Тип: Звичайний
№ 8153
Дата: 25 жовтня 2022 р.
Статус: Готується на друге читання
Субʼєкт: Народний депутат України
ВЕРХОВНА РАДА УКРАЇНИ
Комітет з питань прав людини, деокупації та реінтеграції тимчасово
окупованих територій України, національних меншин і
міжнаціональних відносин
01008, м.Київ-8, вул. М. Грушевського, 5, тел.: 255-49-02
До реєстр. № 8153 від 25.10.2022
ВЕРХОВНА РАДА УКРАЇНИ
Комітет Верховної Ради України з питань прав людини, деокупації та
реінтеграції тимчасово окупованих територій України, національних меншин і
міжнаціональних відносин (далі – Комітет) на своєму засіданні, проведеному 19
грудня 2023 року (протокол № 95), розглянув проект Закону України про захист
персональних даних, реєстр. № 8153 від 25.10.2022, поданий народним
депутатом України Стефанчуком Р.О. та іншими народними депутатами України
(далі – законопроект).
Відповідно до пояснювальної записки завданням проекту Закону є
приведення нормативного регулювання України в сфері захисту персональних
даних у відповідність до нових міжнародних стандартів, підвищення рівня
захисту конституційного права на повагу до приватного життя через посилення
стандартів обробки персональних даних.
Для досягнення поставленої цілі проектом Закону України, зокрема,
передбачається:
- визнати таким, що втратив чинність Закон України «Про захист
персональних даних»;
- визначити такі терміни, як «персональні дані», «біометричні дані»,
«генетичні дані», «згода на обробку персональних даних», «знеособлення
персональних даних», «обробка персональних даних», «порушення безпеки
персональних даних» тощо;
- закріпити на законодавчому рівні принципи обробки персональних даних
(законність, добросовісність та прозорість; обмеження мети; мінімізація та
точність персональних даних; обмеження зберігання; підзвітність тощо);
- встановити підстави для обробки персональних даних з деталізацією щодо
форми та вимог до згоди на обробку персональних даних (може бути подана у
письмовій та електронній формі; шляхом обрання відповідних технічних
налаштувань в інтерфейсі веб-сайта; через іншу ствердну дію чи поведінку);
- заборонити обробку чутливих персональних даних (про расове або етнічне
походження, політичні, релігійні або світоглядні переконання, членство в
професійних спілках, а також генетичних та біометричних даних, даних, що
стосуються здоров'я, статевого життя або сексуальної орієнтації);
- врегулювати особливості обробки персональних даних роботодавцем,
персональних даних, пов’язаних з притягненням до кримінальної
відповідальності, правопорушень, кримінальних проваджень та судимості;
отриманих для цілей журналістської чи творчої діяльності, в результаті аудіо,
відео або фото фіксації публічних заходів, а також особливості обробки
персональних даних після смерті суб’єкта персональних даних;
- визначити окремі аспекти обробки біометричних даних суб’єктами владних
повноважень;
- встановити, що обробка персональних даних з іншою метою, ніж та, з якою
вони збирались (первинна мета), забороняється, крім випадків, якщо нова мета є
сумісною з первинною;
- закріпити права суб’єктів персональних даних (на інформацію, на
виправлення, на забуття, на заперечення проти їх обробки, на захист від
автоматизованого прийняття рішення, відшкодування шкоди тощо), а також
обов’язки контролерів та операторів;
- зобов’язати контролера та оператора персональних даних призначити
відповідальну особу з питань захисту персональних даних;
- запровадити Кодекс поведінки з питань захисту персональних даних;
- передбачити нові розміри штрафів за порушення законодавства у сфері
захисту персональних даних.
Проект Закону також передбачає внесення змін до інших законодавчих актів,
зокрема до Кодексу законів про працю України, законів України «Про поховання
та похоронну справу», «Про Єдиний державний демографічний реєстр та
документи, що підтверджують громадянство України, посвідчують особу чи її
спеціальний статус», «Про державні фінансові гарантії медичного
обслуговування населення», «Про електронну комерцію», «Про електронні
комунікації».
