Належним свідченням того, що Закон України «Про захист персональних даних» (далі - Закон) покликаний захищати особисті немайнові права громадян на їх персональні дані, є те, що на сьогоднішній день до Державної служби України з питань захисту персональних даних (далі - ДСЗПД)звертається зі скаргами численна кількість суб'єктів персональних даних - фізичних осіб щодо необхідності вжиття уповноваженим державним органом з питань захисту персональних даних заходів захисту своїх персональних даних від незаконної обробки суб'єктами відносин, пов'язаних із персональними даними, зокрема володільцями, розпорядниками баз персональних даних та третіми особами (органами державної влади чи місцевого самоврядування, підприємствами організаціями та установами усіх форм власності, а також фізичними особами - підприємцями, які обробляють персональні дані відповідно до закону).
Насамперед слід зазначити, що звернення, які надходять на розгляд до ДСЗПД від громадян, органів державної влади, органів місцевого самоврядування, підприємств, установ організацій різних форм власності та фізичних осіб - підприємців, свідчать, в першу чергу, про неправильне розуміння норм Закону.
Варто наголосити на тому, що персональні дані з'являються у кожної людини вже з моменту народження фізичної особи, зокрема такі як ім'я, прізвище та по-батькові, біометричні дані, належність до певної статі, дата народження тощо. Практично в цей же час розпочинається процес обробки цих персональних даних конкретної фізичної особи, у тому числі і в базах персональних даних.
Крім того, у ст. 6 Закону «Про захист персональних даних» чітко визначається, що первинними джерелами відомостей про фізичну особу є: видані на її ім'я документи; підписані нею документи; відомості, які особа надає про себе. У подальшому обробка персональних даних здійснюється протягом усього життя людини будь-якими підприємствами, установами і організаціями усіх форм власності, органами державної влади чи органами місцевого самоврядування або фізичними особами - підприємцями, які можуть здійснювати ці дії відповідно до законодавства і які нерозривно пов'язані з обробкою відомостей про таку особу.
Статтею 2 Закону обробка персональних даних визначається як будь-яка дія або сукупність дій, здійснених повністю або частково в інформаційній (автоматизованій) системі та/або в картотеках персональних даних, які пов'язані зі збиранням, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, поновленням, використанням і поширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичну особу.
Процес обробки персональних даних будь-якої людини нерозривно пов'язаний з настанням тих чи інших фактів та обставин в результаті її життєдіяльності. Як вже було зазначено, цей процес розпочинається до моменту народження та не припиняється протягом всього життя фізичної особи, як повноцінного члена сучасного суспільства.
При цьому варто зауважити, що у багатьох випадках обробка персональних даних відбувається (відбувалася або буде відбуватися) без необхідності отримання згоди суб'єкта на обробку його персональних даних, як виключне право, а у багатьох випадках - як виключний обов'язок держави.
Отже, повне припинення обробки персональних даних будь-якої особи в межах держави фактично є неможливим та навіть, безглуздим, оскільки не відповідає нормам, встановленим законодавством України.
Безумовно ст. 8 Закону кожній особі надано право пред'являти вмотивовану вимогу із запереченням проти обробки своїх персональних даних органами державної влади, місцевого самоврядування при здійсненні їхніх повноважень, передбачених законами. Але хочеться підкреслити те, що необхідною умовою для того, щоб скористатися цим правом, громадянин повинен пред'явити саме вмотивовану вимогу.
Також кожному громадянину надається право вимагати зміни або знищення своїх персональних даних будь-яким володільцем або розпорядником бази персональних даних - але винятково у разі, якщо ці дані обробляються незаконно чи є недостовірними.
У відповідності до ст.5 Закону персональні дані, крім знеособлених персональних даних, за режимом доступу є інформацією з обмеженим доступом.
До того ж, питання, що порушуються органами державної влади, органами місцевого самоврядування, підприємствами, установами організаціями різних форм власності та фізичними особами - підприємцями, які здійснюють обробку персональних даних фізичних осіб, також свідчать про їх необізнаність при вимоги законодавства у сфері захисту персональних даних, яке складається крім Закону України «Про захист персональних даних», також з Конституції України, інших законів та підзаконних нормативно-правових актів, міжнародних договорів України, згода на обов'язковість яких надана Верховною Радою.
