Захист персональних даних: поширені порушення

Державна служба України з питань захисту персональних даних за підсумком проведених нею перевірок, надала інформацію про основні положення

Які бази даних не потрібно реєструвати

Які бази даних не потрібно реєструвати

Державна служба України з питань захисту персональних даних (ДСЗПД) нагадала, що володілець персональних даних звільняється від обов’язку реєстрації баз персональних даних: 

Працівник не дає згоди на обробку персональних даних: що робити?

Як повинна надходити адміністрація та кадрова служба підприємства при відмові працівника від надання згоди на збір та обробку персональних даних:

   

   Якщо працівник прийнятий на роботу у 2011 році?

   

   Якщо працівник прийнятий на роботу в період до 1 січня 2011 року?

   

   Якщо працівник, що працює на підприємстві станом на 1 січня 2011 року, ставить вимогу знищити свої персональні дані та заперечує проти їх обробки?

   

   1. Згідно зі статтею 2 Закону України «Про захист персональних даних» від 1 червня 2010 року № 2297-VI (далі - Закон № 2297) згодою суб'єкта персональних даних є будь документоване, зокрема письмове, добровільне волевиявлення фізичної особи щодо надання дозволу на обробку його персональних даних у відповідності зі сформульованою метою їх обробки. Отже, згоду на обробку персональних даних має даватися у відповідності зі сформульованою метою їх обробки.

   

   Звертаємо увагу, що відповідно до частини 1 статті 6 Закону № 2297 мета обробки персональних даних має бути сформульована в законах, інших нормативно-правових актах, положеннях, установчих чи інших документах, які регулюють діяльність власника бази персональних даних, та відповідати законодавству про захист персональних даних.

   

   Так, Кодекс законів про працю України визначає правові засади і гарантії здійснення громадянами України права розпоряджатися своїми здібностями до продуктивної і творчої праці та регулює трудові відносини всіх працівників. Крім цього, Кодексом встановлено обов'язок роботодавця отримати від працівника певні документи: «При укладенні трудового договору громадянин зобов'язаний подати паспорт або інший документ, що посвідчує особу, трудову книжку, а у випадках, передбачених законодавством, - також документ про освіту (спеціальність, кваліфікацію), про стан здоров'я та інші документи »(ст. 24 КЗпП).

   

   Варто підкреслити, що обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб'єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством (ч. 5 ст. 6 Закону № 2297). Однак якщо процедури обробки персональних даних працівника виходять за межі дозволу, наданого власнику у відповідності з трудовим законодавством лише для здійснення його повноважень, необхідно отримати згоду від працівника. Наприклад, якщо до роботодавця звертається страхова компанія з проханням надати відомості про працівників підприємства з метою запропонувати їм послуги зі страхування здоров'я та життя і т. д.

   

   У вищевказаних випадках Державна служба України з питань захисту персональних даних рекомендує при зборі персональних даних осіб шляхом заповнення паперового документа (трудового договору, заяви) передбачити у ньому відповідний пункт (графу) про надання суб'єктом згоди на обробку його персональних даних.

   

   Крім того, рекомендуємо кадровим службам пояснювати працівникові, що його дані будуть оброблятися лише в межах трудового законодавства з дотриманням вимог Закону № 2297, адже обробка даних про фізичну особу без її згоди не допускається, крім випадків, визначених законом, і лише в інтересах національної безпеки , економічного благополуччя і прав людини (ч. 6 ст. 6 Закону № 2297).

   

   2. Згода суб'єкта персональних даних на обробку цих даних не надається, якщо власник продовжує обробляти персональні дані суб'єкта відповідно до правовідносинами на основі вільного волевиявлення фізичної особи, що склалися до набрання чинності Законом № 2297.

   

   Якщо працівник відмовляється надавати згоду на обробку його персональних даних, Державна служба України з питань захисту персональних даних рекомендує обробляти його дані в межах, визначених трудовим законодавством. Якщо дії власника по обробці персональних даних працівника виходять за межі трудового законодавства, повинна бути отримана згода від працівника, тобто будь документоване, зокрема письмове, добровільне волевиявлення працівника про надання дозволу на обробку його персональних даних у відповідності зі сформульованою метою їх обробки .

