ЄСПЛ нагадав Україні, як потрібно поводитись з персональними даними

Європейський суд з прав людини визнав Україну винною у порушенні права на повагу до приватного і сімейного життя та права на справедливий суд у справі “Суріков проти України”.

Про таке рішення, ухвалене у січні 2017 року, у Facebook нагадує представниця Омбудсмана з питань дотримання права на інформацію Ірина Кушнір.

Справа стосувалась використання роботодавцем персональних даних заявника з іншою метою, ніж та, з якою вони збирались та зберігались. 

Повідомляється, що у 1997 році працівник державного підприємства “Тавріда” звернувся до керівника підприємства, аби той розглянув його кандидатуру для призначення на посаду інженера. Однак, не отримавши відповіді, у 2000 році Михайло Суріков знову звернувся з аналогічним проханням. Відмову у призначенні на посаду заявник оскаржив в суді.

Суд в Україні встановив, що відмова у призначення була обґрунтована станом здоров’я заявника. Зокрема, з інформації, що містилась в особовій справі заявника, вбачалось, що в 1981 році заявник був визнаний таким, що не підлягає військовій службі через психічну хворобу. В 1997 році підприємство запитало у військкоматі довідку, яка підтверджувала цей факт. Довідку надали суду для дослідження під час публічного розгляду справи. 

Справа заявника декілька раз переглядалась і зрештою суд відхилив позов працівника.

Михайло Суріков ініціював нове судове провадження. Він оскаржував дії підприємства, яке використало його персональні дані 1981 року. За його твердженням, вони не відображали дійсний стан здоров’я, а відтак їх не можна було використовувати, вирішуючи питання про підвищення. 

Заявник стверджував, що якщо необхідно було дізнатись, чи дозволяє його стан здоров’я обіймати цю посаду, його могли направити пройти відповідний медичний огляд. Окрім того, він скаржився, що таку інформацію оприлюднили працівники підприємства для інших співробітників, а також відкритому публічному розгляді справи. На підприємстві обговорювали таку інформацію, бо працівника оцінювали, чи відповідає він посаді, яка вимагала управлінських навичок.

Після неодноразового перегляду суд відхилив позов заявника, визнавши, що директор підприємства мав право знати про підстави звільнення від військової служби, бо ця інформація була в особовій справі заявника, яку заповняли і зберігали у кадровому відділі підприємства на підставі законодавства.

Суд апеляційної інстанції залишив рішення суду першої інстанції без змін, додавши як аргументацію рішення, що підприємство взагалі не було належним відповідачем у справі. На думку апеляційної інстанції, по суті заявник оскаржував дії директора та інших працівників, які діяли як фізичні особи.

Повідомляється, що заявник оскаржив, дії працівників як фізичних осіб у використанні його персональних даних. Суд відмовив у задоволенні його позову, бо, по-перше, заявник не зміг довести в якій мірі кожен з відповідачів був залучений до поводження з його персональними даним, по-друге, працівники підприємства законно зберігали інформацію, про підстави звільнення заявника від військового служби, а спілкування з директором про стан здоров’я заявника була виправдана, аби оцінити його здатність виконувати управлінські функції.

Ірина Кушнір пояснює, що Європейський суд не працює ізольовано. Він бере до уваги положення інших міжнародних актів. Із посиланням на Конвенцію “Про захист осіб у зв’язку з автоматизованою обробкою персональних даних” суд нагадав:

– національне законодавство має забезпечувати, щоб персональні дані були відповідними і ненадмірними щодо мети, з якою їх збирають та зберігають;

– збереження персональних даних у формі, що дає можливість ідентифікувати людину, було не довше, ніж це необхідно для досягнення мети, з якою їх зберігають;

– персональні дані мають бути належним чином захищенні від зловживання та використання з іншою метою, ніж та, з якою вони збиралися і зберігались. 

Досліджуючи справу, ЄСПЛ визнав, що підприємство мало законні підстави зберігати інформацію про підстави звільнення заявника від військової служби. Однак суд зосередив свою увагу на одному з ключових принципів захисту персональних даних — зберігання персональних даних має бути пропорційне меті їх збирання та бути обмежене визначеними строками. 

У своєму рішенні судді ЄСПЛ прийшли до висновку, що українське законодавство, як його застосували національні суди, дозволяло зберігати інформацію про стан здоров’я заявника дуже великий період часу. Воно так само дозволяло розкривати її та використовувати з іншою метою, ніж та з якою було зібрано цю інформацію. Суд у Страсбурзі назвав настільки широкі повноваження непропорційним втручанням у право заявника на повагу до приватного життя. Відповідно, таке втручання не може бути визнано необхідним в демократичному суспільстві. 

“Європейський суд визнав порушення статті 8 з огляду на те, що втручання не було необхідним у демократичному суспільстві та порушення статті 6 через невмотивованість рішення суду у справі заявника”, — пише Ірина Кушнір.

У своєму рішенні суд вказав, що національне законодавство має встановлювати чіткі правила обсягу, заходів та мінімальні гарантії стосовно тривалості, зберігання, використання та доступу до персональних даних третіх осіб. Так само національне законодавство має визначити порядок забезпечення цілісності, конфіденційності даних та процедуру їх знищення. Такі гарантії, на переконання суддів, мають зменшити ризики зловживання та свавілля на кожній стадії обробки персональних даних.

Ірина Кушнір нагадала, що стаття 8 Конвенції включає “імпліцитні процедурні вимоги до процесу прийняття рішення”, яке призводить до обмеження гарантованих прав. 

У 2002 році Михайло Суріков пройшов медогляд за направленням підприємства. Отримавши позитивний висновок, підприємство призначило заявника на вищу посаду. Суд чітко вказував на ці аргументи в національних судах. Однак, остаточні судові рішення не містили відповіді на них, крім посилання на виключну дискрецію директора підприємства вирішувати питання про призначення працівників і те, що заявник не довів, що оскаржувані дії мали ознаки недобросовісності.

На переконання ЄСПЛ, українські суди не розглянули питання, як дотримувався баланс між інтересами підприємства вирішувати питання призначення працівників, використовуючи їх персональні дані, та інтересом заявника про збереження своєї приватності. Те саме стосується й скарг заявника про розкриття інформації третім особам та передання цієї інформації суду в межах публічного розгляду справи. Суди не надали відповідних і достатніх аргументів, які б обгрунтовували втручання у право заявника з точки зору необхідності в демократичному суспільстві.