Защита персональных данных: влияние военного положения на право на частную жизнь

Запровадження воєнного стану в Україні принесло чимало неочікуваних змін, які, серед іншого, торкнулися персональних даних. У зв’язку з цим органи із захисту даних деяких країн ЄС вже закликали до переоцінки впливу передачі даних (data transfer impact assessment) в Україну та процедур кіберзахисту. 

Нижче наводимо короткий огляд змін до законодавства, які значним чином вплинули чи можуть вплинути на обробку персональних даних в Україні. 

Відтермінування вимоги щодо локалізації даних для державних органів

Незважаючи на встановлену в лютому 2022 року вимогу для органів державної влади щодо локалізації даних, воєнний стан вніс свої корективи. 

Органам державної влади надали можливість, серед іншого, розташовувати інформаційні ресурси, публічні реєстри та їхні резервні копії на хмарних ресурсах або в центрах обробки даних, що розташовані за межами України. 

Крім того, у зв'язку зі зростаючою загрозою цілісності даних, було прийнято рішення про обмеження або закриття доступу до більшості державних реєстрів.

Очікується, що таке послаблення вимог щодо локалізації даних буде частково закріплено проєктом Закону України "Про внесення змін до деяких законів України щодо забезпечення функціонування інформаційно-комунікаційних систем, систем електронного зв’язку, публічних електронних реєстрів" № 7152 від 13 березня 2022 року. 

Відповідно до нього, розміщувати публічні реєстри за кордоном дозволятиметься під час воєнного стану та до шести місяців після його скасування. Наразі проєкт Закону очікує на підписання Президентом України.

Крім того, Національний банк України доручив банкам використовувати хмарні ресурси, розташовані за кордоном, серед іншого, для обробки персональних даних клієнтів згідно з Постановою № 42 від 08 березня 2022 року.

Обробка генетичних даних

У квітні 2022 року Верховна Рада України прийняла за основу проєкт Закону "Про державну реєстрацію геномної інформації людини" № 4265 від 26 жовтня 2020 року. 

Повільне просування законопроєкту спостерігається вперше з травня минулого року, що може бути спричинене необхідністю ідентифікації осіб шляхом молекулярно-генетичної експертизи у зв'язку з воєнними діями.

Законопроєкт деталізує правила обробки та обов'язкової державної реєстрації геномної інформації для ідентифікації:

• осіб, які вчинили кримінальне правопорушення;
• осіб, що зникли безвісти;
• невпізнаних трупів людей, їхніх останків та частин тіла людини.

Законопроєкт окремо визначає правила відбору біологічного матеріалу у військовослужбовців. 

Зібрана геномна інформація зберігатиметься в спеціальній базі даних, функціонування та адміністрування якої покладається на Міністерство внутрішніх справ України. Водночас, порядок обробки геномної інформації та доступу до неї визначатиметься окремо Кабінетом Міністрів України.

Законопроєкт має декілька суттєвих недоліків. Зокрема, удосконалення потребують правила псевдонімізації даних, захисту та несанкціонованої передачі таких даних, обовʼязків розпорядників інформації. 

Також законопроєкт передбачає регулювання частини відносин відповідно до кримінально-процесуальних норм, але наразі не передбачає відповідних змін до Кримінального процесуального кодексу ("КПК"). Тому вважаємо, що законопроєкт потребує суттєвого доопрацювання.

Зміни до КПК

Найбільше змін, які потенційно стосуються обробки персональних даних та втручання в приватне життя, було внесено у Кримінальний процесуальний кодекс ("КПК"). Серед найбільш помітних можна виокремити такі:

• Закон №2111 від 03 березня 2022 року – спрощення проведення слідчих дій під час воєнного стану;
• Закон №2137 від 15 березня 2022 року – зміни щодо процедур огляду місця події, обшуку, тимчасового доступу, які стосуються комп'ютерних систем та доступу до даних. Також, була передбачена нова слідча дія щодо копіювання записів із пристроїв спостереження.

Розширено правила огляду 

Правила проведення огляду відтепер надають можливість здійснювати огляд і комп'ютерних даних. Огляд проводиться прокурором/слідчим та може бути зафіксований у будь-який зручний спосіб, наприклад, фото- чи відеозйомкою, фото- чи відеозаписом екрану, у паперовому вигляді. 

