Aİ şəxsi məlumatların qorunmasını təmin edir, Ukrayna bu sahədə yavaş irəliləyir

Onlayn alış-veriş etdiyiniz zaman, sosial şəbəkələrdə yazı yazdığınızda və ya cibinizdə telefonla gəzdiyinizdə rəqəmsal iz qoyursunuz.

Belə yaranan məlumatlardan "Google" kimi şirkətlər gəlir əldə edir. Məsələn, axtardığınız məhsul və ya xidmətlərlə bağlı reklamlar göstərirlər. "Məlumat yeni neftdir" ifadəsi haqlıdır: 2008-ci ildə ən böyük 5 şirkətdən ikisi neft şirkəti idisə, 2018-ci ildə isə hamısı məlumatla bağlı şirkətlər olub.

Məlumat gəlir gətirdiyindən sual yaranır: kim məlumatların sahibi hesab edilir və kim, hansı qaydalarla onlardan istifadə edə bilər?

Aİ-nin yanaşmaları

Aİ qanunvericiliyində bu suallara bir neçə qayda cavab verir: 108+ Konvensiyası, Məlumatların qorunması qaydası, Rəqəmsal xidmətlər və bazar, Süni intellektlə bağlı qanunlar və digərləri. Bunlar yalnız Aİ ölkələrinin deyil, Aİ sakinləri məlumatları ilə işləyən digər ölkələrdəki şirkətlər tərəfindən də tətbiq edilir.

Aİ-də müasir şəxsi məlumatların qorunması tənzimləmələri ən qabaqcıl hesab olunur və digər ölkələr ona nümunə kimi baxır.

Aİ Komissiyası məlumatların qorunması baxımından uyğun hesab etdiyi ölkə və təşkilatların siyahısını müəyyən edə bilər. Hazırda bu siyahıda Argentina, Braziliya və Uruqvay kimi 16 yurisdiksiya var. Bu ölkələrin şirkətləri və təşkilatları Aİ şirkətləri ilə məlumat mübadiləsi üçün əlavə razılıq və ya müqavilə tələb etmirlər.

Yuxarıda qeyd olunan Aİ-nin Ümumi Məlumatların Qorunması Qaydası (GDPR) müxtəlif tərəflərin məqsəd və maraqları arasında balans prinsipi üzərində qurulub.

Məsələn, insanlar "unutulma hüququ"na malikdir (məlumatların işlənmə ehtiyacı aradan qalxdıqda onların silinməsi). Lakin bu hüquq ictimai əhəmiyyət kəsb edən maraqlarla ziddiyyət təşkil edərsə, tətbiq olunmaya bilər. Başqa nümunə: məlumatın idarəçisi məlumatların işlənmə məqsədinin dəyişdiyini bildirməlidir, ancaq bu xəbərdarlıq idarəçidən çox resurs tələb edərsə, edilə bilməz.

Qaydada çoxlu məsələlər maraqlı tərəflərin və milli qanunvericiliyin qərarına buraxılıb. "Məqsədəuyğun" və "kifayət qədər" tədbirlər kimi ifadələr tez-tez rast gəlinir.

Bu terminlərin konkret mənası məlumat işləyənlər və prosesin tənzimləyicilərinin ixtiyarındadır.

Ukrayna Aİ-yə qoşulana qədər öz şəxsi məlumatların qorunması tənzimləməsini uyğunlaşdırmalı və məlumatların qorunması infrastrukturu yaratmalıdır.

Unudulmuş qanun layihələri

Bu proses artıq başlayıb, amma çox ləng irəliləyir.

Qoşulma üzrə danışıqların ilk bloku 23-cü bölməni əhatə edir: "Məhkəmə hakimiyyəti və əsas hüquqlar" və 24-cü bölmə: "Ədalət, azadlıq və təhlükəsizlik". Bu, Ukrayna qanunvericiliyini Aİ-nin şəxsi məlumatların qorunması qaydaları ilə tam uyğunlaşdırmağı nəzərdə tutur.

