В часи інформаційного суспільства інформація – найбільша зброя, а персональна інформація – персоніфікована зброя (проти конкретного носія інформації).
Програми гаджетів вимагають «відстеження» даних про нас, інтернет-ресурси, перш ніж видати інформацію, просять натиснути «згоден на обробку персональних даних» і ми тиснемо «на автоматі», навіть не задумуючись. А що далі… А далі витік персональних даних, їх передача третім особам і, як наслідок, відслідкувати носіїв наших персональних даних реально неможливо.
Чи має особа право вимагати забути її персональні дані? Якщо так, то як це зробити?
Чинний Закон України «Про захист персональних даних» від 01.06.2010 р. (в редакції від 02.10.2021 р.) такого права не містить. Однак зареєстрований проект Закону України «Про захист персональних даних» № 5628 від 07.06.2021 р. (далі – проект № 5628, проект) передбачає право суб’єкта персональних даних на забуття, що означає право вимагати знищення його персональних даних (стаття 21 проекту).
І, враховуючи той факт, що ми так втомилися від неналежної обробки наших персональних даних, на перший погляд регламентація такого права сприймається схвально.
Дійсно, у частині 2 статті 21 проекту зазначені випадки, коли контролер зобов’язаний знищити персональні дані (відпала необхідність, відкликана згода, неправомірна обробка тощо). Однак вже у частині 3 цієї статті вказано: «Якщо контролер, який зобов’язаний знищити персональні дані, поширив їх раніше, він має вжити всіх достатніх заходів, враховуючи наявні технологічні можливості, для повідомлення інших контролерів, які здійснюють обробку персональних даних, про вимогу суб’єкта персональних даних щодо знищення будь-яких посилань або копій персональних даних, крім випадків, коли таке повідомлення становить для контролера надмірний тягар».
І тут виникає два запитання:
1) що означає «достатніх заходів»?
2) чи існують критерії «надмірності» тягаря?
Відповіді на ці питання проект № 5628 від 07.06.2021 р. не містить. На мій погляд, подібні оціночні поняття не є прикрасою цитованої норми, особливо якщо вона претендує на роль реально дієвої.
Крім того, у частині 4 статті 21 проекту передбачено винятки з права на забуття. І перший пункт зводить нанівець усю сутність права на забуття. Так, тут передбачено такий випадок – «якщо обробка персональних даних необхідна для реалізації права на свободу вираження поглядів та інформації».
Маленький секрет у тому, що заборона на обробку персональних даних апріорі посягає на чиюсь свободу вираження поглядів та інформації. Вони завжди ніби конфліктують між собою. А відтак одночасно передбачити право на забуття і винятки з права на забуття не провівши між ними чіткого розмежування, означає породити «мертву норму», зафіксувати її виключно на папері (без «права на життя»).
Звідси питання: чого ми прагнемо – створити вигляд існування права на забуття чи передбачити реально право на забуття?
Насправді забезпечити баланс між правом на свободу доступу до інформації та захистом особистих даних – серйозна проблема, яка навіть у міжнародній спільності сприймається і вирішується неоднозначно. До прикладу, у справі Google LLC v. CNIL від 24 вересня 2019 року Суд Європейського Союзу постановив, що пошукова система має дотримуватись права на забуття у межах території Європейського Союзу і, відповідно, за цими межами такого обов’язку не існує.
Однак вже 3 жовтня 2019 року у рішенні по справі Eva Glawischnig-Piesczek v Facebook Ireland Limited Суд Європейського Союзу дійшов висновку, що у випадку, якщо поширений у мережі контент попередньо визнаний національним судом таким, що містить про особу недостовірну інформацію, Facebook повинен накласти повне обмеження доступу до такої інформації по всьому світу.
Як свідчить зазначене, питання проведення межі між правом на свободу доступу до інформації та захистом особистих даних вимагає ґрунтовного підходу і розробки критеріїв їх розмежування. І, вочевидь, одним поверхневим реченням тут не обійтись.
