Законодавство про захист персональних даних хочуть поширити на журналістів

Фото – inbusiness.kz

Велика група народних депутатів на чолі зі спікером Верховної Ради Русланом Стефанчуком внесли 25 жовтня до парламенту законопроєкт №8153. Проєкт закону називається "Про захист персональних даних", тобто він має замінити собою чинний закон з такою ж назвою, який було ухвалено у 2010 році. Необхідність його ухвалення обґрунтовується потребою погодити наші законодавчі норми з оновленим законодавством ЄС. 

Висновок про однозначне поширення дії потенційного закону на журналістів можна зробити з того, що поняття контролера персональних даних (далі – контролер) у законопроєкті (ст. 2) охоплює й фізичних осіб, а також наявна окрема стаття 15, присвячена обробленню персональних даних для цілей журналістської чи творчої діяльності.

Звернемо увагу на те, як виписано сферу його дії в ст. 1 законопроєкту:

1. Цей Закон поширюється на відносини, пов’язані з обробкою персональних даних із застосуванням автоматизованих засобів, а також на обробку персональних даних, що містяться у картотеці чи призначені до внесення до картотеки, із застосуванням неавтоматизованих засобів.
2. Дія цього Закону поширюється на всіх суб’єктів, пов’язаних з обробкою та захистом персональних даних, крім випадків передбачених цим Законом. 

Таке формулювання дещо подібне до ст. 1 чинного (поки що) закону, щоправда там прив’язка до автоматизованого оброблення та картотек вміщена в другому абзаці й видається не такою суттєвою для визначення сфери дії. Загалом від обох цих формулювань хотілося б більшої чіткості щодо того, чи охоплює сфера дії персональні дані (далі – ПД) поза їхнім обробленням автоматизованими засобами та картотеками. Адже це нормативно-правовий акт не те що масового, а повсюдного рівня застосування, і, знаючи як у нас люблять гратися з інтерпретаціями різних норм, бажано мати більш "розжовану" норму.

Частини 3–4 статті 1 проєкту визначають, на кого й на що його дія не поширюватиметься:

• Дія цього Закону не поширюється на обробку персональних даних фізичними особами для особистих чи побутових потреб, які не пов’язані зі здійсненням професійної чи будь-якої іншої діяльності, що має на меті отримання прибутку.
• Обробка персональних даних для особистих чи побутових потреб охоплює, зокрема, ведення кореспонденції та збереження поштових (електронних) адрес, підтримання соціальних контактів, а також комунікація у мережі Інтернет, яка здійснюється в контексті такої діяльності.

Натомість ч. 2 ст. 25 чинного закону поки що виводить з-під його дії ще й журналістську та творчу діяльність ("за умови забезпечення балансу між правом на повагу до особистого життя та правом на свободу вираження поглядів"). Отже, журналістика тепер, після заміни закону на новий, може підпасти під регулювання законодавством про захист персональних даних, хоча в законопроєкті й передбачено чимало винятків щодо конкретних обов’язків медіа / журналіста як контролера персональних даних (ст. 15).

Указані винятки застосовуються (ч. 2 ст. 15 проєкту), якщо  контролер (медіа / журналіст) "обґрунтовано вважає, що оприлюднення інформації здійснюється в суспільних інтересах, а шкода від оприлюднення такої інформації не переважає суспільний інтерес в її отриманні". Якщо дивитися детально, то планується не застосовувати до журналістики такі положення законопроєкту: п. 1 ч. 1 ст. 4 щодо принципів добросовісності та прозорості, п.п. 4 і 6 ч. 1 ст. 4 (точність ПД, їхні цілісність і конфіденційність), ст.ст. 18–27 (розділ "Права суб’єкта ПД" (які означали б кореспондуючі обов’язки журналіста, якби не виняток), ст. 34 (реєстрація операцій з оброблення персональних даних), ст.ст. 36–40 (співпраця контролера та оператора з контролювальним органом, повідомлення контролювального органу і суб’єкта ПД про порушення безпеки ПД, оцінка впливу оброблення ПД, попередні консультації з контролювальним органом).