Комітет Верховної Ради України з питань бюджету ухвалив висновок, що
законопроект матиме вплив на показники бюджету (потребуватиме додаткових
видатків державного бюджету на створення та забезпечення діяльності
уповноваженого органу, який буде здійснювати нагляд та контроль за
дотриманням відповідного закону, а також може призвести до збільшення
доходів державного бюджету від штрафів у разі виявлення відповідних
правопорушень).
Комітет з питань інтеграції України до Європейського Союзу зазначає, що
у визначенні «персональні дані», наведеному у законопроекті, не враховано
уточнення, передбачене пунктом 1 статті 4 Регламенту 2016/679. Також звертає
увагу на необхідність включення до законопроекту таких понять, як
«представник», «зобов’язальні корпоративні правила», що наведені в статті 4
Регламенту 2016/679. Вказує, шо законопроект потребує приведення у
відповідність, зокрема, до наступних положень Регламенту 2016/679:
– пункт 1 частини п’ятої статті 39 законопроекту не містить уточнення про
зазначення, за необхідності, законного інтересу контролера у висновку, що
складається за результатами оцінки впливу, як це передбачено в пункті (а)
частини сьомої статті 35 Регламенту 2016/679;
– частиною третьою статті 40 законопроекту передбачено, що рішення
контролюючого органу про продовження строку надання рекомендації або
прийняття іншого рішення в результаті консультацій повідомляється контролеру
у п’ятиденний строк з моменту прийняття. Водночас відповідне положення не
узгоджується частиною другою статті 36 Регламенту 2016/679.
Комітет з питань інтеграції України до Європейського Союзу ухвалив
висновок, згідно з яким проект Закону не суперечить цілям Угоди про асоціацію
та праву Європейського Союзу, але потребує доопрацювання, зокрема, з метою
врахування положень Регламенту 2016/679.
Комітет Верховної Ради України з питань цифрової трансформації
рекомендує Верховній Раді України прийняти законопроект за основу з
урахуванням висловлених у його висновку зауважень та пропозицій, переважна
більшість яких передбачає коригування запропонованих змін до Закону України
«Про електронні комунікації» (далі – Закон). Зокрема, вказує на недоцільність
доповнення Закону новими статтями 311 – 313 та 1194 і 1195, а також пропонує
залишити статті 117 і 119 Закону у чинній редакції.
Головне науково-експертне Управління Апарату Верховної Ради України
(далі – ГНЕУ) у своєму висновку зазначає, що проект містить значну кількість
положень, які не відповідають принципу правової визначеності («значний обсяг
персональних даних», «значна кількість суб’єктів персональних даних»,
«короткий та зрозумілий суб’єкту персональних даних опис технології
відстеження», серйозні транскордонні загрози» тощо). Звертає увагу на
неприйнятності запропонованих у частині дванадцятій статті 52 проекту
положень, згідно з якими персональні дані, що стосуються суб’єкта
персональних даних, уповноваженого на виконання функцій держави або
місцевого самоврядування, посадових або службових повноважень, не є
конфіденційною інформацією і можуть бути відкриті третім особам.
Акцентує увагу на наявні у проекті невідповідності й неточності щодо обробки
персональних даних правоохоронними та розвідувальними органами. Зокрема,
надає зауваження до визначення терміну «правоохоронний орган» та наголошує
на необхідності врахувати особливості обробки таких суб’єктів персональних
даних, як особи, які притягаються до адміністративної відповідальності,
особи, щодо яких здійснюється оперативно-розшукова діяльність, особи, щодо
яких повинен вестися профілактичний облік тощо.
Також ГНЕУ зазначає про необхідність узгодження із законопроектом
деяких положень Кодексу України про адміністративні правопорушення (як в
частині перегляду складів адміністративних правопорушень, за які
передбачається адміністративна відповідальність у сфері захисту персональних
даних, так і в частині повноважень Уповноваженого Верховної Ради України з
прав людини). Окремо наголошує на доцільності забезпечення принципу
правової визначеності у запропонованих змінах до Закону України «Про
електронні комунікації».
