Захист персональних даних — це не просто формальність, а гарантія безпеки кожного громадянина в умовах постійного цифрового обміну інформацією. Коли ми залишаємо свої паспортні дані, номер телефону чи фінансові відомості в банках, маркетплейсах або онлайн-сервісах, володільці цієї інформації зобов’язані забезпечити її сувору конфіденційність.
Проте через неналежну систему захисту або несанкціонований доступ нерідко стається витік персональних даних. У разі появи ваших контактів у відкритих базах чи дзвінків від шахраїв важливо знати свої законні права, вміти грамотно зафіксувати порушення та вимагати відшкодування завданої шкоди.
Коротко про захист та витік персональних даних
- Володілець даних зобов’язаний розглянути вимогу про припинення порушення протягом 10 робочих днів з дня отримання.
- Для подання скарги Омбудсману обов’язково потрібні підтвердження попереднього звернення до банку чи сервісу.
- Судова практика підтверджує можливість стягнення моральної шкоди за сам факт витоку персональних даних без доведення фінансових втрат.
- За недодержання порядку захисту персональних даних стаття 188-39 КУпАП передбачає штраф від 5 100 до 34 000 грн.
Зміст:
Що вважається витоком персональних даних та хто відповідає
Захист персональних даних регулюється спеціальним законодавством, за яким персональними даними є будь-які відомості або сукупність відомостей про фізичну особу, за якими її можна конкретно ідентифікувати. До них належать ПІБ, адреса проживання, номер телефону, паспортні дані, РНОКПП, фотографії, банківські реквізити, e-mail та навіть IP-адреса.
Витік персональних даних у правовому розумінні — це не лише хакерський злам системи. Це будь-який випадок, коли приватна інформація стає доступною третім особам без законної підстави, поширюється без згоди суб’єкта або передається через неналежний захист (слабкі паролі, відсутність двофакторної автентифікації чи відкриті бази).
Суб’єктами відносин є фізична особа (чиї дані обробляються), володілець (який визначає мету обробки) та розпорядник. За законом первинну цивільно-правову відповідальність перед клієнтом завжди несе саме володілець персональних даних — банк, інтернет-магазин чи сервіс. Навіть якщо витік стався з вини IT-підрядника, компанія відповідає перед споживачем і лише потім може висувати регресні вимоги до виконавця. Подібний принцип процедурної відповідальності застосовується і в інших юридичних спорах, наприклад, коли розглядається схожа справа про незаконне витребування даних органом влади.
Які права має громадянин у разі витоку даних
Захист персональних даних гарантує громадянам чітко визначений обсяг прав, які дозволяють контролювати використання власної інформації та зупиняти зловживання.
Згідно з ч. 2 ст. 8 Закону України «Про захист персональних даних»: «Суб'єкт персональних даних має право: 1) знати про джерела збирання, місцезнаходження своїх персональних даних, мету їх обробки... 7) на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження... 8) звертатися зі скаргами на обробку своїх персональних даних до Уповноваженого або до суду...»У разі підозри або підтвердження інциденту клієнт банку чи користувач сервісу має право подати письмовий запит володільцю з вимогою повідомити джерела отримання даних, мету їх обробки та перелік осіб, яким надавався доступ. Також громадянин може вимагати обмеження обробки, зміни або знищення своїх відомостей.
Право на відкликання згоди та знищення інформації
Згода на обробку персональних даних не може бути безстроковою чи безвідкличною. Громадянин має право відкликати її у будь-який момент, надіславши відповідну заяву. Якщо договірні відносини з фітнес-клубом, банком чи онлайн-платформою припинено, володілець зобов’язаний вилучити контакти з рекламних розсилок і баз даних.
},{h3:Як зафіксувати витік персональних даних та отримати компенсацію
- Зафіксуйте факт порушення. Зробіть скриншоти з відображенням дати, часу, URL-адреси, збережіть аудіозаписи розмов чи повідомлення від шахраїв.
- Подайте письмову вимогу. Направте володільцю даних вимогу про проведення розслідування та припинення незаконної обробки (з КЕП у разі e-mail).
- Зверніться до Уповноваженого. Подайте скаргу Омбудсману ВРУ з прав людини для проведення перевірки та складання адмінпротоколу.
- Зверніться до кіберполіції. У разі загрози шахрайства або незаконного поширення подайте заяву про злочин за ст. 182 КК України.
- Подайте позов до суду. Зверніться до суду з цивільним позовом про відшкодування матеріальної шкоди та моральних страждань.
Як зафіксувати порушення та зібрати докази витоку
Захист персональних даних у суді чи перед контролюючими органами вимагає належної джерельної бази. Якщо ви виявили свої відомості у відкритому доступі або почали отримувати спам-дзвінки від шахраїв, перш за все необхідно зафіксувати факт порушення.
Суди та контролюючі органи висувають чіткі вимоги до доказів. Прості скриншоти з екрана смартфона без відображення дати, часу, електронної адреси або URL-посилання можуть бути відхилені. Докази слід роздрукувати, завірити власним підписом із зазначенням дати або зберегти офіційні логи операцій та аудіозаписи розмов.
Першим офіційним кроком є направлення вмотивованої вимоги володільцю персональних даних. У листі слід описати обставини витоку, вимагати проведення службового розслідування та припинення незаконної обробки. Законом встановлено, що володілець зобов’язаний розглянути таку вимогу протягом 10 робочих днів з моменту її отримання. Якщо вимога надсилається електронною поштою, обов’язково слід використовувати кваліфікований електронний підпис (КЕП), оскільки звичайні email-листи банки нерідко залишають без розгляду. У складних випадках залучають адвоката у справах шахрайства для правильної кваліфікації дій зловмисників.
