Нам потрібне твоє ДНК – як парламент пропонує збирати геномну інформацію?

Понад рік тому народні депутати зареєстрували законопроєкт №4265 про державну реєстрацію геномної інформації людини. Цей проєкт робить внесок до вдосконалення роботи правоохоронних органів, полегшивши розслідування у найбільш тяжких справах, процес пошуку безвісти зниклих осіб, ідентифікації загиблих. Водночас, при неналежному опрацюванні він міг би виявитись значною загрозою для приватного життя та інших свобод українців.

За більш ніж рік народні депутати встигли оновити законопроєкт та підготувати його до першого читання. Доопрацьований законопроект дещо покращує ситуацію щодо державної реєстрації геномної інформації. Зокрема, було зменшено строк її зберігання, приведено у відповідність до чинного законодавства про захист персональних даних та міжнародних стандартів цілі обробки геномних даних. Втім, на думку Цифролаби цей проєкт закону варто доповнити.

Водночас, деякі проблеми, що випливають із законопроєкту, потребують внесення змін до інших законів та узгодження з кримінально-процесуальним законодавством щодо відбору, зберігання та знищення біологічного матеріалу та захисту персональних даних у контексті цілей збору чутливих персональних даних.

Про що цей законопроект?

Напевно ви бачили типові детективні серіали, коли успіху розслідування значно сприяє знаходження відбитків пальців чи волосина потенційного підозрюваного. При цьому, без бази відповідних біологічних даних людини ефективність розслідування буде доволі обмеженою. Цей проєкт якраз і стосується організації такої бази даних.

Держателем бази має стати Міністерство внутрішніх справ, а адміністратором – Державний науково-дослідний експертно-криміналістичний центр МВС. Законопроєкт визначає мету збору такої інформації, режими обов’язкової та добровільної реєстрації геномної інформації, коло осіб, яких стосується обов’язкова реєстрація та норми про опрацювання та збереження інформації.

Цифролаба вже робила огляд цього першої редакції цього проєкту, втім, у травні 2021 року його доопрацювали. Нова версія законопроєкту містить деякі покращення, однак не усуває всінедоліки, які лишились з минулої редакції законопроєкту.

Що важливо знати про геномну інформацію та її збір?

Геномна інформація належить до категорії чутливих даних, тож загалом її обробка забороняється. Втім, виконання завдань оперативно-розшукової діяльності вважається виправданою метою для обробки чутливих персональних даних згідно із Законом “Про захист персональних даних” та статтею 6 Конвенції 108+ Ради Європи.

Тим не менш, проєкт закону про захист персональних даних № 5628 зміщує фокус з оперативно-розшукової діяльності на можливість їх обробки для попередження, розслідування, виявлення правопорушень та виконання кримінальних покарань, що відображає підхід статті 1 профільної Директиви ЄС 2016/680 щодо обробки персональних даних відповідальними органами з метою запобігання, розслідування, пошуку або обвинувачення у здійсненні кримінальних правопорушень.

Законопроєкт про державну реєстрацію геномної інформації містить низку гарантій, наприклад, до Бази даних вноситимуть знеособлені генетичні ознаки людини та відомості про них. Інші гарантії, які передбачені проєктом цього закону, та їх відповідність практиці ЄСПЛ, проаналізуємо нижче.

Які стандарти обробки державою геномної інформації встановлює ЄСПЛ?

Практика Європейського Суду з прав людини вказує, що попередження, розслідування, виявлення правопорушень є виправданою метою обмеження права на особисте життя та обробки персональних даних, але держава має забезпечити належний баланс між публічними та приватними інтересами.

Наприклад, справа S and Marper v the United Kingdom (де поліція відмовилася видалити дані цих осіб після виправдання підозрюваних) окреслила важливість урахування державою низки факторів щодо обробки такої категорії персональних даних, зокрема того, що:

пасивне зберігання даних не є гарантією відсутності зловживань;
важливим є контроль за ідентифікацією родичів за геномними зразками (так звані familial DNA searches);
слід встановити чітке обмеження у часі для зберігання зібраних даних;
норми щодо зберігання, використання, знищення, доступу до даних, забезпечення цілісності та конфіденційності даних мають визначатися законом.

А от справа Trajkovski and Chipovski v North Macedonia, що стосувалась осіб, яких повторно притягнули до відповідальності на основі збережених геномних даних, додає важливі фактори:

урахування тяжкості злочину для цілей визначення потреби збору, обробки та збереження геномних даних;
наявність судового, адміністративного механізмів оспорювання рішень щодо збору, обробки та зберігання геномних даних.

У першій справі, Gaughran v the United Kingdom, ЄСПЛ зіткнувся з випадком, коли поліція відмовлялась видаляти ДНК-профіль, фото та біометричні дані особи, яку було засуджено за водіння у нетверезому стані.

