Чинна модель державного нагляду у сфері захисту персональних даних не відповідає європейським стандартам – тіньовий звіт

В Україні функцію контролю у сфері захисту персональних даних покладено на Омбудсмана, який не має повноважень накладати штрафи. Це суттєво відрізняється від європейської моделі незалежних регуляторів, наділених санкційними повноваженнями.

Про це йдеться в новому тіньовому звіті з виконання рекомендацій Єврокомісії в межах кластера “Основи вступу до ЄС”, який підготувала коаліція громадських організацій за участі Центру прав людини ZMINA. 

Фото: з відкритих джерел

Захист персональних даних є фундаментальним правом людини, гарантованим статтею 32 Конституції України, що забезпечує недоторканність приватного та сімейного життя. Проте чинна система правового регулювання та державного нагляду в цій сфері не відповідає сучасним європейським стандартам зазначається у звіті.

Зокрема, Закон “Про захист персональних даних” 2010 року є застарілим і не враховує значну частину ризиків у зв’язку з розвитком електронних сервісів, цифрових технологій та кібербезпеки.

Функцію контролю у сфері захисту персональних даних в Україні здійснює Уповноважений Верховної Ради з прав людини, який не наділений повноваженнями самостійно накладати адміністративні стягнення, звертають увагу автори звіту.

У 2025 році на розгляд Офісу Омбудсмана надійшло 2109 звернень, які містили 2262 повідомлення від фізичних та юридичних осіб  (1422 з них стосувалися незаконного оброблення персональних даних; 157 – права на доступ до інформації про себе; 361 – надання рекомендацій та роз’яснень законодавства про захист персональних даних; 322 – питання щодо організаційних процесів оброблення даних).

У межах контрольної функції було проведено 98 перевірок щодо дотримання законодавства та видано 75 приписів про усунення порушень. Протоколи про адміністративні правопорушення у 2025 році не складалися. Водночас за матеріалами, скерованими секретаріатом Уповноваженого до органів досудового розслідування, до Єдиного реєстру досудових розслідувань внесено відомості за 35 фактами порушень у цій сфері.

Експерти звертають увагу, що двостадійна модель реагування, за якої Омбудсман лише фіксує порушення та ініціює провадження, а рішення ухвалює суд, створює значний проміжок часу між виявленням правопорушення і притягненням винного до відповідальності.

“Через це знижується ефективність механізму правозастосування. Це суттєво відрізняється від європейської моделі незалежних регуляторів, наділених прямими коригувальними та санкційними повноваженнями”, – зазначається в тіньовому звіті.

В Україні ефективність цього механізму знижується через велике навантаження на судову систему. Це зумовлює потребу у створенні незалежного наглядового державного органу для ефективного контролю на всіх рівнях.

У 2021 році було розроблено законопроєкт № 6177 “Про Національну комісію з питань захисту персональних даних та доступу до публічної інформації”, який передбачає створення незалежного органу виконавчої влади зі спеціальним статусом для нагляду за дотриманням законодавства в цих сферах. За п’ять років цей проєкт закону не просунувся до наступної стадії розгляду в парламенті.

У звіті за 2025 рік Єврокомісія зазначила, що Україна не досягла значних змін у сфері захисту персональних даних, тобто чинне законодавство та інституційна спроможність державного нагляду не відповідають стандартам ЄС.

Урядова дорожня карта щодо вступу до ЄС передбачає, що Національна комісія з питань захисту персональних даних та доступу до публічної інформації має бути запущена в Україні до кінця 2026 року.

Раніше ZMINA писала, що Україна під час вступу до ЄС має погодити своє законодавство у сфері захисту персональних даних з європейськими стандартами й створити відповідний незалежний орган. Наразі контрольні функції покладені на Омбудсмана і його секретаріат.

За оцінкою експертів, в Україні немає механізму та законів, які допомогли б ефективно захистити персональні дані. Зокрема, на це звертав увагу програмний директор Української Гельсінської спілки з прав людини Максим Щербатюк.