Персональні дані

У зв’язку з численними зверненнями  громадян щодо практичного застосування деяких положень Закону України «Про захист персональних даних» Міністерство юстиції надало роз’яснення з  найбільш актуальних та поширених питань.

Мета закону

Що таке «персональні дані»

Що таке «база персональних даних»

Що не є базою персональних даних 

Хто є володільцем та розпорядником  бази персональних даних 

Порядок реєстрації бази персональних даних 

Оформлення заяви про реєстрацію бази персональних даних 

Згода суб’єкта на обробку персональних даних та вимоги до її оформлення

Порядок та підстави повідомлення суб’єкта персональних даних про його права, що стосуються обробки персональних даних 

Обробка персональних даних фізичними  особами-підприємцями та самозайнятими  особами 

Контроль за додержанням законодавства  про захист персональних даних 

Відповідальність за порушення  законодавства про захист персональних даних 

 

МЕТА ЗАКОНУ

 

 Статтею 32 Конституції України  проголошено право людини на  невтручання в її особисте  життя. Крім того, не допускається збирання, зберігання, використання поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

 

 З метою конкретизації права людини, гарантованого статтею 32 Конституції України, та визначення механізмів його реалізації 1 червня 2010 року Верховною Радою України було прийнято Закон України «Про захист персональних даних» (далі – Закон), який набрав чинності з 1 січня 2011 року. Предметом правового регулювання Закону є правовідносини, пов’язані із захистом персональних даних під час їх обробки.

 

ЩО ТАКЕ «ПЕРСОНАЛЬНІ ДАНІ» 

 

 Визначення поняття персональні  дані наводиться в абзаці восьмому  статті 2 Закону, відповідно до якого персональними даними є відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.

 

 Але законодавством України  не встановлено і не може  бути встановлено чіткого переліку  відомостей про фізичну особу, які є персональними даними, задля можливості застосування положень Закону до різноманітних ситуацій, в тому числі при обробці персональних даних в інформаційних (автоматизованих) базах та картотеках персональних даних, що можуть виникнути у майбутньому, у зв’язку зі зміною в технологічній, соціальній, економічній та інших сферах суспільного життя.

 

 Наприклад, відповідно до  статті 24 Кодексу законів про  працю України громадянин при  укладенні трудового договору  зобов’язаний подати паспорт  або інший документ, що посвідчує особу, трудову книжку, а у випадках, передбачених законодавством, - також документ про освіту (спеціальність, кваліфікацію), про стан здоров’я та інші документи.

 

 У зв’язку з цим персональні  дані працівника, які містяться  в паспорті або документі, що посвідчує особу, в трудовій книжці, документі про освіту (спеціальність, кваліфікацію), документі про стан здоров’я та інших документах, які він подав при укладенні трудового договору, обробляються володільцем бази персональних даних на підставі статті 24 Кодексу законів про працю України виключно для здійснення повноважень володільця бази персональних даних у сфері правовідносин, які виникли в нього з працівником на підставі трудового договору (контракту).

 

 Таким чином, інформація про  найманих працівників є базою персональних даних, оскільки, особові справи, трудові книжки, копії паспортів, документів про освіту зберігаються та обробляються роботодавцем.

 

ЩО ТАКЕ «БАЗА ПЕРСОНАЛЬНИХ ДАНИХ»

 

 Поняття «база персональних  даних» визначене абзацом другим статті 2 Закону, відповідно до якого база персональних даних – іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних.

 

 З огляду на це база  персональних даних є упорядкованою  сукупністю логічно пов’язаних даних про фізичних осіб:

 

- що зберігаються та обробляються  відповідним програмним забезпеченням,  є базою персональних даних  в електронній формі ;

 

- що зберігаються та обробляються  на паперових носіях інформації, є базою персональних даних у формі картотек .

 

 Картотекою персональних даних  є будь-який структурований масив  персональних даних, що є доступним  з визначеними критеріями, незалежно  від того, чи є такий масив  централізованим, децентралізованим  або розділеним на функціональних або географічних засадах

 

 Такі дані мають бути структуровані  за визначеними критеріями, що  стосуються фізичних осіб, щоб  забезпечити легкий доступ до  відповідних персональних даних. 

