Приватність і персональні дані у поведінкових програмах

Автор: Український психологічний ХАБ · Опубліковано: 22 жовтня 2026 року · Редакційна політика

Приватність у поведінкових програмах — це право людини контролювати обґрунтовані межі збирання, використання та поширення відомостей про себе, а також інституційна вимога захищати ці межі протягом усього життєвого циклу суспільного втручання. Поведінкова програма може аналізувати перешкоди у зверненні по допомогу, випробовувати нагадування, удосконалювати державну послугу або досліджувати ставлення населення. Кожна з цих дій потребує окремої відповіді на питання, які саме дані потрібні, хто їх обробляє, за якою правовою підставою, як довго вони зберігаються і яку шкоду здатне спричинити їх неналежне використання.

Центральний принцип полягає в пропорційності: суспільна користь, доказовість втручання, обсяг персональних даних і ризики для людини мають розглядатися разом. Організатор повинен обрати найменш інвазивний спосіб досягти законної мети, зробити процедуру зрозумілою, забезпечити реальні засоби захисту прав та незалежне оцінювання результатів. Такий підхід відображений у принципах етики даних державного сектору ОЕСР і настановах ОЕСР щодо етичної поведінкової науки в публічній політиці.

Що означає приватність у поведінковій програмі

Поведінкова програма — організований комплекс досліджень, комунікацій, змін середовища чи адміністративних процедур, спрямований на конкретну суспільно значущу поведінку або на зменшення перешкод для неї. Персональні дані — відомості або їх сукупність про фізичну особу, яка ідентифікована чи може бути конкретно ідентифікована; саме таку основу визначення закріплює стаття 2 Закону України «Про захист персональних даних».

У типовій програмі даними можуть бути адреса для нагадування, відмітка про звернення, результат опитування, історія користування послугою, цифровий ідентифікатор, географічна прив’язка або прогнозована ймовірність певної дії. Деякі з цих відомостей здаються нейтральними окремо, але в поєднанні дозволяють визначити особу чи зробити висновки про стан здоров’я, матеріальні труднощі, політичні переконання або інші чутливі обставини.

Приватність охоплює інформаційний контроль, відповідність використання даних початковій меті, захист від небажаного стеження та можливість людини залишатися учасником суспільного життя без непропорційного розкриття свого особистого становища. Захист персональних даних — правовий, організаційний і технічний спосіб реалізації цих вимог. Кібербезпека є необхідною частиною захисту, але сама собою не забезпечує справедливості мети збирання чи правомірності профілювання.

Відмінність між анонімними, знеособленими й персональними даними

Підсумковий показник «частка відвідувачів, що завершили заявку» може бути агрегованою статистикою. Якщо дослідник зберігає рядки з унікальними ідентифікаторами, шляхами користувачів і датами, ці рядки часто залишаються персональними даними навіть після вилучення прізвищ. Псевдонімізація замінює прямі ідентифікатори кодами, однак за наявності ключа або достатніх додаткових відомостей повторне встановлення особи може бути можливим. Справжня анонімізація потребує оцінки реалістичної можливості повторної ідентифікації в конкретному контексті.

Тому твердження «ми зібрали тільки знеособлені дані» необхідно перевіряти за структурою набору, способом поєднання таблиць, рідкісністю ознак, доступом підрядників і планами повторного використання. Підхід до захисту даних від початку проєктування розкриває Європейська рада із захисту даних.

Які дані збирають і де виникає ризик

Першу групу утворюють контактні дані, потрібні для надсилання повідомлення або відповіді на звернення: номер телефону, електронна адреса, поштовий індекс. Другу — операційні відомості про етапи послуги: початок заявки, перехід між формами, помилка завантаження, дата завершення. Третю — опитування про знання, мотивацію, очікування й досвід взаємодії з установою. Четверту — дані реєстрів, медичних та соціальних інформаційних систем, до яких може бути застосовано спеціальні правові обмеження.

П’ята група виникає під час аналітики: категорії ризику, індивідуальні оцінки й прогнози, персоналізовані рекомендації, сегменти аудиторії. Ці оцінки є новими відомостями про людину, навіть якщо їх вивела автоматизована модель. Прогноз «імовірно не виконає рекомендацію» може бути помилковим, а його передавання іншій установі здатне вплинути на поводження з людиною поза межами початкової програми.

Окремо слід оцінювати непрямі сліди: журнали доступу, технічні ідентифікатори, адреси мережевих пристроїв, точну геолокацію, часові мітки та відомості про пристрої. Аналітична система може не запитувати ім’я, проте збирати достатньо комбінацій ознак для ідентифікації. Ризик визначається не назвою поля у формі, а фактичними можливостями зв’язування інформації.

Поведінковий вплив і добровільність розкриття даних

Оформлення цифрового інтерфейсу впливає на те, чи людина надає дозвіл, яку інформацію розкриває і чи помічає додаткові налаштування. Типові позначки, порядок кнопок, помітність застереження, складність відмови та соціальні повідомлення можуть змінювати вибір без явної заборони альтернативи. Це робить згоду особливо вразливою до архітектури взаємодії.