   

   3. У базах персональних даних знищенню підлягають персональні дані у випадках, визначених статтею 15 Закону № 2297 (зокрема, закінчення строку зберігання даних, визначеного згодою суб'єкта персональних даних на обробку цих даних або законом; припинення правовідносин між суб'єктом персональних даних і власником або розпорядником бази, якщо інше не передбачено законом; набрання законної сили рішення суду про вилучення даних про фізичну особу з бази персональних даних та ін), і в порядку, встановленому відповідно до вимог закону.

   

   Слід пам'ятати, що склад і зміст персональних даних працівника повинні бути не більше по відношенню до певної мети їх обробки і не повинні зберігатися довше, ніж це необхідно відповідно до їх законним призначенням.

   

   Разом з тим відповідно до Переліку типових документів, що утворюються в діяльності органів державної влади та місцевого самоврядування, інших підприємств, установ та організацій, із зазначенням строків зберігання документів, затвердженим наказом Головного архівного управління при Кабінеті Міністрів України від 20 липня 1998 року № 41 , особисті справи працівників, а також справи, що містять особисті картки працівників підприємства, та деякі інші кадрові документи, зберігаються 75 років - «В».

   

   Кадровим службам варто було б пояснити працівнику, який вимагає знищити його персональні дані, що зберігання персональних даних необхідно для того, щоб при потребі працівник міг отримати архівні довідки, копії документів, що містять відомості про нього, які можуть бути використані при оформленні пенсії, для підтвердження трудового стажу і т. д.

   

   Крім того, суб'єкт персональних даних відповідно до статті 8 Закону № 2297 має право пред'являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних будь-яким власником і розпорядником цієї бази, якщо ці дані обробляються незаконно чи є недостовірними.

   

   Тетяна Степаненко

   «Довідник кадровика»

За матеріалами: Приватний підприємець

Працівник не дає згоди на обробку персональних даних: що робити?

Як повинна надходити адміністрація та кадрова служба підприємства при відмові працівника від надання згоди на збір та обробку персональних даних:
   

   Якщо працівник прийнятий на роботу у 2011 році?
   
   Якщо працівник прийнятий на роботу в період до 1 січня 2011 року?
   
   Якщо працівник, що працює на підприємстві станом на 1 січня 2011 року, ставить вимогу знищити свої персональні дані та заперечує проти їх обробки?
   
   1. Згідно зі статтею 2 Закону України «Про захист персональних даних» від 1 червня 2010 року № 2297-VI (далі - Закон № 2297) згодою суб'єкта персональних даних є будь документоване, зокрема письмове, добровільне волевиявлення фізичної особи щодо надання дозволу на обробку його персональних даних у відповідності зі сформульованою метою їх обробки. Отже, згоду на обробку персональних даних має даватися у відповідності зі сформульованою метою їх обробки.
   
   Звертаємо увагу, що відповідно до частини 1 статті 6 Закону № 2297 мета обробки персональних даних має бути сформульована в законах, інших нормативно-правових актах, положеннях, установчих чи інших документах, які регулюють діяльність власника бази персональних даних, та відповідати законодавству про захист персональних даних.
   
   Так, Кодекс законів про працю України визначає правові засади і гарантії здійснення громадянами України права розпоряджатися своїми здібностями до продуктивної і творчої праці та регулює трудові відносини всіх працівників. Крім цього, Кодексом встановлено обов'язок роботодавця отримати від працівника певні документи: «При укладенні трудового договору громадянин зобов'язаний подати паспорт або інший документ, що посвідчує особу, трудову книжку, а у випадках, передбачених законодавством, - також документ про освіту (спеціальність, кваліфікацію), про стан здоров'я та інші документи »(ст. 24 КЗпП).
   
   Варто підкреслити, що обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб'єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством (ч. 5 ст. 6 Закону № 2297). Однак якщо процедури обробки персональних даних працівника виходять за межі дозволу, наданого власнику у відповідності з трудовим законодавством лише для здійснення його повноважень, необхідно отримати згоду від працівника. Наприклад, якщо до роботодавця звертається страхова компанія з проханням надати відомості про працівників підприємства з метою запропонувати їм послуги зі страхування здоров'я та життя і т. д.
   