Уповноважений Верховної Ради України з прав людини підтримує
прийняття законопроекту.
Віце-прем’єр-міністр з питань європейської та євроатлантичної інтеграції
України О. Стефанішина у своєму листі зазначає, що положення статей 35 та 36
Регламенту (ЄС) 2016/679 Європейського Парламенту і Ради від 27 квітня 2016
року про захист фізичних осіб щодо обробки персональних даних та про вільний
рух таких даних враховані частково в положеннях законопроекту. Водночас
оприлюднена постатейна таблиця до законопроекту у переважній більшості
містить висновки про відповідність запропонованих у законопроекті положень
праву Європейського Союзу та міжнародно-правовим зобов’язанням України.
Відповідно до Правового висновку, підготовленого міжнародними
експертами Ради Європи в межах проекту Ради Європи «Підтримка
впровадження європейських стандартів прав людини в Україні», передбачений
проектом Закону підхід досить близький до того, який виходить з європейських
стандартів. У зв’язку з цим відзначається, що деякі положення відповідають
Конвенції 108+ та GDPR, а також іншим відповідним стандартам, і не
потребують поправок. При цьому, деякі положення проекту рекомендується
переглянути, уточнити або внести до них правки, щоб гарантувати їх
відповідність європейським стандартам і, зокрема, Конвенції 108+ і GDPR.
Міністерство юстиції України звертає увагу на необхідності узгодження
положень законопроекту з:
- Виборчим кодексом України (в частині обробки персональних даних з
метою прямого маркетингу, передвиборної агітації, політичної реклами);
- Законом України «Про державну службу» (в частині призначення
суб’єктами владних повноважень відповідальної особи з питань захисту
персональних даних);
- Кодексом законів про працю України (щодо вимог про обробку
роботодавцем персональних даних).
Також міністерство зазначає про потребу доопрацювати розділ Х
«Відповідальність за порушення законодавства у сфері захисту персональних
даних», в якому відсутні положення стосовно обставин, які мають враховуватися
під час вирішення питання про вид та розмір відповідальності контролера або
оператора, а також розділ ХІ «Прикінцеві та перехідні положення» проекту
Закону.
Окремо вказується, що деякі норми проекту Закону не відповідають
принципу правової визначеності, а також потребують доопрацювання з метою
повного врахування положень Регламенту (ЄС) 2016/679 та Директиви 2002/58
Європейського Парламенту та Ради від 12 липня 2002 року стосовно обробки
персональних даних та захисту конфіденційності у сфері електронних
комунікацій.
Міністерство внутрішніх справ України надає до законопроекту пропозиції
та зазначає, що з метою їх врахування потребуватимуть змін також окремі
положення законів України «Про інформацію», «Про доступ до публічної
інформації». Зазначає про необхідність узгодження норм законопроекту із
Законом України «Про державну реєстрацію геномної інформації людини».
Вказує, що законопроект потребує доопрацювання, зокрема щодо чіткого
визначення алгоритму функціонування системи захисту персональних даних в
Україні. Зазначає, що під час надання визначення терміну «біометричні дані»
законопроектом тільки частково враховуються вимоги, наведені в Регламенті
Європейського Парламенту і Ради Європейського Союзу 2016/679 від 27 квітня
2016 року. Законопроект не уточнює зміст терміну «спеціальна технічна
обробка», що в подальшому не виключатиме необмеженості трактування в
правозастосовній практиці, оскільки суперечить принципу верховенства права
(частина перша статті 8 Конституції України), одним з елементів якого є правова
визначеність положень законів та інших нормативно-правових актів.
Міністерство звертає увагу на необхідність приведення положень законопроекту
у відповідність до Закону України «Про Єдиний державний демографічний
реєстр та документи, що підтверджують громадянство України, посвідчують
особу чи її спеціальний статус» та Директиви 95/46/ЄС.
