26 жовтня 2020 року низка народних депутатів-членів Комітету з питань правоохоронної діяльності з фракції «Слуга Народу» зареєструвала Проект Закону про державну реєстрацію геномної інформації людини з реєстраційним номером 4265. 17 листопада 2020 року його було включено до порядку денного Верховної Ради, а 24 листопада було зареєстровано постанову про прийняття цього проекту за основу. Втім, цей законопроект містить низку ризиків для захисту персональних даних громадян.
Що передбачає законопроект?
Законопроект передбачає створення Бази даних геномної інформації людини, держателем якої буде Міністерство внутрішніх справ України, а адміністратором – Державний науково-дослідний експертно-криміналістичний центр Міністерства внутрішніх справ України. Державна реєстрація геномної інформації полягає у тому, що знеособлені генетичні ознаки людини та відомості про них вносяться до Бази даних. Закон окреслює для чого реєструють геномну інформацію так:
- профілактика кримінальних правопорушень;
- встановлення осіб, які вчинили кримінальні правопорушення;
- розшук осіб, зниклих безвісти;
- ідентифікація невпізнаних тіл (останків);
- ідентифікація особи людини, яка за станом свого здоров’я чи за віком не може повідомити відомості про себе.
Проект передбачає як добровільну, так і обов’язкову реєстрацію геномної інформації. Остання здійснюється коштом державного бюджету України. Їй підлягають такі категорії:
- осіб, притягнутих до кримінальної відповідальності за вчинення умисних злочинів проти життя, здоров’я, статевої свободи, статевої недоторканості особи, щодо яких обрано запобіжний захід;
- осіб, які вчинили суспільно-небезпечні діяння проти життя, здоров’я, статевої свободи, статевої недоторканості особи, до яких за рішенням суду застосовані примусові заходи медичного характеру;
- осіб, засуджених за вчинення умисних злочинів проти життя, здоров’я, статевої свободи, статевої недоторканості особи;
- установлена в біологічному матеріалі, вилученому під час проведення слідчих дій з місць вчинення кримінальних правопорушень, скоєних в умовах неочевидності, або отримана під час досудового розслідування, та неідентифікована;
- невпізнаних трупів людей та їх останків, відомості про виявлення яких унесено до Єдиного реєстру досудових розслідувань та розпочато розслідування;
- осіб, зниклих безвісти, яка за рішенням суду може бути встановлена шляхом проведення молекулярно-генетичної експертизи (дослідження) раніше відібраних біологічних зразків або біологічного матеріалу, відібраного з особистих речей особи, зниклої безвісти.
Окремо регламентується порядок відбору біологічного матеріалу в осіб, які добровільно вступають або призиваються на військову службу, та військовослужбовців.
У них він проводиться кожні 8 років, але інформація про їхню геномну інформацію може вноситися до Бази даних лише у випадку, коли це потрібно для розшук осіб, зниклих безвісти, ідентифікації невпізнаних тіл (останків) та ідентифікації особи людини, яка за станом свого здоров’я чи за віком не може повідомити відомості про себе.
Водночас з тим як до Бази даних вноситимуть знеособлену інформацію, облік відомостей про осіб та їх відібраний біологічний матеріал мають вести в електронному вигляді та (або) у формі картотек органом, який забезпечує надсилання геномної інформації Адміністратору Бази даних. Такими органами, фактично, будуть лабораторії, у яких проводитимуться молекулярно-генетичні експертизи.
Обробка персональних даних, що пов’язані з опрацюванням геномної інформації, має здійснюватися виключно для досягнення мети, визначеної проектом закону, з урахуванням вимог законодавства про захист персональних даних. Право на використання геномної інформації мають отримати керівники прокуратур та органів досудового розслідування, прокурори, слідчі, дізнавачі, уповноважені особи оперативних підрозділів та Національного бюро Інтерполу в Україні, а також органи іноземних держав у порядку міжнародної співпраці.
Контроль за дотриманням прав людини і громадянина при державній реєстрації геномної інформації здійснює Уповноважений Верховної Ради України з прав людини.
Якими є проблеми з точки зору прав людини?
По-перше, геномна інформація входить до категорії так званих “чутливих” персональних даних, обробка яких забороняється. Закон “Про захист персональних даних” встановлює вичерпний перелік підстав обробки таких чутливих категорій персональних даних особи. Справді, пункти 1 та 7 частини другої статті 7 Закону дозволяють таку обробку, якщо вона:
- здійснюється за умови надання суб’єктом персональних даних однозначної згоди на обробку таких даних (що покриває випадки добровільної реєстрації);
- стосується вироків суду, виконання завдань оперативно-розшукової чи контррозвідувальної діяльності, боротьби з тероризмом та здійснюється державним органом в межах його повноважень, визначених законом.
Водночас, цілі обробки геномної інформації, визначені цим проектом закону, не відповідають цілям, встановленим Законом “Про захист персональних даних”, а це дозволятиме Міністерству внутрішніх справ збирати суттєво більший масив інформації.
Крім того, закон не визначає достатньо чітко того, які біологічні матеріали будуть збиратися, а відсилки до кримінального процесуального законодавства щодо порядку їх збору теж не відповідають вимогам правової визначеності.
По-друге, схоронність “ключів” та біологічних матеріалів, за допомогою яких можна буде розшифрувати дані з цієї бази, лежатиме на низці державних експертних установ, що будуть задіяні у проведенні експертиз, частина з яких перебуває у структурі МВС, а також на установах виконання покарань та спеціалізованих медичних установах. Велика кількість розпорядників, які будуть у цьому задіяні, створює значні ризики витоку інформації, а концентрація збору, зберігання та управління доступом до таких даних у Міністерстві внутрішніх справ створює значні корупційні ризики, на що звернуло увагу у своєму висновку ГНЕУ.
По-третє, порядок оброблення геномної інформації та ведення Бази даних установлюється Кабінетом Міністрів України. Це надає надзвичайно широку дискрецію для урядовців щодо встановлення регулювання, що, з-поміж іншого, не відповідає вимогам статті 6 Конвенції 108+ Ради Європи та Директиви ЄС 2016/680 щодо обробки персональних даних відповідальними органами з метою запобігання, розслідування, пошуку або обвинувачення у здійсненні кримінальних правопорушень. Ці документи вимагають, щоб порядок обробки відповідних категорій даних був передбачений законом (by law).
Насамкінець, сумніви викликає необхідність зберігати геномну інформацію в Базі даних протягом 75 років. Попри те, що законотворець залишає можливість вилучення та знищення інформації з Бази даних на підставі виправдувального вироку суду, що набрав чинності, та у випадку закриття кримінального провадження прокурором щодо підозрюваного, строк збереження даних для інших категорій осіб не відповідає принципам обробки персональних даних.
Що з цим робити?
Стандарти у сфері захисту персональних даних, безумовно, дозволяють використовувати чутливі дані для запобігання злочинності та розслідування злочинів. Разом з тим, обробка таких даних має супроводжуватися належними запобіжниками, які мають бути закріплені законом. Саме тому цей законопроект потребує суттєвого доопрацювання у частині закріплення прав суб’єктів персональних даних на видалення інформації про себе з Баз даних, обов’язків розпорядників, а також щодо ненадмірності обробки персональних даних.