Законопроект 8153

 GDPR

Надзвичайно високі штрафи. На фізичних осіб — до 20 млн грн, на юридичних осіб — до 150 млн грн, або до 8% загального річного обороту (зараз максимальний штраф становить 34 тис. грн).

На порушення таких положень, згідно з параграфом 2, поширюється застосування адміністративних штрафів сумою до 10 млн євро або, у випадку підприємства, до 2% від загального глобального річного обігу за попередній фінансовий рік, залежно від того, яка сума є вищою

На порушення таких положень, згідно з параграфом 2, поширюється застосування адміністративних штрафів сумою до 20 млн євро або, у випадку підприємства, до 4% від загального глобального річного обігу за попередній фінансовий рік, залежно від того, яка сума є вищою

На невідповідність постанові наглядового органу, як вказано в статті 58(2), згідно з параграфом 2 цієї статті, поширюється застосування адміністративних штрафів сумою до 20млн євро або, у випадку підприємства, до 4% від загального глобального річного обігу за попередній фінансовий рік, залежно від того, яка сума є вищою.

Знищення даних, навіть із суспільним значенням. Президент-втікач Янукович, до прикладу, може вимагати не називати його злочинцем, посилаючись на давність вироку. Суд може прийняти його сторону, спираючись на «право на забуття», визначене статтею 21 нового закону.

Стаття 17

Право на стирання («право бути забутим»)

1. Суб'єкт даних повинен мати право на стирання своїх персональних даних, яке повинен здійснити контролер без будь-якої безпідставної затримки, також контролер повинен бути зобов'язаним стерти персональні дані без будь-якої необґрунтованої затримки у разі виникнення однієї наведених нижче підстав:

(a) немає більше потреби в персональних даних для цілей, для яких їх збирали чи іншим чином опрацьовували;

(b) суб'єкт даних відкликає згоду, на якій ґрунтується опрацювання, згідно з пунктом (a) статті 6(1) чи пунктом (a) статті 9(2), та якщо немає іншої законної підстави для опрацювання;

(c) суб'єкт даних заперечує проти опрацювання згідно зі статтею 21(1), та немає жодних першочергових законних підстав для опрацювання, або суб'єкт даних заперечує проти опрацювання згідно зі статтею 21(2);

(d) персональні дані опрацьовували незаконно;

(e) персональні дані необхідно стерти для дотримання встановленого законом зобов'язання, закріпленого в законодавстві Союзу або держави-члена, яке поширюється на контролера;

(f) персональні дані збирали в зв'язку з пропонуванням послуг інформаційного суспільства, вказаних у статті 8(1).

2. У разі, якщо контролер оприлюднив персональні дані та є зобов'язаним відповідно до параграфа 1 стерти персональні дані, контролер, з урахуванням наявних технологій та витрат на їхню реалізацію, повинен вжити відповідних заходів, у тому числі, технічних заходів, для інформування контролерів, які опрацьовують персональні дані, про те, що суб'єкт даних направив запит на стирання такими контролерами будь-яких посилань на такі персональні дані, їхні копії чи відтворення.

3. Параграфи 1 та 2 не застосовують залежно від ступеня необхідності в опрацюванні:

(a) для реалізації права на свободу вияву поглядів та свободу інформації;

(b) для дотримання встановленого законом зобов'язання, що вимагає опрацювання згідно з законодавством Союзу або держави-члена, яке поширюється на контролера, або для виконання завдання в суспільних інтересах або здійснення офіційних повноважень, покладених на контролера;

(c) на підставах суспільного інтересу в сфері охорони суспільного здоров'я згідно з пунктами (h) та (i) статті 9(2), а також статтею 9(3);

(d) для досягнення цілей суспільних інтересів, цілей наукового чи історичного дослідження або статистичних цілей, відповідно до статті 89(1), мірою, якою вказане в параграфі 1 ймовірно унеможливить або серйозно обмежить досягнення цілей такого опрацювання; або

(e) для формування, здійснення або захисту правових претензій.

Довільне трактування. Абстрактне визначення «персональних даних» у законопроекті дає органам контролю можливість інтерпретувати це поняття на власний розсуд, що відкриває шлях до корупційних зловживань.

(1) «персональні дані» означає будь-яку інформацію, що стосується фізичної особи, яку ідентифіковано чи можна ідентифікувати («суб'єкт даних»); фізична особа, яку можна ідентифікувати, є такою особою, яку можна ідентифікувати, прямо чи опосередковано, зокрема, за такими ідентифікаторами як ім'я, ідентифікаційний номер, дані про місцеперебування, онлайн-ідентифікатор або за одним чи декількома факторами, що є визначальними для фізичної, фізіологічної, генетичної, розумової, економічної, культурної чи соціальної сутності такої фізичної особи;

Обмеження використання відкритих даних. Закладені положення загрожують прозорості, підзвітності держави та боротьбі з корупцією. Бізнес, журналісти-розслідувачі та банки втратять можливість повноцінної перевірки.

