Живая лента

ТОП-тренд, который у всех на слуху, – это пятая группа упрощенной системы для Фопов. История с отдельным налоговым статусом для ИТ-индустрии продолжается уже несколько лет, но до конкретики доходило редко. Перед выборами Президента появилось несколько законопроектов о отдельную группу для Фопов в ИТ, но это воспринималось больше как шутка или пиар. Сейчас за тему взялись серьезнее.

Пока нет текстов законопроектов или официальной позиции государства, рано анализировать детали. На уровне идей ожидаем, что для Фопов в ИТ (или в креативных индустриях) создадут отдельную группу с отдельным налогообложением по более высоким ставкам, чем сейчас у третьей группы. При этом в работе ИТ-компаний с ФОПами на новой группе государство якобы не искать скрытых трудовых отношений. Такой договор с государством: «Платите больше налогов и работайте спокойно». В то же время это звучит как угроза бизнесу, который оставит свои структуры с ФОПами на третьей группе: «Тогда мы идем к вам».

Не совсем понятно, чем закончится эта история, но точно будет горячо. Кому же, как не нам (юристам) радоваться по этому поводу. Ведь новое законодательство – больше работы.

На второе место ставлю тренд развития legal tech. Чего только стоят победители нынешней ІТ-арены-два legal tech проекта. Ранее к таким проектам относились как к меньшему брату. В общем, он может «потусоваться» со старшими, но никто его всерьез не воспринимает, чтобы только под ногами не крутился. А тут такой поворот!

Если не оценивать качество продуктов победителей (для этого есть жюри), то можно назвать несколько возможных предпосылок такого результата: либо юристы настолько крутые, или просто на рынке нет нормальных проектов, что даже юристы добираются до призовых мест. Учитывая риторику новой власти о государстве в смартфоне, движение административных услуг в сторону автоматизации и переходу в онлайн, тренд legal tech должен сохраниться минимум на несколько ближайших лет (к тому же не только в частном секторе).

Третьим трендом являются персональные данные. После волны GDPR в этой сфере ненадолго наступило затишье. А теперь – новая волна. В Украине формируется устойчивое понимание, почему персональные данные важные, а также почему нельзя работать с ними так, как мы всегда работали (то есть никак). Украинское ІТ уже интересуется этим вопросом на уровне высшем, чем «просто напишите политику конфиденциальности с персональными данными все будет хорошо, потому что такая бумажка должна быть».

Новое понимание персональных данных сложно формировать на базе черного рынка данных (в том числе персональных), когда почти любую базу данных можно купить у правильных людей. Однако на очереди актуализация закона о персональных данных. Нужно не только привести его в соответствие к европейским стандартам, но и продумать механизмы его реализации. А потом, если выпишут несколько штрафов, то серьезное отношение к персональных данных сформируется без особых усилий.

25 мая 2018 г. вступил в силу общий регламент защиты персональных данных (GDPR, General Data Protection Regulation) - соответствующая инструкция о защите данных, или новые правила защиты персональных данных, принятые Евросоюзом. Некоторое время никто не мог понять, на кого распространяется данный регламент и как правильно его применять. Поэтому в конце 2018 г. EDPB (European Data Protection Board) выпустил в него определенные объяснительные документы, с помощью которых механизм работы GDPR стал более понятным. Он имеет прямое действие и осуществляет экстерриториальную влияние, то есть неважно, где обрабатываются персональные данные (на территории ЕС или за его пределами), а главное, чтобы компания была зарегистрирована на территории ЕС.

После вступления в силу GDPR много компаний задались вопросом: какая документация нужна для осуществления своей предпринимательской деятельности на территории Европейского Союза?. По оценке экспертов, субъекту хозяйствования необходимо иметь около 40-а видов документов для того, чтобы выполнять свою работу на территории ЕС в соответствии с положениями GDPR. Конечно, большинство из них будут конфиденциальными, но некоторые должны быть в открытом доступе для того, чтобы регуляторные орган видели, что данная компания ведет свою деятельность в соответствии с нормами регламента.

Также одним из видов регулирующих нормативно-правовых актов будет ePrivacy Regulation. Первый официальный проект документа было предоставлено Европейской комиссии в начале 2017 г., и он имел целью заменить Директиву 2002/58/ЕС, а также дополнить правила для защиты персональных данных. В 2018 г. проект прошел все проверки и должен был вступить в силу в мае 2018 г., но так и не был реализован. Эксперты комиссии имеют надежду, что в ближайшее время ePrivacy Regulation вступит в силу и с 2020 г. начнет свою работу.

