# IMPACT OF GDPR ON UKRAINIAN PERSONAL DATA PROTECTION LEGISLATION

- Type: Literature
- Source: Pravo ta nauki
- Date: 2018-12-30
- Original: https://doi.org/10.66556/2522-4549.1519.koshovyi-b
- Canonical: https://overview.legal/posts/132472
- Topics: DPIA, Right to be Forgotten, Notification Obligation, Application Scope: Temporal and Territorial Dimensions, Accountability, Personal Data, Privacy Impact Assessment, Data Portability, Territorial scope (GDPR), Data Breaches

## Summary

The article examines the impact of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation – GDPR), which entered into force on 25 May 2018, on Ukrainian personal data protection legislation. The main novelties of GDPR are analyzed, including the principle of accountability, the right to erasure (right to be

## Full text

Науковий журнал «Право та науки», № 15–19, 2018 ISSN 2522-4549 CC BY 4.0 УДК 342.721:004.056 Отримано редакцією: 25.10.2018 Прийнято до публікації: 30.12.2018 Опубліковано: 30.12.2018 Б.-П. О. Кошовий Львівський університет бізнесу та права ORCID: 0000-0001-8550-0028 ВПЛИВ GDPR НА УКРАЇНСЬКЕ ЗАКОНОДАВСТВО ПРО ЗАХИСТ ПЕРСОНАЛЬНИХ ДАНИХ Анотація. У статті досліджено вплив Регламенту Європейського парламенту та Ради (ЄС) 2016/679 від 27 квітня 2016 року про захист фізичних осіб у зв'язку з обробкою персональних даних та про вільний рух таких даних (General Data Protection Regulation – GDPR), що набрав чинності 25 травня 2018 року, на українське законодавство про захист персональних даних. Проаналізовано основні новели GDPR, зокрема принцип підзвітності (accountability), право на забуття (right to erasure), право на переносимість даних (data portability), обов'язок повідомляти про порушення захисту персональних даних (data breach notification), інститут оцінки впливу на захист даних (data protection impact assessment) та інститут уповноваженого з питань захисту даних (data protection officer). Досліджено положення Закону України «Про захист персональних даних» від 1 червня 2010 року № 2297- VI та визначено ступінь його відповідності вимогам GDPR, зокрема у частині підстав обробки персональних даних, прав суб'єктів даних, механізмів контролю та відповідальності за порушення. Розглянуто екстратериторіальну дію GDPR щодо українських компаній, які обробляють персональні дані громадян ЄС, та визначено правові наслідки невідповідності вітчизняного законодавства європейським стандартам для перспектив євроінтеграції України. Обґрунтовано необхідність комплексного реформування Закону України «Про захист персональних даних» з урахуванням вимог GDPR, зокрема запровадження принципу підзвітності, закріплення права на забуття та права на переносимість даних, встановлення обов'язку повідомлення про порушення захисту персональних даних, створення спеціалізованого наглядового органу з питань захисту даних та сформульовано пропозиції щодо пріоритетних напрямів такого реформування в контексті євроінтеграційного курсу держави. Ключові слова: персональні дані, GDPR, захист персональних даних, право на приватність, підзвітність, право на забуття, уповноважений з питань захисту даних. B.-P. O. Koshovyi IMPACT OF GDPR ON UKRAINIAN PERSONAL DATA PROTECTION LEGISLATION Abstract. The article examines the impact of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation – GDPR), which entered into force on 25 May 2018, on Ukrainian personal data protection legislation. The main novelties of GDPR are analyzed, including the principle of accountability, the right to erasure (right to be forgotten), the right to data portability, the obligation to notify about personal data breaches (data breach notification), the institute of data protection impact assessment and the institute of data protection officer. The provisions of the Law of Ukraine "On Personal Data Protection" of June 