Ці дані, на думку поліції та британських судів, мали зберігатись безстроково у цілях ефективного розслідування потенційних злочинів чи проступків. Втім, ЄСПЛ закликав розрізняти безстрокове збереження даних та їх збереження до смерті особи, адже у першому випадку можуть значно порушуватись права родичів осіб, чиї персональні дані зберігають правоохоронні органи.

Страсбурзький суд визнав наявність значного публічного інтересу у розслідуванні нерозкритих злочинів, але наголосив, що при цьому мають гарантуватись права інших осіб. При цьому, Суд повністю відкинув підхід британського уряду “чим більше даних, тим краще”, адже це може призвести до бажання зібрати геномні дані всього населення, що безперечно є надмірним.

Насамкінець, ЄСПЛ підкреслив, що такі фактори як погашення судимості, вік особи, чи настання смерті можуть слугувати причинами перегляду потреби у зберіганні геномних даних. Вищезгадані стандарти варто врахувати при доопрацюванні цього законопроєкту, деталі якого пропонуємо розглянути нижче.

Навіщо планується збирати геномну інформацію?

Порівняно з минулою редакцією законопроєкту, законодавці зменшили кількість цілей, задля яких може збиратись геномна інформація. Зокрема, народні депутати прибрали такі цілі як “профілактика кримінальних правопорушень” та “ідентифікація особи людини, яка за станом свого здоров’я чи за віком не може повідомити відомості про себе”. Нині мета реєстрації геномної інформації звузилася до:

ідентифікації осіб, які вчинили кримінальне правопорушення;
ідентифікації осіб, які зникли безвісти;
ідентифікації невпізнаних трупів людей, їх останків та частин тіла людини.

Обрані виключні цілі обробки геномної інформації людини тепер загалом відповідають цілям обробки чутливих даних, передбаченим статтею 7 Закону “Про захист персональних даних”.

Право на використання геномної інформації мають отримати керівники прокуратур та органів досудового розслідування, прокурори, слідчі, дізнавачі, уповноважені особи оперативних підрозділів та Національного бюро Інтерполу в Україні, а також органи іноземних держав у порядку міжнародної співпраці лише для цілей передбачених законом. Обов’язкова реєстрація здійснюватиметься за рахунок державного бюджету.

Хто підлягає обов’язковій державній реєстрації?

Обов’язкова державна реєстрація стосуватиметься таких категорій осіб з відповідним строком зберігання:

особи, яким повідомлено про підозру у вчиненні умисних тяжких або особливо тяжких злочинів проти життя, здоров’я, волі, честі, гідності, статевої свободи, статевої недоторканості особи та до яких застосований запобіжний захід у вигляді тримання під вартою	повідомлення про закриття кримінального провадження, звільнення цієї особи від кримінальної відповідальності або виправдувальний вирок суду, що набрав законної сили, але не більше 5 років
особи, які вчинили злочини проти життя, здоров’я, волі, честі, гідності, статевої свободи, статевої недоторканості особи, до яких за рішенням суду застосовані примусові заходи медичного характеру	50 років
особи, засуджені за вчинення умисних злочинів проти життя, здоров’я, волі, честі, гідності, статевої свободи, статевої недоторканості особи	50 років
установлена в біологічному матеріалі, вилученому під час проведення слідчих дій з місць вчинення кримінальних правопорушень, скоєних в умовах неочевидності, або отримана під час досудового розслідування, та неідентифікована	До ідентифікації, але не більше 50 років
невпізнані трупи людей, їх останків та частин тіла людини, відомості про виявлення яких унесено до Єдиного реєстру досудових розслідувань та розпочато розслідування	До ідентифікації, але не більше 50 років
особи, зниклі безвісти, які за рішенням суду можуть бути встановлена шляхом проведення молекулярно-генетичної експертизи (дослідження) раніше відібраних біологічних зразків або біологічного матеріалу, відібраного з особистих речей особи, зниклої безвісти	До ідентифікації, але не більше 50 років

У минулій редакції до усіх визначених осіб застосовувався строк зберігання у 75 років та припускав можливість вилучення та знищення інформації з Бази даних на підставі виправдувального вироку суду, що набрав чинності, та у випадку закриття кримінального провадження прокурором щодо підозрюваного.

Які аспекти оновленого законопроєкту є проблемними?

Низка положень законопроєкту непропорційно обмежують права людини

Загалом, практика реєстрації геномної інформації підозрюваних осіб вважається прийнятною, але за умови забезпечення роботи запобіжників. Зокрема, реєстрація цих даних буде виправданою при вчиненні або підозрі у вчиненні тяжких злочинах, але має суворо обмежуватись у часі. Необмежене чи занадто тривале збереження цих даних не буде виправданим.

