Як Україна має захищати персональні дані для вступу в ЄС і де відбувається гальмування

До моменту вступу в ЄС Україна має гармонізувати власне регулювання захисту персональних даних з європейськими правилами та створити інфраструктуру захисту даних.

Цей процес уже триває, але дуже повільно.

Про те, де відбувається гальмування і що має зробити Україна, – в статті наукової редакторки "Вокс Україна" Ілони Сологуб Занедбана реформа: як у ЄС захищають персональні дані і чому Україна йде до цього так повільно. Далі – стислий її виклад.

Правила захисту персональних даних в ЄС регулюються Конвенцією 108+ про захист даних, Регламентом із захисту даних, Законом про цифрові послуги, Законом про цифровий ринок, Законом про ШІ та інші). Їх мають виконувати не тільки компанії з держав ЄС, але й з інших країн, що працюють із даними мешканців Євросоюзу.

Сучасне регулювання правил захисту персональних даних в ЄС вважається найбільш "просунутим", тому інші країни використовують його як взірець.

При цьому Єврокомісія може визначити перелік країн та організацій, які мають такий саме захист персональних даних, як і ЄС. Наразі це 16 юрисдикцій та організацій, зокрема Аргентина, Бразилія та Уругвай. Компаніям із цих країн та цим організаціям не потрібно отримувати додаткові погодження чи укладати окремі контракти для обміну даними з компаніями з Євросоюзу.

Україна має повністю узгодити законодавство з Регламентом ЄС про захист персональних даних. Зобов’язання закріплене у першому кластері перемовин про вступ, який включає розділ 23 "Судова влада та основоположні права" та розділ 24 "Юстиція, свобода і безпека".

Є два відповідні законопроєкти (8153 про захист персональних даних, а також 6177 про створення Нацкомісії з питань захисту персональних даних), які подали до українського парламенту ще у 2022 і 2021 роках, але досі не ухвалили.

Законопроєкт 8153, ухвалений у першому читанні наприкінці 2024 року, серед іншого, пропонує впровадити явно виражену та інформовану згоду особи на обробку даних та право особи змінювати та видаляти свої дані.  

Законопроєкт пропонує значно підвищити штрафи за порушення захисту персональних даних: зараз вони становлять від 1700 до 34 тисяч грн, а відповідно до законопроєкту становитимуть до 90 млн грн або 5% річного обороту компанії.

Відповідно до Національної програми адаптації законодавства України до права Європейського Союзу (acquis ЄС), законопроєкт 8153 мав бути ухвалений у червні 2026 року.

Втім, українські медіа, а також компанії, які працюють на ринку ЄС, уже мусять дотримуватися Регламенту ЄС. Для останніх омбудсман, який зараз займається захистом персональних даних, розробив низку рекомендацій про транскордонну передачу даних.

Інший крок, який нам потрібно зробити до вступу в ЄС – запустити національного регулятора у сфері захисту персональних даних. Законопроєкт 6177 пропонує, щоб регулятором стала Національна комісія з питань захисту персональних даних та доступу до публічної інформації, яка складатиметься з семи членів, призначених Кабміном за конкурсом. Безпосередньо перевіряти дотримання правил захисту персональних даних буде Служба інспекторів Національної комісії, а голову цієї служби призначатиме голова Нацкомісії за результатами конкурсу.  

Серед інших задач – необхідність узгодити доступ до інтернет-ресурсів потрібно з європейськими стандартами свободи слова. Зокрема, підвищити прозорість рішень про блокування сайтів. Крім того, Україна має узгодити з європейськими стандартами захисту даних використання технологій розпізнавання обличчя й подібних та Національну систему e-Health.

Українську систему відкритих даних потрібно узгодити з Open Data Directive та Data Governance Act.

Не слід забувати й про штучний інтелект. Адже Україна зрештою також повинна буде впровадити AI Act в рамках вступу до ЄС.

Докладніше – в матеріалі Ілони Сологуб Занедбана реформа: як у ЄС захищають персональні дані і чому Україна йде до цього так повільно.