У систематичному огляді та метааналізі Ioannou і співавторів (2021) було виявлено 78 праць про цифрові підштовхування й розкриття персональної інформації. Метааналіз 54 робіт засвідчив середній ефект g = 0,32, але неоднорідність була дуже високою (I² = 89%). Важлива асиметрія: втручання, які стимулювали більше розкриття, виявлялися результативнішими, ніж ті, що намагалися його обмежити. Цей результат описує поведінку в досліджених цифрових контекстах; його не можна механічно переносити на державні програми чи вважати доказом усвідомленої згоди.

Повага до автономії вимагає оцінювати якість рішення окремо від кількості натискань на кнопку «Погоджуюся». Дослідники повинні перевіряти, чи люди розуміють мету обробки, чи бачать реальну можливість відмови, чи не погіршується доступ до основної послуги через небажання брати участь у додатковому спостереженні. Коли метою програми є збільшення кількості наданих згод, показник конверсії особливо легко сплутати з показником суспільної користі.

Чому «згода за замовчуванням» є проблемою

Автоматично увімкнене додаткове відстеження, об’єднане погодження на кілька не пов’язаних цілей або довгий шлях до відмови створюють асиметрію між варіантами. Навіть коли людина натискає кнопку самостійно, її дія може відображати втому, поспіх, залежність від послуги чи нечітке формулювання. Європейська рада із захисту даних у настановах щодо згоди підкреслює значення справжньої свободи вибору та дисбалансу влади; цей документ застосовується до режиму GDPR і є корисним орієнтиром для етичного проєктування, але сам по собі не замінює українських юридичних вимог.

Спочатку мета і правова підстава, потім збір

Перш ніж створювати форму або підключати аналітичний засіб, організатор повинен чітко описати суспільну проблему, цільову поведінку, необхідність кожної категорії даних та очікувану користь. Після цього встановлюють, хто є володільцем даних, хто діє як розпорядник, які отримувачі матимуть доступ, на яких нормах права ґрунтується кожна операція і який механізм захисту доступний людині.

В Україні стаття 6 Закону «Про захист персональних даних» вимагає конкретних законних цілей та відповідного, адекватного й ненадмірного складу даних; підстави обробки розкриває стаття 11. Згода є однією з можливих правових підстав. Коли орган влади діє для виконання законного повноваження, відповідну норму потрібно встановити окремо, а право на публічну послугу не слід підміняти вимогою погодитися на необов’язкову поведінкову аналітику.

Підстава для операційного обліку заявки, підстава для дослідницького опитування і підстава для подальшого персоналізованого впливу можуть відрізнятися. Те, що установа законно володіє адресою для надання допомоги, саме собою не означає дозволу використовувати її в експерименті з поведінковими повідомленнями, передавати комерційному постачальнику чи будувати психологічний профіль. Для кожної нової мети потрібен окремий правовий і етичний аналіз.

Чому згода і участь у дослідженні — різні рішення

Людина може законно отримувати державну послугу та відмовитися від опитування, від персоналізації або від участі в експерименті, якщо вони не є необхідними й обов’язковими за відповідною правовою підставою. Інформована згода на дослідження та правова підстава обробки персональних даних мають різні функції. Етичне погодження дослідницького протоколу не скасовує законодавства про дані; юридична допустимість обробки не робить будь-який спосіб поведінкового впливу етично прийнятним.

У повідомленні учаснику потрібно простою мовою пояснити, хто проводить програму, чого прагне, що саме фіксує, чи можливе випадкове призначення до різних варіантів, які наслідки має відмова, чи відбуватиметься подальше використання, кому звертатися і як реалізувати права. Виправдане неповне розкриття деталей дослідницької гіпотези потребує окремої оцінки, оскільки приховане спостереження в публічних послугах здатне завдати шкоди довірі.

Особливі категорії та вразливі життєві обставини

Програми у сфері здоров’я, зайнятості, соціальної допомоги, міграції та захисту дітей можуть прямо чи опосередковано працювати з особливо чутливими відомостями. Стаття 7 українського закону встановлює спеціальний режим для даних про здоров’я, біометричних і генетичних даних та інших визначених категорій; обробка допускається лише за передбачених законом умов. Дані про психологічні труднощі, домашнє насильство, переміщення або життєві кризи створюють суттєвий ризик стигматизації і потребують підвищених заходів обережності навіть тоді, коли юридична класифікація конкретного поля потребує додаткової перевірки.

Український Уповноважений Верховної Ради з прав людини окремо пояснює обов’язок повідомлення про обробку, що становить особливий ризик для прав і свобод, та відповідні процедури. Перед запуском програми слід перевірити, чи підпадає конкретна обробка під цей режим, а не орієнтуватися лише на загальну назву проєкту.