По-друге, обмеження строку зберігання геномних даних “до ідентифікації, але не більше 50 років” може вважатись виправданим для випадків ідентифікації невпізнаних трупів та осіб, зниклих безвісти, адже у цих випадках ідентифікація осіб може бути значно ускладнена. Тим не менш, важливо, щоб ці дані використовувались лише для визначених законом цілей, адже геномні дані дають достатньо інформації для ідентифікації найближчих родичів.

Ідентифікація родичів за геномними зразками (familial DNA searches) дозволяє визначити у низці випадків певне коло підозрюваних, коли прямі співпадіння відсутні. Цей інструмент варто напряму передбачити у законі для виключних випадків (наприклад, особливо тяжких злочинів).

По-третє, обов’язкова державна реєстрація геномних даних для осіб, засуджених за вчинення умисних злочинів проти життя, здоров’я, волі, честі, гідності, статевої свободи, статевої недоторканості особи, тобто в рамках розділів II-IV Особливої частини Кримінального кодексу, може покривати коло осіб, збирання даних яких не є виправданим.

Враховуючи первинну мету збору геномної інформації – уникнення та зменшення кількості повторних злочинів, а також специфіку вчинення деяких злочинів, збір геномної інформації щодо осіб, які скоїли певне коло злочинів видається недоцільним.

Зокрема, за термінологією законопроєкту, слід збирати дані осіб, засуджених за залишення в небезпеці (стаття 135 Кримінального кодексу), незаконні аборти та стерилізацію (стаття 134 Кримінального кодексу), незаконну лікувальну діяльність (стаття 138 Кримінального кодексу), експлуатацію дітей (стаття 150 Кримінального кодексу), незаконне поміщення в заклад з надання психіатричної допомоги (стаття 151 Кримінального кодексу) тощо.

Збір цих даних не сприяє досягненню мети закону та становить невиправдане втручання в особисте життя цих осіб. Альтернативною такому способу визначення групи осіб, чию геномну інформацію буде збирати держава, може бути постатейне визначення із виключенням видів злочинів, які не потребують такого виду доказів при розслідуванні.

По-четверте, у тексті закону варто зробити уточнення щодо моменту початку зберігання геномної інформації для уникнення складнощів при застосуванні закону та правової невизначеності.

Насамкінець, дуже сумнівним з точки зору відповідності Конституції є бажання законотворців зібрати геномну інформацію осіб, які на дату набрання чинності законом будуть мати незняту чи непогашену судимість за вчинення умисних злочинів проти життя, здоров’я, статевої свободи, статевої недоторканості особи. Фактично, це означатиме, що прийнятий закон матиме зворотну дію у часі та обмежуватиме права людини.

Обсяг дискреційних повноважень Кабінету Міністрів України

Законопроєкт перекладає на Кабінет Міністрів України затвердження низки підзаконних актів, що деталізуватимуть норми прийнятого закону. Зокрема, уряд має ухвалити порядок обов’язкової та добровільної державної реєстрації геномної інформації, доступу та її оброблення, порядок ведення Бази даних та порядок зберігання в Адміністратора Бази даних біологічного матеріалу, відібраного для проведення державної реєстрації геномної інформації.

Водночас, Конвенція Ради Європи 108+ та Загальний регламент про захист даних вимагають, щоб порядок обробки чутливих даних був передбачений законом. Зокрема, безпосередньо у законі слід передбачити вимоги щодо доступу та оброблення інформації та порядок обміну даними між органами влади, інакше уряд матиме надто широкі повноваження для обмеження прав людини.

Реальні повноваження Уповноваженого Верховної Ради з прав людини

Важливим запобіжником проти зловживань є стале функціонування механізму оскарження протиправного збору, обробки та зберігання геномних даних. В Україні роль органу, який здійснює контроль за дотриманням законодавства про захист персональних даних, виконує Уповноважений Верховної Ради з прав людини (Омбудсмен).

На сьогодні, в Омбудсмена немає суттєвих важелів впливу на протидію зловживанням при обробці геномної інформації. Санкційний інструментарій у виді штрафів на практиці є достатньо слабким, адже передбачає відносно невеликі штрафи (максимальна межа штрафів становить 17000-34000 гривень, що є незначною сумою для великих компаній) та тривалу процедуру їх накладення через суд.

