Між приватністю та свободою слова. Загрози нового законопроєкту про захист даних

Ілюстрація ІМІ

Ухвалення у 2010 році Закону України “Про захист персональних даних” спричинило чимало побоювань у медійному середовищі, а також додало мороки всім, хто працює з такими даними, особливо в держсекторі. Не можна стверджувати, ніби цей закон не потрібен. Але зараз ми постаємо перед перспективою того, що він буде замінений на новий і всім доведеться знову підлаштовуватися під зміну регулювання.

Річ у тім, що ще рік тому було внесено до Верховної Ради проєкт нового закону №8153 “Про захист персональних даних”. Авторами законодавчої ініціативи виступила велика група народних депутатів, серед яких і голова ВРУ. Підставою для такого оновлення законодавства в Україні є зміна законодавства в ЄС, куди ми прямуємо, а саме – ухвалення Регламенту ЄС про захист фізичних осіб у зв'язку з опрацюванням персональних даних і про вільний рух таких даних у 2016 році. Аргументація про адаптування нашого законодавства до європейського та склад депутатів-авторів законопроєкту роблять його ухвалення дуже ймовірним, його вже схвалено в першому читанні (20.11.2024). Тому варто розібратися з тим, який потенційний вплив на українську журналістику можуть спричинити нововведення цього проєкту.

Чинний закон є досить ліберальним щодо медійників, оскільки він допускає оброблення ними чужих персональних даних без застосування його положень, якщо оброблення здійснюється “виключно для журналістських та творчих цілей, за умови забезпечення балансу між правом на повагу до особистого життя та правом на свободу вираження поглядів” (п. 2 ч. 2 ст. 25 закону). Натомість новий законопроєкт значно розширює регулювання, що може негативно вплинути на журналістику.

Згідно зі сферою дії та поняттями законопроєкту, його дія “не поширюється на обробку персональних даних фізичними особами для особистих чи побутових потреб, які не пов’язані зі здійсненням професійної чи будь-якої іншої діяльності, що має на меті отримання прибутку” (ч. 3 ст. 1 проєкту). Персональні дані визначено традиційно як “будь-яку інформацію, що стосується фізичної особи, яку ідентифіковано або може бути ідентифіковано [завдяки цій інформації]”. “Обробка персональних даних – будь-яка дія або сукупність дій з персональними даними з використанням або без використання автоматизованих засобів...” (ч. 1 ст. 2 проєкту). А сферу своєї дії законопроєкт поширює “на відносини, пов’язані з обробкою персональних даних із застосуванням автоматизованих засобів, а також на обробку персональних даних, що містяться у картотеці чи призначені до внесення до картотеки, із застосуванням неавтоматизованих засобів” (ч. 1 ст. 1 проєкту). Водночас картотекою визначаються “будь-які структуровані за певними критеріями персональні дані, обробка яких здійснюється не автоматизовано” (ч. 1 ст. 2 проєкту). 

Оскільки комп’ютер, мобільний телефон чи фотоапарат структурує (впорядковує) файли з даними, зазвичай за назвою чи датою, то робочі дані журналіста, що практично завжди містять інформацію про інших фізичних осіб, потрапляють до сфери дії законопроєкту. 

Проєкт містить норму, яка виключає дію деяких інших його статей щодо журналістської діяльності за умови, що оброблення персональних даних проводиться лише для цілей журналістської та творчої діяльності з переконанням, “що оприлюднення інформації здійснюється в суспільних інтересах, а шкода від оприлюднення такої інформації не переважає суспільний інтерес в її отриманні” (ч. 2 ст. 15). Зокрема, до журналістської діяльності не застосовуються такі вимоги:

• щодо принципів добросовісності та прозорості (п. 1 ч. 1 ст. 4 проєкту); 
• точності, цілісності й конфіденційності персональних даних (п.п. 4 і 6 ч. 1 ст. 4); 
• щодо прав суб’єкта персональних даних на інформацію (ст. 18); 
• на доступ до персональних даних (ст. 19); 
• на їхнє виправлення (ст. 20); 
• права такого суб’єкта на забуття (ст. 21);  
• на заперечення проти оброблення персональних даних (ст. 22); 
• на мобільність персональних даних (ст. 23), 
• на обмеження їхнього оброблення (ст. 24);  
• на захист від автоматизованого ухвалення рішення (ст. 25); 
• права суб’єкта персональних даних на захист своїх прав та компенсацію шкоди (ст. 26); 
• щодо процедури звернення суб’єкта персональних даних до їхнього контролера (ст. 27); 
• щодо реєстрації операцій з оброблення персональних даних (ст. 34);
• щодо співпраці контролера персональних даних з контролювальним органом (ст. 36); 
• повідомлень про порушення безпеки персональних даних до контролювального органу (ст. 37) та до відповідного суб’єкта (ст. 38); 
• щодо оцінювання впливу оброблення персональних даних (ст. 39) та щодо попередніх консультацій (ст. 40). 

