В Украине эпоха реформ. За какие-то пару месяцев правительством принято столько законов, что ежедневные акции протеста у окон парламента стали нормой. Вчера был налоговый Майдан, сегодня восстания студентов против закона «О высшем образовании»...
Когда же депутаты собрались принять Закон, защищающий персональные данные, пикетов Кабмина никто не устраивал. Реакция общественности остается умеренно тихой, и спустя месяц после того, как закон вступил в силу.
Но кого и каким образом он защищает, каковы «плюсы и минусы» этого документа? Всё это еще обсуждается в кругу юристов, консультантов медиа-права и прочих профессионалов. Каждый пытается перевести букву закона на всем понятный язык. Но, т.к. не все из рядовых граждан юристы, обобщающих экспертных характеристик таки недостаточно, чтобы досконально понять причины всех «за» и «против».
О чем речь?
Рассмотрение закона, как правило, начинается с его первой статьи. Но вопросы здесь возникают и того раньше, с названия. Дело в том, что Закон «О защите персональных данных» даёт лишь абстрактные разъяснения о чем он. Читаем в Ст. 2 «Определение терминов» такую формулировку: «База персональных данных - именованная совокупность упорядоченных персональных данных в электронной форме и / или в форме картотек».
Владельцем или распорядителем базы могут быть предприятия, учреждения и организации всех форм собственности, органы власти или местного самоуправления и физические лица – предприниматели. Не распространяется закон только на БД журналистов, творческих работников. А главное - на базы данных физических лиц, которые были созданы для непрофессиональных, личных или бытовых нужд.
«Странички в социальных сетях, данные человека на «одноклассниках», блоги – это все, что используется для личных целей. Это своя т.н. «побутова» база данных» - говорит Елена Степанец, юрист правозащитной общественной организации «Эко-регион».
«Для пользователя страница на одноклассниках это не база данных по сути. Набор друзей разве что.. Базой данных оно является для владельца технической площадки, т.е. владельцев тех же «одноклассников» и «вконтактов». А вот личный блог на выделенной площадке блог или интернет магазин - это уже другое дело. Там ты технически собираешь данные и имеешь к ним полный доступ», - комментирует разработчик программного обеспечения.
Сколько людей, столько и мнений. Но что именно попадает в эту категорию в законе четко не сказано. Как будут отличать одно от другого? Реально ли это проконтролировать, в то время как население Украины превышает 45 миллионов. Допустим, пойдут проверять каждого на предмет ведения личных баз данных. Тогда может оказаться, что человек в качестве хобби собирал обо всех данные, коллекционировал для непрофессиональных нужд.
На что не распространяется сфера действия закона сказано невнятно. А какой же защите можно говорить? Тем более, что Ст.1 гласит: «Закон регулирует отношения, связанные с защитой персональных данных при их обработке». Смотрим дальше. В 5-й статье говорится, что объектами защиты являются персональные данные, которые обрабатываются в базах персональных данных. Под понятием «обработка» абстрактно подразумевается всё - даже обновление. Согласно новому закону, даже упорядочивание данных без внесения в них изменений является их«обработкой».
Но здесь непонятно уже какой минимальный набор данных необходим, чтобы попасть под понятие "база данных"? Вариантов несколько. Имя с фамилией человека – данные о его «персоне». Пароль от персонального компьютера – тоже, вроде как, данные. ... Даже у разведки есть базы данных. А как насчет архивов, библиотек? Как быть с теми шкафами, набитыми папками личных дел, которые на требование уже другого закона хранятся в учреждениях более полувека?
В Ст. 24. п 1.2.-1.3 сказано, что государственный орган уполномоченный по вопросам защиты БД будет вести госреестр и регистрировать персональные базы данных. Значит всё это тепрь, то ли ксерокопировать, то ли отправить правительству бандеролью... И всё это лишь сведения, которые не приведены в электронный вид. А еще существуют компьютерные базы данных...
А самое интересное, что под действие этого закона попадает практически всё. В Ст. 4 п 2. говорится, что «Владельцем или распорядителем базы персональных данных могут быть предприятия, учреждения и организации всех форм собственности, органы государственной власти или органы местного самоуправления, физические лица - предприниматели, которые обрабатывают персональные данные в соответствии с законом».
Но вот мы все собрали и упорядочили. Возникают новые сложности: запросы, разрешения, извещения уполномоченного органа о том, что данные обновлены или их нужно передать. Одним словом, нас ждет бюрократическая утопия.
Зачем нужен этот закон
Многие эксперты акцентируют на том, что принять этот закон было необходимо. До этого момента людям не позволялось самим контролировать кто и как будет распоряжаться их данными. Возможно, эти проблемы удастся решить с помощью ЗУ «О защите персональных данных»?
«Сейчас, у нас сейчас данными людей «торгуют», особенно на выборах, это факт, хотя о нем и не говорят», - рассказывает правозащитник г. Свердловска.
