Постановка проблеми. Як важлива складова забезпечення прав людини, недоторканність особистого життя виявляється в наявності певної автономності, гарантованої кожному як міжнародними договорами, так і національними конституціями. Одним із видів такої автономності є інформаційна, нерозривно пов’язана з інститутом захисту персональних даних, який охоплює сукупність правових норм, спрямованих на регулювання збирання, зберігання, використання та, зрештою, видалення інформації, за допомогою якої можна ідентифікувати особу.
З огляду на стрімке зростання ролі даних в умовах дедалі більшої цифровізації всіх сфер суспільного життя, необхідність удосконалення інституту захисту персональних даних стала надзвичайно актуальною. Розвиток законодавчих засад обробки персональних даних, з урахуванням подальшого впровадження сучасних технологій, породжує, зокрема, потребу деталізувати правові положення, які застосовуються в межах загального режиму персональних даних, – самі персональні дані поділяються на види й належать до категорії конфіденційної інформації в українській системі права.
У цій статті порушено проблему вдосконалення правового регулювання інституту захисту персональних даних, яку розглянуто в контексті існування різних видів даних залежно від правового режиму. Визначення співвідношення між ними, з одного боку, є одним із важливих завдань правотворчої діяльності на шляху до формування дієвого правового інституту захисту персональних даних, а з іншого – впливає на правозастосування, зважаючи на те, яке важливе значення має захист персональних даних для забезпечення прав людини.
Аналіз останніх досліджень і публікацій. У вітчизняній правовій науці, яка дедалі частіше тяжіє до вивчення проблематики правового регулювання відносин в інформаційній сфері, інститут захисту персональних даних ставав предметом досліджень таких учених, як М. Бем та І. Городиський[1], М. Бєлова та Д. Бєлов[2], М. Бліхар[3], Т. Гуржій та А. Петрицький[4], Ю. Крилова[5], О. Легка[6], А. Михайлик[7], О. Солодовник[8], А. Щербина[9] тощо. Зазначимо, що досліджувана тематика вийшла за межі вузькоспеціалізованої, що, своєю чергою, пояснюється дедалі тіснішим зв’язком між захистом персональних даних, впровадженням новітніх інформаційних технологій, а також іншими суспільно важливими явищами, зокрема боротьбою зі злочинністю та наслідками воєнного стану. Значний інтерес до проблеми удосконалення правового регулювання інституту захисту персональних даних в Україні також пояснюється недостатнім рівнем інформаційної безпеки особи щодо відомостей, за якими таку особу можна ідентифікувати.
Серед українських авторів, які опублікували праці, присвячені захисту персональних даних у контексті забезпечення прав людини, слід окремо згадати В. Брижка[10], С. Єсімова[11], Н. Кондратенко, Р. Концевого, В. Кравчука, В. Пилипчука, М. Різака, В. Серьогіна[12] та ін., які висвітлювали співвідношення досліджуваного в цій статті поняття персональних даних та окремих прав, насамперед недоторканності особистого (або приватного) життя чи «privacy» як часто використовуваного англомовного відповідника.
Мета дослідження. Виходячи з того, що формування дієвого правового інституту захисту персональних даних передбачає конкретизацію понять та визначення правових режимів для персональних даних і споріднених з ними видів даних, у цій статті автор розглянув наявні в національному законодавстві категорії та встановив співвідношення між ними.
Значна частина дослідження присвячена аналізу законодавчо закріплених форм правової охорони персональних даних в Україні та ЄС – зокрема самих персональних даних, конфіденційної інформації, персональних даних з особливими вимогами до обробки, біометричних даних, а також шаблонів облич, призначених для розпізнавання осіб. Крім того, автор виокремив підходи до того, чому персональні дані слід захищати, адже забезпечення невтручання в особисте життя, закріплене Конституцією України[13], є далеко не єдиною можливою підставою для обґрунтування їхнього захисту.
Виклад основного матеріалу дослідження.