Додатковий ризик виникає через нерівну здатність захищати власні інтереси. Людина, яка терміново потребує виплати, може погодитися на непрозоре використання даних через залежність від установи. У дітей, людей з інвалідністю, осіб із низькою цифровою грамотністю, внутрішньо переміщених осіб та людей у кризових обставинах бар’єри можуть бути іншими. Потрібні доступні альтернативні канали, інформація в зрозумілій формі, відповідні правові механізми представництва, мінімізація даних і захист від дискримінаційного відбору.

Профілювання, прогнозування та автоматизовані рішення

Профілювання у поведінковій програмі — використання персональних даних для оцінювання або передбачення характеристик і дій людини: імовірності пропустити прийом, потребувати додаткового контакту, залишити заявку чи відповісти на повідомлення. Його практична небезпека полягає у перетворенні статистичного прогнозу на характеристику конкретної людини. Модель може помилятися через неповні записи, зміщену вибірку, зміни умов життя та нерівну представленість груп.

Прогноз щодо завершення заявки не повинен ставати підставою обмежити доступ до послуги або змінити оцінку благонадійності заявника. Якщо програма використовує алгоритм для інтенсивнішої підтримки, необхідно розділяти допоміжний вибір каналу комунікації, пріоритезацію ресурсів і рішення, яке реально впливає на права. Для кожного типу потрібен свій рівень людського контролю, права на пояснення і можливості оскарження відповідно до застосовного законодавства.

Стаття 22 GDPR встановлює захист щодо певних рішень, заснованих виключно на автоматизованій обробці, включно з профілюванням, якщо вони мають правові або подібно значущі наслідки; існують визначені винятки й гарантії. Це правило діє у сфері застосування регламенту ЄС, тому для української установи окремо встановлюють територіальну та предметну застосовність GDPR і вимоги українського права.

Персоналізація і маніпулятивна вразливість

Персоналізоване повідомлення може зменшити адміністративне навантаження, якщо відправлене у відповідний момент та містить корисну інформацію. Проте індивідуальний психологічний профіль інколи дає змогу використовувати тривогу, фінансову залежність або обмежену здатність відмовити як важіль впливу. Етична перевірка запитує, чи зберігається автономія, чи можна відмовитися від персоналізації, чи обмежено коло даних та чи є менш інвазивна альтернатива із подібною результативністю.

Припущення, що деталізоване профілювання завжди підвищує ефективність, потребує перевірки у відповідному контексті. Для багатьох простих втручань достатньо загального повідомлення, доступної процедури або виправлення інституційної перешкоди. Порівняння цих варіантів є частиною наукового дизайну, а не факультативною етичною вправою.

Проєктування програми з мінімальним обсягом даних

Принцип мінімізації означає, що кожне поле має обґрунтування через конкретне рішення. Якщо мета — визначити, чи зрозуміла інструкція, можна провести добровільне тестування інтерфейсу без збирання повної історії медичних звернень. Якщо мета — порівняти два варіанти листа, часто достатньо заздалегідь погоджених агрегованих показників результату, а не необмеженого доступу дослідницької групи до державного реєстру. Якщо потрібне довгострокове спостереження, необхідно пояснити, чому коротший період не відповідає дослідницькому питанню.

Зручна практична процедура складається з кількох перевірок. Спочатку сформулювати рішення, заради якого потрібна змінна. Потім визначити, чи можна її замінити агрегованим числом, грубішою категорією або відомостями, зібраними без ідентифікації. Далі обмежити перелік осіб, які матимуть доступ, тривалість зберігання й дозволені операції. Нарешті зафіксувати, як саме будуть видалені дані, пов’язані копії та резервні набори після завершення визначеної потреби.

Настанови Європейської ради із захисту даних щодо захисту від початку проєктування та за замовчуванням описують логіку, за якою налаштування системи спочатку обмежують обробку необхідним, а додаткові функції вмикаються лише за відповідних підстав. Для української програми ця рамка корисна як інженерний і організаційний орієнтир поряд із чинним національним правом.

Вибір одиниці аналізу

У дослідженні поведінкових програм одиницею може бути людина, звернення, відділення, громада або часовий період. Цей вибір суттєво впливає на обсяг даних. Випробування змін інструкцій на рівні установи іноді дозволяє оцінювати частку завершених звернень без персональних записів про кожного відвідувача. Водночас такий дизайн має власні методологічні обмеження: меншу кількість незалежних одиниць, вплив зовнішніх змін та ризик змішування причин. Захист приватності й якість причинного висновку слід проєктувати одночасно.

Оцінка впливу на права і ризики ще до запуску

До впровадження команда має скласти карту потоків: звідки надходять відомості, хто визначає цілі, де вони зберігаються, які системи обмінюються даними, хто отримує підсумки, які є строки збереження та сценарії порушення конфіденційності. Окремо оцінюють ризики помилкової ідентифікації, прихованого профілювання, дискримінаційного сегментування, вторинного використання, витоку і недовіри до публічної установи.

