Директи́ва про за́хист да́них — нормативно-правовий акт Європейської Унії, який регулював обробку персональних даних у межах Європейської Унії (ЄУ) та вільний рух таких даних. Директива про захист даних була важливим компонентом законодавства ЄУ про приватність та права людини.
Принципи, викладені в Директиві про захист даних, були спрямовані на захист основних прав і свобод під час обробки персональних даних. Загальний регламент про захист даних, прийнятий у квітні 2016 року, замінив директиву про захист даних і набув чинности 25 травня 2018 року.
Контекст Право на приватність є високорозвиненою галуззю права в Європі. Усі держави-члени Ради Європи (РЄ) також підписали Європейську конвенцію з прав людини (ЄКПЛ). Стаття 8 ЄКПЛ передбачає право на повагу до «приватного та сімейного життя, житла та кореспонденції» з певними обмеженнями. Європейський суд з прав людини надав цій статті дуже широке тлумачення у своїй практиці.
У 1973 році американський вчений Вілліс Вер опублікував працю «Записи, комп’ютери та права громадян» (Records, Computers, and the Rights of Citizens), яка мала вплинути на напрямки розвитку цих законів.
У 1980 році, прагнучи створити комплексну систему захисту даних по всій Європі, Організація економічного співробітництва та розвитку (ОЕСР) видала свої «Рекомендації Ради щодо керівних принципів, що регулюють захист конфіденційності та транскордонні потоки персональних даних». Сім принципів, що регулюють рекомендації ОЕСР щодо захисту персональних даних, були такими:
Повідомлення — суб’єктів даних слід повідомляти про збір їхніх даних; Мета — дані повинні використовуватися лише для зазначеної мети, а не для будь-яких інших цілей; Згода — дані не повинні розголошуватися без згоди суб’єкта даних; Безпека — зібрані дані слід захищати від будь-яких потенційних зловживань; Розкриття інформації — суб’єкти даних повинні бути поінформовані про те, хто збирає їхні дані; Доступ — суб’єкти даних повинні мати можливість доступу до своїх даних та вносити виправлення до будь-яких неточних даних Підзвітність — суб’єкти даних повинні мати доступний їм метод притягнення збирачів даних до відповідальності за недотримання вищезазначених принципів.
Однак Керівні принципи ОЕСР не мали обов'язкової сили, а закони про конфіденційність даних все ще сильно відрізнялися в Європі. Тим часом Сполучені Штати, хоча й підтримали рекомендації ОЕСР, нічого не зробили для їх впровадження в Сполучених Штатах. Однак перші шість принципів були включені до Директиви ЄУ.
У 1981 році держави-члени Ради Європи ухвалили Конвенцію про захист осіб стосовно автоматизованої обробки персональних даних (Конвенція 108) для реалізації статті 8 ЄКПЛ. Конвенція 108 зобов'язує сторони, що її підписали, прийняти законодавство щодо автоматизованої обробки персональних даних і була модернізована та посилена у 2018 році, ставши «Конвенцією 108+».
У 1989 році, після возз'єднання Німеччини, дані, зібрані східнонімецькою таємною поліцією (Штазі), стали загальновідомими, що підвищило вимоги щодо конфіденційності в Німеччині. На той час у Західній Німеччині вже існували закони про конфіденційність з 1977 року (). Європейська комісія усвідомила, що розбіжності в законодавстві щодо захисту даних між державами-членами ЄУ перешкоджають вільному потоку даних в межах ЄУ, і відповідно запропонувала Директиву про захист даних.
Зміст Директива регулювала обробку персональних даних незалежно від того, чи є така обробка автоматизованою чи ні.
Сфера застосування Персональні дані визначаються як «будь-яка інформація, що стосується ідентифікованої або фізичної особи, яку можна ідентифікувати («суб’єкта даних»); ідентифікована особа – це особа, яку можна ідентифікувати прямо чи опосередковано, зокрема, шляхом посилання на ідентифікаційний номер або на один чи декілька факторів, характерних для її фізичної, фізіологічної, психічної, економічної, культурної чи соціальної ідентичності» (стаття 2 а).
