Адвокат із захисту персональних даних — коли витік вже стався

Прямо — рідко вдається встановити з першого разу. Але є метод вилучення: складіть список усіх місць, де ви залишали номер за останні 12 місяців (онлайн-магазини, медзаклади, сервіси, соцмережі). Згадайте, де давали згоду на маркетинг, а де — ні.

Далі — письмовий запит за ст. 8 Закону № 2297-VI до кожного з підозрюваних володільців: вимагаєте копію ваших даних, перелік третіх осіб, яким передавали, і підстави. За ст. 16 вони мають відповісти за 30 днів. Хто відмовить або змовчить — туди і йде скарга Уповноваженому ВРУ. Адвокат фонду готує пакет запитів і фіксує відповіді.

Алгоритм: (1) Знайдіть «Політику конфіденційності» (зазвичай у футері — Privacy Policy) — там має бути контакт DPO (Data Protection Officer — відповідальний за захист даних) або іншої відповідальної особи. (2) Напишіть письмовий запит на email або через офіційну форму: посилання на ст. 8 Закону № 2297-VI, чітко: «вимагаю видалити такі дані…». (3) Зробіть скрін відправлення з датою — це доказ для скарги. (4) Якщо за 30 днів немає відповіді — переходьте до скарги Уповноваженому ВРУ (див. FAQ далі).

Володілець має 30 днів. Якщо відмовив або проігнорував — скарга Уповноваженому з прав людини через офіс Омбудсмана з повним пакетом доказів. Уповноважений має повноваження за ст. 23 — провести перевірку, видати припис, скласти протокол за ст. 188-39 КУпАП.

Так, якщо ви обробляєте дані резидентів ЄС. GDPR має extraterritorial scope (Art. 3) — застосовується незалежно від країни реєстрації компанії. Тригери: продаєте товари/послуги клієнтам у ЄС, відстежуєте поведінку (analytics, cookies), маєте ЄС-співробітників.

Що треба: (1) Privacy policy з усіма обов'язковими пунктами Art. 13; (2) законна підстава обробки за Art. 6 (consent, contract, legitimate interest); (3) процедури для 8 прав суб'єкта (Art. 15–22); (4) DPA з підрядниками-обробниками; (5) DPIA для високих ризиків; (6) представник у ЄС (Art. 27) і, якщо профіль складний — DPO. Адвокат фонду робить GDPR-аудит і будує комплаєнс.

Скарга подається у письмовій або електронній формі до офісу Уповноваженого ВРУ з прав людини. Електронно — через офіційну форму на сайті або email. Письмово — поштою або особисто за адресою у Києві.

У скарзі: ваші дані, дані володільця бази, опис порушення (хто, коли, що зробив), копія письмового запиту, який ви надсилали (і відповідь або підтвердження прострочення), правова кваліфікація — конкретна стаття Закону № 2297-VI. Розгляд — до 30 календарних днів, складні справи — продовжуються. Результат: припис володільцю, протокол за ст. 188-39 КУпАП, передача до суду.

Так — моральна шкода — позов за ст. 1167 ЦК (деліктна підстава) з посиланням на ст. 23 ЦК (загальний спосіб захисту). Розмір — обґрунтовується індивідуально: ступінь поширення даних, наслідки (стрес, втрата довіри, кібершахрайство), час на відновлення.

Важливо: штраф за ст. 188-39 КУпАП іде в держбюджет, не вам. Ваша компенсація — окремий цивільний позов. Подача — до місцевого суду за вашим місцем проживання або місцем відповідача. Загальна позовна давність — 3 роки (ст. 257 ЦК), відлік — з дня, коли ви дізналися або могли дізнатися про порушення (ст. 261 ЦК). Адвокат фонду готує позов з повним пакетом доказів і обґрунтуванням розміру.