Втілення в правовій системі ідеї прав людини як визначених у правових нормах і забезпечуваних державою базових прав і свобод охоплює різні можливості для особи, що співвідносяться з наявними сферами суспільного життя. Права, які виникають унаслідок застосування законодавства про захист персональних даних, породжують дискусії в контексті прав людини: з одного боку, в національному законодавстві таке право не визначено як окреме, з іншого – надання правової охорони персональним даним є гарантованим, оскільки існує спеціальний закон[14], а функції з нагляду за його дотриманням наразі покладено на Уповноваженого Верховної Ради України з прав людини.
Першоосновою захисту персональних даних відповідно до законодавства України є принцип недоторканності особистого життя, закріплений у ст. 32 Конституції України, згідно з якою ніхто не може зазнавати втручання в його особисте і сімейне життя, крім випадків, передбачених Конституцією України[15]. Крім того, право на повагу до недоторканності приватного життя згадано в Конвенції Ради Європи, яка стала одним із найважливіших міжнародних договорів сучасності щодо персональних даних[16].
В українській правовій науці, в контексті обґрунтування заборони втручання стосовно персональних даних, учені окремо розглядали право на приватність, надаючи йому важливе значення в епоху повсюдного впровадження й широкого застосування сучасних технологій. Наприклад, Ю. Загуменна й М. Трум, розуміючи під правом на приватність в умовах цифрових технологій «сукупність юридичних норм і принципів, які забезпечують захист особистої інформації та конфіденційності особистого життя від неправомірного втручання з боку держави, приватних осіб і організацій», назвали захист персональних даних одним із його елементів, поряд із недоторканністю особистого життя, правом на інформованість, конфіденційністю комунікацій і правом на забуття[17]. А. Кардаш, провівши комплексне дослідження права на приватність у правових системах англо-американської та романо-германської правової сім’ї, пов’язала його зміст із запобіганням оприлюдненню «делікатної, конфіденційної або компрометуючої інформації» без згоди особи[18]. В. Серьогін під правом на недоторканність приватного життя (або прайвесі) розумів юридично закріплену «можливість утримувати під повним контролем (фізичним, психологічним, інформаційним тощо) сферу свого приватного життя»[19]. В. Брижко й В. Пилипчук, ототожнюючи приватність із правом на недоторканність приватного життя («правом на себе»), навели перелік близько десяти складових приватного життя та виокремили інформаційну приватність, пов’язану з отриманням і використанням персональних даних[20]. Визнаючи існування «особистого інформаційного простору», який підлягає правовій охороні, І. Кушнір і С. Адамчук досліджували інформаційну приватність, яку охарактеризували як право, закріплене Конституцією України[21]. Водночас взаємний зв’язок між персональними даними та інформацією про приватне життя залишається дискусійним, що підкреслив С. Єсімов[22]. Не менш складним є питання співвідношення захисту персональних даних та недоторканності особистого й сімейного життя, що наводить на думку про доцільність застосування інших підходів для обґрунтування того, чому персональні дані слід захищати.
Інший підхід – виводити права щодо персональних даних з ідеї інформаційного самовизначення. З одного боку, інформаційне самовизначення (слово «самовизначатися» означає «знаходити, визначати своє місце в житті, в суспільстві; усвідомлювати свої класові, політичні, національні і т. ін. інтереси»[23]) значною мірою споріднене з приватністю та є складником особистої автономії[24]. З іншого боку, інформаційне самовизначення близьке за змістом до іншого права, закріпленого в конституціях багатьох держав – права на вільний розвиток особистості (ст. 23 Конституції України[25]). Федеральний конституційний суд Німеччини, який розглядав питання конституційності закону про проведення перепису населення в 1983 р., визнав те, що особа вправі контролювати, коли і яким чином інформація про її приватне життя буде доступною іншим[26]. При цьому законодавчим підґрунтям для правової охорони персональних даних названо два права, відображені в Конституції ФРН.
- Гідність людини є недоторканною. Поважати й захищати її – обов’язок усієї державної влади (п. 1 ст. 1).