Оцінка впливу на захист даних у розумінні статті 35 GDPR є юридично визначеною процедурою для окремих високоризикових видів обробки у сфері його застосування. В українському проєкті варто використовувати співмірну документовану оцінку ризиків і правових підстав; її конкретний обов’язковий склад та статус визначають за застосовним українським законодавством і можливими міжнародними зобов’язаннями установи. Внутрішня оцінка ризиків не замінює передбаченого законом повідомлення Уповноваженого про особливо ризикову обробку.

Результатом цієї роботи має бути управлінське рішення: які дані збираються, які категорії виключаються, які операції заборонені, хто відповідає за дотримання правил, які залишкові ризики приймаються, а які потребують зміни дизайну. Участь правників, фахівців із безпеки, представників користувачів, дослідників і виконавців послуги зменшує небезпеку того, що технічні рішення визначатимуть права людей без публічного обговорення.

Організаційна відповідальність і договори з підрядниками

Володілець персональних даних визначає мету та основні правила обробки, розпорядник працює від його імені в дозволених межах. Стаття 4 Закону України встановлює ці ролі, вимоги до письмового договору з розпорядником і спеціальні обмеження щодо розпорядників даних, володільцем яких є орган державної влади чи місцевого самоврядування. Тому замовлення дослідження зовнішній компанії або використання цифрової платформи потребує юридичної перевірки конкретної схеми обробки, а не лише підписання загальної угоди про конфіденційність.

Договір має визначати допустиму мету, перелік операцій, доступи, субпідрядників, місце зберігання, способи захисту, строки, передачу і видалення матеріалів, порядок перевірки, реагування на інциденти та межі використання даних для власної аналітики постачальника. Дослідницькі результати не повинні автоматично ставати майном технологічного підрядника разом із можливістю комерційного перепродажу профілів учасників.

Мінімальний організаційний контроль охоплює розподіл ролей, облік доступу, навчання персоналу, перевірку змін у програмі, документування рішень та процедури реагування на скарги. Навіть без зовнішнього витоку внутрішній нецільовий перегляд персональних відомостей може завдати шкоди. Принципи ОЕСР для етики даних у державному секторі наголошують на чітких межах доступу, відповідальності та управлінні ризиками на рівні установи.

Безпека зберігання, доступу та передачі

Технічні заходи слід добирати відповідно до загрози, обсягу й чутливості даних. Зазвичай це розмежування прав доступу за посадовою роллю, багатофакторний захист облікових записів, шифрування під час передавання та зберігання, облік звернень до записів, захист резервних копій, обмеження вивантаження таблиць і періодична перевірка прав підрядників. Окрема копія в електронній пошті дослідника може бути слабкою ланкою навіть за надійної центральної системи.

Практично важливо відокремлювати ідентифікатори учасників від дослідницьких змінних, зберігати ключ відповідності в іншому захищеному середовищі та передавати аналітикам лише необхідну частину. Для невеликих груп публікація таблиць із деталізованим віком, населеним пунктом і рідкісною характеристикою здатна розкрити особу навіть без імені. Тому перед випуском звіту перевіряють ризик розкриття через дрібні комірки, перехресні таблиці й поєднання відкритих наборів.

Строки зберігання потрібно прив’язувати до документованої мети й законодавчих обов’язків. Після завершення програми дослідницькі копії видаляють або переводять у придатну до законного подальшого використання форму; доступ до архівів обмежують. План видалення включає резервні копії, системи підрядників і пов’язані аналітичні середовища. Самої позначки «архівовано» для такого плану недостатньо.

Довіра як психологічний та інституційний результат

Приватність важлива для результатів програми, тому що рішення людей формуються в умовах очікувань щодо держави, страху небажаного поширення інформації, попереднього досвіду взаємодії та різного рівня влади між учасником і установою. Якщо відвідувач вважає, що повідомлення про труднощі з лікуванням потрапить до іншого відомства, він може замовчати проблему або взагалі відмовитися від звернення. Така зміна поведінки впливає і на справедливість послуги, і на достовірність дослідницьких даних.

Вплив недостатньої прозорості може мати кілька ланок: незрозумілий збір → очікування можливого контролю → обмеження саморозкриття → неповна інформація про бар’єри → гірше спрямування допомоги. Це правдоподібна причинна модель, а не універсально доведений ланцюг для будь-якої програми. Кожну її ланку можна перевіряти інтерв’ю, опитуваннями, аналізом відмов, скарг і порівнянням альтернативних процедур.

ВООЗ у настанові 2025 року щодо етики аналізу публічних обговорень у надзвичайних ситуаціях наголошує на захисті прав людини під час збирання й аналізу суспільних висловлювань, навіть якщо метою є краще розуміння проблем громадського здоров’я. Дані, які технічно доступні, не стають автоматично етично доступними для необмеженої поведінкової класифікації.

