З прийняттям закону України «Про захист персональних даних» у юридичних та фізичних осіб виник обов’язок реєструвати факт наявності баз персональних даних. Окрім того, усі почали це робити масово і в кінці року. Поштові відділення ледь встигають приймати відправку кореспонденції до Державної служби з питань захисту персональних даних.

Для цього є і пояснення: хоча Закон набув чинності ще 1 січня 2011 року, проте відповідальність із значними розмірами штрафів набуде чинності з початку наступного року.

Тому Громадський Простір разом із Центром громадської адвокатури ще раз публікує узагальнену інформацію щодо цих питань. Практика починає тільки формуватись, тому у більшості підготовки узагальнення використані матеріали, які опубліковані на сайті Державної служби України з питань захисту персональних даних.

Хто і що має реєструвати?

Звернутися з заявою про реєстрацію баз персональних даних повинні ті організації та фізичні особи (зокрема, підприємці), які збирають певні персональні дані про фізичних осіб з певною метою, зокрема, йдеться про персональні дані про працівників, про контрагентів, про клієнтів, про членів організації тощо. Якщо фізична особа – підприємець працює виключно з юридичними особами, то подавати заяву про реєстрацію баз персональних даних немає потреби, бо вона не збирає персональних даних про фізичних осіб.

Для громадських та інших неурядових організацій це також можуть бути списки учасників заходів. Відповідно до частини 2 статті 1 Закону України «Про захист персональних даних» його дія не поширюється на: фізичних осіб – виключно для непрофесійних особистих та побутових потреб; журналістів у зв’язку з виконанням ними службових чи професійних обов’язків; професійних творчих працівників – для здійснення творчої діяльності.

База персональних даних - іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних. Закон вживає поняття картотека персональних даних, але картотеку не слід розуміти буквально.
Простіше кажучи, базу персональних даних складають відомості про фізичних осіб, а саме прізвище, ім’я та по батькові, дата та місце народження, громадянство, місце проживання, расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, дані, що стосуються здоров'я чи статевого життя тощо.

Де реєструвати?

База персональних даних підлягає державній реєстрації у Державній службі України з питань захисту персональних даних шляхом внесення відповідного запису до Державного реєстру баз персональних даних. Положення про Державний реєстр баз персональних даних та порядок його ведення затверджено Кабінетом Міністрів України. Реєстрація баз персональних даних здійснюється за заявочним принципом шляхом повідомлення.

Які документи?

Для реєстрації бази персональних даних, уповноваженому державному органу з питань захисту персональних даних, подається заява встановленого зразка (у додатку).

Заява про реєстрацію бази персональних даних подається володільцем бази персональних даних до уповноваженого державного органу з питань захисту персональних даних.

Заява повинна містити: звернення про внесення бази персональних даних до Державного реєстру баз персональних даних; інформацію про володільця бази персональних даних – слід зазначити повне найменування юридичної особи, її код ЄДРПОУ та місцезнаходження, або ПІБ фізичної особи, ідентифікаційний код, паспортні дані та місце проживання; інформацію про найменування і місцезнаходження бази персональних даних – як роз’яснює Державна служба України з питань захисту персональних даних, найменування бази може бути: база «Працівники», база «Контрагенти», база «Клієнти» тощо. Фактично ці три приклади узагальнюють більшість випадків, коли юридична чи фізична особа – підприємець володіє певними персональними даними про інших осіб. Однак цей перелік не є вичерпним. Тому може бути будь-яка інша база персональних даних, наприклад, база «Члени організації». Місцезнаходження бази персональних даних означає місце фактичного розміщення інформації, яка належить до персональних даних; інформацію про мету обробки персональних даних у базі персональних даних, сформульовану відповідно до вимог статей 6 і 7 Закону - відповідно до Закону України «Про захист персональних даних» мета обробки персональних даних має бути сформульована в законах, інших нормативно-правових актах, положеннях, установчих чи інших документах, які регулюють діяльність володільця баз персональних даних.

Як приклад, метою обробки персональних даних може бути: забезпечення реалізації трудових відносин; адміністративно-правових; податкових відносин та відносин у сфері бухгалтерського обліку та аудиту; відносин у сфері управління людськими ресурсами; відносин у сфері економічних, фінансових послуг; відносин у сфері реклами; відносин у сфері телекомунікаційних послуг; відносин у сфері громадської, політичної та релігійної діяльності; відносин у сфері культури, дозвілля, спортивної та соціальної діяльності; відносин у сфері освіти; відносин у сфері охорони здоров’я; відносин у сфері безпеки; відносин у сфері транспорту; відносин у сфері науки, історичних досліджень та статистики тощо.