Служба безпеки України зазначає, що законопроект не враховує
особливостей окремих видів діяльності (зокрема, контррозвідувальна,
оперативно-розшукова, розвідувальна діяльність, досудове слідство, охорона
державної таємниці/службової інформації), на які будуть поширюватися
правила майбутнього законодавчого акта. Звертає увагу, що законопроектом
тричі застосовано різні підходи до визначення умов обробки біометричних
даних, що не відповідає принципу юридичної визначеності. Проект Закону
передбачає низку формулювань, які є характерними для викладення змісту
міжнародних договорів, а не для національної законодавчої термінології. Вказує,
що відповідальність за порушення правил обробки персональних даних вже
встановлена законодавством, в тому числі Кримінальним кодексом України (ст.
182 і ст. 168), в якому передбачено покарання у вигляді штрафу (як це
передбачено законопроектом), так і у вигляді більш суворих обмежень –
виправних робіт, обмеження і позбавлення волі. При цьому розміри штрафів,
передбачені у Кримінальному кодексі України значно відрізняються від
штрафів, запропонованих у законопроекті.
Міністерство економіки України зазначає, що терміни, які вживаються у
проекті Закону, не відповідають визначенням цих термінів у Законі України
«Про стандартизацію». Так само, процедури розроблення стандартів, які
пропонується застосовувати для цілей проекту Закону, не відповідають
процедурам розроблення національних стандартів, визначеним Законом України
«Про стандартизацію». Водночас міністерство повідомляє, що в цілому
прийняття законопроекту створить сприятливі умови для роботи вітчизняних
компаній на ІТ ринку Європейського Союзу та світу і, як наслідок надходження
іноземних інвестицій; пришвидшить та полегшить входження нашої держави до
Єдиного цифрового ринку Європейського Союзу.
Національний банк України вказує на необхідність доповнення положень
законопроекту кореспондуючими змінами до Закону України «Про банки і
банківську діяльність» в частині надання права контролюючому органу
отримувати інформацію, яка становить банківську таємницю, а також до законів
України «Про платіжні послуги», «Про страхування», «Про кредитні спілки»,
«Про фінансові послуги та державне регулювання ринків фінансових послуг»,
які встановлюватимуть особливості розкриття інформації з обмеженим доступом
контролюючому органу небанківськими фінансовими установами. Також
зазначає, що положення частини четвертої статті 6, частин другої та восьмої
статті 10 законопроекту не узгоджені із нормами статей 12 та 25 Закону України
“Про споживче кредитування” в частині надання послуг у випадку відмови
суб’єкта персональних даних від надання згоди на обробку його персональних
даних, а також здійснення обробки персональних даних при врегулюванні
простроченої заборгованості за договором про споживчий кредит.
Національний банк України зауважує, що деякі положення законопроекту
не відповідають принципу правової визначеності.
Міністерство охорони здоров’я України звертає увагу на той факт, що
підпунктом 9 частини другої статті 7 розділу III проекту Закону передбачається
обробка персональних даних, яка необхідна в цілях суспільного інтересу в сфері
громадського здоров’я, такого як захист від серйозних транскордонних загроз
для здоров’я або забезпечення високих стандартів якості та безпеки послуг з
охорони здоров’я та медичних продуктів або медичного устаткування у
випадках, передбачених законом, який передбачає належні і відповідні засоби
захисту основоположних прав та свобод суб’єкта персональних даних, зокрема,
професійної таємниці. Запропонована редакція проекту Закону потребує
доопрацювання, оскільки незрозуміло, які саме дані пропонується обробляти для
суспільного інтересу у сфері громадського здоров’я, яка мета їх обробки, а
також, у якій державній електронній інформаційній системі буде здійснюватися
обробка таких даних. Крім того, міністерство вказує на необхідність доповнення
розділу ІІІ Основ законодавства України про охорону здоров’я новою статтею
щодо обробки персональних даних.