Інформаційна довіра і якість вимірювання

Коли частина людей відмовляється від збору даних через побоювання, вибірка програми може систематично відрізнятися від цільового населення. Добровільне опитування тоді описує переважно тих, хто готовий відповідати, а не всіх отримувачів послуги. Відмова є самостійним результатом, який потрібно враховувати під час аналізу неучасті та можливих зміщень. Оцінювач не має перетворювати відмову на негативний індивідуальний ярлик.

Як оцінювати ефективність і шкоду програми

Результативність поведінкового втручання слід визначати через суспільно значущу дію: своєчасне отримання допомоги, завершення законної процедури, доступ до профілактичної послуги або зменшення адміністративного тягаря. Кількість зібраних записів, згода на відстеження чи точність прогнозної моделі є проміжними технічними показниками. Вони можуть бути корисними, однак не замінюють кінцевий результат для людини.

Оцінювання потребує порівняння з обґрунтованою альтернативою. Рандомізований експеримент може перевіряти причинний вплив повідомлення або нового інтерфейсу, якщо розподіл, втручання та збір результатів законні й етичні. Квазіекспериментальні методи використовують природні або адміністративні зміни за чітких припущень. Спостережні зв’язки, наприклад між активністю в застосунку та прихильністю до лікування, самі по собі не доводять, що додаткове спостереження покращило результат.

Окрім основного ефекту, визначають показники приватності: частку обґрунтованих скарг, випадки необов’язкового збору, кількість сторонніх доступів, час реагування на звернення про дані, частку зрозумілих повідомлень, відмови від необов’язкової персоналізації, відмінності результатів між групами. Відсутність зареєстрованого інциденту ще не доводить відсутності ризиків, тому потрібні профілактичні перевірки системи й процедури повідомлення про порушення.

Статистична значущість, користь і баланс втручання

Навіть статистично значуще зростання завершення заявки на невеликий відсоток не обґрунтовує автоматично інтенсивне профілювання тисяч осіб. Потрібні абсолютний розмір результату, довірчий інтервал, додаткові витрати, зміни між групами, стійкість у часі й характер потенційної шкоди. Суспільну користь порівнюють із альтернативою — наприклад, спрощенням форми, зменшенням кількості довідок або збільшенням доступності працівників служби.

Етична оцінка має враховувати, кому дістається вигода і хто несе інформаційний ризик. Програма може покращити середній показник і водночас збільшити навантаження на людей, які частіше отримують додаткові нагадування, мають менше цифрових ресурсів або відмовляються від відстеження. Розподіл наслідків варто описувати через заздалегідь визначені групи і перевіряти без створення нових надмірних наборів чутливих даних.

Приклади для державних послуг і громадського здоров’я

Нагадування про профілактичний огляд

Установа хоче допомогти людям не пропустити запис. Спочатку перевіряють, чи є організаційні перешкоди: незручний графік, відсутність транспорту, складний запис. Для повідомлення достатньо перевірених контактних даних і відомості про час прийому за належної правової підстави. Додавання детальної історії захворювань, психологічного профілю чи місцеперебування слід обґрунтовувати окремо. Зміст сповіщення має зберігати конфіденційність навіть за можливості прочитання на заблокованому екрані іншою людиною.

Якщо дослідницька група порівнює два тексти нагадування, результати можна оцінювати за часткою фактичних відвідувань, попередньо визначивши доступ до підсумкової статистики. Відмова від необов’язкової аналітики не повинна перешкоджати отриманню медичної допомоги. Для здоров’я застосовують відповідні спеціальні норми та вимоги до медичної таємниці.

Соціальні виплати та допомога вразливим людям

Мета програми — збільшити частку людей, які реалізували наявне право на допомогу. Перед персоналізацією повідомлень потрібно дослідити нормативні та матеріальні бар’єри: перелік документів, тривалість розгляду, доступ до інтернету, зрозумілість умов. Використання записів про доходи, сімейні обставини й попередні звернення має бути обмежено законною метою. Алгоритмічне ранжування людей за «ймовірністю відповісти» не повинне підміняти встановлені правила надання допомоги.

Порівнюючи втручання, слід перевірити, чи отримують користь люди зі слабшими цифровими навичками, чи є доступний офлайн-шлях, чи не зростає ризик стороннього розкриття в домогосподарстві. За таких умов зміна організації послуги може дати більший суспільний результат, ніж психологічно деталізований добір повідомлень.

Екологічні програми громади

У програмі ощадливого використання води можуть бути корисними загальні відомості про середнє споживання будинку або району. Персоналізоване порівняння домогосподарств потребує перевірки того, хто побачить інформацію, чи не розкриває вона побутові звички та який рівень деталізації справді необхідний. Зміна тарифу, наявність приладів обліку й інфраструктурні втрати залишаються системними чинниками, які індивідуальними повідомленнями не усунути.

Аналіз суспільних обговорень

Спостереження за відкритими коментарями щодо вакцинації чи громадських послуг може допомогти виявити запитання та непорозуміння. Однак повторне збирання великих масивів висловлювань, поєднання їх із реєстрами та класифікація конкретних авторів створюють додаткові ризики. ВООЗ пропонує етичну рамку для такого аналізу в громадському здоров’ї. Кращим результатом є узагальнене розуміння інформаційних потреб спільноти, а не база індивідуальних оцінок поглядів.