Uyğun iki qanun layihəsi var – 8153 nömrəli şəxsi məlumatların qorunması haqqında qanun layihəsi, mövcud qanunu əvəz edəcək, və 6177 nömrəli Milli şəxsi məlumatların qorunması komissiyasının yaradılmasına dair qanun layihəsi.

Hər ikisi parlamentə müvafiq olaraq 2022 və 2021-ci illərdə təqdim olunub, lakin hələ qəbul edilməyib.

Bu qanun layihələri nəyi nəzərdə tutur və Ukrayna GDPR qaydalarına əməl etməyə başlayanda nə dəyişəcək?

Mövcud şəxsi məlumatların qorunması qanunu (2010) GDPR-in əsas müddəalarını tətbiq edir.

Bunlar:

məlumatların işlənməsi üçün razılığın mütləq olması; razılıqda göstərilməyən məqsədlər üçün məlumatların işlənməsinin qadağan olması;

irqi və etnik mənşə, siyasi və ictimai baxışlarla bağlı məlumatların xüsusi razılıq olmadan işlənməsinin qadağan olması;

məlumat subyektinin işləyən və idarə edən barədə məlumat əldə edə bilməsi;

məlumatların silinməsini tələb etmək hüququ (bu müddəalar 1995-ci ilin direktivasında da vardı, mövcud qanun bu direktivadan hazırlanıb).

2024-cü ilin sonlarında birinci oxunuşda qəbul edilmiş 8153 saylı qanun layihəsi GDPR-in əlavə müddəalarını – şəffaf və məlumatlı razılıq, şəxsin öz məlumatlarını dəyişmək və silmək hüququnu təklif edir.

Əgər razılıq azad deyilsə (məsələn, məlumat idarəçisinə asılı olan şəxs və ya xidməti almaq üçün məlumat işlənməsinə razılıq verməkdən başqa yolu olmayan şəxsdirsə), belə razılıq etibarsız sayılır. Qanun layihəsi şəxsi məlumatların qorunmasının pozulmasına görə cərimələri xeyli artırır: indiki halda 1.700-dən 34.000 qrivnəyə qədər, layihəyə görə isə 90 milyon qrivnəyə və ya şirkətin illik dövriyyəsinin 5%-i qədər ola bilər.

Ukrayna qanunvericiliyin Aİ hüququna uyğunlaşdırılması üzrə Milli proqramına əsasən, bu qanun layihəsi 2026-cı ilin iyununda qəbul edilməli idi.

Buna baxmayaraq, Ukrayna mediası və Aİ bazarında fəaliyyət göstərən şirkətlər artıq Aİ qaydalarına əməl etməlidir. Bu şirkətlər üçün hazırda məlumatların sərhədlərarası ötürülməsi ilə bağlı Ombudsmanın tövsiyələri var.

Ümumilikdə, Ukraynanın şəxsi məlumat subyektləri məlumatlarını yalnız Aİ üzvləri və Konvensiya 108+ iştirakçılarına ötürə bilər. Qalan ölkələrlə məlumat mübadiləsi üçün Ukrayna ayrıca müqavilələr bağlamalıdır.

Qanun layihəsinə əlavə sənədlərdə Ukrayna və Aİ arasında qanunvericilik yanaşmalarının fərqi aydın görünür. Çoxlu rəy hüquqi aydınlıqla bağlıdır.

Məsələn, "qısa və aydın" olması tələb olunan məlumatlandırma barədə tələbdə "qısa" və "aydın" anlayışlarına obyektiv kriteriyaların əlavə edilməsi təklif olunur.

GDPR milli orqanlara "müvafiq və kifayət qədər" tədbirləri müəyyən etmək və digər oxşar ifadələri dəqiqləşdirmək imkanı verir. Lakin Ukrayna qanunçuluq ənənəsi bunu qanunla, Avropa qanunvericiləri isə bunu alt səviyyədə, məsələn, milli tənzimləyici orqanın izahatları və sahə təlimatları ilə həyata keçirir. Bu qanun layihəsinin qəbul edilməsi hüquqi ənənələr arasında test olacaq.

Ombudsman müvəqqəti tənzimləyici qismində fəaliyyət göstərir.