ЗАХИСТ ПЕРСОНАЛЬНИХ ДАНИХ ПРИ ЇХ ОБРОБЦІ У ХМАРНИХ СЕРВІСАХ

Анотація

Досліджено проблему оброблення персональних даних користувачів під час застосування  хмарних сервісів органами державної влади. Основну увагу приділено недолікам у сфері прозорості, мінімізації, пропорційності й інформованої згоди, а також відсутності оцінювання впливу впровадження технічних рішень на захист даних.  В умовах інтеграції інтеграції України в європейське правове середовище важливо розглядати ці питання через призму права Європейського Союзу, а саме Загального регламенту захисту даних GDPR. Дослідження показало, що відсутність чітких меж відповідальності та недотримання принципів GDPR створює високі ризики для прав і свобод фізичних осіб. Тому розглядається питання запровадження спільної відповідальності державних органів і хмарних провайдерів, зокрема в контексті автентифікації через сторонні акаунти та використання cookie-файлів, наголошується на необхідності відповідальності основних гравців обміну даними, а саме бізнесу та державних органів (B2G), під час оброблення даних у цифровому середовищі хмарних сервісів.

Набуття чинності Законом України 16 вересня 2022 року "Про хмарні послуги"  та постаною Кабінету Міністрів України від 11 лютого 2025 року   «Деякі питання надання та використання хмарних послуг та/або послуг центру обробки даних» істотно впливає на юридичну практику, особливо, щодо B2G обміну. Нові правові вимоги та зобов'язання, які виникають під час надання та використання хмарних послуг і послуг центрів оброблення даних, потребують практичних роз’яснень.

Розглянуто два актуальних щодо проблематики дослідження кейси, які можна використати для удосконалення вітчизняного законодавства. Перший кейс витоку персональних даних у Норвезькій конфедерації спорту (NIF), що стався внаслідок тестування хмарного сервісу Microsoft Azure (2021) без належного технічного та організаційного забезпечення, демонструє критичну важливість дотримання вимог захисту персональних даних на прикладі GDPR, що є необхідним на всіх етапах упровадження хмарних технологій. Використання реальних персональних даних у тестовому середовищі без оцінювання ризиків і налаштування захисту призводить до відкриття доступу до особистої інформації. Це й сталося у досліджуваному кейсі, де понад 3,2 млн осіб, серед яких майже пів мільйона неповнолітніх, стали об’єктами порушень, захист даних яких не був дотриманий. Для України, яка активно просуває цифрову трансформацію та інтеграцію хмарних рішень у публічний і приватний сектори, цей кейс є показовим. Він підкреслює необхідність запровадження обов’язкових практик оцінювання ризиків, використання синтетичних або знеособлених даних під час тестування, а також розроблення чітких стандартів кібербезпеки для хмарних середовищ. У контексті побудови електронного врядування та впровадження концепції «хмара за замовчуванням» (cloud by default), дотримання принципів прозорості, мінімізації та відповідальності під час роботи з персональними даними має бути стратегічним пріоритетом.

Дослідження другого кейсу FisconetPlus (2020) показує важливість чіткого дотримання принципів конфіденційності і захисту персональних даних під час впровадження хмарних сервісів у публічному секторі. Встановлено, що обов’язок конфіденційності має юридичне та договірне підґрунтя, а також повинен охоплювати всіх учасників, зокрема й підрядників, які виконують функції органів влади. Кейс підкреслює необхідність застосування принципів «privacy by design» і «privacy by default», мінімізації даних, прозорості і забезпечення контролю над обробленням даних, особливо коли хмарна інфраструктура розміщується за межами країни. Для України цей кейс є важливим уроком зі створення національних правил і стандартів безпеки, які б гарантували захист персональних даних і державний суверенітет під час використання хмарних технологій.

Багато підприємств і державних установ нині активно впроваджують хмарні послуги, тому правники мають бути готовими надавати правову допомогу в питаннях безпеки даних, виконання вимог регуляторів, а також захисту прав й інтересів клієнтів у контексті нових технологічних викликів. У зв'язку з цим запропоновано практичні рекомендації щодо забезпечення відповідності хмарних рішень європейським вимогам, а саме: оцінювання впливу, дотримання принципу захисту даних за замовчуванням (privacy by design & by default) та впровадження прозорої політики збирання та оброблення даних.

Результати дослідження є актуальними для правників, щоб вони могли ефективно реагувати на правові виклики, що постають у процесі інтеграції новітніх технологій у межах національного та європейського законодавства, та забезпечити належну правову підтримку бізнесу й органам влади, що працюють з хмарними сервісами.