Українське право: що саме захищено

Стаття 32 Конституції України гарантує захист особистого і сімейного життя та встановлює правила щодо збирання, зберігання, використання і поширення конфіденційної інформації про особу. Закон України «Про захист персональних даних» визначає основні ролі, принципи обробки, підстави, вимоги до особливих категорій даних, права людини, повідомлення про збір та обов’язки володільців і розпорядників. Станом на жовтень 2026 року офіційний портал Верховної Ради позначає закон чинним і відображає редакцію від 14 червня 2025 року.

Відповідно до статті 8 людина може отримувати передбачену законом інформацію про свої персональні дані та їх обробку, пред’являти обґрунтовані вимоги, оскаржувати порушення й використовувати інші визначені права. Стаття 12 встановлює правила інформування при збиранні. Конкретний строк відповіді, можливості видалення і підстави відмови залежать від відповідної норми та обставин; їх слід перевіряти для конкретного звернення. Пояснення практичних процедур містить офіційний довідковий розділ Уповноваженого.

Те, що проєкт фінансується державою або має суспільно корисну мету, не усуває необхідності визначити правову підставу кожної обробки. Для програм з особливим ризиком потрібно перевірити обов’язки щодо повідомлення Уповноваженого та організації захисту за офіційними роз’ясненнями. Також застосовуються спеціальні галузеві правила, коли обробляють медичні, освітні чи інші захищені законом відомості.

Коли в Україні потрібно враховувати GDPR

Загальний регламент захисту даних ЄС має власну сферу застосування, зокрема територіальні умови, визначені статтею 3. Українське громадянство або розташування сайту саме собою не доводять автоматичної застосовності регламенту до кожної української програми. Якщо установа працює в ситуації, що охоплюється його умовами, вона має виконувати відповідні вимоги поряд з іншими застосовними правилами. Для решти українських програм положення GDPR та пояснення європейських органів можуть слугувати міжнародним порівняльним стандартом, але джерелом безпосередніх прав і обов’язків залишаються відповідні норми правопорядку, що регулює конкретну обробку.

Це розрізнення важливе для оцінки впливу, автоматизованих рішень, згоди, міжнародних передавань даних і строків реагування на порушення. Перенесення європейських процедур в українську інструкцію без аналізу сфери дії створює хибні юридичні обіцянки. Учасникам слід повідомляти реальні, а не запозичені права й канали захисту.

Управління інцидентами та небажаним повторним використанням

Захист приватності перевіряється також за тим, як установа діє після помилки. План реагування повинен описувати, хто приймає повідомлення про ймовірний інцидент, як обмежується доступ, як перевіряється масштаб, хто документує рішення та як відновлюються права постраждалих. Правові обов’язки щодо повідомлення органів і людей визначають за законом, який застосовується до конкретного випадку; однакові строки для України та ЄС припускати не можна.

Навіть за відсутності злому ризик становлять поступове розширення цілей обробки, додавання нового підрядника, використання дослідницького набору для визначення права на виплату, експортування результатів у сторонню рекламну систему або поєднання профілів з іншими реєстрами. Кожну суттєву зміну призначення даних потрібно розглядати як нове управлінське рішення з правовою, технічною й етичною оцінкою, а не як автоматичне продовження попереднього дозволу.

Розумна програма передбачає періодичну ревізію: які дані фактично використовуються, чи зберігається необхідність кожної змінної, хто мав доступ, чи зрозуміла людям процедура, чи зросла кількість скарг і чи виникли ознаки несправедливого розподілу наслідків. Звіти про безпеку повинні бути достатньо прозорими для громадського контролю й водночас не розкривати особисті записи або технічні деталі, що збільшують ризик атак.

Прозорість, участь громадян і незалежний контроль

Прозорість поведінкової програми означає доступність пояснення її цілі, організаторів, механізмів впливу, даних та меж їх використання. Людині мають бути зрозумілі практичні наслідки: які повідомлення вона отримуватиме, чи може змінити налаштування, як заперечити проти необов’язкової персоналізації та як попросити переглянути відомості про себе. Формальна політика конфіденційності в довгому юридичному тексті має доповнюватися доступними короткими повідомленнями в момент ухвалення рішення.

Участь громадян допомагає помітити ризики, які технічна команда пропускає. Представники соціальних груп можуть пояснити, чому нейтральне на погляд розробника повідомлення розкриває сімейний стан на спільному телефоні, чому певна категорія опитування стигматизує людину або чому виключно цифрове погодження відтинає частину отримувачів допомоги. Залучення має давати реальну можливість змінювати дизайн, а не лише підтверджувати вже ухвалене рішення.