- Кожен має право на вільний розвиток своєї особистості тією мірою, якою він не порушує прав інших і не зазіхає на конституційний лад або моральні засади (п. 1 ст. 2[27]).
Право на вільний розвиток особистості забезпечує правову охорону можливості особи обирати власні дії та ухвалювати рішення щодо свого життя, зокрема контролювати те, як збиратимуть і використовуватимуть її персональні дані.
Ще одним способом обґрунтувати зв’язок захисту персональних даних із правами людини є виокремлення самостійного права щодо персональних даних на рівні національної конституції. Упровадження такого підходу свідчить про акцентування уваги на тому, що це право слід визнавати як самостійне, а не лише як елемент іншого важливого права. Станом на сьогодні понад десять конституцій держав світу визнали окреме право щодо персональних даних (Алжир, Вірменія, Угорщина, Хорватія та ін.[28]). Найавторитетнішим джерелом закріплення цього права є Хартія основоположних прав ЄС, у якій право на захист персональних даних відображене в ст. 8, після права на свободу та безпеку, а також на повагу до особистого і сімейного життя. По-перше, наголошено на важливості правової підстави для обробки, що передбачає визначення відповідної мети. По-друге, деталізовано елементи контролю особи за персональними даними: право на доступ і право на виправлення. По-третє, визначено контрольно-наглядову функцію незалежного органу щодо дотримання цього права[29].
Як бачимо, застосування останнього з підходів певною мірою сприяє визнанню прав щодо персональних даних як самостійної категорії, що не потребує обґрунтування за допомогою загальновизнаного права. Внесення змін до Конституції України, спрямованих на втілення цього підходу, може стати ефективним кроком на шляху до вдосконалення правового регулювання відносин у сфері захисту персональних даних.
В українському праві під персональними даними розуміють «відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована»[30]. Інформація, що кваліфікується як персональні дані, здебільшого має текстову (цифрову) форму (як-от прізвище, ініціали, дата народження та обіймана посада; інші форми, зокрема графічна, менш поширені, хоча й допустимі), а також різні сфери використання, зокрема сферу охорони здоров’я, у якій питання захисту постає особливо гостро.
На території Європейського Союзу (а також Великої Британії) діє Загальний регламент про захист даних, який вважається найпрогресивнішим законом сучасності щодо охорони персональних даних. Його положення покладено в основу розробки законодавства на різних континентах (в Австралії, Бразилії, Індії, Південній Кореї та ін.). У ньому міститься й інше визначення поняття персональних даних як будь-якої інформації, що стосується ідентифікованої фізичної особи або такої, яку можна ідентифікувати («суб’єкта даних»)[31]. Зауважимо, що, крім Загального регламенту про захист даних, на території ЄС діє Директива 2016/680 про захист персональних даних у правоохоронній діяльності, в якій використано таке саме розуміння основних понять[32].
Захист персональних даних, виходячи з системного сприйняття права як явища, споріднений із визначеним у Конституції України правом на повагу до особистого та сімейного життя – ст. 32 встановлює заборону на збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди[33]. Поняття конфіденційної інформації, використовуване у низці нормативно-правових актів, визначено в Законі України «Про інформацію» як інформацію про фізичну особу, інформацію, доступ до якої обмежено фізичною або юридичною особою (крім суб’єктів владних повноважень), а також інформацію, визнану такою на підставі закону[34]. Закріплене в цьому Законі основне правило обігу конфіденційної інформації полягає в тому, що її поширення здійснюється за бажанням (згодою) відповідної особи у визначеному нею порядку та відповідно до передбачених нею умов, якщо інше не встановлено законом.
Отже, у національній правовій системі режим конфіденційної інформації поширюється як на персональні дані, так і на інші категорії даних – зокрема ті, що стосуються юридичних осіб (наприклад, комерційну таємницю). Безумовно, статус конфіденційності позначається на правовому регулюванні відносин у сфері персональних даних, пов’язуючи можливість фізичної особи самостійно визначати порядок збирання та використання інформації про неї (зокрема, вимагати її нерозголошення) із правом юридичних осіб очікувати, що певні відомості за замовчуванням залишатимуться доступними лише їм.