Фіксування персональних даних чи приватного спілкування в межах огляду комп'ютерних даних залишилося неврегульованим. 

Нагадаємо, що будь-яка слідча дія, яка включає втручання у приватне спілкування, має проводитися на підставі ухвали слідчого судді. Тому вважаємо, що процедура огляду комп'ютерних даних потребує уточнення з посиланням на загальні положення щодо втручання у приватне спілкування.

Обшук: доступ до даних, не передбачених ухвалою суду

Повноваження прокурорів та слідчих щодо доступу до даних під час обшуків були значно розширені. Відтепер вони матимуть право шукати, виявляти та копіювати дані, що зберігаються на електронних пристроях, навіть якщо надання доступу до таких даних не було визначено ухвалою суду. 

Це дозволено у випадках, коли у прокурора/слідчого є достатні підстави вважати, що ці дані мають значення для кримінального провадження. Доступ та копіювання таких даних мають здійснюватися лише на місці обшуку.

Прокурор/слідчий мають право долати обмеження доступу, якщо особа, присутня при обшуку, відмовляється їх зняти чи обшук здійснюється за відсутності особи, яка володіє такими знаннями. 

Такі повноваження доповнені правом будь-якої особи, яка може знати про дані для доступу, повідомляти про це прокурора, слідчого під час обшуку.

Можна однозначно стверджувати, що такі зміни до процедури обшуку надають прокурору/слідчому надмірні повноваження для доступу до даних. 

Закон не визначає межі дискреції та не встановлює об'єктивних критеріїв доступу до даних на пристроях, які не визначені в ухвалі суду.

Також не зрозуміло, який обсяг даних підлягає копіюванню, якщо прокурор/слідчий таки отримають доступ до електронного пристрою. 

Очевидно, що копіюватися мають саме ті дані, які потенційно мають значення для кримінального провадження. Проте нечіткість формулювання нових повноважень дає змогу прокурору/слідчому скопіювати абсолютно весь вміст пристрою. Адже під час обшуку не вбачається реальним достовірно визначити, які дані є справді потрібними.

За таких умов, особа може зазнавати невиправданого порушення прав щодо збереження конфіденційності інформації про себе чи приватного спілкування. 

Це, також, ставить під сумнів передбачуваність досудового розслідування та кримінального процесу загалом.

До того ж, є великі сумніви щодо можливості реалізацій нових повноважень на практиці.

Швидше за все, у прокурора чи слідчого не буде достатньо спеціалізованих знань, щоби самостійно обійти систему захисту пристрою. Звісно, у них є варіант залучити до цього спеціаліста. Проте ймовірність, що спеціалісту вдасться зламати пристрій під час проведення обшуку, дуже низька. 

Тож чи не єдиним виходом з такої ситуації може бути тимчасове вилучення чи арешт пристрою. Але тут теж є нюанси. 

Тимчасове вилучення та арешт електронних пристроїв

Тимчасове вилучення чи арешт пристрою дозволяється, зокрема, коли доступ до нього обмежується його власником, володільцем або утримувачем чи пов’язаний з подоланням захисту. 

Тут треба наголосити, що тимчасове вилучення чи арешт можуть відбуватися лише за попередньою ухвалою суду. 

Тож, якщо під час обшуку прокурор/слідчий захоче отримати доступ до даних, проте власник чи володілець відмовлятиметься зняти обмеження доступу, то у прокурора/слідчого не буде іншої законної можливості отримати такі дані саме під час обшуку. Хіба що, звісно, прокурор/слідчий спробують обійти систему захисту, що на практиці, як ми згадували вище, не виглядає реалістичним.

Правила тимчасового вилучення майна також були доповнені новими можливостями для володільців пристроїв. Зокрема, прокурор чи слідчий зобов'язані залишити копії даних з пристрою, якщо це технічно можливо, на вимогу володільця за допомогою спеціаліста. 

Проте зміни не враховували момент пропорційності доступу до даних на пристроях. Як і раніше, органи досудового розслідування потенційно матимуть змогу отримати доступ до всієї інформації, які міститься на вилученому пристрої, незалежно від того, потрібна вона для кримінального провадження. Принаймні зараз у власників чи володільців буде змога отримати копії тих даних, які зберігаються лише локально на пристрої.  