Незалежний контроль потрібен для програм із чутливими даними, істотним профілюванням, великим масштабом або потенційними наслідками для прав. Склад такого контролю залежить від закону та структури установи, але його зміст зрозумілий: перевірка обґрунтування мети, відповідності обсягу даних, можливостей оскарження, розподілу ризиків і доказів результативності. ОЕСР пропонує послідовно розглядати етичні питання від визначення проблеми до масштабування втручання.

Масштабування: чому ризики змінюються зі зростанням програми

Пілот на обмеженій вибірці та загальнодержавна система відрізняються не лише кількістю учасників. Під час масштабування збільшується кількість інтеграцій, користувачів із правами доступу, підрядників, можливих помилок та вторинних застосувань. Зростає й імовірність того, що поодинокий недолік інтерфейсу або рішення про надлишкову змінну вплине на велику групу людей.

Результативність пілотного нагадування може знизитися після переходу в інший регіон, тип установи або демографічне середовище. Змінюються інфраструктура, довіра, доступ до телефонів, характер адміністративних перешкод і здатність установи реагувати на звернення. Тому перед масштабуванням повторно перевіряють суспільну користь, необхідність даних, доступність альтернатив, якість захисту, навантаження на служби та нерівність результатів.

Прийнятне рішення про масштабування містить умови зупинення: суттєва шкода, неконтрольоване вторинне використання, систематична дискримінація або порушення правових підстав обробки. Навіть результативне втручання потребує перегляду, коли виявлена шкода для приватності перевищує обґрунтовані межі.

Практична схема для команди поведінкової програми

Наведена послідовність є редакційним практичним узагальненням міжнародних принципів етики даних, поведінкової політики та українського законодавства. Вона застосовується до державних установ, громад, дослідницьких організацій і підрядників із коригуванням відповідно до конкретної правової компетенції.

• Визначити суспільну проблему й показник кінцевої користі. Розглянути зміну інфраструктури або процедури до збирання додаткових відомостей про людину.

• Описати точну мету кожної операції з даними й встановити застосовну правову підставу. Відокремити надання послуги, дослідження, персоналізацію та статистичну звітність.

• Провести інвентаризацію полів, потоків, отримувачів і технічних ідентифікаторів. Для кожного елемента перевірити, чи існує менш деталізована альтернатива.

• Визначити володільця, розпорядників, підрядників і відповідальних осіб. Перевірити законність передачі та вимоги до договорів.

• Здійснити документовану оцінку ризиків приватності, безпеки, профілювання й нерівності. За потреби виконати спеціальні законодавчі процедури.

• Створити коротке доступне повідомлення для учасника, реальну можливість відмовитися від необов’язкових операцій та зрозумілий шлях реалізації прав.

• Налаштувати мінімальні доступи, облік дій, захищене зберігання, строки видалення та обмеження повторного використання.

• Запланувати оцінювання причинного ефекту разом з індикаторами шкоди, довіри, відмов і розподілу наслідків між групами.

• Перевірити дизайн разом з представниками користувачів та незалежними фахівцями для високоризикової обробки.

• Після пілота переглянути фактичну потребу в кожному полі, ризики й докази ефективності; лише після цього ухвалювати рішення про масштабування.

Поширені запитання

Чи можна збирати поведінкові дані без імені?

Так, деякі дослідницькі завдання можна виконати без імені та іншого прямого ідентифікатора. Проте унікальний код, адреса пристрою, час і місце дії або поєднання характеристик можуть дозволити визначити людину. Перш ніж називати набір анонімним, потрібно оцінити практичну можливість повторної ідентифікації.

Чи обов’язково брати згоду для кожної державної програми?

Правова підстава залежить від операції та закону, який її регулює. Стаття 11 Закону України «Про захист персональних даних» передбачає різні підстави обробки. Водночас орган влади має визначити, які дані необхідні для законної послуги, а які збираються для додаткового дослідження чи персоналізації. Згоду не варто використовувати формально там, де залежність людини від послуги позбавляє її реального вибору.

Чи можна використовувати інформацію з державних реєстрів для персональних підштовхувань?

Лише після встановлення конкретних правових повноважень, сумісності мети, необхідності обробки, дозволеного доступу та гарантій прав. Наявність технічної можливості об’єднати реєстри або суспільна корисність мети не є самостійним дозволом на новий спосіб використання персональних даних.

Чи можна вважати згоду інформованою, якщо людина поставила позначку у формі?

Позначка фіксує дію, а оцінка інформованості потребує перевірки зрозумілості тексту, свободи вибору, конкретності мети та відсутності оманливого оформлення. Система повинна давати простий доступ до відмови від необов’язкових операцій. Механізм «погодитися одним натисканням, відмовитися через багато екранів» створює ризик спотвореного вибору.

Чи дозволене використання штучного інтелекту для персоналізації повідомлень?

Таке рішення можливе лише за відповідних правових підстав, технічних гарантій і перевірки необхідності. Потрібно оцінювати якість даних, точність прогнозів, групові помилки, можливість оскаржити значущі рішення та додатковий ризик передачі інформації постачальнику моделі. Результат автоматизованого аналізу не має автоматично визначати права людини поза встановленою процедурою.

