Законопроєкт передбачає імплементацію до національного законодавства основних положень Загального регламенту про захист даних (GDPR):
- введено принципи обробки персональних даних (законність, добросовісність, прозорість, мінімізації обробки, обмеження мети та ін.);
- переглянуто та деталізовано основні 6 підстав для обробки персональних даних;
- імплементовано увесь перелік прав суб’єктів персональних даних із GDPR (право на інформацію, на забуття, виправлення, на мобільність даних, захист від автоматизованого прийняття рішення та ін.);
- деталізовано умови законності та правомірності отримання згоди на обробку;
- запропоновано поняття чутливих персональних даних та їх перелік на заміну персональним даним, які становлять особливий ризик для прав і свобод суб’єктів;
- передбачено окремі положення щодо обробки персональних даних державними органами, роботодавцями, у зв’язку зі здійсненням відеоспостереження, аудіо-, відеофіксації публічних заходів, з метою прямого маркетингу, передвиборчої агітації та політичної реклами;
- імплементовано обов’язок контролера персональних даних щодо дотримання принципів “privacy by default” та “privacy by design”;
- передбачено обов’язок контролера здійснювати реєстрацію операцій з обробки персональних даних та складення відповідних протоколів;
- передбачена посада особи з питань захисту персональних даних та її обов’язки. Загалом це повинна бути особа, яка має досвід роботи у сфері захисту персональних даних та ступінь освіти не нижче бакалаврського. Для зайняття посади відповідальної особи з питань захисту персональних даних у державних органах передбачається необхідність складення кваліфікаційного іспиту;
- передбачено можливість відшкодування особою шкоди, яка завдана в наслідок порушення прав;
- для іноземних контролерів передбачено обов’язок призначити представника на території України.
Є у цьому законопроєкті незвичні та цікаві положення. Так, він передбачає порядок отримання інформації про осіб, які здійснюють небажані або зловмисні виклики (дзвінки) та повідомлення. Це означає, що користувач (абонент) зможе законно отримати від мобільного оператора ідентифікуючу інформацію про особу, яка здійснює небажані виклики та використати її надалі з метою захисту власних прав (наприклад, при направленні заяви до поліції).
Законопроєкт не оминає й питання відповідальності за порушення законодавства у сфері охорони персональних даних, зокрема, шляхом накладення штрафу:
- на фізичну особу у розмірі від 10000 до 30000 гривень;
- на юридичну особу у розмірі від 0,05 % до 0,1 % від загальнорічного обороту, але не менше 30 тисяч гривень, а для деяких категорій порушень не менше 100 чи 300 тисяч гривень.
Маємо позитивні сподівання, що законопроєкт буде прийнятий Верховною Радою України та запрацює вже у 2023 році.