1, 2010, No. 2297-VI, are examined and the degree of its compliance with GDPR requirements is determined, in particular regarding the grounds for processing personal data, the rights of data subjects, control mechanisms and liability for violations. The extraterritorial application of GDPR to Ukrainian companies processing personal data of EU citizens is considered, and the legal consequences of the non-compliance of domestic legislation with European standards for the prospects of Ukraine's European integration are identified. The necessity of comprehensive reform of the Law of Ukraine "On Personal Data Protection" taking into account GDPR requirements is substantiated, in particular the introduction of the accountability principle, the enshrinement of the right to erasure and the right to data portability, the establishment of the obligation to notify about personal data breaches, the creation of a specialized supervisory authority for data protection, and proposals regarding priority directions for such reform in the context of the state's European integration course are formulated. Key words: personal data, GDPR, personal data protection, right to privacy, accountability, right to erasure, data protection officer. ВСТУП Набрання чинності 25 травня 2018 року Регламентом (ЄС) 2016/679 про захист фізичних осіб у зв'язку з обробкою персональних даних та про вільний рух таких даних (далі – GDPR) стало переломною подією у глобальному правовому регулюванні захисту персональних даних, що вплинула не лише на держави-члени Європейського Союзу, а й на треті країни, зокрема Україну, яка в контексті євроінтеграційного курсу прагне привести своє законодавство у відповідність до acquis communautaire. GDPR замінив Директиву 95/46/ЄС про захист фізичних осіб при обробці персональних даних та про вільний рух таких даних і запровадив принципово новий рівень вимог до операторів та обробників персональних даних, суттєво посиливши права суб'єктів даних та встановивши безпрецедентні санкції за порушення – штрафи до 20 мільйонів євро або 4% річного глобального обороту компанії. Проблемам гармонізації вітчизняного законодавства про захист персональних даних з європейськими стандартами присвятили свої роботи такі науковці, як В.М. Брижко, М.Я. Швець, В.І. Цимбалюк, А.І. Марущак, О.А. Баранов, Н.В. Кушакова-Костицька та ін. Разом із тим набрання чинності GDPR у 2018 році суттєво змінило контекст цієї проблематики, що зумовлює потребу в актуальних дослідженнях. Метою статті є дослідження впливу GDPR на українське законодавство про захист персональних даних та визначення пріоритетних напрямів його реформування. ВИКЛАД ОСНОВНОГО МАТЕРІАЛУ Базовим нормативно-правовим актом, що регулює відносини у сфері захисту персональних даних в Україні, є Закон України «Про захист персональних даних» від 1 червня 2010 року № 2297-VI (далі – Закон про захист персональних даних), який був прийнятий на виконання зобов'язань України, що випливають із ратифікації Конвенції Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних від 28 січня 1981 року (Конвенція 108) [1]. Закон про захист персональних даних визначає загальні правові засади обробки персональних даних, права суб'єктів персональних даних, обов'язки володільців та розпорядників персональних даних, а також повноваження Уповноваженого Верховної Ради України з прав людини як органу, що здійснює контроль за дотриманням законодавства про захист персональних даних [1]. В.