Дисертацію присвячено комплексному дослідженню адміністративно-правового забезпечення захисту персональних даних в умовах цифровізації публічного управління.
В першому розділі «Загальна характеристика адміністративно-правового забезпечення захисту персональних даних у сфері публічного управління» досліджено концептуальні основи захисту персональних даних як об’єкта адміністративно-правової охорони, розкрито вплив цифровізації на трансформацію правовідносин у цій сфері та визначено механізми впливу міжнародних стандартів на національне адміністративне законодавство.
Обґрунтовано, що персональні дані є специфічним об’єктом адміністративно-правової охорони, відмінним від об’єктів конституційно-правового і цивільно-правового регулювання. Проаналізовано основні наукові підходи до визначення персональних даних і встановлено, що жоден із них не враховує повною мірою специфіки обробки даних у сфері публічного управління. Доведено, що саме адміністративне право здатне забезпечити необхідні виміри охорони – нормативний, інституційний та юрисдикційний. Право на захист персональних даних охарактеризовано як самостійне публічне суб’єктивне право з власною структурою правомочностей. Запропоновано авторське визначення персональних даних у контексті публічного управління, яке враховує специфіку суб’єктів обробки, правову підставу та дуальну мету реалізації публічно-владних повноважень і забезпечення прав особи, а також відображає реальність обробки через цифрові технології та інтегровані інформаційні системи.
Цифровізація публічного управління розглянута як чинник якісної трансформації правовідносин у сфері захисту персональних даних, що охоплює зміну суб’єктного складу правовідносин, природи їх об’єкта, змісту прав і обов’язків сторін та характеру правового зв’язку між державою і громадянином. Виявлено два принципово нові типи правовідносин: відносини між суб’єктом даних і алгоритмом як суб’єктом автоматизованого управлінського рішення та відносини в умовах структурної інформаційної асиметрії, за якої держава акумулює комплексний цифровий профіль громадянина незалежно від його активних звернень. Аналіз функціонування платформи «Дія», системи «Трембіта» та реєстру «Оберіг» підтвердив реальність виявлених ризиків і необхідність їх адміністративно-правового врегулювання.
Досліджено архітектуру міжнародних та наднаціональних стандартів захисту персональних даних, що охоплює Конвенцію 108+ як інструмент міжнародного права та акти вторинного права ЄС – GDPR, Директиву 2016/680, Data Governance Act і EU AI Act – як взаємопов’язані інструменти. Обґрунтовано класифікацію нормативного, адаптаційного, юрисдикційного та орієнтувального механізмів їхнього впливу на національне адміністративне законодавство, кожен із яких має відмінну юридичну природу і порядок реалізації. Проаналізовано практику ЄСПЛ у справах про порушення права на приватність публічними органами і встановлено, що сформульовані у ній принципи є обов’язковими для органів публічного управління України незалежно від їх закріплення у національному законодавстві. Виявлено системний характер прогалин імплементації міжнародних стандартів і обґрунтовано необхідність комплексного реформування адміністративного законодавства у цій сфері.
У другому розділі «Зміст адміністративно-правового забезпечення захисту персональних даних в умовах цифровізації публічного управління» досліджено нормативно-правову основу, суб’єктний склад та процедурні елементи механізму захисту персональних даних у сфері цифрового публічного управління.
Охарактеризовано нормативно-правове регулювання захисту персональних даних у сфері цифрового публічного управління і встановлено його структурний дисбаланс між стрімким розвитком законодавства про цифрові публічні послуги та реєстри і хронічним відставанням спеціального законодавства про захист персональних даних. Закони про електронні публічні послуги, публічні електронні реєстри, електронну ідентифікацію та електронні комунікації формують розгалужену нормативну рамку цифрового публічного управління, проте жоден із них не містить комплексного регулювання захисту персональних даних, обмежуючись бланкетними нормами до Закону № 2297-VI. Виявлені прогалини мають системний характер і охоплюють відсутність правового визначення статусу оператора цифрових платформ як контролера персональних даних, відсутність вимог до оцінки впливу на захист даних при впровадженні нових цифрових сервісів та відсутність механізму прозорості алгоритмічних рішень.
Досліджено систему суб’єктів забезпечення захисту персональних даних у сфері публічного управління та проведено їх класифікацію за функціональним критерієм з урахуванням специфіки цифрового публічного управління. Виявлено системну прогалину у розподілі відповідальності між суб’єктами в умовах платформної моделі надання публічних послуг, яка полякає у тому, що чинне законодавство не визначає, хто і в якому обсязі несе відповідальність за захист персональних даних у ситуаціях множинності суб’єктів обробки. Обґрунтовано, що ключовою інституційною прогалиною є відсутність спеціалізованого незалежного наглядового органу, а чинна модель покладення відповідних функцій на Уповноваженого Верховної Ради України з прав людини не забезпечує необхідного рівня спеціалізації та операційної спроможності для ефективного нагляду за обробкою персональних даних у масштабах цифрового публічного управління.
