Защита персональных данных в Украине
Персональные данные как правовой институт, нуждающийся в защите, появился в украинском законодательстве в 2011 году, со вступлением в силу 1 января 2011 года Закона Украины «О защите персональных данных» (далее – Закон о защите ПД). Для общества и государственных органов это было ошеломляющей новостью и головной болью, страну всколыхнула волна различных семинаров и практикумов по вопросам защиты персональных данных, по ходу действия создавалась специализированная служба, которая сама не совсем понимала, как защищать и оберегать персональные данные, на которые до этого никто не обращал никакого внимания. Вместо этого оказывается, что персональные данные – это такие же неимущественные ценности и блага, как жизнь, достоинство, деловая репутация. Базы персональных данных начали массово регистрировать, что парализовало работу службы по вопросам защиты персональных данных.
До этого персональным данным посвящалась только статья 23 Закона Украины «Об информации», а Конституционный Суд Украины в своем Решении No 5-зп еще в 1997 году обращал внимание на необходимость привести законодательство Украины в соответствие с европейскими стандартами.
В начале 2012 года все тот же Конституционный Суд Украины в своем Решении No 2-рп/2012 детализировал, что информацией о личной и семейной жизни лица (персональными данными), среди прочего, являются: национальность, образование, семейное положение, религиозные убеждения, состояние здоровья, материальное состояние, адрес, дата и место рождения, место жительства и нахождения и т. п., данные о личных имущественных и неимущественных отношениях данного лица с другими лицами, в частности членами семьи, а также сведения о событиях и явлениях, которые происходили или происходят в бытовой, интимной, товарищеской, профессиональной, деловой и других сферах жизни лица, за исключением данных о выполнении полномочий лицом, занимающим должность, связанную с осуществлением функций государства или органов местного самоуправления.
Не успела служба по вопросам защиты персональных данных заработать, как уже с 1 января 2014 года основным органом, ответственным за защиту персональных сведений, стал Уполномоченный Верховной Рады Украины по правам человека (далее – Омбудсмен).
Прошло 7 лет, а юристы продолжают повторять, что существует гражданско-правовая, административная, уголовная ответственность в сфере защиты персональных данных. Однако это всесухая, аморфная теория, а что происходит на практике?
В ходе рассмотрения споров о возмещении морального вреда, в частности по делам о разглашении персональных данных и вмешательстве в личную жизнь, следует исходить из презумпции причинения лицу морального вреда ответчиком и обязанности именно ответчика опровергнуть такую презумпцию, о чем речь идет в постановлении Верховного Суда Украины от 27.09.2017 по делу No 6-1435цс17.
Широкую огласку борьба за защиту персональных данных приобрела в сфере потребительского кредитования и противодействия коллекторским компаниям. Банки довольно часто передавали и передают персональные данные в рамках уступки права требования, факторинговых операций своих клиентов-должников третьим лицам. Вместо этого и согласно положениям ст. 10 Закона о защите ПД финансовые учреждения действуют в рамках предоставленных полномочий с целью защиты своих прав, и в договорах банковские учреждения со своими клиентами дополнительно прописывают процедуру передачи персональных данных (для примера, определение Высшего специализированного суда по рассмотрению гражданских и уголовных дел от 26.10.2016 по делу No 473/2644/15-ц).
Омбудсмен на страже защиты наших персональных данных
Положение ст. 28 Закона о защите ПД об ответственности в сфере защиты персональных данных не содержат никакой конкретики, а носят только общий характер и отсылают к законодательству Украины в целом.
В свою очередь, статьей 188 39 Кодекса Украины об административных правонарушениях (далее – КУоАП) предусмотрена административная ответственность в форме разных штрафов, которые колеблются от 1700 до 17000 грн.
Согласно предписаниям ст. 255 КУоАП Омбудсмен вправе составлять протоколы об административных правонарушениях, после чего материалы административного дела передаются в суд.
Если принять во внимание ежегодные доклады Омбудсмена, то в течение 2016 года он провел 76 проверок владельцев персональных данных, по результатам которых выданы и переданы для обязательного исполнения 33 предписания об устранении нарушения требований законодательства в сфере защиты персональных данных, выявленных в ходе проверки, а также составлено 5 протоколов об административном правонарушении.
В прошлом году количество проверок было значительно меньше – 45. По их результатам было выдано и передано для обязательного исполнения 38 предписаний об устранении нарушения требований законодательства в сфере защиты персональных данных, а также составлено и направлено в суд 34 протокола.
По результатам рассмотрения судами дел об административных правонарушениях по 2 делам лица были признаны виновными и наложено административное взыскание, по 13 делам – лицо признано виновным, однако производство по делу было закрыто в связи с окончанием на момент рассмотрения дела сроков наложения административного взыскания.
Наверное, наиболее резонансным делом в этом году стало привлечение к административной ответственности и наложение штрафа в размере 5100 грн на военного комиссара Львовского областного военкомата за размещение на официальной странице военкомата списков граждан, подлежащих призыву на срочную военную службу и не явившихся в военный комиссариат (постановление Лычаковского районного суда г. Львова от 19.02.2018 по делу No 463/255/18). На данный момент дело слушается в апелляционной инстанции, и скорее всего лицу удастся избежать ответственности. Основной проблемой привлечения к административной ответственности является архаичность и устарелость положений КУоАП, поскольку суд должен принять решение о привлечении к ответственности в пределах 3 месяцев с момента совершения правонарушения, а при длящемся правонарушении – не позднее чем через три месяца со дня его выявления. Выходит, что
лицу довольно часто удается избежать довольно солидных штрафов. К сожалению, об этом в ежегодных докладах Омбудсмена речь не идет.
Преступление есть, а что с ответственностью?
Статьей 182 Уголовного кодекса Украины (далее – УК Украины) предусмотрена уголовная ответственность за сам факт незаконного сбора, хранения, использования, уничтожения, распространения конфиденциальной информации о лице или незаконном изменении такой информации, кроме случаев, предусмотренных другими статьями данного Кодекса, в форме штрафа от пятисот (8500 грн) до одной тысячи (1700 грн) необлагаемых минимумов доходов граждан, или исправительных работ на срок до двух лет, или ареста на срок до шести месяцев, или ограничения свободы на срок до трех лет.
А вот если правонарушение касается именно несоблюдения установленного законодательством о защите персональных данных порядка защиты персональных данных, что привело к незаконному доступу к ним или нарушению прав субъекта персональных данных, то речь идет только об административной ответственности в соответствии с положениями КУоАП.
Принимая во внимание статистику, приведенную на сайте Генеральной прокуратуры Украины, по ст. 182 УК Украины регистрировалось ежемесячно в течение 2017 года приблизительно по 150 преступлений. Но большинство дел были закрыты и только единицы доходили до суда, что в целом свидетельствует о неэффективности работы правоохранительных органов, наличии трудностей в расследовании и привлечении к уголовной ответственности.
Вывод
Следовательно, выходит, что система защиты персональных данных наших граждан остается на уровне десяти лет назад, штрафы и ответственность периодически пересматриваются, однако механизм привлечения к ответственности остается в стадии реформирования и осмысления.