Приклад формулювання мети: обробка персональних даних фізичних осіб загального характеру (прізвище, ім’я та по батькові, дата та місце народження, громадянство, місце проживання тощо) або вразливих персональних даних (расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, а також даних, що стосуються здоров'я чи статевого життя) здійснюється для забезпечення реалізації (вказати яких саме) відносин, відповідно до (перерахувати правові акти, положення, установчі чи інші документи, які регулюють діяльність володільця); інформацію про інших розпорядників бази персональних даних; підтвердження зобов'язання щодо виконання вимог захисту персональних даних, встановлених законодавством про захист персональних даних.

Заява подається в паперовій формі (бажано, з наданням електронної копії) або у формі електронного документа через веб-сайт Державного реєстру баз персональних даних, а також на електронну пошту register@zpd.gov.ua відповідно до вимог Законів України «Про електронні документи та електронний документообіг» та «Про електронний цифровий підпис». При цьому, ДСЗПД обробляє заяви у формі електронного документу, підписані володільцями, що отримують послуги електронного цифрового підпису (ЕЦП) у акредитованих центрах сертифікації ключів, які надали у розпорядження ДСЗПД надійні засоби ЕЦП.

Рекомендації щодо заповнення заяви містяться на сайті Державної служби України з питань захисту персональних даних.

Відповідно до статті 11 Закону, підставами виникнення права на використання персональних даних є або згода суб’єкта персональних даних на обробку його даних, або дозвіл на обробку даних розпоряднику бази даних відповідно до закону виключно для здійснення його повноважень. У згодах відповідно до вимог Закону відображається можливість суб’єкта персональних даних внести застереження стосовно обмеження права на обробку своїх персональних даних, а також він має бути повідомлений про мету збору та осіб, яким передаються його персональні дані. Згоди при реєстрації не надаються.

Звертаємо увагу, що обов’язок реєструвати бази персональних даних існує з початку цього року, однак відповідальність за його невиконання, при чому досить значна, наступає лише з 01.01.2012р.

Зокрема, у Кодексі України про адміністративні правопорушення міститься стаття 188-39 Порушення законодавства у сфері захисту персональних даних, в якій зазначено: «Неповідомлення або несвоєчасне повідомлення суб'єкта персональних даних про його права у зв'язку із включенням його персональних даних до бази персональних даних, мету збору цих даних та осіб, яким ці дані передаються, - тягнуть за собою накладення штрафу на громадян від двохсот до трьохсот неоподатковуваних мінімумів доходів громадян і на посадових осіб, громадян - суб'єктів підприємницької діяльності - від трьохсот до чотирьохсот неоподатковуваних мінімумів доходів громадян. Неповідомлення або несвоєчасне повідомлення спеціально уповноваженого центрального органу виконавчої влади з питань захисту персональних даних про зміну відомостей, що подаються для державної реєстрації бази персональних даних, - тягнуть за собою накладення штрафу на громадян від ста до двохсот неоподатковуваних мінімумів доходів громадян і на посадових осіб, громадян - суб'єктів підприємницької діяльності - від двохсот до чотирьохсот неоподатковуваних мінімумів доходів громадян. Повторне протягом року вчинення порушення з числа передбачених частинами першою або другою цієї статті, за яке особу вже було піддано адміністративному стягненню, - тягне за собою накладення штрафу на громадян від трьохсот до п'ятисот неоподатковуваних мінімумів доходів громадян і на посадових осіб, громадян - суб'єктів підприємницької діяльності - від чотирьохсот до семисот неоподатковуваних мінімумів доходів громадян. Ухилення від державної реєстрації бази персональних даних - тягне за собою накладення штрафу на громадян від трьохсот до п'ятисот неоподатковуваних мінімумів доходів громадян і на посадових осіб, громадян - суб'єктів підприємницької діяльності - від п'ятисот до тисячі неоподатковуваних мінімумів доходів громадян. Недодержання встановленого законодавством про захист персональних даних порядку захисту персональних даних у базі персональних даних, що призвело до незаконного доступу до них, - тягне за собою накладення штрафу від трьохсот до тисячі неоподатковуваних мінімумів доходів громадян».

 На сайті Державної служби України з питань захисту персональних даних є довідкова інформація, контактна інформація

Державної служби України з питань захисту персональних даних: начальник управління реєстрації баз персональних даних – Кривда Світлана Геннадіївна, e.mail: register@zpd.gov.ua, поштова адреса: 02660, м. Київ, вул. Марини Раскової, 15, каб. 1205, тел. гарячої лінії +38(044) 541-01-22, тел. для консультацій +38(044) 541-02-46

Леонід Тарасенко, Центр громадської адвокатури

Додаток тут civicua.org/news/view.html

  Версія для друку

  Лінк на e-mail