Розкрито зміст адміністративних процедур обробки персональних даних у системах цифрового публічного управління і встановлено їхню якісну відмінність від традиційних адміністративних процедур. Ключовими ознаками цих процедур є автоматизований характер обробки без безпосередньої участі посадової особи, множинність суб’єктів у рамках однієї процедури та динамічне розширення обсягу даних внаслідок міжреєстрової взаємодії. Визначено, що правове регулювання таких процедур має ґрунтуватись на вимогах прозорості алгоритмічних рішень, підзвітності всіх суб’єктів обробки та реальної доступності механізмів захисту прав суб’єктів персональних даних відповідно до стандартів GDPR і практики ЄСПЛ.
У третьому розділі «Удосконалення адміністративно-правового забезпечення захисту персональних даних в умовах цифровізації публічного управління» досліджено практичні проблеми правозастосування у сфері захисту персональних даних, виявлено системні правові прогалини у регулюванні електронних публічних послуг та визначено механізми і пріоритети гармонізації українського законодавства із правом Європейського Союзу.
Проаналізовано стан правозастосування у сфері адміністративної відповідальності за порушення законодавства про захист персональних даних і встановлено феномен «мертвої норми», який полягає у тому, що за наявності тисяч звернень суб’єктів персональних даних реальне притягнення до відповідальності є поодиноким. Системними причинами цього визначено вузький суб’єктний склад відповідальності, що виключає юридичних осіб, невідповідність розміру санкцій масштабу порушень та процедурну обтяженість провадження. Обґрунтовано пропозиції щодо реформування системи адміністративної відповідальності за моделлю дворівневої структури GDPR з диференціацією санкцій залежно від тяжкості порушення та одночасним запровадженням спрощеного провадження і спеціального порядку збирання цифрових доказів.
Охарактеризовано правовий режим захисту персональних даних у системах електронних публічних послуг і встановлено, що проблеми платформи «Дія», системи «Трембіта» та реєстру «Оберіг» мають спільну системну причину – відсутність превентивних правових інструментів на етапі проектування та запуску публічних цифрових сервісів. Обґрунтовано пропозиції щодо законодавчого закріплення обов’язкових вимог privacy by design і проведення оцінки впливу на захист персональних даних як передумов введення в експлуатацію нових державних інформаційних систем, а також щодо доповнення законопроєкту № 8153 нормою про спільне контролерство із солідарною відповідальністю суб’єктів перед суб’єктами персональних даних.
Визначено пріоритети та механізми гармонізації адміністративного законодавства України у сфері захисту персональних даних із правом ЄС і доведено її багатовимірний характер, що виходить за межі імплементації GDPR і охоплює Директиву 2016/680 у правоохоронній сфері та EU AI Act у частині систем штучного інтелекту у публічному секторі. Обґрунтовано пріоритетну послідовність законодавчих та інституційних змін і сформульовано три взаємопов’язані критерії оцінки досягнутого рівня відповідності (нормативний, інституційний та практичний), сукупне виконання яких свідчить про реальну гармонізацію в умовах цифровізації публічного управління.
The dissertation is dedicated to a comprehensive study of the administrative and legal protection of personal data in the context of digitalization of public administration.
The first chapter «General characteristics of administrative and legal provision for the protection of personal data in the field of public administration» examines the conceptual foundations of personal data protection as an object of administrative and legal protection, reveals the impact of digitalization on the transformation of legal relations in this field, and identifies the mechanisms of influence of international standards on national administrative legislation.
It is substantiated that personal data constitutes a specific object of administrative and legal protection, distinct from the objects of constitutional and civil law regulation. The main scientific approaches to the definition of personal data have been analyzed and it has been established that none of them fully accounts for the specifics of data processing in the sphere of public administration. It is proven that administrative law is capable of ensuring the necessary dimensions of protection – normative, institutional and jurisdictional. The right to personal data protection is characterized as an independent public subjective right with its own structure of legal powers. An authorial definition of personal data in the context of public administration is proposed, which takes into account the specifics of processing subjects, the legal basis and the dual purpose of exercising public authority and ensuring the rights and legitimate interests of individuals, and also reflects the reality of processing through digital technologies and integrated information systems.
Digitalization of public administration is examined as a factor of qualitative transformation of legal relations in the field of personal data protection, encompassing changes in the subject composition of legal relations, the nature of their object, the content of the rights and obligations of the parties, and the nature of the legal connection between the state and the citizen. Two fundamentally new types of legal relations have been identified: relations between a data subject and an algorithm as the subject of an automated management decision, and relations under conditions of structural information asymmetry, whereby the state accumulates a comprehensive digital profile of a citizen regardless of their active requests. Analysis of the functioning of the Diia platform, the Trembita system and the Oberih register confirmed the reality of the identified risks and the need for their administrative and legal regulation.
