Новий рік – нові кіберзагрози

60 тисяч кібератак на тиждень: як зупинити витік персональних даних українців?

Наразі в Україні фіксують близько 60 тисяч кібератак на тиждень Це колосальний тиск на існуючу систему захисту персональних даних. Здебільшого, кібератаки спрямовані проти держсектору.

У ніч з 13 на 14 січня, на Старий Новий рік, хакери здійснили атаку на низку урядових сайтів, зокрема Міністерства закордонних справ, Міністерства освіти і науки України, ДСНС, Казначейства та Кабміну. Кіберзлочинці на головних сторінках сайтів відомств розмістили провокаційні повідомлення. На щастя, ресурси швидко відновили і витоку персональних даних українців не відбувся. Тепер держспецзв'язок спільно зі СБУ та кіберполіцією розслідують інцидент. Хоча, шахраїв майже неможливо відстежити ні провайдерам, ні спецслужбам. До подібних атак спритники вдаються з однією метою – нашкодити репутації держави, показати її неспроможність захищати своїх громадян. Кому це потрібно? Думаю, що охочих вчинити інформаційний скандал багато. Однак система захисту персональних даних не має залежати від планів провокаторів, а тим більше грати за їхніми «правилами».Тому, в Україні давно назріла потреба у створенні ґрунтовної законодавчої бази у сфері захисту персональних даних. Адже розвиток технологій створює нові й нові умови для беззаконня у кіберпросторі.

Вже сьогодні експерти з безпеки окреслюють нові кіберзагрози-2022. Серед них – традиційна поява «нового покоління» хакерів та поширення «розумних» приладів із доступом до Інтернету. А все це легко зламати та отримати доступ до персональних даних.

Мене, як громадянина України та законотворця, не влаштовує існуюча система захисту ПД. Нинішній закон «Про захист персональних даних» застарів (ухвалений у 2011) і не відповідає вимогам сучасності.

- Немає чіткого визначення, ЩО САМЕ Є ПЕРСОНАЛЬНИМИ ДАНИМИ. Досі немає розуміння, що належить до їхнього переліку.

- Чітко НЕ ПРОПИСАНІ ПІДСТАВИ для збору даних.

- ВІДСУТНІЙ ПОРЯДОК ОБРОБКИ персональних даних. Тобто, давши згоду на використання ПД, українці не знають, що саме означає ця згода і куди піде потім ця інформація. 

- ВІДСУТНЯ МЕТА ОБРОБКИ персональних даних або формулюється відповідна мета з порушенням вимог Конвенції № 108 та Закону України «Про захист персональних даних». Тобто не відомо з якою саме метою потому використовуються дані.

- ВІДСУТНЄ ЧІТКЕ ФОРМУЛЮВАННЯ ВИМОГИ про надання ПД. Тобто, сам текст нормативно-правового документа, який стосується обробки даних має зазначати за якими вимогами відбувається збір інформації. У тексті має бути вказано, що обробка даних здійснюється з дотриманням вимог Конституції України, Конвенції Ради Європи № 108, Закону України «Про захист персональних даних», а також вказувати на повні назви інших Законів України та нормативно-правових актів, зокрема, Укази Президента України, Постанови Кабінету Міністрів України, що складають правову основу для прийняття нормативно-правового акту. 

- Не відомо ХТО БУДЕ КОРИСТУВАТИСЯ ДАНИМИ? Надавач ПД має чітко знати статус та повноваження відповідальної особи/структурного підрозділу з питань обробки його персональних даних.

Отже, старий Закон не має законодавчих актів, які б забезпечували належний рівень захисту персональних даних в Україні у відповідності до оновлених міжнародних стандартів у цій сфері, насамперед стандартів, які передбачаються оновленою Конвенцією Ради Європи про захист фізичних осіб у зв’язку з автоматизованою обробкою персональних даних та Регламентом Європейського союзу  2016/679, взятих у Угодах, ратифікованих Верховною Радою України зобов’язаннях, належного контролю у сфері захисту персональних даних та адекватних відповідно до порушень санкцій. 

Це все призводить не тільки до незадовільного рівня захисту конституційного права на повагу до приватного життя в Україні, але й до визнання на міжнародному рівні України як держави, яка не забезпечує належний рівень захисту персональних даних. Це в свою чергу призведе до ризику відмови інших держав у передачі персональних даних в першу чергу органам влади України, особливо при обміні даних правоохоронними органами, та ускладнення у підтримці торгівельних зв’язків в секторі міжнародної підприємницької діяльності як з ЄС, так і іншими країнами, які мають належний рівень захисту персональних даних, аналогічний ЄС (Ізраїль, Японія тощо).

На щастя, суттєві кроки для осучаснення  законодавства у сфері вже зроблено. Групою депутатів та експертів минулого року ми до ВРУ представили одразу два законопроєкти: «Про захист персональних даних № 5628 від 07.06.2021 та «Про Національну комісію з питань захисту персональних даних та доступу до публічної інформаціх» № 6177 від 18.10.2021. Ці два документи базуються на міжнародній практиці застосування оновленої Конвенції №108+ та загальному регламенті захисту персональних даних GDPR. Законопроєкти покликані змінити правила збору та обробки персональних даних українців та передбачають створення нового контролюючого органу у сфері захисту персональних даних. Сподіваюсь на остаточне ухвалення цих законопроєктів у 2022-у.

Що дасть нове законодавство?

- приведе термінологію сфери захисту персональних даних у відповідність до нових міжнародних стандартів; 

- визначить  чіткі принципи та підстави обробки персональних даних; 

- визначить терміни збереження персональних даних;

- передбачає створення уповноваженого органу для здійснення контролю сфери захисту персональних даних;

- знищує  головну проблему сфери захисту ПД  - відсутність законодавчих актів, які б забезпечували їхній захист у відповідності до оновлених міжнародних стандартів. А отже, документ унеможливить ризики, наприклад для інших держав, відмовляти  у передачі персональних даних органам влади України та забезпечує  підтримку й безпеку торговельних зв'язків у секторі міжнародної підприємницької діяльності;

- надасть більше прав суб’єкту ПД для забезпечення можливості здійснення повноцінного контролю суб’єктом за обробкою його персональних даних, тощо.

Питання захисту та обробки чутливих даних ми неодноразово обговорювали на Комітеті з прав людини. Неодноразово також давали свої рекомендації щодо посилення впливу Омбудсмена Людмили Денісової на врегулювання та вирішення цього питання. Адже функція захисту ПД саме належить Уповноваженому з прав людини. Сподіваюсь у новому році з’явиться активний діалог співпраці у цьому напрямі.  

Сподіваємось на реалізацію і президентських  планів у сфері захисту персональних даних. Відомо, що Володимир Зеленський заявив про намір створити в Україні кібервійська. Тепер Кабмін має розрахувати комплектування особового складу нового виду військ. Вони допомагатимуть армії обробляти та аналізувати інформацію, впроваджувати нові технології збору інформації, захищати кіберпростор країни в цілому.