   У вищевказаних випадках Державна служба України з питань захисту персональних даних рекомендує при зборі персональних даних осіб шляхом заповнення паперового документа (трудового договору, заяви) передбачити у ньому відповідний пункт (графу) про надання суб'єктом згоди на обробку його персональних даних.
   
   Крім того, рекомендуємо кадровим службам пояснювати працівникові, що його дані будуть оброблятися лише в межах трудового законодавства з дотриманням вимог Закону № 2297, адже обробка даних про фізичну особу без її згоди не допускається, крім випадків, визначених законом, і лише в інтересах національної безпеки , економічного благополуччя і прав людини (ч. 6 ст. 6 Закону № 2297).
   
   2. Згода суб'єкта персональних даних на обробку цих даних не надається, якщо власник продовжує обробляти персональні дані суб'єкта відповідно до правовідносинами на основі вільного волевиявлення фізичної особи, що склалися до набрання чинності Законом № 2297.
   
   Якщо працівник відмовляється надавати згоду на обробку його персональних даних, Державна служба України з питань захисту персональних даних рекомендує обробляти його дані в межах, визначених трудовим законодавством. Якщо дії власника по обробці персональних даних працівника виходять за межі трудового законодавства, повинна бути отримана згода від працівника, тобто будь документоване, зокрема письмове, добровільне волевиявлення працівника про надання дозволу на обробку його персональних даних у відповідності зі сформульованою метою їх обробки .
   
   3. У базах персональних даних знищенню підлягають персональні дані у випадках, визначених статтею 15 Закону № 2297 (зокрема, закінчення строку зберігання даних, визначеного згодою суб'єкта персональних даних на обробку цих даних або законом; припинення правовідносин між суб'єктом персональних даних і власником або розпорядником бази, якщо інше не передбачено законом; набрання законної сили рішення суду про вилучення даних про фізичну особу з бази персональних даних та ін), і в порядку, встановленому відповідно до вимог закону.
   
   Слід пам'ятати, що склад і зміст персональних даних працівника повинні бути не більше по відношенню до певної мети їх обробки і не повинні зберігатися довше, ніж це необхідно відповідно до їх законним призначенням.
   
   Разом з тим відповідно до Переліку типових документів, що утворюються в діяльності органів державної влади та місцевого самоврядування, інших підприємств, установ та організацій, із зазначенням строків зберігання документів, затвердженим наказом Головного архівного управління при Кабінеті Міністрів України від 20 липня 1998 року № 41 , особисті справи працівників, а також справи, що містять особисті картки працівників підприємства, та деякі інші кадрові документи, зберігаються 75 років - «В».
   
   Кадровим службам варто було б пояснити працівнику, який вимагає знищити його персональні дані, що зберігання персональних даних необхідно для того, щоб при потребі працівник міг отримати архівні довідки, копії документів, що містять відомості про нього, які можуть бути використані при оформленні пенсії, для підтвердження трудового стажу і т. д.
   
   Крім того, суб'єкт персональних даних відповідно до статті 8 Закону № 2297 має право пред'являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних будь-яким власником і розпорядником цієї бази, якщо ці дані обробляються незаконно чи є недостовірними.
   
   Тетяна Степаненко
   «Довідник кадровика»