Які дані краще використовувати для оцінювання програми?

Набір залежить від питання. Для багатьох втручань достатньо кількості завершених звернень, частки відвідувань, часу проходження процедури й анонімних оцінок доступності. Якщо дослідницька модель потребує індивідуального зв’язування даних, це обґрунтовують окремо та передбачають додатковий захист.

Чи достатньо опублікувати політику конфіденційності?

Політика є важливою частиною прозорості, однак організатор має забезпечити відповідність фактичної обробки повідомленій меті, захист доступів, належні підстави, зрозумілу інформацію та дієві процедури реалізації прав. Текст політики без організаційних змін не вирішує проблему надмірного збирання або прихованого профілювання.

Що робити, якщо дані вже збираються надмірно?

Провести інвентаризацію, припинити необґрунтовані операції, визначити застосовні правові обов’язки, обмежити доступ, перевірити можливість законного видалення зайвих копій і переглянути договори з підрядниками. Якщо вже виник інцидент чи порушення прав, діяти за належною процедурою реагування та захисту постраждалих.

Як людині дізнатися, які її дані використовують?

Потрібно звернутися до володільця персональних даних із запитом про мету, склад відомостей, джерела та одержувачів, використовуючи права, передбачені Законом України. Офіційні пояснення й порядок захисту прав доступні на сайті Уповноваженого Верховної Ради України з прав людини. Конкретний спосіб оскарження залежить від обставин.

Пов’язані статті

Для загальної рамки суспільних втручань і їхніх цілей дивіться «Поведінкова державна політика». Послідовність діагностики, вибору механізмів і впровадження розкрита в статті «Проєктування поведінкових втручань у державних послугах». Питання відкритого пояснення суспільного впливу деталізує «Прозорість підштовхувань у державних рішеннях», а розподіл користі й шкоди для соціальних груп розглядає «Рівність наслідків втручань: хто отримує користь і хто зазнає шкоди». Ці матеріали доповнюють питання приватності власними канонічними темами.

Етичні засади, межі впливу та механізми контролю розкрито в матеріалі «Етика поведінкової державної політики: принципи та контроль». Питання добровільної участі в дослідженнях і відмінності дослідницької згоди від правової підстави обробки даних розглядає стаття «Згода на участь у поведінкових експериментах з населенням». Обидві теми пов’язані з приватністю, але мають окремі канонічні пошукові наміри.

Оцінювання фактичної результативності, причинних ефектів і небажаних наслідків описано в статті «Оцінювання поведінкових суспільних втручань: дизайн і показники». Застосування прихованих способів впливу в інтерфейсах державних послуг та їхній зв’язок із вибором людини висвітлює «Маніпулятивний дизайн у державних цифрових послугах».

Джерела

European Data Protection Board. (2020a). Guidelines 4/2019 on Article 25: Data Protection by Design and by Default. Офіційний документ.

European Data Protection Board. (2020b). Guidelines 05/2020 on consent under Regulation 2016/679. Офіційний документ.

European Parliament and Council of the European Union. (2016). Regulation (EU) 2016/679 (General Data Protection Regulation). EUR-Lex.

Ioannou, A., Tussyadiah, I., Miller, G., Li, S., & Weick, M. (2021). Privacy nudges for disclosure of personal information: A systematic literature review and meta-analysis. PLOS ONE, 16(8), e0256822. https://doi.org/10.1371/journal.pone.0256822.

OECD. (2021). OECD Good Practice Principles for Data Ethics in the Public Sector. OECD Public Governance Policy Papers. https://doi.org/10.1787/caa35b76-en.

OECD. (2022a). Good practice principles for ethical behavioural science in public policy. OECD Public Governance Policy Papers, No. 20. https://doi.org/10.1787/e19a9be9-en.

OECD. (2022b). OECD Good Practice Principles for Public Service Design and Delivery in the Digital Age. OECD Public Governance Policy Papers, No. 23. https://doi.org/10.1787/2ade500b-en.

World Health Organization. (2025). Social listening in infodemic management for public health emergencies: guidance on ethical considerations. ISBN 9789240108202. Офіційна публікація.

World Health Organization. (2026). Behavioural insights glossary for public health practitioners. ISBN 978-92-4-012312-0. Офіційна публікація.

Верховна Рада України. (1996; чинна редакція). Конституція України, ст. 32. Офіційний текст.

Верховна Рада України. (2010; чинна редакція від 14.06.2025). Закон України «Про захист персональних даних», № 2297-VI. Офіційний текст.

Уповноважений Верховної Ради України з прав людини. (без дати). Захист персональних даних: відповіді на поширені запитання. Офіційні роз’яснення.

Уповноважений Верховної Ради України з прав людини. (без дати). Порядок та форми здійснення повідомлень щодо обробки персональних даних, яка становить особливий ризик. Офіційні роз’яснення.