Многие компании собирают себе настоящие базы данных с фамилиями людей, их контактами и т.д. Затем перепродают информацию другим. В результате, на домашние адреса людей начинают приходить всевозможные брошюры, в которых предлагается что-либо купить или оплатить. Часто бывает так, люди сами становятся виновниками утечки собственной информации. А рекламные почтовые компании всего лишь вкладывают деньги в рекламу, на которую «покупаются» доверчивые люди.
«Бабушка купила газетку, там написано : найди на картинке пять яблок и выиграешь 50 тысяч. Она заполняет этот бланк и отсылает его в надежде выиграть денежный приз. Понимая, что если человек купился на картинку, на которой даже ребенок посчитает 5 яблок, то он поверит в любую возможность что-то выиграть. Этих людей начинают терроризировать рассылками писем», - рассказывает правозащитник Елена Степанец.
По её словам, случаи, когда данные переходят в руки третьих лиц встречаются очень часто. В этом же законе говорится, что передавать персональные данные граждан без их согласия отныне запрещено. Приведем несколько примеров. База данных физических лиц-предпринимателей есть во многих инстанциях. Свидетельство о регистрации - в исполкоме, другие данные имеются и в налоговой, и в отделении пенсионного фонда и т.д. Теперь, если какая либо из этих служб захочет собрать информацию о человеке, то организация, которая хранит и распоряжается персональными данными, должна уведомить человека об этом.
«Попросит, например, чиновник, предоставить ему данные, о том, кто учредитель журнала. Сначала этого учредителя должны поставить в известность. Согласно закону, в заявке на сбор информации должна быть указана даже цель. Чиновник должен её аргументировать. Ну а человек в любом случае сможет отказать в предоставлении данных. И даже мотивировать это тем, что цели не соответствуют какому либо пункту Конституции Украины или, например, пункту Закона «Об информации». Есть и у адвоката база данных людей, с которыми он занимаются по суду. Обратится к нему с запросом пенсионный фонд. Юридическое лицо может ответить, что цели не соответствуют такому-то закону и отказать в информации.», - говорит юрист г. Сверловска Елена Степанец.
Не менее важным пунктом нового закона является и запрет на распространение данных без согласия субъекта.
«Это хорошо, потому как у нас, как правило разрешения не спрашивают. Органы местной власти г Свердловска захотят и поднимут в газетной статье, например, данные о предпринимателях, чем они занимаются и .т. д.. Если есть персональные данные, почему их можно взять в налоговой и распространить в газете? Непонятно», - разводит руками правозащитница.
Почему «филькина грамота».
Закон Украины «О защите персональных данных» вступил в силу 1 января. Но в реальности это ещё недоработанный документ, который по большому счету всё ещё существует лишь «на бумаге». Механизм начнет действовать когда все его шестерёнки будут выставлены на свои места.
«Как обычно, у нас принимают закон, но забывают издать к нему какие либо положения. К нему должен идти четкий механизм исполнения. Под этот закон нет никаких комментариев, нет ничего. Где здесь расписаны мои действия как субъекта? Какие инструкции, какие служебные полномочия должны быть, в конце концов?! У нас есть закон, но он представляет из себя скелет, на котором нет ни мышц, ни кожи, ни волосиков!», - объяснила юрист.
По её словам, один закон не может существовать сам по себе. В законодательстве все должно быть взаимосвязано. А при более детальном рассмотрении данного нормативного акта и выясняется, что ни механизма использования, ни наказания пока не существует. В Ст. 28 только и сказано «Нарушение законодательства о защите персональных данных влечет ответственность, установленную законом». Вопрос только один, а каким законом?
«Если лицо нарушит закон о защите персональных баз данных, то где изменения к Уголовному кодексу Украины? Как человек сможет со ссылкой на этот закон возбудить уголовное дело против конкретного чиновника или должностного лица.. Где такие изменения к административному кодексу?», - говорит она.
Получается, что бороться и защищать персональные базы данных с помощью этого закона фактически невозможно. Оштрафовать можно лишь за то, что имеет механизм наложения, взыскания или применения санкций. Но пока никакие штрафы не предусмотрены. Надежды на появление подкрепляющих положений возлагаются на правительство. Так в Ст. 30. п.2. Кабинет Министров Украины обязан в течение шести месяцев со дня вступления в силу настоящего Закона: обеспечить принятие нормативно-правовых актов; обеспечить приведение своих нормативно-правовых актов в соответствие с настоящим Законом.
Находим ответ и в статье 23, п 2.5. Здесь сказано, что ситуация будет урегулирована уполномоченным государственным органом, который издаст обязательные для исполнения законные требования (предписания) об устранении нарушений законодательства о защите персональных данных. Но после того как закон вступил в силу прошло уже больше месяца. Где же изменения?