За матеріалами: Приватний підприємець

Захист персональних даних: від кого і навіщо

З 1.01.2012 набирає чинності новий Закон України "Про внесення змін до деяких законодавчих актів України щодо посилення відповідальності за порушення законодавства про захист персональних даних". Розмір заявлених тут штрафів спричинив у бізнесових колах наприкінці року справжню паніку і довжелезні черги до уповноважених Державної служби з питань захисту персональних даних. А штрафи такі. Наприклад, за ухилення від державної реєстрації бази персональних даних: на посадових осіб, громадян — суб"єктів підприємницької діяльності — від 8500 до 17000 гривень! А щоб зовсім покращити бізнес-настрої напередодні нового року, то з 1 січня за незаконне зберігання конфіденційної інформації про особувводиться ще й кримінальна відповідальність — буцегарня строком до трьох років (максимум за новою статтею 182 Кримінального кодексу України, щоправда є тут і штраф, і арешт, і виправні роботи — покарання на будь-який смак).        Навіщо і кому це потрібно       Усе почалося із Закону України "Про захист персональних даних" від 1.06.2010, що набув чинності з 1.01.2011. На думку авторів цього Закону, необхідність його прийняття обумовлена тим, що стан нормативно-правової бази недостатньо забезпечує захист прав людини, виконання положень статей 3, 32, 34 Конституції України стосовно персональних даних. Більш ніж два десятки законів України регулюють суспільні відносини, що пов’язані із збиранням, зберіганням, використанням та поширенням інформації про особу (персональних даних), однак вони не мають чіткого та скорельованого з європейським законодавством визначення персональних даних. Між тим сучасні суспільні відносини характеризуються широким використанням персональних даних під час обігу інформації (соці­аль­ного, фінансового, правоохоронного, науково-технічного та ін. характеру), товарів, послуг і капіталів, що вимагає не тільки вільний рух інформації про особу, забезпечення її надійного захисту відповідно до основних прав і свобод людини.       Конституцією України визначено зміст основних прав людини, у тому числі стаття 32 гарантує недоторканність особистого життя, зокрема — щодо збирання інформації про особу. Зазначене право повинно бути конкретизовано законами, встановленням технологій їх виконання. Бази персональних даних про своїх клієнтів сьогодні формує широке коло суб’єктів — фізичних та юридичних осіб: підприємства та торгівля, приватні лікарі, нотаріуси тощо. "Витік інформації" з цих баз даних наносить шкоду багатьом особам, що потребує термінового законодавчого врегулювання цих питань.       На думку авторів Закону, Україна спізнюється майже на чверть століття як з підписанням міжнародних угод, так і з впровадженням відповідних норм міжнародного прав. Лише у 2005 році підписано Конвенцію 1981 року Ради Європи № 108 "Про захист осіб у зв’язку з автоматизованою обробкою персональних даних", яку до цього часу не подано на ратифікацію. Європейське право охоплює майже два десятки загальноєвропейських конвенцій, директив та рекомендацій з питань захисту персональних даних, кожна країна ЄС видала свої базові нормативно-законодавчі акти, приймалися конкретні закони: щодо діяльності з персональними даними у медичній, статистичній, державній, журналістській, поліцейській та інших сферах. Аналогічні закони прийнято в багатьох країнах світу, зокрема в Росії.       Принципи, що містяться у Конвенції, уточнюються і розширюються в Директиві 95/46/ЕС Єв­ропейського парламенту і Ради від 24.10.1995 р. стосовно захисту фізичних осіб у питаннях обробки персональних даних і вільного обігу цих даних та в Директиві 97/66/ЕС Єв­ропейського парламенту і Ради від 15.12.1997 р. стосовно обробки персональних даних і захисту приватності у телекомунікаційному секторі.       Що саме збираємось захищати за новим законом       То що ж воно таке — персональні данні про особу, які збираються так активно захищати, аж до арешту і багатотисячних штрафів?       Визначення основних понять нового Закону наводиться у його статті 2.       База персональних даних — іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних. На жаль, що таке упорядкування данних, картотека Закон не роз’яснює. Натомість, зазначається, що персональні дані обробляються у формі, яка допускає ідентифікацію фізичної особи, якої вони стосуються, у строк, не більший ніж це необхідно відповідно до їх законного призначення. А відповідно до ст.12 — збирання персональних даних є складовою процесу їх обробки, що передбачає дії з підбору чи впорядкування відомостей про фізичну особу та внесення їх до бази персональних даних.       Згідно із Законом накопичення та зберігання персональних даних передбачає дії щодо поєднання та систематизації відомостей про фізичну особу чи групу фізичних осіб або внесення цих даних до бази персональних даних.       Обробка персональних даних - будь-яка дія або сукупність дій, здійснених повністю або частково в інформаційній (автоматизованій) системі та/або в картотеках персональних даних, які пов"язані зі збиранням, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, поновленням, використанням і поширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичну особу.       