Стаття 85

Опрацювання і свобода вияву поглядів та свобода інформації

1. Держави-члени повинні на законодавчому рівні узгодити право на захист персональних даних відповідно до цього Регламенту з правом на свободу вияву поглядів та свободу інформації, в тому числі, опрацювання для цілей журналістики та цілей наукової, художньої чи літературної діяльності.

Стаття 86

Опрацювання та доступ громадськості до офіційних документів

Персональні дані в офіційних документах, що зберігаються публічним органом або приватним органом для виконання завдання в суспільних інтересах, може розкрити орган або організація відповідно до законодавства Союзу або держави-члена, яке поширюється на публічний орган або організацію, з метою узгодження публічного доступу до офіційних документів із правом на захист персональних даних відповідно до цього Регламенту.

Крім того, наступним планується розгляд законопроєкту про створення нового регулятора — наглядово-карального органу, утримання якого обійдеться країні в понад 2 млрд грн. Імовірно, цей орган перевірятиме кожне підприємство, адже часу на адаптацію та впровадження нових правил для бізнесу просто не передбачено.

Стаття 51

Наглядовий орган

1. Кожна держава-член покладає на один або декілька незалежних публічних органів відповідальність за моніторинг застосування цього Регламенту, для того, щоб захистити фундаментальні права та свободи фізичних осіб у сфері опрацювання та сприяти вільному руху персональних даних у межах Союзу («наглядовий орган»).

2. Кожний наглядовий орган сприяє послідовному застосуванню цього Регламенту в межах Союзу. З цією метою наглядові органи співпрацюють один з одним і з Комісією відповідно до глави VII.

Завдання

1. Без обмеження інших завдань, встановлених згідно з цим Регламентом, кожний наглядовий орган на своїй території:

(a) здійснює моніторинг і забезпечує застосування цього Регламенту;

(b) сприяє обізнаності громадськості та її розумінню ризиків, правил, гарантій і прав у зв'язку з опрацюванням. Особливу увагу необхідно приділити опрацюванню, спрямованому безпосередньо на дітей;

(c) консультує, згідно з законодавством держави-члена, національний парламент, уряд і інші установи та органи щодо законодавчих і адміністративних інструментів, що пов'язані з захистом прав і свобод фізичних осіб у зв'язку з опрацюванням;

(d) сприяє обізнаності контролерів і операторів про їхні обов'язки за цим Регламентом;

(e) на запит, надає інформацію будь-якому суб'єкту даних щодо реалізації їхніх прав за цим Регламентом і, за необхідності, з цією метою співпрацює з наглядовими органами в інших державах-членах;

(f) розглядає скарги, подані суб'єктом даних, або органом, організацією чи асоціацією згідно зі статтею 80, і розслідує, наскільки це можливо, предмет скарги та повідомляє позивача про прогрес і наслідки розслідування в розумний строк, зокрема якщо існує необхідність подальшого розслідування чи координації з іншим наглядовим органом;

(g) співпрацює, в тому числі, шляхом обміну інформацією та надання взаємної допомоги, з іншими наглядовими органами для забезпечення послідовності застосування та забезпечення виконання цього Регламенту;

(h) проводить розслідування щодо застосування цього Регламенту, в тому числі, на підставі інформації, отриманої від іншого наглядового органу чи іншого публічного органу;

(i) здійснює моніторинг відповідних тенденцій, доки вони впливають на захист персональних даних, зокрема, розроблення інформаційно-комунікаційних технологій і комерційної практики;

(j) ухвалює стандартні договірні положення, вказані в статті 28(8) та пункті (d) статті 46(2);

(k) започатковує і веде список у зв'язку з вимогами для оцінювання впливу на захист даних згідно зі статтею 35(4);

(l) консультує щодо операцій опрацювання, вказаних у статті 36(2);

(m) заохочує розроблення кодексів поведінки відповідно до статті 40(1), надає висновок і схвалює такі кодекси поведінки, що забезпечують достатні гарантії, відповідно до статті 40(5);

(n) заохочує запровадження механізмів сертифікації захисту даних і штампів і знаків захисту даних згідно зі статтею 42(1), і схвалює критерії сертифікації згідно зі статтею 42(5);

(o) за необхідності, здійснює періодичний перегляд сертифікацій, виданих згідно зі статтею 42(7);

(p) розробляє і опубліковує критерії для акредитації органу для моніторингу кодексів поведінки згідно зі статтею 41 чи органу сертифікації згідно зі статтею 43;

(q) проводить акредитацію органу для моніторингу кодексів поведінки згідно зі статтею 41 чи органу сертифікації згідно зі статтею 43;

(r) надає дозвіл на договірні положення, вказані в статті 46(3);

(s) ухвалює зобов'язальні корпоративні правила відповідно до статті 47;

(t) сприяє діяльності Ради;

(u) веде внутрішні записи порушень положень цього Регламенту та заходів, вжитих згідно зі статтею 58(2); і

(v) виконує будь-які інші завдання, пов'язані з захистом персональних даних.