Главным отличием Директивы от Постановления является то, что первая носила рекомендуемый характер, а ePrivacy Regulation является обязательным для исполнения. Постановление будет регулировать использование файлов cookies. Согласно нее, определенный перечень настроек браузеры будут использовать как согласие или несогласие на предоставление и обработку персональных данных. Пользоваться соокіеѕ будет разрешено только в некоторых случаях:

• для осуществления операций через электронную связь;
  
• если конечный пользователь предоставил свое согласие для использования моих персональных данных;
  
• для предоставления информации, запрашиваемой пользователем;
  
• для обеспечения безопасности и целостности сервиса.
  

Файлы соокіеѕ, которые будут работать для улучшения работы сайта, не будут нуждаться в подтверждении, но если пользователь захочет подписаться на расписку, ему необходимо будет вести свою электронный адрес и с помощью письма предоставить согласие на обработку данных. The ePrivacy Regulation после принятия может изменить систему защиты персональных данных и, в отличие от GDPR, предусматривает, что в стране будет определенная свобода действий для принятия окончательных правил, которые в них будут действовать.

После принятия GDPR КМУ принял решение о необходимости адаптирования национальных нормативно-правовых актов, касающихся защиты персональных данных в соответствии с регламентом, который вступил в силу в мае 2018 г. Однако возникло много трудностей, особенно с терминологией, которая указана в GDPR. Главная проблема - в переводе специальных терминов, поскольку в русском языке не всегда существует однородная сходство соответствии с оригиналом документа.

Украина имеет низкий уровень защиты персональных данных. Вследствие этого снижается привлекательность не только для ведения бизнеса на территории страны и сотрудничества с иностранными государствами, а и создается плохой имидж государства. Поэтому в ближайшее время необходимо урегулировать данную проблему, потому что сейчас законопроект находится на этапе «разработки», и GDPR не имеет возможности заработать на территории Украины.

Закон о защите персональных данных действует уже почти год. И к концу года его нормы вызвали ажиотаж. Действительно базы персональных данных должны быть зарегистрированы до 01 января 2012 года. На регистрацию был дан целый год. Так что жаловаться не на что. Несмотря на определенные недостатки закона, в целом он направлен на защиту персональных данных граждан. То есть нас с вами. Именно нормы закона о защите персональных данных направлены на защиту от несанкционированной Вами передачи Ваших личных данных, например, коллекторам. К ответственности могут быть привлечены и организации, которые получив без Вашего согласия Ваши личные данные, рассылают почтой или с помощью СМС рекламные материалы. Более того, Закон дает субъекту персональных данных (то есть нам с Вами) право требовать удаления его данных из базы по формальным причинам. Это означает, что некоторые граждане смогут избегать ответственности по заключенным гражданско-правовым договорам, например, по выплате кредита.

Вклад в усиление ажиотажа внесли и СМИ. Особенно впечатлила новость ТСН: «Предприниматели бунтуют против посягательства на их частную жизнь. По Украине прокатилась очередная волна протестов предпринимателей из-за обязательства с нового года предоставить фискальным органам все данные о собственном имуществе, доходах и частной жизни. За нарушение нормативной базы для мелких предпринимателей вводят новые штрафы, которые будут достигать 34 тысяч гривен. Так, в Чернигове торговцы на акции протеста решили показать властям все, вплоть до нижнего белья. Панталоны, трусы и лифчики всех размеров и цветов стали орудием против новых положений Закона о защите частных данных».

Акция интересная, зрелищная. Только на частную жизнь предпринимателей никто не покушается.
[spoiler]
Базы персональных данных регистрируются Службой по вопросам защиты персональных данных, а не фискальными органами. Регистрации подлежат базы данных с информацией о физических лицах, которые имеются в наличии у юридических лиц и физических лиц - предпринимателей. То есть регистрации подлежит именно база данных. Поэтому, во-первых, сама информация (персональные данные) не передается. Регистрируются не поименно люди, данные которых Вы имеете, а сам факт того, что юрлицо или физлицо-предприниматель владеют такими данными. Во-вторых, если у физического лица-предпринимателя отсутствуют наемные работники и база клиентов (контрагентов) в каком-либо виде не ведется, то, соответственно, регистрировать ему нечего (база данных отсутствует).