Персональні дані — відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована. У статті.1 цього Закону спеціально зазначається, що його дія не поширюється на діяльність зі створення баз персональних даних та обробки персональних даних: фізичною особою — виключно для непрофесійних особистих чи побутових потреб; журналістом — у зв"язку з виконанням ним службових чи професійних обов"язків; професійним творчим працівником — для здійснення творчої діяльності. З наведеного виникає більше питань аніж відповідей.       Та що ж таке база персональних даних, яку підприємцю слід негайно зареєструвати, бо інакше штраф або в’язниця?       Нагадаємо, що йдеться лише про персональні данні фізичних осіб, пересічних громадян. Судячи з усього, громадяни-СПД також входять до цього переліку. Отже, маємо базу даних контрагентів-фізичних осіб. Далі списки та паспортні данні найманих працівників — найбільш вірогідний варіант бази персональних даних.       Чи можна віднести до бази персональних даних, наприклад, альбом з візитними картками (картотека?), перелік поіменованих абонентів у мобільному телефоні бізнесмена? Список для секретаря ділових партнерів, керівників банкірів-кредиторів, податкового інспектора, яких слід привітати з Новим роком — ПІБ, поштові адреси, назви посад — іменована сукупність упорядкованих персональних даних? Систематизація у персональному комп’ютері бізнесмена директорів підприємств-партнерів, усіляких кредиторів за датами дня народження — не забути привітати! А ще є їхні дружини, чоловіки, діточки, коханки і коханці — дехто вважає за необхідне поздоровити і їх. Багато підприємців і банків мають списки боржників-громадян, які також систематизовані певним чином. Уся ця інформація стала наслідком "накопичення та зберігання персональних даних", що "передбачає дії щодо поєднання та систематизації відомостей про фізичну особу чи групу фізичних осіб" (ст.13 Закону).       Та це ще не все. На підставі статті 12 Закону суб"єкт персональних даних (той, про кого ці данні) протягом десяти робочих днів з дня включення його персональних даних до відповідної бази повідомляється про свої права, визначені цим Законом, мету збору даних та осіб, яким передаються його персональні дані. Повідомляти слід виключно в письмовій формі. Судячи з усього виглядати це має приблизно так. "Шановний пан…повідомляю, що Ви у мене в базі персональних даних боржників і тепер вимушений Вас поздоровляти, аж поки не повернете борг…Інакше прийдеться привітати Вашу дружину, а потім і діточок…". Фантазувати можна і далі — Закон дає для цього широкий простір. Чомусь не смішно, як згадаєш про штраф або про три роки ув’язнення.       Паганого мало не буває       Складності, що породжує новий Закон, вищенаведеним не обмежується. У зауваженнях фахівців на проект Закону зверталась увага на його недоліки та вади.       Так, зазначалося фахівцями, текст Закону містить значну кількість оціночних понять і суб’єктивних критеріїв. Законопроект було переобтяжено такими поняттями та словосполученнями, як “склад та зміст персональних даних мають бути відповідними та ненадмірними стосовно визначеної мети їх обробки”, “персональні дані мають бути точними, достовірними”, “якщо обробка персональних даних є необхідною для захисту життєво важливих інтересів суб’єкта персональних даних”, “суб’єкт персональних даних має право застосовувати засоби правового захисту” тощо, а також не встановлено співвідношення термінів “володілець” та “розпорядник”, що вживаються у законопроекті, з термінами “держатель” та “адміністратор”, що вживаються в чинних законах України. Однак від чіткого та однозначного формулювання термінів і понять у тексті Закону значною мірою залежатиме правильність застосування його норм на практиці. Тому цим законопроектом мали б бути визначені відповідні критерії для практичного застосування його положень.       У тексті законопроекту (ст. 1) передбачається, що дія цього Закону не поширюється на діяльність зі створення баз персональних даних та обробки персональних даних у цих базах фізичною особою виключно для непрофесійних особистих чи побутових потреб. Проте невизначеність меж таких потреб може призвести до вільного тлумачення цієї норми, а отже, і до порушення права фізичної особи на конфіденційність її персональних даних та заборону обробки її даних без її згоди.       Хто не встиг, той запізнився: готуйтесь до покарання       Хоча сам Закон набув чинності ще 1.01.2011, санкції за його порушення почнуть застосовувати з 1.01.2012. До цієї дати слід встигнути зареєструвати свої бази персональних даних.       Бази персональних даних підлягають державній реєстрації шляхом внесення відповідного запису уповноваженим державним органом з питань захисту персональних даних — Державною службою з питань захисту персональних даних. КМУ своєю постановою від 25 травня 2011 р. № 616 затвердив Положення про Державний реєстр баз персональних даних та порядок його ведення.       Реєстрація баз персональних даних здійснюється за заявочним принципом шляхом повідомлення. Заява про реєстрацію бази персональних даних подається володільцем бази персональних даних.       Сергій ТЕНЬКОВ | Юридичний вісник України №52, 31 грудня 2011 - 6 січня 2012

