Первого января вступил в силу новый закон о защите персональных данных, который не на шутку напугал многих правозащитников и журналистов, – отдельные его нормы выглядят как серьезные ограничения свободы слова.
У каждого гражданина Украины есть имя, фамилия и год рождения, у большинства – место работы и номера телефона, у многих – номер банковской карточки или ник в Skype. Новый закон «О защите персональных данных», вступивший в действие первого января этого года, должен был навести порядок в сфере использования и категоризации таких данных.
Однако этот закон сразу же вызвал активную критику правозащитников. Украинский Хельсинский союз усмотрел в нем попытку задавить свободу слова. С точки зрения Союза, часть его положений заметно ограничивала права граждан на оперирование чужими персональными данными при написании своих материалов. С другой стороны, юристы успокаивают: многие из норм нового закона, кажущиеся особо опасными, на деле таковыми не являются.
Закон с родословной
Первая попытка принять законопроект с таким названием была предпринята еще при Леониде Кучме – 15 марта 2003 года текст законопроекта был принят за основу. Тогда руководство Украины готовилось к присоединению к Европейской конвенции о защите лиц в связи с автоматизированной обработкой персональных данных (сама Конвенция была принята Советом Европы еще в 1981 году). Однако как ратификация самого текста Конвенции, так и подписание закона затянулись на семь лет. Законопроекты несколько раз ветировались президентами и направлялись на доработку. В 2009 году был принят за основу новый текст – уже с другим списком авторов. Он был принят 1 июня 2010 года, а уже 6 июля была ратифицирована и Конвенция.
Это позиционировалось командой власти как шаг вперед на пути к безвизовому режиму с Евросоюзом. Одним из условий безвизового режима являлось налаживание сотрудничества между Минюстом Украины и Евроюстом, а также унификация законодательства о защите персональных данных. Месяц назад Минюст сформировал и направил в Гаагу команду переговорщиков, которая отчиталась о проделанной работе перед европейскими коллегами. На этих переговорах украинская делегация, возглавляемая замминистра юстиции Валерией Лутковской, рассказала европейцам о новом законе и ратификации Конвенции как о выполнении двух из трех обязательных условий для подписания соглашения. Третье условие – собственно создание Государственной службы по вопросам защиты персональных данных, которая будет заниматься практическим внедрением новых норм. Евроюст в ответ пообещал направить в Украину делегацию, которая проверит ситуацию на местах. Прибытие «ревизоров» ожидается весной.
Множество «но»
Как уже упоминалось, первыми против нового закона восстали правозащитники и журналисты. По словам руководителя Украинского Хельсинкского союза прав человека Владимира Яворского, новый законопроект свяжет руки работникам прессы. Поскольку в законе к «персональным данным» отнесена любая информация, которая может позволить опознать человека. То есть фактически любые данные о нем. По версии правозащитников, согласно новому закону журналисты не имеют права распространять такие данные без согласия на то самого лица – субъекта персональных данных.
Иными словами, по версии правозащитников, перед написанием статьи журналист обязан заручиться письменным согласием всех лиц, в ней упомянутых, на употребление их персональных данных, включая имя и фамилию. Однако отдельное разрешение лица требуется, если нужно упомянуть его расовое или этническое происхождение, политические или религиозные убеждения, мировоззрение, членство в партиях и профсоюзах, а также данные о состоянии здоровья и половую жизнь.
Из этого правила есть большое и приятное для прессы исключение: можно обрабатывать и распространять информацию о лицах, занимающих какую-либо должность в избираемых представительских органах или баллотирующихся туда. А также о госслужащих первой категории. Проще говоря, Президент, министры, все депутаты и кандидаты в оные законом не защищены.
Есть в законе и другие спорные нормы, которые сложно уловить при первом прочтении. Просим прощения за чудовищную по структуре фразу, но, согласно Закону, Госслужба «здійснює в межах своїх повноважень контроль за додержанням вимог законодавства з питань захисту персональних даних із забезпеченням відповідно до закону доступу до інформації, пов’язаної з обробкою персональних даних у базі персональних даних, та до приміщень, де здійснюється їх обробка». Из этого пункта может следовать, что Госслужба призвана в рамках своих (пока еще не прописанных) полномочий обеспечивать доступ к помещениям, где происходит обработка баз данных. То есть требовать допуска каких-либо уполномоченных лиц в серверные комнаты коммерческих структур. Пока что на такое способна лишь прокуратура.
Проблема – в неправильном прочтении
Директор Института Медиа Права Тарас Шевченко развеивает подозрения правозащитников указанием на ограничения сферы действия и объектов защиты закона.
Цитируя статью 1: «Дія цього Закону не поширюється на діяльність зі створення баз персональних даних та обробки персональних даних у цих базах: фізичною особою – виключно для непрофесійних особистих чи побутових потреб; журналістом – у зв'язку з виконанням ним службових чи професійних обов'язків; професійним творчим працівником – для здійснення творчої діяльності». То есть закон не требует регистрировать личные списки контактов, как то, например, базы данных в мобильном телефоне. Не требует он и регистрировать базы контактов журналистов… Другое дело - если в издании существует отдельная редакционная база контактов.
Поскольку редакция – не частное лицо, а коммерческая структура, ей, возможно, придется зарегистрировать свои базы.