Серед персональних даних виділяють окрему категорію – «чутливі» дані, які внаслідок підвищеної вразливості потребують посиленого захисту. Відповідно, незаконне розголошення таких даних або будь-яка інша неправомірна обробка можуть завдати значної шкоди суб’єкту даних (за авторським визначенням А. Литвиненка, «чутливі» персональні дані – це «певний набір персональних даних, розголошення чи інші незаконні дії з якими призводять до негативних наслідків стосовно позивача, можуть істотно вплинути на його працевлаштування і кар’єру[35]»). У зв’язку з цим для відносин щодо «чутливих» персональних даних на законодавчому рівні встановлено спеціальний правовий режим. Він виявляється в тому, що володільці та розпорядники за термінологією українського законодавства (контролери та оператори даних у термінології Загального регламенту про захист даних) мають додаткові зобов’язання. Так, ст. 9 Закону України «Про захист персональних даних» визначає обов’язок володільця повідомити про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів, упродовж 30 днів з дня початку такої обробки[36].
Які саме персональні дані належать до «чутливих»? В українському праві орієнтиром є ст. 7 Закону України «Про захист персональних даних», яка визначає особливі вимоги до їхньої обробки. Водночас Наказ Уповноваженого Верховної Ради України з прав людини від 8 січня 2014 р. No 1/02-14 містить дещо конкретизований з метою правозастосування перелік «чутливих даних», що охоплює: расове, етнічне та національне походження; політичні, релігійні або світоглядні переконання; членство в політичних партіях та/або організаціях, професійних спілках, релігійних організаціях чи в громадських організаціях світоглядної спрямованості; стан здоров’я; статеве життя; біометричні дані; генетичні дані; притягнення до адміністративної чи кримінальної відповідальності; застосування щодо особи заходів у межах досудового розслідування; вжиття щодо особи заходів, передбачених Законом України «Про оперативно-розшукову діяльність»; вчинення щодо особи певних видів насильства; місцеперебування та/або шляхи пересування особи[37].
Варто зауважити, що ст. 9 Загального регламенту про захист даних за загальним правилом забороняє обробку «спеціальних категорій» персональних даних (відомостей, що розкривають расове чи етнічне походження, політичні погляди, релігійні або філософські переконання чи членство в професійних спілках; генетичних даних; біометричних даних з метою унікальної ідентифікації фізичної особи; даних про здоров’я, а також відомостей про сексуальне життя чи сексуальну орієнтацію особи). Водночас у цій статті наведено перелік випадків, коли така обробка є можливою як виняток[38].
Різні види «чутливих даних» – персональних даних з особливими вимогами до обробки – об’єднує правовий режим посиленого захисту. Водночас у юридичній площині визначення цього поняття не закріплено. Тому вважаємо, що, додатково до ознак персональних даних, складовою розуміння поняття повинен стати елемент особливої вразливості – тобто висока ймовірність настання негативних наслідків для особи внаслідок обробки таких даних. Конкретизація видів «чутливих даних», яка полягає у визначенні їх вичерпного переліку на законодавчому рівні, ставить перед правовою системою ще одне завдання – розтлумачити кожен із них та сформувати відповідний правовий режим.
У цій статті приділено особливу увагу біометричним даним як прикладу «чутливих даних». Біометричні дані мають як загальну ознаку, характерну для категорії персональних даних (яка полягає в тому, що вони дають змогу ідентифікувати фізичну особу), так і ознаку особливої вразливості, а також спеціальні ознаки, що відрізняють їх від інших персональних даних. По-перше, вони виникають внаслідок вимірювання статичних або динамічних характеристик людини як біологічної істоти. По-друге, вони так чи інакше реєструються або фіксуються технічними засобами. Безумовно, належність даних до категорії біометричних bergantung від того, наскільки точно завдяки їм біометричні технології спроможні визначити, ким є або не є особа, біологічні характеристики якої аналізує відповідна система[39].
