже зарегистрирован проект закона, которым предлагается внести изменения в УК Украины, КУоАП, УПК Украины и ЗУ «Об информации» с целью установления жестких санкций за нарушение законодательства в сфере защиты персональных данных (?7355 от 11.11.2010). Самым проблемным моментом законопроекта есть то, что возможность наказания в большинстве случаев не связывается с фактом нарушения прав конкретного гражданина – субъекта персональных данных. Это значит, что наказание может быть наложено при формальном поводе, например, невыполнение владельцем базы ПД любых технических или организационных требований, установленных уполномоченным органом. Во многих европейских странах соответствующий орган не имеет права беспрепятственного доступа к помещениям, где обрабатываются персональные данные. В украинских реалиях такие права контролирующего органа станут питательной средой для коррупции, но не приведут к защите прав граждан.

5. Двойное получение согласия от субъектов персональных данных

Забюрократизированным и чрезвычайно расходным для владельца базы персональных данных является требование сообщать гражданам субъектам персональных данных «исключительно в письменной форме» об их правах, целях сбора персональных данных, лицах, которым персональные данные будут передаваться. Сообщить нужно в течение десяти рабочих дней со дня включения персональных данных в базу. Такое требование является нелогичным, поскольку внесение в базу персональных данных и так становится возможным только по получении документируемого согласия субъектов персональных данных. Считаем, что требование об уведомлении лица о включении его данных в базу персональных данных должно осуществляться только в случае, если от такого лица не было получено согласие на использование персональных данных при их сборе, либо в случае, если база персональных данных будет использована с целью, которая отличается от ранее заявленной субъектом персональных данны.

Как видно из описанного выше, на данный момент Закон еще не адаптирован к реальным условиям и порождает много вопросов. По нашему мнению, разработке подзаконных нормативно-правовых актов должно предшествовать принятие изменений в сам Закон. Без этого Украине очень сложно будет создать реально функционирующий институт защиты персональных данных граждан.