Які ж обов’язки все-таки пропонується в законопроєкті покласти на журналістів? Коротко їх можна описати так:

• вживати належних технічних та організаційних заходів для забезпечення оброблення ПД відповідно до вимог цього закону та бути спроможними довести це;
• вжити відповідних і достатніх технічних та організаційних заходів, які забезпечують:

1) належне та ефективне виконання принципів оброблення персональних даних, передбачених цим законом (ст. 4);

2) дотримання підстав оброблення персональних даних, передбачених цим законом;

3) інтеграцію захисних гарантій у процес оброблення персональних даних; 

• вживати належних заходів технічного та організаційного характеру для гарантування належної безпеки оброблення ПД такого рівня, який є співмірний ризику оброблення ПД для прав і свобод суб’єктів ПД з дотриманням принципу пропорційності.

Технічні та організаційні заходи повинні переглядатися та оновлюватись у разі необхідності (ч. 3 ст. 28 проєкту).

Як бачимо, перелік обов’язків, який залишається для журналістів згідно із законопроєктом, видається досить розмитим. Але можемо зазначити, що основними очікуваннями від журналістської роботи з ПД, ймовірно, буде те, щоб їхні збір і оброблення, зокрема поширення, відбувалися за наявності для того переважального суспільного інтересу, а також не допускалося спотворення персональних даних.

Коротко згадаємо про відповідальність за порушення, яку закладено в проєкті. Не факт, що розміри штрафів, указані в ст. 59, будуть затверджені в остаточній редакції, але наразі вони вимірюються десятками тисяч гривень (для фізосіб). Бентежить також фіксація в проєкті чітких сум у гривнях, адже інфляція в період війни – явище цілком можливе, й вона може знівелювати ці штрафи.

Найбільше обурення журналістів викликала ст. 11 проєкту, яка стосується фото-, відеознімання та аудіозапису на публічних заходах і виглядає так: 

Стаття 11. Обробка персональних даних в результаті аудіо-, відео- або фотофіксації публічних заходів

1. У разі здійснення аудіозапису, відеозйомки, кінозйомки, фотозйомки або будь-якої іншої фіксації зображення або голосу суб'єкта персональних даних... відкрито на вулиці або на заходах публічного характеру... контролер зобов’язаний завчасно вжити достатніх заходів для повідомлення суб’єктів персональних даних про здійснення… будь-якої… фіксації зображення або голосу суб'єкта персональних даних, а також мети цієї фіксації у спосіб, який надає можливість суб’єкту персональних даних заперечити проти обробки його персональних даних.
2. Оприлюднення, у тому числі публічний показ матеріалів відеозйомки, кінозйомки або фотозйомки, на яких можна ідентифікувати суб'єктів персональних даних, допускається за умови, що оприлюднення є пропорційним відносно легітимної цілі, яка переслідується, узгоджується з початковою метою фіксації враховує принцип поваги до суті права на захист персональних даних та передбачає належні та відповідні засоби захисту основоположних прав та інтересів суб’єкта персональних даних. 

Розмір штрафу за порушення вимог ст. 11 починається від 10 тисяч грн. 

Сам по собі обов’язок попередити про знімання та про його мету – це ок: хтось устигне поправити зачіску або відійти в бік, щоб не потрапити в кадр. Щодо права когось із присутніх у кадрі заперечити проти знімання, то воно існує і зараз у Цивільному кодексі, хоча сформульовано не дуже чітко ("Згода особи на знімання її на фото-, кіно-, теле- чи відеоплівку припускається, якщо зйомки проводяться відкрито на… заходах публічного характеру", тобто законодавець указав, що припускається, а не є непотрібною). 

І що ми маємо: якщо особа на публічному заході щось говорить або робить і це становить суспільний інтерес, але особа заперечує проти знімання, то треба припиняти знімання чи ризикувати нарватися на штраф у десятки тисяч гривень. Можна апелювати до ст. 29 ЗУ "Про інформацію" й доводити наявність суспільного інтересу, але охолоджувальний ефект від такого великого штрафу явно буде, й багато-хто подумає двічі перед тим, як вмикати камеру. А якщо проти знімання заперечує хтось, хто просто стоїть (і не бажає відходити) біля особи, дії якої становлять суспільний інтерес? Блюрити обличчя? (Але чи це вважатиметься достатньою анонімізацією?) А якщо робиться трансляція наживо?

Однозначно питань більше, ніж відповідей. Розмір штрафу за порушення ст. 11 мав би бути меншим, і в самій статті бажано прописати виняток для забезпечення можливості фіксувати суспільно важливу інформацію. Адже на вістрі проблеми знову можуть опинитися журналісти, кожного з яких ідентифікувати й оштрафувати через специфіку їхньої роботи буде легше порівняно з пересічними користувачами, які зробили без дозволу фото для своєї сторінки з інстаграму чи фейсбуку.