Водночас законопроєкт усе ж покладає на медійників надмірні зобов’язання щодо оброблення персональних даних, які можуть затримувати публікацію матеріалів, ускладнювати оперативне інформування громадськості та становити загрозу свободі слова. До наведеного вище переліку винятків не ввійшла ст. 5 проєкту (“підстави для обробки [зокрема збору] перс. даних”). Це означає, що вона поширюється на журналістську діяльність. Згідно з нею, медіа мають отримувати згоду кожного суб’єкта на оброблення його персональних даних (п. 1 ч. 1 ст. 5 та ст. 6 проєкту). Іншою підставою оброблення може бути необхідність “виконання завдань в суспільних інтересах…” (п. 5 ч. 1 ст. 5). 

Разом з тим виникають такі загрози:

1. Вимога отримувати згоду суб’єктів даних перед обробленням (п. 1 ч. 1 ст. 5) у багатьох випадках є нереалістичною. Наприклад, журналіст, що висвітлює протест чи публічний захід, не зможе ефективно ідентифікувати всіх учасників, не кажучи вже про отримання їхньої згоди.
2. У ситуаціях, коли суб’єкт даних може бути показаний у негативному світлі, отримати згоду майже неможливо. Це може спонукати медіа уникати висвітлення контроверсійних тем, що прямо впливає на суспільне право на інформацію.
3. Поняття суспільного інтересу (п. 5 ч. 1 ст. 5) є суб’єктивним і може стати підставою для судових позовів або адміністративного тиску на журналістів.

Далі законопроєкт зобов’язує кожного, хто проводить знімання чи запис голосу особи відкрито на вулиці або на заходах публічного характеру (публічних зборах, конференціях тощо), повідомити присутніх про цей факт і мету фіксації їхнього зображення чи голосу (ч. 1 ст. 11 проєкту). Це як мінімум зобов’яже медійників виставляти поряд із собою на видноті табличку з попередженням про проведення знімання на заходах публічного характеру і потенційне використання знятого в матеріалах медіа. Водночас будь-яка фізична особа (на яких, нагадаю, законодавство про захист персональних даних не поширюється) також може проводити знімання на вулиці чи на згаданих заходах, наприклад на смартфон, поширюючи ці записи згодом у соцмережах, де охоплення їх аудиторією може бути не меншим, ніж у медіа. Проте така пересічна особа не підпадає під регулювання законопроєкту, а якщо й підпадатиме з якихось підстав, то ще треба спромогтися її ідентифікувати й притягти до відповідальності. І нарешті, така асиметрія створює несправедливі умови для медіа.

Проте найбільша особливість у тому, що медіа оприлюднюють фото, відео, текстові матеріали з даними про різних фізичних осіб на необмежену аудиторію, ці матеріали й дані зазвичай будь-хто згодом може відтворювати, перепоширювати або й змінювати. І вже зовсім не в журналістських цілях. Персональні дані в журналістських матеріалах зазвичай змішані з іншою дуже різноманітною інформацією, а одне фото чи відео з вулиці чи масового заходу може містити велику кількість даних про різних суб’єктів з різним ступенем чутливості. Тому якщо і вважати журналістику обробленням персональних даних у розумінні законопроєкту, то це оброблення особливого роду (sui generis). Законопроєкт чітко не визначає дозволу чи заборони щодо таких багатогранних результатів висвітлення в медіа інформації про фізичних осіб, крім хіба того, що не поширює на журналістську діяльність принципу конфіденційності персональних даних (п. 6 ст. 4 проєкту). 

Як бачимо, проєкт нового закону “Про захист персональних даних” потребує доопрацювання в частині забезпечення свободи професійної журналістики, яка б базувалася на етиці та фахових стандартах. Адже межа між журналістикою та іншим контентом, особливо в соцмережах, останнім часом стирається. Що ставить журналістику в невигідну позицію, адже законодавство про захист персональних даних зазвичай не поширюється на інформаційну діяльність звичайних громадян, хоча вона може бути й доволі масштабною за охоплюваною аудиторією.