Особое внимание, по мнению эксперта, следует уделить 5 статье документа, согласно которой «об’єктами захисту є персональні дані, які обробляються в базах персональних даних». Именно поэтому, считает он, Хельсинский союз зря волнуется. Ведь если журналист получает информацию не из зарегистрированной базы персональных данных, а из любого другого источника – вышеупомянутые ограничения на него не распространяются. И он может спокойно писать материал, не спрашивая разрешения у каждого его фигуранта.
Тарас Шевченко, директор Института Медиа Права:
Например, мы ведем речь о директоре завода. Если журналист интересуется информацией об этом директоре и берет ее именно из зарегистрированной базы данных – да, закон выставляет соответствующие ограничения. Если же журналист берет информацию из любого другого источника, – закон к этому вообще отношения не имеет. Ведь он регламентирует не распространение персональных данных вообще и в целом, а лишь то, как они попадают в определенные базы данных и как из них выходят. В этом-то и отличие нового закона от предыдущих его версий. Предыдущие, которые постоянно ветировал Виктор Ющенко, не имели такого разграничения и распространялись на все персональные данные вообще, вне зависимости от источника. А не исключительно в контексте их обработки в базах данных, как того требуют нормы ЕС. Правозащитники, протестующие против этого закона, на наш взгляд, несколько преувеличают его опасность. С другой стороны – мы же все прекрасно знаем, как у нас при желании можно выкрутить любой закон под конкретного человека. Вот сейчас в Виннице пытаются засудить известного правозащитника (речь идет о деле Дмитрия Гройсмана – Ред.) по обвинению в хранении порнографии. Не надо лишний раз подсказывать власти способы извратить и этот закон. Он действительно может создать некоторые проблемы – например, организации «Who is who в Украине», создающей открытую структурированную базу данных влиятельных людей. При этом мы не нашли в законе упоминания того, как должны действовать владельцы баз данных, которые существовали до принятия закона. Допустим, в базе десять тысяч лиц – что, после регистрации базы слать всем письменные уведомления? Технические проблемы могут возникнуть у коммерческих структур, ведущих свою базу данных.
Первоочередной целью закона как раз и являлись подобные структуры – Укртелеком, например, провайдеры, мобильные операторы, ЖЭКи. В принципе, большинство норм закона полезны – гражданин имеет право знать, как его личную информацию использует ЖЭК, и как-то на это влиять. А государство имеет право ограничивать нецелевое использование этой информации – например, запрещать банкам забрасывать вас рекламными письмами, используя регистрационную информацию.
Надежда на уточнения
Многие аспекты нового закона вызывают явно излишнее волнение. Однако вместе с тем отдельные пункты, как то – широкие полномочия Госслужбы защиты персональных данных, действительно оставляют некоторый простор для злоупотреблений. Насколько широкий – станет понятно лишь после окончательного создания этой Госслужбы, подписания соответствующих подзаконных актов и утверждения ею типового порядка обработки данных. Также следует внести изменения в уже существующие правовые акты – например, прописать ответственность за незаконные операции с персональными данными. По закону, на все это отведено шесть месяцев, считая от 1 января. Однако на практике правительство, скорее всего, попробует доделать все до весеннего визита представителей Евроюста.
Таким образом, у авторов и инициаторов закона еще есть шанс исправить если не все, то ряд спорных норм. Но есть также шанс создать еще одну контролирующую госструктуру с большими возможностями в организации проблем гражданам.
Что есть в новом законе
Закон регулирует создание, использование и государственную регистрацию баз персональных данных граждан. Примеры – базы данных по клиентам коммерческих учреждений, банков, Интернет-провайдеров и мобильных операторов. То есть все базы государственных и коммерческих структур, где есть указания на личные данные (имя, фамилии, адреса, номера кредитных карточек) реально существующих лиц. Закон также регулирует любые манипуляции с этой информацией, но только внутри самих этих баз и связанных с ними учреждений. Как частный пример - закон запрещает изымать личную информацию о других людях из подобных баз данных без их письменного разрешения.
Также закон предусматривает создание отдельной Госслужбы для регулирования всей отрасли защиты персональных данных.
Чего нет в новом законе
Закон не обязывает регистрировать личные базы данных – визитницы, контакт-листы интернет-пейджеров, списки друзей в социальных сетях, личные телефонные книги.
Закон не требует от журналистов и профессиональных творческих работников (например, писателей) регистрировать собственные базы контактов (в качестве отдельно прописанного исключения).
Закон не налагает никаких ограничений на использование личной информации, если она была получена не из зарегистрированных баз данных. Так, например, журналист может смело использовать в своем материале информацию об известном бизнесмене, если она взята из Википедии, из архива публикаций печатного издания или из откровений его бывшей жены. Однако он должен уведомить этого бизнесмена, если берет его личные данные, например, из архива вуза, где тот учился.
Что в новом законе не прописано или прописано недостаточно четко:
Нет полного перечня полномочий Госслужбы защиты персональных данных. Крайне нечетко и запутанно сформулирован пункт, по которому та получает возможность (и даже обязанность) обеспечивать физический доступ уполномоченных граждан к местам хранения и обработки информации.
Не прописана ответственность за нарушение закона.
