Закон Украины «О защите персональных данных» (Закон) был принят, когда Украина осталась в списке немногих демократических стран, где такого закона нет. Нас давно обогнали Германия с Великобританией и совсем недавно, уже в 2010 году, — Мексика, Малайзия и Тайвань. Есть, однако, страны (например, США), где нормы, регулирующие защиту персональных данных (ПД), содержатся в нескольких профильных законах.

Широкое развитие компьютерных технологий и внедрение баз данных в пуб­личном секторе, в сфере потребления товаров и услуг расширили категорию персональных данных. Это послужило толчком к интересу законодателей демократических государств к дополнительной защите прав граждан и обеспечению интересов государства в этой сфере.

Внимание к защите персональных данных и права на личную жизнь уделено в целом ряде международно-правовых документов, в том числе во Всеобщей декларации прав человека от 10 декабря 1948 года, Европейской конвенции о защите прав человека и основоположных свобод, Международном пакте о гражданских и политических правах (1966 года), руководстве ООН относительно компьютерных файлов персональных данных (1990 года), ряде конвенций и рекомендаций международных организаций (например, в Основных положениях Организации по экономическому сотрудничеству и развитию (ОЭСР) о защите неприкосновенности частной жизни и международных обменов персональными данными (1980 года).

С 28 января 1981 года была открыта для подписания Конвенция Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных». Конвенция защищает неприкосновенность так называемой личной сферы от избыточного и недобросовестного вмешательства в связи с обработкой персональных данных, совершаемой как в государственном, так и в негосударственном секторах.

Наконец, 24 октября 1995 года приняты Директивы Европейского парламента и Совета Европейского Союза «О защите физических лиц в условиях автоматизированной обработки персональных данных и о свободном обращении этих данных» № 95/46/ЕС, а 11 марта 1996 года — «О юридической защите баз данных».

На Украине существуют, возможно, миллионы баз данных, в которых накапливается информация о гражданах. Во многих случаях граждане никак не защищены. Во-первых, от появления их имен и информации о них в таких базах, во-вторых, от использования без их ведома третьими лицами такой информации. Среднестатистический гражданин даже не догадывается, насколько он опутан слежкой. Администратор всякого сайта практически всегда учитывает и запоминает визит любого посетителя. Делая покупки в супермаркетах, посетители часто и не догадываются о том, что их перемещения тщательно отслеживаются камерами видеонаблюдения, а затем остаются в памяти компьютера неопределенно долгое время. Не догадываются они и о том, как и кем эти записи могут быть использованы. Студенты, сдавая зачеты и экзамены, не подозревают о том, что они таким образом пополняют персональную базу данных успеваемости, которая накапливается, хранится и используется в соответствии с неизвестными им правилами. СМИ пестрят сообщениями о том, что базы данных о номерах телефонов и адресах места жительства можно легко купить на рынке. Сотни тысяч абонентов сотовой связи страдают от рекламного спама, приходящего на их телефоны без их согласия. Тысячи киевлян отбиваются от агрессивно-назойливых звонков театральных агентов, пытающихся продавать билеты на представления заезжих как бы знаменитостей. Списки должников в ЖЭКах, списки студентов, имеющих задолженности в вузах, списки проблемных заемщиков в банках. Вот это и есть обработка и использование баз персональных данных (БПД) без согласия гражданина.

Прямо в преамбуле Закона утверждается, что его действие не распространяется на деятельность по созданию и обработке персональных баз данных в этих базах журналистом — в связи с исполнением им служебных и профессиональных обязанностей. Работайте спокойно, господа журналисты (в том числе — и в «Юридической практике»). Однако если модератор электронной версии вашей газеты накапливает и учитывает посетителей сайта, то в этом случае он обязан выполнить ряд довольно жестких требований Закона. Например, зарегистрировать базу персональных данных в Уполномоченном государственном органе. А в части отношений с посетителями сайта необходимо сделать так, как сделали тысячи модераторов зарубежных сайтов. На первой же странице, на которую заходит посетитель, должна быть ссылка, кликнув на которую посетитель может прочесть условия учета информации о нем и согласиться с ними. Интернет сегодня пестрит текстами документов «Политика защиты баз данных», которые публикуют сайты, компании, госорганы. Мы нашли в Интернете сотни таких документов, опубликованных, не только сайтами, но и, например, университетами Оксфорда, Манчестера, Ливерпуля, Кентукки и другими.

На самом деле каждое юридическое лицо или гражданин (не журналист, не писатель и не творческий работник) должны для себя же немедленно ответить на следующие вопросы: нуждаются ли они в БПД; как это согласуется с Законом; какие последствия наступят для дальнейшей работы в случае содержания такой базы и не регистрации в госоргане.