«А сейчас все реально понимают, что без механизма это просто «филькина» грамота.. Единственное, что я могу сделать, узнав что кто-то без моего разрешения собирает или передает мои данные, это попытаться себя защитить, ссылаясь на этот закон. Можно только попробовать. Но когда издается закон без механизма его исполнения, тут уже, как говорится «куди повернишь – туди і вийдешь». Допустим, суд признает противоправным нарушение этого закона, а что дальше? Безнаказанность?», - говорит практикующий адвокат Елена Степанец.
Государство гарантирует
Закон "О защите персональных данных" уже успел прославиться как самый противоречивый. Например, нестыковка есть в статье 24, где в п.1 сказано, что защиту персональных баз данных гарантирует государство. А в п.3 оказывается, что обеспечение защиты данных возлагается на владельца базы. Получается, что государство обязалось гарантировать защиту данных руками посторонних людей (распорядителей данных).
«Очень часто с данными работают люди не имеющие понятия о "безопасности". Рядовой бухгалтер или менеджер в маленькой конторке умеет вносить данные в ту программу, которую успел освоить, однако представления не имеет о том, как из-за технической безграмотности они легко могут попасть в чужие руки. Мелкие конторки это не большие корпорации со штатом технических специалистов, способных обеспечить надежную защиту внутренней инфраструктуры. А государство ведь нам как-то гарантирует - все будет защищено», - рассказал программист.
Что же теперь считать защищенной базой данных, а что нет - не понятно. То ли это флешка, закрытая в сейфе на 10 ключей. То ли сервер, замурованный в бетонный блок. А может быть и сложнейшая система, доступ к которой можно получить только по результатам анализа ДНК?!
Смотрим в Ст.24 «Обеспечение защиты персональных баз данных». В п.5 указано, что в органах государственной власти, местного самоуправления, организациях, учреждениях и предприятиях всех форм собственности будет определяется структурное подразделение или ответственное лицо, которое организует работу, связанную с защитой персональных данных при их обработке.
Многим владельцам баз данных возможно потребуется внести существенные изменения в структуры своих информационную систем, если государство установит определенные стандарты и требования к уровню защиты данных. В некоторых случаях это потребует существенных финансовых затрат со стороны владельцев базы данных. Вполне возможно, что некоторым физ-лизам придется и вовсе временно приостановить свою деятельность, чтобы лишний раз не нарушить закон.
«Для того чтобы такие вещи работали - нужен определенный ГОСТ, который бы описывал обязательные требования к защите данных, методы и инструменты, способные этот гост реализовать. А так получается закон ради закона, принципов соблюдения которого никто не знает», - прокомментировал ситуацию разработчик программного обеспечения.
Но больше всего возникает вопросов к процессу контроля. Люди зарегистрируют свои данные. Что дальше? П.4 Ст. 19 предусматривает, что «Органы государственной власти и местного самоуправления имеют право на беспрепятственный и бесплатный доступ к персональным данным в соответствии с их полномочиями». Неясно только сможет ли государство гарантировать, что органы власти не будут использовать своё служебное положение для получения этих данных?
«Люди годами нарабатывают свою клиентскую базу и другие данные, которые через коррупционные связи могут в считанные минуты могут попасть в руки конкурентов. Эти данные порой могут стоит много денег, а если ещё и попадут не в те руки - то и того хуже», - считает разработчик программного обеспечения.
Проблема с коррупцией в Украине все ещё актуальна. Даже в Европе подобная защита персональных баз данных гарантируется независимым органом. А у нас получается, что государство решило получить безграничный доступ ко всем базам данных и сделало это обязательным для всех. Но кому нужно такое законодательство?
Угодим Европе
Возможно, анализировать стоит и не закон, а сам факт принятия его в контексте того «положения», в котором пребывает страна. В эпоху реформ Украина ещё и готовится к Евро-2012. Влияние таких партнеров как Евросоюз с Советом Европы и ОБСЕ (организацией по безопасности и сотрудничеству в Европе) достаточно ощутимо. Если в столице запретили сушить на балконе трусы, что уж тут говорить о тех обязательствах, которые возложены на Украину в части реформирования законодательства, регулирующего информационную сферу?
Так и рассмотренный нами Закон о «защите персональных баз данных» был принят как требование партнеров. 1 января 2011 года он вступил в силу вместе с Конвенции Совета Европы № 108 "О защите лиц в связи с автоматизированной обработкой персональных данных». Данная конвенция стала основой закону. Кроме того, в нем заложены и Директивы 95/46/ЕС Европейского Парламента и Совета "О защите физических лиц при обработке персональных данных и о свободном перемещении таких данных".
Вот только увидим ли мы положительные изменения, когда наши законы начнут соответствовать Европейским нормам – вопрос риторический. Потому как в нашей стране законы сначала вступают в силу, а потом все ломают головы как их выполнять . А думать бы стоило депутатам Верховной Рады, причем до, а не после принятия документов.