Зі звернень фізичних та юридичних осіб, ДСЗПД виділяє ті їх вимоги, що насамперед безпосередньо пов'язані з нерозумінням законодавства в сфері захисту персональних даних та містять вимоги щодо:
- скасування Закону України «Про захист персональних даних»;
- внесення до цього Закону змін;
- заперечення проти обробки персональних даних громадян безпосередньо в ДСЗПД;
- направлення письмової згоди працівників окремих підприємств на обробку їх персональних даних безпосередньо до ДСЗПД;
- скасування Закону України «Про внесення змін до деяких законодавчих актів України щодо посилення відповідальності за порушення законодавства про захист персональних даних»;
- скасування кримінальної відповідальності за порушення законодавства про захист персональних даних;
- порушення нормами Закону України «Про захист персональних даних» конституційних прав громадян в частині подання до Служби їх персональних даних та інші питання, які урегульовані цим Законом.
Так, наприклад, скарги щодо дій володільця бази персональних даних у разі відмови суб'єкта персональних даних від надання згоди на обробку відомостей про нього, коли така згода і не потрібна, оскільки дозвіл на обробку персональних даних, наданий володільцю бази персональних даних відповідно до закону, виключно для здійснення його повноважень та обсяг персональних даних, що включається до бази, визначено також відповідно до закону.
При цьому, значна кількість заяв від громадян надходять з вимогою заборони обробляти їх персональні дані саме Державною службою України з питань захисту персональних даних. Такі вимоги базуються на складені громадянами хибного уявлення про положення, які містить Закон України «Про захист персональних даних», що висвітлюються в засобах масової інформації, мережі «Інтернет», спілкуванні між собою тощо, що явно спотворює та перекручує зміст його норм.
Таким чином, підвищена стурбованість громадян щодо нібито порушення їх прав положеннями Закону утворилася з інформації, що не відповідає дійсності, оскільки в більшості випадків при отриманні письмової згоди від громадян особи, що обробляють їх персональні дані, зазначають про передання відомостей про них до ДСЗПД. Це звісно не відповідає дійсності та обурює громадськість.
До ДСЗПД передається винятково інформація, яка необхідна для державної реєстрації баз персональних даних шляхом внесення відповідного запису до Державного реєстру баз персональних даних:
- інформація про володільця бази персональних даних;
- інформація про найменування і місцезнаходження бази персональних даних;
- інформація про мету обробки персональних даних в базі персональних даних;
- інформацію про інших розпорядників бази персональних даних.
Доступу у працівників ДСЗПД безпосередньо до змісту конкретної бази персональних даних та інформації, яку вона містить не має.
Слід звернути увагу на положення ч. 2 ст. 32 Конституції України, яким передбачено, що не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.
Відповідно до ч. 5, 6 ст. 6 Закону обробка персональних даних здійснюється для конкретних та законних цілей, визначених за згодою суб'єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством. Не допускається обробка даних про фізичну особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.
У свою чергу, підставами виникнення права на використання персональних даних згідно ст. 11 Закону, окрім згоди фізичної особи на обробку його персональних даних, є дозвіл на обробку персональних даних, наданий володільцю бази персональних даних відповідно до закону виключно для здійснення його повноважень.
Окрім цього, особа, яка здійснює обробку персональних даних, самостійно визначає кількість баз персональних даних, якими вона володіє та підстави для використання персональних даних, оскільки таке визначення базується на проведенні певного аналізу законодавства, установчих документів, які регулюють діяльність такої особи у відповідній сфері.
Отже, вищезазначені вимоги осіб, що звертаються до ДСЗПД, свідчать про недостатнє розуміння основних положень Закону України «Про захист персональних даних», в тому числі громадяни необізнані в правах, які вони мають у відповідності до вимог ст. 8 Закону у разі здійснення обробки їх персональних даних.
З вищеозначеними вимогами, що містять звернення, не можна погодитися з огляду на наступне.
Нормами ст. 32 Конституції України закріплено, що ніхто не може зазнавати втручання в його особисте і сімейне життя, крім випадків, передбачених Конституцією України. При цьому, не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.
На підставі зазначеної норми Конституції, з метою реалізації, конкретизації та імплементації прав громадян, а саме захисту персональних даних фізичних осіб під час їх обробки юридичними особами та фізичними особами - підприємцями, прийнято Закон України «Про захист персональних даних», який і урегульовує питання захисту персональних даних. Тобто, норми цього Закону визначають права громадян, які вони мають у разі використання їх персональних даних будь-яким органом державної влади, органами місцевого самоврядування, підприємством, установою чи організацією, фізичною особою - підприємцем.