Базовые положения Закона выписаны вполне в духе мировой практики. Основные требования к обработке БПД сводятся к следующем восьми принципам: 1) цель обработки должна быть сформулирована в законах, других нормативно-правовых актах, уставных документах, регулирующих деятельность собственника БПД; 2) персональные данные должны быть точными, достоверными и, в случае необходимости, обновляться; 3) состав и содержание ПД должны быть соответствующими и не чрезмерными относительно определенной цели их обработки; 4) объем ПД, которые могут быть включены в БПД, определяется условиями согласия субъекта ПД или в соответствии с законом; 5) обработка ПД осуществляется для конкретных и законных целей, определенных по согласию субъекта ПД или законом; 6) не допускается обработка данных о физическом лице без его согласия, кроме случаев, определенных законом и только в интересах национальной безопасности, экономического благосостояния и прав человека; 7) ПД обрабатываются в форме, допускающей идентификацию юридического лица в срок, не больше чем это необходимо для их законного назначения; 8) использование ПД в исторических, статистических или научных интересах может осуществляться только в обезличенном виде. И в этом Закон в целом не многим отличается от принятых в Европе и мире.

К сожалению, не можем утверждать, что Закон является безупречным. На наш взгляд, многие вещи, учитывая то, что он регулирует чувствительные вопросы прав человека, можно было бы сделать основательнее. Например, Закон предусматривает необходимость регистрации БПД в Государственном реестре баз персональных данных уполномоченным госорганом. При этом сегодня такого госоргана не существует. А Положение о Госреестре еще только должен принять Кабинет Министров Украины. Считаем, положение об этом необходимо было бы выписать прямо в тексте Закона. Практика включения таких норм давно стала традиционной в нормотворческой деятельности большинства стран мира. Законы Великобритании, Германии, Словении, Мексики и других стран даже по объему больше украинского в три раза именно за счет норм прямого действия.

За пределами внимания законодателя остались очень важные моменты. Например, в Законе «О защите персональных данных» Словении есть отдельная статья, регулирующая возможные нарушения при осуществлении прямого маркетинга. Пять статей посвящены регулированию порядка осуществления видеонаблюдения (ВН) при осуществлении доступа в офисные, деловые, жилые и рабочие помещения. Отдельные статьи посвящены фиксации входа и выхода в помещения. Правда, есть о чем подумать? Вот только некоторые требования для осуществления ВН в рабочих помещениях: ВН устанавливается только в исключительных случаях, когда это необходимо для обеспечения, например, безо­пасности людей и собственности. ВН запрещено в таких помещениях, как туалеты и душевые. Работники должны быть проинформированы предварительно и в письменной форме о внедрении ВН. При этом работодатель до внедрения ВН должен проконсультироваться с представителем профсоюза! Отдельная глава (даже не статья) посвящена использованию биометрических данных в общественном секторе.

Было бы полезно дополнить Закон положениями, например, о базах данных, создаваемых семьей исключительно в личных целях (например, для обычного ведения домашнего хозяйства. Или, например, о хранении данных в процессе обычной деловой деятельности в неперсонифицированной форме для коммуникаций.

Несмотря на внешне строгую статью Закона, касающуюся возможной передачи БПД в третью страну, следует отметить, что процедуры принятия решения и собственно передачи Закон не предусматривает.

Потенциальный держатель БПД, предполагающий, что он может нарушить Закон, может задать вопрос: а что мне за это будет? В Уголовном кодексе Украины найдется с десяток статей, которые можно использовать для наказания нарушителей Закона. Уголовное наказание предусмотрено, например, в соответствии со статьей 182 «Нарушение неприкосновенности частной жизни». Есть полезные нормы и в Гражданском кодексе Украины. В законодательстве же других стран ответственность за конкретные нарушения часто выписана прямо в тексте самого закона о БПД. За рубежом накоплен опыт наказаний за нарушение законодательства о БПД. Недавно перенервничали топ-менеджеры компании Google. Уполномоченный орган по защите персональных данных Великобритании 22 октября 2010 года решил начать разбирательство по поводу использования системы StreetView для получения объемных картинок улиц мира. Аналогичное расследование начато в Италии, и там было принято решение о необходимости обозначения мест наблюдения. В Германии больше 244 000 граждан пожелали, чтобы изображения их домов были полностью убраны со StreetView. В результате хакерской атаки на сайт английской юридической фирмы была спровоцирована утечка информации с внутренней почты. Это привело к подаче относительно фирмы жалоб со стороны граждан. Ведется расследование о надежности электронных средств защиты, качестве подготовки персонала фирмы, а также поиск причин доступности такой информации, которая содержит персональные данные клиентов.

И последнее. В последние дни произошло несколько знаковых событий. Freedom House объявила, что Украина больше не «свободная», а «частично свободная страна». Бывший министр экономики Данилишин получил политическое убежище в Чехии. Венецианская комиссия приняла целый ряд весьма дискомфортных рекомендаций относительно базового законодательства о правах человека на Украине. Вступление в силу Закона о БПД вместе с принятием Закона Украины «О доступе к пуб­личной информации», а также реализации срочно принятого Указа Президента «О Плане мер по выполнению обязан­ностей и обязательств Украины, вытекающих из ее членства в Совете Европы», на наш взгляд, могут изменить ситуацию в отношении к нам сообщества демократических стран.

И дать новую работу юристам-практикам…

КОЗЬЯКОВ Сергей — доцент Инсти­тута международных отношений, г. Киев,

ИВАНЕЦ Иван — ведущий специалист, Министерство экологии и природных ресурсов Украины, г. Киев