Допомога адвоката у разі витоку персональних даних
- Аналіз інциденту. Юридична оцінка обставин витоку даних з банку, маркетплейсу чи сервісу та визначення кола відповідальних осіб.
- Підготовка вимог та претензій. Складання вмотивованих заперечень, вимог про проведення службового розслідування та знищення відомостей.
- Супровід скарг. Представництво інтересів клієнта перед Уповноваженим ВРУ з прав людини та Національним банком України.
- Судовий захист. Підготовка позовної заяви та стягнення матеріальних збитків і моральної шкоди через суд.
Компенсація моральної та матеріальної шкоди через суд
Захист персональних даних передбачає не лише зупинення порушення, а й право потерпілої особи на повне відшкодування завданих збитків та душевних страждань.
Згідно з ч. 1 ст. 22 Закону України «Про захист персональних даних»: «Захист прав на персональні дані здійснюється Уповноваженим та судом. Особі, чиї права порушено, гарантується відшкодування матеріальної та моральної шкоди, завданої внаслідок порушення законодавства про захист персональних даних.»Згідно з ч. 1 ст. 23 Цивільного кодексу України: «Фізична особа має право на відшкодування моральної шкоди, заподіяної внаслідок порушення її прав. Моральна шкода полягає у душевних стражданнях, яких фізична особа зазнала у зв'язку з протиправною поведінкою щодо неї самої.»У судових спорах про витік відомостей позивачі можуть вимагати відшкодування матеріальної шкоди (наприклад, незаконно списаних коштів чи витрат на перевипуск карток) та моральної шкоди за порушення недоторканності приватного життя. Позицію вищих судів ілюструє приклад стягнення моральної шкоди у цивільно-правових відносинах.
Верховний Суд України у справі №369/5585/15-ц від 27.09.2017 зазначив: «факт неправомірного поширення персональних даних породжує презумпцію заподіяння душевних страждань»Суд встановив презумпцію моральної шкоди при витоку персональних даних: не потерпілий має доводити свої страждання, а володілець даних зобов’язаний довести їх відсутність. Практика показує, що розмір судовим чином присудженої компенсації залежить від обсягу злитої інформації та тяжкості наслідків для позивача.
Відповідальність банку та сервісу за незаконну обробку
Захист персональних даних підкріплюється важелями адміністративного та кримінального впливу на порушників. Дотримання законодавства контролює Уповноважений Верховної Ради України з прав людини.
Згідно зі статтею 188-39 КУпАП, недодержання встановленого порядку захисту персональних даних, що призвело до незаконного доступу до них або порушення прав суб’єкта, тягне за собою накладення штрафу на посадових осіб та громадян-підприємців у розмірі від 5 100 до 34 000 гривень. Подати скаргу Омбудсману можна після направлення первинної вимоги володільцю. Отриманий за результатами перевірки акт буде ключовим доказом вини банку в суді, перевірити який можна через Єдиний державний реєстр судових рішень.
У разі умисного збирання, зберігання, використання або поширення конфіденційної інформації про особу настає кримінальна відповідальність за статтею 182 Кримінального кодексу України. Якщо ваші паспортні дані чи номери рахунків опинилися в публічних мережах чи продаються у Telegram-ботах, слід негайно подати заяву до кіберполіції.
Захистіть свої персональні дані разом з адвокатом
Якщо ваші персональні дані потрапили у відкритий доступ, ви отримуєте дзвінки від шахраїв або банк відмовляється розслідувати витік, не залишайте це без реакції. Юристи бюро ЮРКОНСАЛТ допоможуть зафіксувати порушення, підготувати письмову вимогу до володільця, подати скаргу Омбудсману та стягнути компенсацію шкоди у судовому порядку.
Питання про захист та витік персональних даних
Як зрозуміти, що стався витік персональних даних з мого банку чи сервісу?
Ознаками є раптова поява фішингових повідомлень, спам-дзвінків із використанням ваших точних ПІБ чи реквізитів рахунку, виявлення даних у відкритих Telegram-ботах або офіційне повідомлення самого банку чи сервісу про інцидент безпеки.
Протягом якого часу банк або сервіс має відповісти на вимогу щодо витоку даних?
Згідно із Законом України «Про захист персональних даних», вмотивована вимога суб’єкта персональних даних підлягає обов’язковому розгляду володільцем протягом 10 робочих днів з моменту її отримання.
Який розмір компенсації моральної шкоди можна стягнути через суд?
Сума компенсації визначається судом індивідуально залежно від обсягу злитих відомостей, ступеня душевних страждань та негативних наслідків. На практиці судові стягнення становлять від кількох тисяч до десятків тисяч гривень.
Чи допоможе звернення до Уповноваженого повернути викрадені кошти?
Ні, Уповноважений з прав людини проводить перевірку, притягає винних осіб до адміністративної відповідальності та видає приписи. Стягнення коштів та компенсація моральної шкоди здійснюються виключно в судовому порядку.
Прочитати на: мовою
Які дії я можу вжити щодо фейкового акаунта в Instagram, який використовує мої фото і дані? Чи можу я подати заяву до кіберполіції?
Вам слід звернутися до кіберполіції для складання заяви про неправомірне використання ваших особистих даних. Також важливо повідомити адміністрацію Instagram про фейковий акаунт, щоб вони змогли вжити заходів для його видалення. Якщо необхідна допомога, ми готові вас проконсультувати.