Аналіз методів захисту персональних даних за українським законодавством та GDPR

Abstract

Розглянуто та охарактеризовано проблему стрімкого розвитку сучасних технологій, через які є актуальне питання щодо захисту персональних даних користувачів мережі Інтернет. Проаналізовано сучасний стан забезпечення захисту персональних даних за вимогами українського законодавства та Загального регламенту про захист персональних даних (англ. General Data Protection Regulation, GDPR). Визначено, які саме дані належать до персональних даних та чому підлягають захисту. З'ясовано, що персональні дані – це вид інформації з обмеженим доступом, тому обробляти ці дані потрібно тільки у системах, на яких встановлено комплексну систему захисту інформації, що має сертифікат відповідності. Оскільки Україна – одна з перших країн, яка впровадила електронний паспорт, розглянуто додаток "Дія". Проаналізовано Кодекс України про адміністративні правопорушення та Кримінальний Кодекс України за порушення вимог та недотримання закону щодо захисту персональних даних, описано штрафні санкції. Проаналізовано вимоги до оброблення та захисту персональних даних за Європейським стандартом GDPR, а саме: процедуру псевдонімізації, анімізації, шифрування та ін. Розглянуто комплекс технічних рішень та інструментів кібербезпеки для впровадження відповідності нормам GDPR. Підкреслено важливість організаційних заходів безпеки, таких як: навчання персоналу, створення політики конфіденційності, правильна організація процесів, надання доступу до персональних даних тільки уповноваженим працівникам та інші. З'ясовано міру покарання за порушення недотримання вимог GDPR. Наголошено, що для покращення рівня захищеності персональних даних важливим фактором є підвищення рівня обізнаності, які часто ігнорують проблеми, пов'язані зі захистом особистих даних, зокрема через неповне розуміння законодавчих стандартів та вимог у цій сфері.

The problem of modern technologies rapid development is shown and characterized, which makes the issues of Internet users personal data protection very urgent. The current state of personal data protection in accordance with the requirements of Ukrainian legislation and the General Data Protection Regulation (GDPR) is analyzed. It is also determined which data belong to personal data and why they are subject to protection. According to Ukrainian Laws "On Access to Public Information", "On Personal Data Protection " and "About information protection in information and telecommunication systems" it was found the methods of personal data protection, peculiarities of processing information, storage, and transfer. Personal data is a kind of restricted access information so should be processed only in systems that have a comprehensive information security system possessing a certificate of conformity. Ukraine was one of the first countries, which introduce an electronic passport, sowe considered the "DIIA" application. This application contains a huge database of personal data, that is why we investigate it and many interesting facts about the development are presented. The Code of Ukraine on Administrative Offenses and the Criminal Code of Ukraine for violation of requirements and non-compliance with the law on personal data protection in Ukraine are analyzed, penalties are also described. The requirements for personal data protection according to the European standard GDPR, namely, the procedure of pseudonymization, annihilation, encryption, etc. are given. A set of technical solutions and cybersecurity tools for implementing compliance with the GDPR standards is considered. In addition to technical solutions, important issues are security organization measures, these include staff training, adding privacy policies, proper organization of processes, providing access to personal data only to authorized employees. The penalty for violating the GDPR requirements has been clarified. Every country in the world is trying to ensure the protection of the personal data of its citizens at the legislative level by creating laws, regulations, and orders. It is emphasized, an important factor is to raise the awareness of citizens, who often ignore the problems associated with the protection of their personal data, including due to a lack of understanding of legal standards and requirements in this area.