 

 Варто зазначити, що, виходячи  з положень статті 2 Закону, персональні дані одночасно можуть бути упорядковані і в електронній формі, і в формі картотек.

 

ЩО НЕ Є БАЗОЮ ПЕРСОНАЛЬНИХ ДАНИХ

 

 Фізичні особи-підприємці та  самозайняті особи самостійно  визначають чи володіють вони  базами персональних даних у  сенсі Закону.

 

 Законодавець поширив дію Закону на всі види діяльності, пов’язані зі створенням баз персональних даних та обробкою персональних даних у цих базах, за винятком такої діяльності, яка здійснюється:

 

- фізичною особою - виключно для  непрофесійних особистих чи побутових потреб,

 

- журналістом - у зв’язку з  виконанням ним службових чи  професійних обов’язків,

 

- професійним творчим працівником  -  для здійснення творчої діяльності.

 

 Так, під час здійснення  своєї професійної діяльності  на адвокатів законодавством не покладено обов’язок ведення баз персональних даних клієнтів. Але, якщо адвокати формують справи на своїх клієнтів, які вони постійно оновлюють та підтримують в актуальному стані, такі справи є базою персональних даних та підлягають державній реєстрації

 

Нотаріуси можуть обробляти персональні  дані своїх найманих працівників, клієнтів у базах персональних даних, однак, документи нотаріального діловодства  та архів нотаріуса, визначені у  статті 14 Закону України «Про нотаріат»  не є базою персональних даних у сенсі Закону України «Про захист персональних даних» та не підлягають державній реєстрації.

 

 Крім того, у випадку, якщо  фізичні особи - підприємці укладають  договори виконання робіт або  надання послуг з фізичними  особами, такі договори також  не є базою персональних даних та не підлягають державній реєстрації.

 

ХТО Є ВОЛОДІЛЬЦЕМ ТА РОЗПОРЯДНИКОМ  БАЗИ ПЕРСОНАЛЬНИХ ДАНИХ

 

Володільцем бази персональних даних  згідно з абзацом третім статті 2 Закону є фізична або юридична особа, якій законом або за згодою суб’єкта персональних даних надано право на обробку цих даних, яка затверджує мету обробки персональних даних та процедуру їх обробки, якщо інше не визначене законом.

 

 Так, якщо персональні дані  обробляються юридичною особою, то володільцем бази персональних даних є юридична особа.

 

Розпорядником бази персональних даних  згідно з абзацом дев’ятим статті 2 Закону може бути фізична чи юридична особа, якій володільцем бази персональних даних або законом надано право  обробляти ці дані.

 

 Практичним прикладом можуть бути відносини між юридичними особами та їх представництвами, філіями, відділеннями тощо. Так, у сенсі Закону ці представництва, філії, відділення виступатимуть розпорядниками баз персональних даних, володільцем яких є юридична особа.

 

 Згідно зі статтею 4 Закону володільцем чи розпорядником бази персональних даних можуть бути підприємства, установи і організації усіх форм власності, органи держави влади чи органи місцевого самоврядування, які обробляють персональні дані відповідно до закону.

 

 Але якщо володільцем бази персональних даних є орган державної влади чи орган місцевого самоврядування, то розпорядником бази персональних даних, крім цих органів, може бути лише підприємство державної або комунальної форми власності, що належить до сфери управління цього органу.

 

ПОРЯДОК РЕЄСТРАЦІЇ БАЗИ ПЕРСОНАЛЬНИХ ДАНИХ

 

 Відповідно до статті 9 Закону  база персональних даних підлягає  державній реєстрації шляхом  внесення відповідного запису  уповноваженим державним органом  з питань захисту персональних  даних до Державного реєстру баз персональних даних.

 

 У випадку, якщо юридична  особа, фізична особа - підприємець,  самозайнята особа встановлює, що  вона не обробляє персональні  дані, в такої особи відсутній  обов’язок реєструвати базу персональних  даних.