Варто зауважити, що законодавство у сфері захисту персональних даних наразі майже не містить спеціальних правил (за винятком найпрогресивніших правових систем, насамперед у США) для обробки біометричних даних як «чутливих». Тобто окремий правовий режим ще не сформувався, попри зростання значення відбитків пальців чи зображень обличчя у різних сферах суспільного життя.
Протягом останніх років відбувся прорив у технологіях розпізнавання облич на основі штучного інтелекту. Хоча впровадження таких технологій створює нові можливості, зокрема для боротьби зі злочинністю, обробка біометричних даних, з огляду на їхню особливу вразливість, стала справжнім викликом для дотримання прав людини. У глобальному вимірі постало питання про те, як забезпечити законність під час розпізнавання облич, що спонукає до пошуку правової форми для регулювання відносин щодо збирання та використання відповідних зображень. Сутність зображення обличчя як біометричних даних полягає в існуванні спеціального шаблону у машиночитаному форматі, за допомогою якого надалі здійснюється біометрична ідентифікація. На цьому етапі провідну роль у формуванні правил для забезпечення законності під час розпізнавання облич відіграє досвід ЄС. Серед рішень Європейської ради з питань захисту даних та національних органів держав-членів ЄС – незаконність створення баз даних з великою кількістю облич, перетворених у відповідний машиночитаний формат (кейси Clearview AI), а також – недопущення масового стеження в громадських місцях. Водночас в українській правовій системі, як і в абсолютній більшості інших, цей досвід необхідно запозичити, щоб відповідні відносини перебували в правовому полі.
Рис. 1 узагальнює розкрите вище співвідношення біометричних даних та інших категорій даних і показує, чому шаблон обличчя (так у статті охарактеризовано біометричні дані, призначені для розпізнавання облич) є поняттям, що має найвужче значення порівняно з іншими, а отже – є складником кожного з них. Правовий режим для шаблонів облич, крім спеціальних правил, які на сучасному етапі лише зароджуються, визначається нормами щодо збирання та використання всіх інших видів даних.
Рис. 1. Логічне співвідношення біометричних даних та інших категорій даних
Зазначене співвідношення демонструє, що відповідно до положень українського законодавства на відносини у сфері захисту персональних даних, додатково до загального режиму, можуть впливати інші правові режими. З погляду чинного законодавства відносини щодо збирання та використання персональних даних, порівняно з іншими розглянутими видами даних, є найбільш урегульованими.
Висновки. В українському законодавстві реалізовано підхід до розуміння захисту персональних даних як складника недоторканності приватного життя (приватності), альтернативою (і доповненням) якого може бути концепція інформаційного самовизначення, а також виокремлення права на захист персональних даних як самостійного. Застосування того чи іншого підходу або їх поєднання впливає на обґрунтування надання персональним даним відповідної правової охорони в національній правовій системі. Розглянута у статті проблема є важливою як для правотворчості (особливо з огляду на те, що чинний Закон України «Про захист персональних даних» потребує суттєвого вдосконалення), так і для правозастосування, зважаючи на її вагоме значення для забезпечення прав людини.
Під час виокремлення основних видів даних, пов’язаних із персональними як складниками інституту захисту персональних даних, конфіденційну інформацію охарактеризовано як ширше поняття порівняно з персональними даними. Водночас правовий режим конфіденційної інформації не має достатнього рівня деталізації. З іншого боку, серед персональних даних виділяють «чутливі дані» (відомості особливої вразливості), перелік яких визначено на законодавчому рівні. З юридичного погляду в систему захисту персональних даних інкорпоровано поняття біометричних даних, збирання та використання яких підпорядковане загальним правилам про захист персональних даних, а також регулюється спеціальним режимом, установленим для «чутливих даних».
Результати дослідження засвідчують важливість подальшого вивчення правового режиму різних видів даних, пов’язаних із персональними, – насамперед біометричних даних та шаблонів облич, призначених для розпізнавання осіб. Формування їхніх правових режимів має враховувати логічне співвідношення відповідних понять і сприяти ефективнішому забезпеченню прав людини.