Реальний вплив міг б мати незалежний орган, який має стати частиною нової інституційної архітектури у сфері захисту персональних даних. У жовтні 2021 року народні депутати зареєстрували проєкт закону № 6177, який передбачає створення такого органу – Національної комісії з питань захисту персональних даних та доступу до публічної інформації. Їй пропонують надати такі повноваження:

приймати обов’язкові для виконання рішення про запобігання та/або усунення порушень законодавства про захист персональних даних та накладати значні штрафи за невиконання таких рішень (до 100000 гривень для фізичних осіб та 1% річного обороту юридичної особи);
затверджувати порядок контролю за обробкою персональних даних, пов’язаних з притягненням осіб до кримінальної відповідальності, правопорушень, кримінальних проваджень та судимості, а також пов’язаних із цим заходів безпеки;
здійснювати перевірки суб’єкта контролю персональних даних;
проводити консультації щодо проведення оцінки впливу при впровадженні заходів, що становлять широкомасштабну обробку персональних даних;
притягати до відповідальності за порушення Закону України “Про захист персональних даних” (максимальні штрафи досягають 20 мільйонів гривень для фізичних осіб, 150 мільйонів гривень або до 8% загального річного обороту юридичної особи).

Недостатня якість суміжного законодавства

Проєкт закону містить посилання на кримінально-процесуальне законодавство стосовно:

відбору, зберігання та знищення біологічних матеріалів;
проведення молекулярно-генетичної експертизи;
вилучення та знищення геномної інформації;
питання міжнародного співробітництва.

Водночас, Кримінальний процесуальний кодекс недостатньо деталізує порядок відбору та знищення біологічних матеріалів, тож відсилка до кримінального процесуального законодавства не відповідає вимогам правової визначеності. Зокрема, відповідні норми Кримінально-процесуального кодексу (статті 238, 239, 241 та 245) недостатньо деталізують питання відбору біологічних зразків, а в деяких випадках цілком не стосуються питання відбору біологічних матеріалів.

Насамкінець, пункт 2 частини другої та частина третя статті 13 проєкту закону конфліктують між собою, адже пропонують визначати порядок знищення біологічного матеріалу для здійснення державної реєстрації геномної інформації одночасно через кримінально-процесуальне законодавство та постановою Кабінету Міністрів України.

Також з 2017 року питання збору геномних даних розглядається Конституційним Судом України, але у контексті норм Закону України “Про національну поліцію”. Оскаржується конституційність пункту 7 частини першої статті 26 Закону, згідно з яким Національна поліція України наповнює та підтримує в актуальному стані бази даних, що входять до єдиної інформаційної системи Міністерства внутрішніх справ України, стосовно осіб, затриманих за підозрою у вчиненні правопорушень (адміністративне затримання, затримання згідно з дорученнями органів правопорядку, затримання осіб органами досудового розслідування, адміністративний арешт, домашній арешт).

Повноваження Національної поліції за цими нормами є ширшими за визначені законопроєктом, адже стосуються підозрюваних у значно ширшому колі правопорушень. Уповноважена Верховної Ради з прав людини у конституційному поданні слушно зауважила, що згадана норма надає значних повноважень правоохоронному органу без забезпечення захисних положень від свавільного втручання у право на особисте життя. На жаль, це конституційне провадження було закрите наприкінці 2018 року за поданням нової Уповноваженої Верховної Ради з прав людини.

Новий проєкт закону про захист персональних даних також передбачає можливість обробки геномної інформації в цілях попередження, розслідування, виявлення правопорушень або виконання кримінальних покарань, але розширює можливості збору цих даних і для випадків покарань за адміністративні правопорушення, що не відповідає Директиві ЄС 2016/680 щодо обробки персональних даних відповідальними органами з метою запобігання, розслідування, пошуку або обвинувачення у здійсненні кримінальних правопорушень.

Висновки

Доопрацьований законопроект дещо покращує ситуацію щодо державної реєстрації геномної інформації. Зокрема, було зменшено строк її зберігання, приведено у відповідність до чинного законодавства про захист персональних даних та міжнародних стандартів цілі обробки геномних даних. Втім, на думку Цифролаби цей проєкт закону варто доповнити наступними нормами щодо:

введення можливості вилучення геномної інформації з бази даних у зв’язку із віком чи смертю особи;
прив’язки строку збереження геномної інформації у базі даних до строку погашення судимості, або введення інших критеріїв зменшення строку зберігання геномної інформації;
уточнення початку відліку зберігання геномної інформації;
звуження переліку злочинів, які передбачають обов’язковий збір геномної інформації;
визначення у законі вимог щодо доступу та обробки інформації та порядку обміну даними між органами влади, інакше уряд матиме надто широкі дискреційні повноваження для обмеження прав людини;
встановлення випадків, коли геномна інформація може бути використана для цілей ідентифікації родичів за геномними зразками.

Крім того, важливо створити ефективні механізми контролю за дотриманням прав людини при реалізації положень законопроєкту незалежним органом. На сьогодні Уповноважена Верховної Ради України з прав людини не містить достатніх інструментів для дієвого реагування на порушення. Такий нагляд може бути покладений на окремий регуляторний орган у сфері захисту персональних даних, створення якого пропонується законопроєктом №6177. Хоча запропонована модель регуляторного органу все ще потребує широкого обговорення та доопрацювання.

Олексій Волошин,

юрист Цифролаби