«Орудие» против новых положений Закона утрачивает боеспособность, если ознакомиться с положениями закона, определяющими, что есть персональные данные. Это данные, с помощью которых физическое лицо может быть идентифицировано. Например, идентификационный код, адрес + Ф.И.О. и т.д. По выложенным протестующими «орудиям» физлицо не может быть идентифицировано. Ваша частная жизнь если кого-то и интересует, то не Службу по вопросам защиты персональных данных. Закон как раз направлен на защиту частной жизни от посягательств. В том числе от продаж баз данных (базы телефонных номеров, базы ГАИ, БТИ, налоговой и т.д.) на рынке. Именно эти базы содержат личную информацию (например, об имеющейся собственности, паспортных данных), которая продается и используется мошенниками без Вашего согласия.

Складывается мнение, что люди верят в то, что если до нового года они не получат свидетельство о регистрации базы персональных данных, сразу же после празднования нового года на них будет наложен штраф 17 000 грн. Однако это не совсем так.

Решение о наложении штрафа будет принимать суд. На основании данных проверки Службы по вопросам защиты персональных данных. Инспекторы Службы пока не планируют идти ко всем подряд в поисках жертв. Основанием для проверки будет являться жалоба физического лица, чьи права нарушены из-за незаконного использования персональных данных. Кроме того, это лицо должно приложить к жалобе документы, подтверждающие факт нарушения. И прежде, чем составлять админпротокол и передавать его в суд, Служба направит предписание об устранении нарушений. И только потом, если предписание будет проигнорировано, протокол будет составлен и передан в суд.

Порядка проведения проверок Службой пока не существует. Опасаться стоит именно положений этого порядка. Большим сюрпризом может стать и создание требований к порядку ведения и хранения баз персональных данных. Не является секретом то, что характерной чертой нормотворчества в Украине является стремление к бюрократизации и созданию возможностей для коррупции.

Таким образом, если заявление о регистрации базы персональных данных подано до 01.01.2012, претензий по поводу уклонения от регистрации не будет. Даже если свидетельство о регистрации было получено после этой даты. Если заявление не подано вообще, Служба должна направить предписание об устранении нарушения. И только тогда, когда требования службы будут проигнорированы, грозит админштраф на основании решения суда. Если заявление было подано после 01.01.2012, но до момента проверки, о возможных действиях Службы можно пока только догадываться.

Отсутствие практики применения Закона также пока не позволяет однозначно сказать, что вообще считать базой данных. База предполагает наличие упорядоченности в хранении и обработке той совокупности персональных данных, которыми Вы владеете. Если совокупность персональных данных не является систематизированной и упорядоченной, то такая совокупность не может считаться базой персональных данных.

Поэтому стоит подумать, прежде чем подавать заявления о регистрации персональных данных и не плодить базы. Зарегистрировав базу, которой фактически не обладаете, Вы добровольно становитесь объектом для проверок и применения санкций. Без регистрации можно доказывать отсутствие наличия у Вас базы данных, а субъект властных полномочий вынужден будет доказывать, что такая база имеет место и вы уклоняетесь от ее регистрации.

Так что, заявление о регистрации базы персональных данных лучше подать до нового года, но панике поддаваться не стоит.

Остается только задуматься, кому выгоден ажиотаж. Организаторам таких акций? Или юристам, которые в конце года начали предлагать услуги по регистрации баз персональных данных?

P.S.: Заполнение заявления о регистрации базы данных занимает несколько минут. Регистрация бесплатна. Если выстоять очередь в Службе по вопросам защиты персональных данных не представляется возможным, заявление можно направить почтой или обратиться к посредникам. Если имеется электронная цифровая подпись, то заявление можно подать непосредственно на сайте Службы по вопросам защиты персональных данных. Согласие на обработку персональных данных необходимо получить только от тех физических лиц, отношения (трудовые, гражданско-правовые) с которыми возникли с 01.01.2011 г. И заявление, и образцы согласия находятся в свободном доступе.

Определенную информацию можно найти на сайте Службы по вопросам защиты персональных данных: www.zpd.gov.ua. Консультация юриста может понадобиться при разработке внутренних положений о защите персональных данных.

Фроня Надежда, адвокат, партнер ОА «Лига правовой защиты»