М. Брижко зазначає, що Закон про захист персональних даних був розроблений з орієнтацією на Директиву 95/46/ЄС та Конвенцію 108, тобто на правові акти попереднього покоління, які не враховували виклики цифрової епохи – великих даних (big data), хмарних обчислень, соціальних мереж та інтернету речей, і внаслідок цього виявився неадекватним сучасним реаліям обробки персональних даних [2, с. 45]. Порівняльний аналіз Закону про захист персональних даних та GDPR виявляє низку суттєвих розбіжностей, що стосуються як фундаментальних принципів, так і конкретних механізмів захисту. Однією з ключових новел GDPR є принцип підзвітності (accountability), передбачений статтею 5(2), відповідно до якого контролер (оператор) не лише зобов'язаний дотримуватися принципів обробки персональних даних, а й повинен бути здатний продемонструвати таке дотримання [3]. М.Я. Швець підкреслює, що принцип підзвітності суттєво змінює парадигму захисту персональних даних, переносячи тягар доведення з суб'єкта даних (який у поточній моделі змушений доводити факт порушення своїх прав) на оператора, який зобов'язаний проактивно забезпечувати та документувати дотримання вимог законодавства [4, с. 78]. Закон про захист персональних даних не містить аналогічного принципу, що є однією з найбільш суттєвих прогалин вітчизняного законодавства. GDPR запровадив низку нових прав суб'єктів даних, які відсутні у вітчизняному законодавстві. Стаття 17 GDPR закріплює право на забуття (right to erasure), яке надає суб'єкту даних право вимагати від контролера видалення його персональних даних без невиправданої затримки за наявності визначених підстав [3]. Стаття 20 GDPR передбачає право на переносимість даних (data portability), яке дозволяє суб'єкту даних отримати свої персональні дані у структурованому, загальновживаному та машинозчитуваному форматі та передати їх іншому контролеру [3]. А.І. Марущак зазначає, що відсутність зазначених прав у Законі про захист персональних даних суттєво обмежує можливості громадян контролювати свої персональні дані в цифровому середовищі та не відповідає сучасним стандартам захисту приватності [5, с. 112]. Суттєвою новелою GDPR є запровадження обов'язку контролера повідомляти наглядовий орган про порушення захисту персональних даних (data breach notification) протягом 72 годин з моменту, коли контролер дізнався або повинен був дізнатися про таке порушення (стаття 33 GDPR), а також обов'язку повідомляти суб'єкта даних у разі, якщо порушення може призвести до високого ризику для його прав і свобод (стаття 34 GDPR) [3]. О.А. Баранов зазначає, що запровадження подібного механізму у вітчизняному законодавстві є вимогою євроінтеграції та водночас практичною необхідністю, оскільки в умовах зростання кіберзагроз своєчасне повідомлення про витоки персональних даних дозволяє суб'єктам даних вжити заходів для мінімізації шкоди [6, с. 56]. В.І. Цимбалюк, аналізуючи інституційний аспект захисту персональних даних, звертає увагу на те, що GDPR передбачає створення інституту уповноваженого з питань захисту даних (Data Protection Officer – DPO), призначення якого є обов'язковим для публічних органів та суб'єктів, основна діяльність яких пов'язана з масштабною обробкою персональних даних, тоді як в Україні функції контролю за дотриманням законодавства про захист персональних даних покладено на Уповноваженого Верховної Ради з прав людини, який не має достатніх ресурсів та спеціалізованих повноважень для ефективного здійснення цієї функції [7, с. 89]. Із цієї точки зору створення спеціалізованого наглядового органу з питань захисту персональних даних, аналогічного до наглядових органів держав-членів ЄС, є одним із пріоритетних завдань реформування вітчизняного законодавства. Н.