Це визначення є дуже широким. Дані є «персональними даними», коли хтось може пов’язати інформацію з особою, навіть якщо особа, яка зберігає дані, не може встановити цей зв’язок. Деякі приклади «персональних даних»: адреса, , виписки з банківського рахунку, судимість тощо.
Поняття « обробка» означає «будь-яку операцію або сукупність операцій, що виконуються з персональними даними, незалежно від того, чи виконуються вони автоматичними засобами, такими як збір, запис, упорядкування, зберігання, адаптація або зміна, пошук, консультація, використання, розкриття шляхом передачі, поширення або надання доступу іншим чином, зіставлення або поєднання, блокування, стирання або знищення» (стаття 2 b).
Відповідальність за дотримання вимог покладається на «контролера», тобто фізичну або юридичну особу, орган державної влади, агентство чи будь-який інший орган, який самостійно або спільно з іншими визначає цілі та засоби обробки персональних даних (ст. 2 d).
Правила захисту даних застосовуються не лише тоді, коли контролер зареєстрований у ЄУ, але й щоразу, коли контролер використовує обладнання, розташоване в ЄУ, для обробки даних. (стаття 4) Контролери з-за меж ЄУ, які обробляють дані в ЄУ, повинні дотримуватися правил захисту даних. В принципі, будь-який онлайн-бізнес, що здійснює торгівлю з резидентами ЄУ, оброблятиме деякі персональні дані та використовуватиме обладнання в ЄУ для обробки даних (тобто комп'ютер клієнта). Як наслідок, оператор веб-сайту повинен буде дотримуватися європейських правил захисту даних. Директива була написана до появи Інтернету, і на сьогоднішній день існує мало судової практики з цього питання.
Принципи Персональні дані взагалі не повинні оброблятися, окрім випадків виконання певних умов. Ці умови поділяються на три категорії: прозорість, законна мета та пропорційність.
Прозорість Суб'єкт даних має право бути поінформованим про обробку його персональних даних. Контролер повинен надати своє ім'я та адресу, мету обробки, одержувачів даних та всю іншу інформацію, необхідну для забезпечення добросовісної обробки. (ст. 10 та 11)
Дані можуть оброблятися лише за умови виконання хоча б одного з наступних умов (стаття 7):
коли суб'єкт даних надав свою згоду. коли обробка необхідна для виконання або укладення договору. коли обробка необхідна для виконання юридичного зобов'язання. коли обробка необхідна для захисту життєво важливих інтересів суб'єкта даних. обробка необхідна для виконання завдання, що здійснюється в суспільних інтересах або при здійсненні офіційних повноважень, наданих контролеру або третій стороні, якій розкриваються дані. обробка необхідна для цілей законних інтересів контролера або третьої сторони чи сторін, яким розкриваються дані, за винятком випадків, коли такі інтереси переважають інтереси основних прав і свобод суб'єкта даних. Суб'єкт даних має право доступу до всіх даних, що обробляються про нього. Суб'єкт даних також має право вимагати виправлення, видалення або блокування даних, які є неповними, неточними або не обробляються відповідно до правил захисту даних. (стаття 12)
Легітимна мета Персональні дані можуть оброблятися лише для чітко визначених та легітимних цілей і не можуть оброблятися далі способом, несумісним з цими цілями. (ст. 6 b) Персональні дані повинні бути захищені від неправомірного використання та повинні поважатися «певні права власників даних, гарантовані законодавством ЄУ».
