Максим Васин. Закон о защите персональных данных: на страже приватности или тотального контроля?

Максим Васин - исполнительный директор Института религиозной свободы, магистр права

Недавно многие бухгалтера и руководители религиозных и других организаций озадачены известием о введении ответственности в сфере использования персональных данных граждан. Одной из первых публично заявила свои замечания Украинская Православная Церковь. Актуальность темы и неопределенность во многих ее аспектах, которую Минюст пытался определенным образом устранить Побудила подробнее изучить ситуацию и высказать несколько юридических советов.

Соответствующие положения Кодекса Украины об административных правонарушениях вступают в силу с 1 января 2012 года и предусматривают немалые штрафные санкции за уклонение от регистрации баз персональных данных и нарушение порядка их ведения. Кроме этого, предусмотрена также уголовная ответственность за нарушение неприкосновенности частной жизни относительно незаконного сбора, использования, уничтожения или распространения конфиденциальной информации о лице.

Закон Украины «О защите персональных данных» , Вступивший в силу 1 января 2011 года, предусматривает регистрацию в Государственной службе Украины по вопросам защиты персональных данных тех баз данных о гражданах, которые формируются в процессе деятельности юридических лиц или предпринимателей в электронной форме или в форме картотек. По отношению к религиозным организациям в первую очередь речь идет о базах персональных данных наемных работников. Для тех религиозных общин, в которых уставом предусмотрено фиксированное членство - также актуален регистрация базы данных ее членов в случае ее наличия (статья 7).

Однако Закон имеет немало проблемных положений, в том числе в плоскости их практической реализации. Одной из проблем является его слишком широкое применение. В качестве примера, контактные данные контрагентов или благотворителей, указанные на их визитках, могут считаться базой данных в форме картотеки, которой служит визитница. Или так же перечень лиц с должностями и почтовыми адресами, которых религиозная организация планирует поздравить на Рождество, если эти адреса получены не из общедоступных источников. Однако понятие этих источников Закон не объясняет, поэтому не известно к таким источникам можно отнести Интернет, те же визитки или какие-то справочники.

В этом контексте стоит обратить внимание на несколько практических советов и разъяснений.

Регистрации подлежат не сами персональные данные, а только их описание - то есть в Госслужбу направляется уведомление о факте сбора определенных данных для цели, определенной законами (например, Кодексом законов о труде), уставом или другими документами организации.

2. Сообщение не осуществляется, если персональные данные собираются из общедоступных источников (статья 12). Но, к примеру, можно считать Интернет или визитку лица общедоступным источником?

3. Сбора и обработке таких данных должна предшествовать документирована согласие со стороны человека. Если данные были уже собраны до вступления в силу Закона, то граждане (в том числе наемные работники) под подпись информируются о порядке использования данных о них.

4. Госслужба и ее органы имеют право составлять протоколы об административном нарушении по уклонению от регистрации или по ведению баз данных. Однако само решение о взыскании штрафа принимается исключительно судом после соответствующего судебного рассмотрения с участием заинтересованных лиц.

5. Административные протоколы составляются на основании письменных жалоб граждан, заявляют о нарушении их права на защиту персональных данных с должным документальным подтверждением.

Следует заметить, что Госслужба на собственном сайте утверждает, что такие протоколы будут состоять только после игнорирования предварительно выданного предписания об устранении нарушений. Но проблема в том, что ни в Законе, ни в подзаконных актах не определен четкий порядок проведения соответствующих проверок.

6. Кроме этого, поводом для протестов также нечеткие и широкие полномочия Госслужбы по вопросам защиты персональных данных. Фактически на основании жалобы любого гражданина, должностные лица могут организовать проверку и требовать доступа к базам персональных данных и в помещения, где они хранятся. Безусловно, у правозащитников и самих верующих возникают беспокойство не будут ли такие проверки использоваться как способ давления на ту или иную организацию.

* * *

В таком кратком обзоре невозможно осветить все сложности и опасности действующего Закона Украины «О защите персональных данных», но уже очевидно, что для его малейшей пользы в текст нужно внести немало поправок и уточнений. В частности в части самого понятия персональных данных, подлежащих государственной защите, а также относительно полномочий контролирующих органов и порядка проведения соответствующих проверок, процедуры наложения взысканий. А пока Закон скорее создает дополнительные сложности для всех субъектов хозяйствования, чем защищает право на приватность граждан.