Зняття показань з камер спостереження у публічних місцях

У КПК з'явилася нова слідча дія – зняття показань технічних приладів та технічних засобів. 

Ця слідча дія має на меті забезпечити законність копіювання фото- або кінозйомки, відеозапису, зокрема, зроблених автоматично, коли вони необхідні для з'ясування обставин кримінального провадження. 

Нова слідча дія обмежується лише публічно доступними місцями; приватні помешкання виключено з її сфери. 

Використання матеріалів зйомки особи в публічних місцях з огляду на дотримання її права на приватність можна вважати пропорційним. Адже, за загальним правилом, згода особи припускається, якщо відеозйомка проводиться зокрема на вулиці. Тому, нова слідча дія є позитивним кроком в напрямку визначеності процедури доступу до записів з камер спостереження.

Хочемо звернути увагу, що у цій новій слідчій дії відсутня чітка вимога до прокурора/слідчого доводити необхідність її проведення в рамках певного кримінального провадження. 

Тим не менше, чіткий зв’язок між конкретним кримінальним провадженням і періодом запису має бути зазначений у постанові на її проведення. Тому можна вважати, що такий запобіжний захід встановлює достатні обмеження для збору даних.

Розширення повноважень прокурорів під час воєнного стану

КПК передбачає особливі правила для проведення досудового розслідування в умовах воєнного стану. 

Згідно зі ст. 615 КПК, керівник органу прокуратури може надати дозвіл на проведення майже всіх слідчих дій. Такий дозвіл може надаватися, якщо слідчий суддя об’єктивно не може виконувати свої функції. Прокурор вищого рівня та суд невідкладно повідомляються про таке прийняте рішення.

Спеціальний порядок спрямований на спрощення порядку проведення слідчих дій в умовах воєнного стану. 

Тим не менш, потрібно звернути увагу, що керівник органу прокуратури самостійно приймає таке рішення. Тож, ця процедура повністю усуває елемент незалежного судового нагляду, що може мати негативний вплив на забезпечення права на приватність щодо деяких слідчих дій.

Тимчасовий доступ до персональних даних під час воєнного стану

Треба звернути увагу, що окрема процедура для слідчих дій під час воєнного стану за ст. 615 КПК не охоплює тимчасовий доступ до речей і документів. Проте, ця слідча дія також зазнала змін, які були внесені у непідходящий для цього розділ, Перехідні положення.

Відповідно до нових правил, прокурор, за погодженням із керівником органу прокуратури, може санкціонувати тимчасовий доступ до:

• лікарської таємниці, 
• банківської таємниці, 
• даних операторів та провайдерів телекомунікацій, зокрема про зв’язок, абонента, надання телекомунікаційних послуг, у тому числі отримання послуг, їх тривалості, змісту, маршрутів передавання тощо
• персональних даних, що знаходяться у особистому володінні особи або в базі персональних даних володільця даних. 

Звертаємо увагу, що особиста комунікація особи не була охоплена новими змінами.

Внесення таких змін в інший розділ дозволяє обійти запобіжник, встановлений ст. 615 КПК. Тобто, прокурор може санкціонувати тимчасовий доступ у будь-якому випадку, а не лише тоді, коли слідчий суддя об'єктивно не може виконувати свої функції. 

Також зміщений акцент прийняття рішення – саме прокурор приймає рішення, яке потім погоджує з керівником органу прокуратури. Крім цього, відсутній обов'язок повідомляти прокурора вищого рівня чи суд про прийняте рішення.

Виглядає так, що така зміна мала б дозволити прокурорам більш ефективно проводити досудове розслідування в умовах воєнного стану. Проте, спрощений доступ до чутливої інформації про особу викликає побоювання щодо дотримання вимог пропорційності під час досудового розслідування. Адже не зрозуміло, навіщо спрощувати тимчасовий доступ на тих територіях, де слідчі судді можуть виконувати свої обов'язки.  

Також, перелік інформації, до якої дозволяється отримати доступ, виглядає не зовсім логічним. Не зрозуміло, наприклад, яка цінність у лікарській таємниці під час воєнного стану, щоб отримувати до неї доступ у спрощеному порядку. 

Автори: старший юрист Юлія Бруско, юрист Іван Чопик

Практики: Data Protection & Cybersecurity

Індустрія: Technologies, Media & Communications