Пропорційність Персональні дані можуть оброблятися лише тією мірою, якою вони є адекватними, релевантними та не надмірними стосовно цілей, для яких вони збираються та/або обробляються далі. Дані повинні бути точними та, за необхідності, оновлюватися; необхідно вживати всіх розумних заходів для забезпечення того, щоб дані, які є неточними або неповними, з урахуванням цілей, для яких вони були зібрані або для яких вони обробляються далі, були видалені або виправлені; дані не повинні зберігатися у формі, яка дозволяє ідентифікувати суб'єктів даних довше, ніж це необхідно для цілей, для яких дані були зібрані або для яких вони обробляються далі. Держави-члени встановлюють відповідні гарантії щодо персональних даних, що зберігаються протягом триваліших періодів для історичного, статистичного або наукового використання. (стаття 6).
Під час обробки конфіденційних персональних даних (це можуть бути: релігійні переконання, політичні погляди, стан здоров'я, сексуальна орієнтація, раса, членство в минулих організаціях) застосовуються додаткові обмеження (стаття 8).
Суб'єкт даних може будь-коли заперечити проти обробки персональних даних з метою прямого маркетингу. (стаття 14)
Алгоритмічне рішення, яке породжує правові наслідки або суттєво впливає на суб’єкта даних, не може ґрунтуватися виключно на автоматизованій обробці даних. (стаття 15) Слід передбачити форму оскарження, коли використовуються автоматизовані процеси прийняття рішень.
Наглядовий орган та публічний реєстр операцій обробки даних Кожна держава-член повинна створити наглядовий орган – незалежний орган, який контролюватиме рівень захисту даних у цій державі-члені, надаватиме консультації уряду щодо адміністративних заходів та нормативних актів, а також розпочинатиме судові провадження у разі порушення правил захисту даних (стаття 28). Фізичні особи можуть подавати скарги на порушення до наглядового органу або до суду.
Контролер повинен повідомити наглядовий орган, перш ніж розпочати обробку даних. Повідомлення містить щонайменше таку інформацію (ст. 19):
ім'я та адреса контролера та його представника, якщо такий є; мета або цілі обробки; опис категорії або категорій суб'єкта даних та даних або категорій даних, що стосуються його; одержувачі або категорії одержувачів, яким дані можуть бути розкриті; запропоновані передачі даних третім країнам; загальний опис заходів, вжитих для забезпечення безпеки обробки.
Ця інформація зберігається у публічному реєстрі.
Передача персональних даних до третіх країн Термін «треті країни» використовується в законодавстві для позначення країн за межами Європейської Унії. Персональні дані можуть бути передані до третьої країни лише за умови, що ця країна забезпечує належний рівень захисту даних. Передбачено деякі винятки з цього правила, наприклад, коли сам контролер може гарантувати, що одержувач дотримуватиметься правил захисту даних.
Стаття 29 Директиви створила «Робочу групу з питань захисту фізичних осіб стосовно обробки персональних даних», широко відому як «». Робоча група надає рекомендації щодо рівня захисту в Європейському Союзі та третіх країнах.
Робоча група провела переговори з представниками Сполучених Штатів щодо захисту персональних даних, результатом чого стали . На думку критиків, Принципи безпечної гавані не забезпечують належного рівня захисту, оскільки вони містять менше зобов'язань для контролера та дозволяють договірну відмову від певних прав.
У жовтні 2015 року Європейський суд постановив, що режим «Безпечної гавані» є недійсним в результаті позову, поданого австрійським активістом із захисту конфіденційності щодо експорту даних підписників європейським бізнесом Facebook до Facebook у Сполучених Штатах. Органи влади США та Європи працювали над заміною «Безпечної гавані», і в лютому 2016 року було досягнуто угоди, що призвело до прийняття Європейською Комісією рамкової угоди «» 12 липня 2016 року. Вона також була визнана недійсною у 2020 році та замінена Рамковою угодою про конфіденційність даних між ЄС та США у 2023 році.
У липні 2007 року було підписано нову суперечливу"A divided Europe wants to protect its personal data wanted by the U.S." Rue 89. 4 March 2008. угоду про реєстрацію пасажирських імен (PNR) між США та ЄУ.