The architecture of international and national personal data protection standards is examined, encompassing Convention 108+ as an instrument of international law and acts of secondary EU law – GDPR, Directive 2016/680, Data Governance Act and EU AI Act – as interrelated instruments. A classification of normative, adaptive, jurisdictional and orientational mechanisms of their influence on national administrative legislation has been substantiated, each having a distinct legal nature and order of implementation. The case law of the ECtHR in cases concerning violations of the right to privacy by public authorities has been analyzed, and it has been established that the principles formulated therein are binding on Ukrainian public administration bodies regardless of their entrenchment in national legislation. The systemic nature of the gaps in the implementation of international standards has been identified and the need for comprehensive reform of administrative legislation in this field has been substantiated.
The second chapter «The content of administrative and legal provision for personal data protection in the context of public administration digitalization» examines the regulatory framework, subject composition and procedural elements of the personal data protection mechanism in the sphere of digital public administration.
The regulatory framework for personal data protection in the sphere of digital public administration has been characterized and its structural imbalance identified between the rapid development of legislation on digital public services and registers and the chronic lag of special legislation on personal data protection. The laws on electronic public services, public electronic registers, electronic identification and electronic communications form an extensive regulatory framework for digital public administration, however none of them contains comprehensive regulation of personal data protection, being limited to referral provisions to Law No. 2297-VI. The identified gaps are systemic in nature and encompass the absence of a legal definition of the status of digital platform operators as personal data controllers, the absence of requirements for data protection impact assessment when introducing new digital services, and the absence of a mechanism for transparency of algorithmic decisions.
The system of subjects responsible for ensuring personal data protection in the sphere of public administration has been studied and classified according to a functional criterion taking into account the specifics of digital public administration. A systemic gap has been identified in the distribution of responsibility between subjects under the platform model of public service delivery, consisting in the fact that current legislation does not determine who and to what extent bears responsibility for personal data protection in situations of multiple processing subjects. It is substantiated that the key institutional gap is the absence of a specialized independent supervisory authority, while the current model of assigning relevant functions to the Ukrainian Parliament Commissioner for Human Rights does not ensure the necessary level of specialization and operational capacity for effective supervision of personal data processing at the scale of digital public administration.
The content of administrative procedures for personal data processing in digital public administration systems has been revealed and their qualitative distinction from traditional administrative procedures established. The key characteristics of these procedures are the automated nature of processing without the direct participation of an official, the multiplicity of subjects within a single procedure, and the dynamic expansion of data volume as a result of inter-register interaction. It has been determined that the legal regulation of such procedures must be based on requirements of transparency of algorithmic decisions, accountability of all processing subjects and real accessibility of mechanisms for protecting the rights of personal data subjects in accordance with GDPR standards and ECtHR case law.
The third chapter «Improvement of administrative and legal provision for personal data protection in the context of public administration digitalization» examines the practical problems of law enforcement in the field of personal data protection, identifies systemic legal gaps in the regulation of electronic public services, and determines the mechanisms and priorities for harmonization of Ukrainian legislation with the law of the European Union.
The state of law enforcement in the field of administrative liability for violations of personal data protection legislation has been analyzed and the phenomenon of a "dead norm" established, consisting in the fact that despite thousands of appeals from personal data subjects, actual prosecution remains isolated. The systemic causes thereof have been identified as the narrow subject composition of liability, which excludes legal entities, the discrepancy between the size of sanctions and the scale of violations, and the procedural burden of proceedings. Proposals have been substantiated for reforming the system of administrative liability based on the model of the two-tier structure of GDPR with differentiation of sanctions depending on the severity of the violation and the simultaneous introduction of simplified proceedings and a special procedure for collecting digital evidence.
The legal regime of personal data protection in electronic public service systems has been characterized and it has been established that the problems of the Diia platform, the Trembita system and the Oberih register share a common systemic cause – the absence of preventive legal instruments at the stage of design and launch of public digital services. Proposals have been substantiated for the legislative entrenchment of mandatory requirements for privacy by design and the conduct of data protection impact assessments as prerequisites for the commissioning of new state information systems, as well as for supplementing Draft Law No. 8153 with a provision on joint controllership with joint and several liability of subjects before personal data subjects.
The priorities and mechanisms for harmonization of Ukrainian administrative legislation in the field of personal data protection with EU law have been determined and its multidimensional nature proven, extending beyond the implementation of GDPR to encompass Directive 2016/680 in the law enforcement sphere and the EU AI Act with regard to artificial intelligence systems in the public sector. A priority sequence of legislative and institutional changes has been substantiated and three interrelated criteria for assessing the achieved level of compliance formulated — normative, institutional and practical — the cumulative fulfilment of which indicates genuine harmonization in the context of digitalization of public administration.