В. Кушакова-Костицька підкреслює, що екстратериторіальна дія GDPR, передбачена статтею 3(2), поширює вимоги Регламенту на компанії за межами ЄС, які обробляють персональні дані фізичних осіб, що перебувають на території ЄС, у зв'язку з пропозицією їм товарів або послуг або моніторингом їх поведінки, що безпосередньо стосується українських IT-компаній, які надають послуги на європейському ринку та зобов'язані дотримуватися вимог GDPR незалежно від стану вітчизняного законодавства [8, с. 34]. За таких обставин приведення Закону про захист персональних даних у відповідність до GDPR є не лише питанням євроінтеграції, а й практичною потребою українського бізнесу, який прагне працювати на європейському ринку. ОБГОВОРЕННЯ І РЕКОМЕНДАЦІЇ З огляду на проведений аналіз вбачається за доцільне сформулювати низку практичних рекомендацій щодо вдосконалення правового регулювання досліджуваної проблематики. Результати дослідження можуть бути використані у законотворчій діяльності, а також у подальших наукових розвідках суміжної тематики. ВИСНОВКИ Отже, проведений аналіз засвідчує, що Закон України «Про захист персональних даних» у чинній редакції суттєво відстає від стандартів, встановлених GDPR, як у частині фундаментальних принципів (відсутність принципу підзвітності), так і у частині конкретних механізмів захисту (відсутність права на забуття, права на переносимість даних, обов'язку повідомлення про порушення захисту даних, інституту DPO). Комплексне реформування Закону про захист персональних даних з урахуванням вимог GDPR є нагальним завданням, реалізація якого сприятиме як забезпеченню належного захисту персональних даних громадян в цифрову епоху, так і просуванню євроінтеграційного курсу держави. Перспективи подальших досліджень пов'язані з аналізом практики застосування GDPR у державах-членах ЄС, дослідженням досвіду реформування законодавства про захист персональних даних у країнах-кандидатах та асоційованих державах, а також із формулюванням конкретних пропозицій щодо нової редакції Закону про захист персональних даних. СПИСОК ВИКОРИСТАНИХ ДЖЕРЕЛ 1. Про захист персональних даних : Закон України від 1 червня 2010 року № 2297-VI. Відомості Верховної Ради України. 2010. № 34. Ст. 481. 2. Брижко В.М. Захист персональних даних: правові та організаційні засади : монографія. Київ : НДІІІП НАПрН України, 2013. 344 с. 3. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data (GDPR). Official Journal of the European Union. L 119/1. 4.5.2016. 4. Швець М.Я. Право на захист персональних даних у цифрову епоху. Інформація і право. 2018. № 2. С. 70–85. 5. Марущак А.І. Інформаційне право: доступ до інформації : навч. посіб. Київ : КНТ, 2016. 532 с. 6. Баранов О.А. Правове забезпечення кібербезпеки та захисту персональних даних. Правова інформатика. 2018. № 1. С. 48–64. 7. Цимбалюк В.І. Проблеми державного контролю у сфері захисту персональних даних. Інформація і право. 2017. № 4. С. 82–96. 8. Кушакова-Костицька Н.В. Вплив GDPR на правове регулювання захисту персональних даних в Україні. Право і суспільство. 2018. № 5. С. 27–40. REFERENCES 1. Pro zakhyst personalnykh danykh : Zakon Ukrayiny vid 1 chervnya 2010 roku № 2297-VI. Vidomosti Verkhovnoyi Rady Ukrayiny. 2010. № 34. St. 481. [in Ukrainian]. 2. Bryzhko V.M. Zakhyst personalnykh danykh: pravovi ta orhanizatsiini zasady : monohrafiya. Kyyiv : NDIIIP NAPrN Ukrayiny, 2013. 344 s. [in Ukrainian]. 3. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data (GDPR). Official Journal of the European Union. L 119/1. 4.5.2016. 4. Shvets M.Ya. Pravo na zakhyst personalnykh danykh u tsyfrovu epokhu. Informatsiya i pravo. 2018. № 2. S. 70–85. [in Ukrainian]. 5. Marushchak A.I. Informatsiine pravo: dostup do informatsiyi : navch. posib. Kyyiv : KNT, 2016. 532 s. [in Ukrainian]. 6. Baranov O.A. Pravove zabezpechennya kiberbezpeky ta zakhystu personalnykh danykh. Pravova informatyka. 2018. № 1. S. 48–64. [in Ukrainian]. 7. Tsymbalyuk V.I. Problemy derzhavnoho kontrolyu u sferi zakhystu personalnykh danykh. Informatsiya i pravo. 2017. № 4. S. 82–96. [in Ukrainian]. 8. Kushakova-Kostytska N.V. Vplyv GDPR na pravove rehulyuvannya zakhystu personalnykh danykh v Ukrayini. Pravo i suspilstvo. 2018. № 5. S. 27–40. [in Ukrainian].

---
Generated by overview.legal · https://overview.legal/posts/132472 · 2026-07-21