Міністерство цифрової трансформації України вважає за можливе
прийняття зазначеного проекту Закону України у першому читанні та надає
пропозиції щодо викладення в іншій редакції статей 5, 6 та 50 законопроекту.
Національне агентство з питань запобігання корупції повідомляє, що в
законопроекті не виявлено корупціогенних факторів.
Міністерство оборони України зазначає, що законопроект підтримується із
зауваженнями. Зокрема, вказує, що застосування до розвідувального органу
Міністерства оборони України запропонованого терміну “правоохоронний
орган” з огляду на відсутність у розвідувальному органі правоохоронної функції
є некоректним. Звертає увагу, що законопроект не враховує можливості
правомірної обробки біометричних даних під час здійснення розвідувальної
діяльності. Також законопроект не враховує передбачені законодавством
повноваження розвідувальних органів здійснювати відеоспостереження з метою
забезпечення безпеки власних сил і засобів.
Міністерство закордонних справ України надає до законопроекту деякі
пропозиції щодо викладення окремих його положень та вказує, що проект Закону
потребує суттєвого доопрацювання з урахуванням вимог нормопроектувальної
техніки.
Міністерство з питань реінтеграції тимчасово окупованих територій
України підтримує законопроект та пропонує під час його опрацювання
розглянути можливість щодо встановлення заборони передачі персональних
даних державі-агресору, її державним органам, органам місцевого
самоврядування та іншим юридичним особам публічного права, окупаційним
силам та окупаційним адміністраціям, їхнім посадовим та службовим особам.
Міністерство освіти і науки України, Міністерство культури та
інформаційної політики України, а також Державна служба спеціального зв’язку
та захисту інформації України повідомили про відсутність зауважень та
пропозицій до тексту законопроекту.
Під час обговорення законопроекту народні депутати України зазначили,
що у процесі опрацювання проекту Закону в Комітеті були проведені
обговорення (зокрема, секторальні) найбільш дискусійних зауважень та
пропозицій до нього, в тому числі наданих у правовому висновку Ради Європи.
За результатами відповідних обговорень сформовано бачення щодо можливості
усунення наявних у законопроекті неузгодженостей під час його підготовки до
другого читання.
Враховуючи, що прийняття проекту Закону буде значним кроком на шляху
до виконання Україною своїх міжнародних зобов'язань у сфері захисту
персональних даних, зважаючи на надані до проекту Закону зауваження
Головного науково-експертного Управління Апарату Верховної Ради України
щодо необхідності внесення змін до структурних частин законопроекту та інших
законодавчих актів, які не є предметом розгляду в першому читанні,
погоджуючись із зазначеними пропозиціями від інших державних органів та
установ щодо доцільності узгодження положень законопроекту з іншими
законами України, положення яких відповідають предмету правового
регулювання проекту Закону, Комітет ухвалив рішення:
1. Рекомендувати Верховній Раді України проект Закону України про захист
персональних даних, реєстр. № 8153 від 25.10.2022, поданий народним
депутатом України Стефанчуком Р.О. та іншими народними депутатами
України, за наслідками розгляду в першому читанні прийняти за основу з
урахуванням необхідності, відповідно до частини першої статті 116 Регламенту
Верховної Ради України, внесення пропозицій і поправок щодо виправлень,
уточнень, усунення помилок та/або суперечностей у тексті законопроекту, інших
структурних частин законопроекту та/або інших законодавчих актів, що не були
предметом розгляду в першому читанні та відповідають предмету правового
регулювання законопроекту.
2. Під час розгляду на пленарному засіданні Верховної Ради України
співдоповідачем з цього питання визначити народного депутата України –
заступника голови Комітету Верховної Ради України з питань прав людини,
деокупації та реінтеграції тимчасово окупованих територій України,
національних меншин і міжнаціональних відносин Горбенка Руслана
Олександровича.
Голова Комітету А. ЗАДОРОЖНИЙ