 

 Указом Президента України «Про затвердження Положення про Державну службу України з питань захисту персональних даних» від 6 квітня 2011 року визначено уповноваженим державним органом з питань захисту персональних даних – Державну службу України з питань захисту персональних даних, одним із основних завдань якої є реєстрація баз персональних даних.

 

 Реєстрація бази персональних  даних здійснюється за заявочним  принципом шляхом повідомлення. Суть заявочного принципу полягає  в тому, що основним є подання  володільцем бази персональних даних заяви про реєстрацію бази персональних даних, а не отримання свідоцтва про державну реєстрацію бази персональних даних. Отже, ключовим та визначальним є факт внесення відповідного запису Державною службою України з питань захисту персональних даних до Державного реєстру баз персональних даних, а не отримання володільцем бази персональних даних свідоцтва про державну реєстрацію, що є наслідком зазначеного факту.

 

 Сайт Державного реєстру  баз персональних даних https://rbpd.informjust.ua, на якому є можливість слідкувати за ходом державної реєстрації заяви в режимі он-лайн.

 

ОФОРМЛЕННЯ ЗАЯВИ ПРО РЕЄСТРАЦІЮ БАЗИ ПЕРСОНАЛЬНИХ ДАНИХ

 

 Заява про реєстрацію бази  персональних даних подається  володільцем такої бази або  уповноваженим представником в паперовій або електронній формі , вимоги до заповнення та порядок подання якої визначені постановою Кабінету Міністрів України «Про затвердження Положення про Державний реєстр баз персональних даних та порядок його ведення» від 25 травня 2011 року № 616 та наказом Міністерства юстиції України «Про затвердження форм заяв про реєстрацію бази персональних даних та про внесення змін до відомостей Державного реєстру баз персональних даних і порядку їх подання» від 8 липня 2011 року № 1824/5. Ознайомитися із вказаним наказом в електронному вигляді можна на сайті Верховної Ради України: http://zakon2.rada.gov.ua/laws/show/z0890-11.

 

 Зокрема заява про реєстрацію  бази персональних даних, що  подається в електронній формі,  повинна відповідати вимогам  Законів України «Про електронний цифровий підпис» та «Про електронні документи та електронний документообіг». А саме: така заява повинна містити електронний підпис, що є обов’язковим реквізитом електронного документа та який накладається володільцем бази персональних даних для його ідентифікації Державною службою України з питань захисту персональних даних.

 

 Заява про реєстрацію бази  персональних даних та про  внесення змін до відомостей  Державного реєстру баз персональних  даних, зокрема, повинна містити  інформацію про мету обробки персональних даних з визначенням категорії обробки персональних даних.

 

 Відповідно до частини першої  статті 6 Закону мета обробки персональних  даних має бути сформульована  в законах, інших нормативно-правових  актах, положеннях, установчих документах, які регулюють діяльність володільця бази персональних даних, та відповідати законодавству про захист персональних даних.

 

 З огляду на вищевикладене  метою обробки персональних даних  є забезпечення володільцем бази персональних даних належного здійснення діяльності, визначеної в законах, інших нормативно-правових актах, положеннях, установчих документах, які регулюють його діяльність, та внаслідок якої виникає необхідність у вчиненні будь-якої дії або сукупності дій з обробки персональних даних у базах. Слід звернути увагу на те, що склад та зміст персональних даних мають бути відповідними та не надмірним стосовно визначеної мети їх обробки.

 

 Визначення категорії обробки  персональних даних залежить  від вимог до обробки персональних даних, які містяться в базах персональних даних заявника.

 

 Так, Законом передбачені  загальні та особливі вимоги  обробки персональних даних. Статтею  6 Закону встановлені загальні  вимоги обробки всіх наявних  у суспільному житті персональних даних особи, за винятком персональних даних, для яких статтею 7 Закону визначені особливі вимоги обробки. До таких персональних даних належать дані про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, а також даних, що стосуються здоров’я чи статевого життя.

 

 Підсумовуючи викладене, категорія  обробки персональних даних визначається  володільцем бази персональних  даних в залежності від вимог  до обробки персональних даних, що встановлені статтями 6, 7 Закону та яких володілець бази персональних даних зобов’язаний дотримуватися при обробці персональних даних.