Що потрібно знати активістам і волонтерам у контексті захисту персональних даних

Громадський Простір

Чимало людей включилися і продовжують активно займатись волонтерською діяльністю, яка передбачає зокрема надання гуманітарної допомоги тим, хто в потребі. Що потрібно знати активістам і волонтерам у контексті захисту персональних даних? Які дані можна збирати, звітуючи за гуманітарну допомогу, як здійснювати фотозвітування та про деякі інші нюанси персональних даних на тимчасово окупованих територіях — розповідає Євген Воробйов, адвокат-партнер ГО “Платформа прав людини” спеціально для Громадського Простору. 

Що слід знати про персональні дані

Відповідно до ст. 1 ЗУ “Про обробку персональних даних”, персональні дані — відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована (далі – ПД).

Відповідно до ст. 3 ЗУ “Єдиний державний демографічний реєстр та документи, що підтверджують громадянство України, посвідчують особу чи її спеціальний статус”

ідентифікувати — здійснювати комплекс заходів, що дає змогу виконувати пошук за принципом “один до багатьох”, зіставляючи дані (параметри) особи, у тому числі біометричні, з інформацією Реєстру;

ідентифікація особи — встановлення особи шляхом порівняння наданих даних (параметрів), у тому числі біометричних, з наявною інформацією про особу в реєстрах, картотеках, базах даних тощо;

Таким чином, за наявності інформації, яка дає змогу безпомилково виділити особу з-поміж інших осіб, може тлумачитись, як “ідентифікована”. Отже, в практичному сенсі це може виглядати так: якщо є ім’я, прізвище, по батькові та відповідні реквізити документів, що посвідчують особу, або, наприклад, реєстраційний номер облікової картки платника податку (далі – РНОКПП), то це є беззаперечним фактом того, що особа ідентифікована. Звісно, бувають випадки, за яких навіть за наявності меншої кількості інформації, цього достатньо, щоб ідентифікувати особу. Та це треба доводити стороні, яка оскаржує обробку персональних даних.

У багатьох благодійних організаціях надаються адресні благодійні допомоги, які зазвичай потребують в обробці ПІБ, паспортні даних/РНОКПП, телефон. Ці дані дають змогу ідентифікувати особу.

За таких обставин, для обробки персональних даних отримувачів благодійної допомоги слід керуватись наступними підставами для обробки, які визначені ст. 11 ЗУ “Про обробку персональних даних”:

1. Згода суб’єкта персональних даних на обробку його персональних даних;

2. Укладення та виконання правочину, стороною якого є суб’єкт персональних даних або який укладено на користь суб’єкта персональних даних чи для здійснення заходів, що передують укладенню правочину, на вимогу суб’єкта персональних даних;

Щодо першої підстави

Ст. 2 ЗУ «Про обробку персональних даних» наводиться поняття згоди суб’єкта персональних даних – це добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, висловлене у письмовій формі або у формі, що дає змогу зробити висновок про надання згоди.

Ч. 2 статті 12 ЗУ “Про обробку персональних даних” вимагає повідомлення суб’єкта персональних даних про:

А) Володільця персональних даних;

Б) Склад та зміст зібраних персональних даних;

В) Свої права, визначені Законом;

Г) Мету збору персональних даних та осіб, яким передаються його персональні дані.

Виходячи з вищенаведеного, в згоді на обробку персональних даних повинна бути інформація, яка вимагається у пунктах А-Г. Окрім того, на володільця персональних даних покладається обов’язок довести, що згода є і суб’єкт персональних даних обізнаний з пунктами А-Г.

Щодо укладання та виконання правочину

Це один з варіантів обробки персональних даних отримувачів благодійної допомоги.

Ст. 28 Цивільного кодексу (далі – ЦК) говорить, що фізична особа набуває прав та обов’язків і здійснює їх під своїм ім’ям. Ст. 202 ЦК зазначає, що правочином є дія особи, спрямована на набуття, зміну або припинення цивільних прав та обов’язків. Ст. 626 ЦК говорить, що договором є домовленість двох або більше сторін, спрямована на встановлення, зміну або припинення цивільних прав та обов’язків.

За таких обставин, Цивільним кодексом передбачено, що для укладання правочину та його виконання суб’єкт персональних даних надає згоду на обробку своїх персональних даних, це виходить з того, що суб’єкт персональних даних, вступаючи у правовідносини, повинен себе ідентифікувати.

Отже, укладаючи договір, учасники надають згоду на обробку своїх персональних даних і за таких підстав складати додаткову згоду на обробку персональних даних не потрібно.