І те, і те — паралельно. Кримінал: ст. 182 КК «Порушення недоторканності приватного життя» — незаконне збирання, зберігання, використання, поширення конфіденційної інформації про особу. Санкція: ч. 1 — штраф 500–1000 нмдг, виправні роботи до 2 років, арешт до 6 міс. або обмеження волі до 3 років; ч. 2 (повторно / тяжкі наслідки) — обмеження волі до 5 років. Заява до Нацполіції — за вашим місцем проживання або за місцем виявлення публікації; можна подати у будь-якому відділенні, далі справу передадуть територіально підслідному органу.

Цивільне: позов про моральну шкоду за ст. 1167 ЦК (з посиланням на ст. 23 ЦК як загальний спосіб захисту) + вимога видалення даних за ст. 15 Закону № 2297-VI і ст. 301 ЦК (право на особисте життя та його таємницю). Паралельно — скарга на abuse@telegram.org через офіційну форму, до Уповноваженого ВРУ та запит Google про видалення з пошуку. Адвокат фонду готує всі канали одночасно.

Тільки в межах необхідного для трудових відносин (ст. 6 Закону № 2297-VI — принцип мінімізації). Для трудового договору, ЄСВ, податкової — частина даних дійсно потрібна, а саме: ПІБ, дата народження, паспортні дані, РНОКПП (раніше ІПН), номер у Реєстрі застрахованих осіб ПФУ, контакти, освіта, попередні місця роботи.

Що НЕ можна вимагати без окремої згоди: дані про релігію, політичні погляди, стан здоров'я (поза медогляду за ст. 169 КЗпП), членство в профспілках, сексуальну орієнтацію — це чутливі дані за ст. 7 Закону. Збереження сканів — у захищеному форматі, доступ — обмеженому колу осіб. Якщо роботодавець вимагає більше або зберігає без захисту — скарга Уповноваженому + цивільний позов.

Залежить від аудиторії. Для ЄС-резидентів — обов'язково, GDPR + ePrivacy Directive. Стандартні вимоги: окрема згода на необхідні vs аналітичні vs маркетингові cookies, можливість відмови, доступний privacy policy, реєстр обробки.

Для українських користувачів — банер не є прямою вимогою Закону № 2297-VI, але обробка через cookies все одно потребує підстави за ст. 11. У 90% випадків — це згода. Тому банер з checkbox («необхідні/аналітика/маркетинг» окремо, не «прийняти все» одним кліком) — це best practice і захист від скарг. Адвокат фонду налаштовує банер під вашу аудиторію (UA-only, EU-mixed, B2B).

За українським правом — батьки або інші законні представники для дітей до 14 років. У 14–18 років — згоду дає сама дитина, але з відома батьків (це випливає з неповної цивільної дієздатності фізичної особи у віці від 14 до 18 років за ст. 32 ЦК).

За GDPR (Art. 8) — згода від батьків обов'язкова для дітей до 16 років у контексті інформаційних послуг (країни-члени можуть знижувати вік до 13, але не нижче). Це торкається українських сервісів з ЄС-клієнтами. Спеціальні правила обробки даних дітей — у школах, лікарнях, спортивних секціях: підвищені вимоги до згоди, мінімізації, безпеки зберігання.

Перша консультація з адвокатом фонду — конфіденційна, без обмежень за тривалістю і темою; фінансується з пожертв на статутну діяльність фонду. Подальша робота — за договором про правничу допомогу. Подальша робота — за договором про правничу допомогу за ст. 27 Закону № 5076-VI. Конкретні умови обговорюємо після того, як адвокат побачить обсяг роботи (видалення з однієї бази vs GDPR-комплаєнс на компанію). Вилку оплати адвокат називає одразу після першого аналізу.

Якщо потрібна безоплатна правнича допомога — для категорій, що мають таке право за ст. 14 Закону № 3460-VI (учасник бойових дій, особа з інвалідністю внаслідок війни, член сім'ї загиблого тощо), — складемо і подамо заяву до Центру безоплатної вторинної правничої допомоги.