ЕСПЧ напомнил Украине, как нужно обращаться с персональными данными

Европейский суд по правам человека признал Украину виновной в нарушении права на уважение частной и семейной жизни и права на справедливый суд по делу “Суриков против Украины”.

О таком решении, принятом в январе 2017 года, в Facebook напоминает представитель Омбудсмена по вопросам соблюдения права на информацию Ирина Кушнир.

Дело касалось использования работодателем персональных данных заявителя с другой целью, чем та, с которой они собирались и хранились.

Сообщается, что в 1997 году работник государственного предприятия “Таврида” обратился к руководителю предприятия, чтобы тот рассмотрел его кандидатуру для назначения на должность инженера. Однако, не получив ответа, в 2000 году Михаил Суриков вновь обратился с аналогичной просьбой. Отказ в назначении на должность заявитель обжаловал в суде.

Суд в Украине установил, что отказ в назначении был обоснован состоянием здоровья заявителя. В частности, по информации, которая содержалась в личном деле заявителя, усматривалось, что в 1981 году заявитель был признан не подлежащим военной службе из-за психической болезни. В 1997 году предприятие запросило в военкомате справку, подтверждающую этот факт. Справку предоставили суду для исследования во время публичного рассмотрения дела.

Дело заявителя несколько раз пересматривалась и в конце концов суд отклонил иск работника.

Михаил Суриков инициировал новое судебное разбирательство. Он оспаривал действия предприятия, которое использовало его персональные данные 1981 года. По его утверждению, они не отображали реальное состояние здоровья, и поэтому их нельзя было использовать, решая вопрос о повышении.

Заявитель утверждал, что если необходимо было узнать, позволяет ли его состояние здоровья занимать эту должность, его могли направить пройти соответствующий медицинский осмотр. Кроме того, он жаловался, что такую информацию работники предприятия обнародовали для других сотрудников, а також в открытом публичном рассмотрении дела. Такая информация обсуждалась на предприятии, потому оценивалось, отвечает ли кандидат должности, которая требовала управленческих навыков. 

После неоднократного просмотра суд отклонил иск заявителя, признав, что директор предприятия вправе знать об основаниях освобождения от военной службы, потому что эта информация была в личном деле заявителя, которую заполняли и хранили в кадровом отделе предприятия на основании законодательства.

Обсуждение этой информации с другими работниками предприятия имело место из-за обсуждения вопроса о повышении его в должности, которая требовала наличия управленческих навыков.

Суд апелляционной инстанции оставил решение суда первой инстанции без изменений, добавив в качестве аргументации решение, что предприятие вообще не было надлежащим ответчиком по делу. По мнению апелляционной инстанции, по сути заявитель оспаривал действия директора и других работников, которые действовали как физические лица.

Сообщается, что заявитель обжаловал, действия работников как физических лиц в использовании его персональных данных. Суд отказал в удовлетворении его иска, поскольку, во-первых, заявитель не смог доказать в какой мере каждый из ответчиков был привлечен к обращению с его персональными данным, во-вторых, работники предприятия законно хранили информацию, об основаниях освобождения заявителя от военной службы, а общение с директором о состоянии здоровья заявителя было оправдано, чтобы оценить его способность выполнять управленческие функции.

Ирина Кушнир объясняет, что Европейский суд не работает изолированно. Он принимает во внимание положения других международных актов. Со ссылкой на Конвенцию “О защите лиц в связи с автоматизированной обработкой персональных данных” суд напомнил:

– национальное законодательство должно обеспечивать, чтобы персональные данные были соответствующими  по цели, с которой их собирают и хранят;

– сохранение персональных данных в форме, что позволяет идентифицировать человека, было не более, чем это необходимо для достижения цели, с которой их сохраняют;

– персональные данные должны быть надлежащим образом защищены от злоупотребления и использования в иных целях, чем та, с которой они собирались и хранились.

Исследуя дело, ЕСПЧ признал, что предприятие имело законные основания сохранять информацию об основаниях освобождения заявителя от военной службы. Однако суд сосредоточил свое внимание на одном из ключевых принципов защиты персональных данных – хранение персональных данных должно быть пропорционально цели их сбора и быть ограничено определенными сроками.

В своем решении судьи ЕСПЧ пришли к выводу, что украинское законодательство, как его применили национальные суды, позволяло сохранять информацию о состоянии здоровья заявителя очень длинный период времени. Оно так же позволяло раскрывать ее и использовать с  другой целью, чем та с какой было собрано эту информацию. Суд в Страсбурге назвал столь широкие полномочия непропорциональным вмешательством в право заявителя на уважение частной жизни. Соответственно, такое вмешательство не может быть признано необходимым в демократическом обществе.

“Европейский суд признал нарушение статьи 8 ввиду того, что вмешательство не было необходимым в демократическом обществе и нарушение статьи 6 вследствие немотивированности решения суда по делу заявителя”, – пишет Ирина Кушнир.

В своем решении суд указал, что национальное законодательство должно устанавливать четкие правила объема, мер и минимальные гарантии по продолжительности, хранения, использования и доступа к персональным данным третьих лиц. Так же национальное законодательство должно определить порядок обеспечения целостности, конфиденциальности данных и процедуру их уничтожения. Такие гарантии, по убеждению судей, должны уменьшить риски злоупотребления и произвол на каждой стадии обработки персональных данных.

Ирина Кушнир напомнила, что статья 8 Конвенции включает “имплицитные процедурные требования к процессу принятия решения”, которое приводит к ограничению гарантированных прав.

В 2002 году Михаил Суриков прошел медосмотр по направлению предприятия. Получив положительное заключение, предприятие назначило заявителя на высшую должность. Суд четко указывал на эти аргументы в национальных судах. Однако, окончательные судебные решения не содержали ответы на них, кроме ссылки на исключительную дискрецию директора предприятия решать вопрос о назначении работников и то, что заявитель не доказал, что оспариваемые действия имели признаки недобросовестности.

Судьи ЕСПЧ отмечают, что суды не рассмотрели вопрос, как соблюдался баланс между интересами предприятия решать вопрос назначения работников, используя их персональные данные, и интересом заявителя о сохранении своей конфиденциальности. То же касается и жалоб заявителя о раскрытии информации третьим лицам и передачи этой информации суду в пределах публичного рассмотрения дела. Суды не предоставили соответствующих и достаточных аргументов, которые бы обосновывали вмешательство в право заявителя с точки зрения необходимости в демократическом обществе.