Разом з тим, ч. 2 ст. 12 ЗУ “Про обробку персональних даних” вимагає повідомлення суб’єкта персональних даних про п. А-Г, які наведені вище. В такому випадку, згадане можна передбачити в самому договорі і не складати додаткових документів, оскільки немає законодавчо визначеної форми такого повідомлення.

Отже, якщо ми збираємо дані особи, за якими її можна ідентифікувати, то ми повинні керуватись порадами вище.

Збирання прізвища, імені, а в окремих випадках телефону та електронної пошти, якщо вони не прив’язані до державних публічних та інших реєстрів інформації, є можливим без отримання згоди суб’єкта персональних даних.

Фотофіксація для звітування

Згадане питання регулюється ст. ст. 307, 308 ЦК України.

Відповідно до яких, фізична особа може бути знята на фото-, кіно-, теле- чи відеоплівку лише за її згодою.

Згода особи на знімання її на фото-, кіно-, теле- чи відеоплівку припускається, якщо зйомки проводяться відкрито на вулиці, на зборах, конференціях, мітингах та інших заходах публічного характеру (ст. 307 ЦК).

Законодавчо визначеної форми “згоди” не передбачено. А отже, згода може бути як письмова, так і усна. Тому, якщо особа позує (тобто дивиться на об’єктив фотоапарату), то це можна розцінювати, як згоду особи на фотозйомку.

Інша ситуація, коли ми зробили фото і далі є потреба в передачі такого фото або публічного опублікування.

Отже, якщо є згода особи на фотозйомку, то фотографію можна передати для звіту благодійникам.

Разом з тим, передбачено, що фотографії, на яких зображено фізичну особу, можуть бути публічно показані, відтворені, розповсюджені лише за згодою цієї особи (ст. 308 ЦК).

В ст. 1 ЗУ “Про авторські та суміжні права” наводяться поняття, для правильного розуміння згаданого вище положення ст. 308 ЦК України.

Публічний показ — будь-яка демонстрація оригіналу або примірника твору, виконання, фонограми, відеограми, передачі організації мовлення безпосередньо або на екрані за допомогою плівки, слайда, телевізійного кадру тощо (за винятком передачі в ефір чи по кабелях) або за допомогою інших пристроїв чи процесів у місцях, де присутні чи можуть бути присутніми особи, які не належать до кола сім’ї чи близьких знайомих цієї сім’ї особи, яка здійснює показ, незалежно від того, чи присутні вони в одному місці і в один і той самий час або в різних місцях і в різний час (публічний показ аудіовізуального твору чи відеограми означає також демонстрацію окремих кадрів аудіовізуального твору чи відеограми без дотримання їх послідовності).

Розповсюдження об’єктів авторського права і (або) суміжних прав — будь-яка дія, за допомогою якої об’єкти авторського права і (або) суміжних прав безпосередньо чи опосередковано пропонуються публіці, в тому числі доведення цих об’єктів до відома публіки таким чином, що її представники можуть здійснити доступ до цих об’єктів з будь-якого місця і в будь-який час за власним вибором.

Оприлюднення (розкриття публіці) твору — здійснена за згодою автора чи іншого суб’єкта авторського права і (або) суміжних прав дія, що вперше робить твір доступним для публіки шляхом опублікування, публічного виконання, публічного показу, публічної демонстрації, публічного сповіщення тощо.

Згадані визначення дають підстави говорити, що у випадку необхідності у публікуванні на вебсайті, чи здійснення показу на конференціях, зборах тощо, де є потреба в демонстрації фотографії — за таких обставин, є необхідним отримувати згоду в особи на такі дії.

Нагадаю, що немає законодавчо визначеної форми “згоди”, а отже особа може отримувати її як письмово, так і усно, але таким чином, щоб у разі виникнення непорозуміння, благодійна організація мала змогу довести, що згода була.

Нюанси з обробки персональних даних на тимчасово окупованих територіях 

У своїй діяльності слід враховувати вимоги постанови Кабінету Міністрів України від 12.03.22 №263 “Про деякі питання забезпечення функціонування інформаційно-комунікаційних систем, електронних комунікаційних систем, публічних електронних реєстрів в умовах воєнного стану”, відповідно до якої: заборонено використання хмарних ресурсів та/або центрів обробки даних, розташованих на тимчасово окупованій території України, або тих, що належать державі, визнаній Верховною Радою України державою-агресором чи державою-окупантом, або належать державі чи суб’єктам, діяльність яких підпадає під дію Закону України “Про санкції”, щодо яких прийнято рішення про застосування санкцій в Україні та/або іншій державі та на територіях держав, які входять до митних та воєнних союзів з такими державами.