По материалам: Мониторинг СМИ

Суд наклав штраф за недотримання законодавства в сфері персональних даних

Подільський районний суд м. Києва ухвалою від 07.02.2013 р. у справі № 758/119/13 привернув до адмінвідповідальності за порушення законодавства у сфері захисту персональних даних директора ТОВ «Видавництво« Рідерз Дайджест ». Він визнаний винним у правопорушенні, передбаченому ч. 2 ст. 188-39 Кодексу про адміністративні правопорушення.
   

   Зазначена стаття встановлює відповідальність за неповідомлення або несвоєчасне повідомлення про зміну відомостей, що подаються для держреєстрації бази персональних даних.
   
   Суд встановив, що Держслужба з питань захисту персональних даних не була повідомлена у встановлений Законом «Про захист персональних даних» термін про фактичне місцезнаходження бази даних ТОВ «Видавництво« Рідерз Дайджест ».
   
   Вина директора ТОВ «Видавництво« Рідерз Дайджест » була підтверджена протоколом про адмінпорушення та актом перевірки фінансової діяльності підприємства.
   
   Суд постановив стягнути з директора в дохід держави штраф у розмірі двохсот неоподатковуваних мінімумів доходів громадян, що становить 3400 грн.

За матеріалами: Сайт "Юрліга"

Бази персональних даних та інформація про фізичних осіб

У бухгалтерії зберігається інформація про клієнтів-фізосіб, а в кадровому відділі - про працівників. Чи поширюються вимоги Закону про захист персональних даних на таку інформацію?

Відповідно до Закону України «Про захист персональних даних» від 01.06.2010 р. № 2297-VI (далі - Закон № 2297) під персональними даними розуміється сукупність відомостей про фізичну особу, яка ідентифікована

або може бути ідентифікована. У свою чергу, база персональних даних - це сукупність упорядкованих персональних даних в електронній формі та / або у формі картотек персональних даних.

Таким чином, інформація про клієнтів - фізичних особах, а також про працівників є такою, на яку поширюються вимоги Закону № 2297. Крім того, спеціалісти Державної служби з захисту персональних даних (http://www.zpd.gov.ua) вважають, що вимоги Закону № 2297 поширюються також на засновників підприємства - фізичних осіб та на керівників підприємств-контрагентів, які підписують господарські договори.

У відповідності зі ст. 6 Закону № 2297 первинними джерелами відомостей про фізичну особу є: видані на її ім'я документи, підписані нею документи, відомості, які особа надає про себе.

Обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб'єкта персональних даних або у випадках, передбачених законами України у порядку, встановленому законодавством.

Не допускається обробка даних про фізичну особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

У відповідності зі ст. 9 Закону № 2297 база персональних даних підлягає державній реєстрації шляхом внесення відповідного запису уповноваженим державним органом з питань захисту персональних даних до Державного реєстру баз персональних даних. Реєстрація баз персональних даних здійснюється за заявочним принципом шляхом повідомлення.

Заява про реєстрацію бази персональних даних подається власником бази уповноваженому державному органу з питань захисту персональних даних.

Заява повинна містити:

- Звернення про внесення бази персональних даних до Державного реєстру баз персональних даних;

- Інформацію про власника бази персональних даних;

- Інформацію про найменування та місцезнаходження бази даних;

- Інформацію про цілі обробки персональних даних у базі персональних даних, сформульовану відповідно до вимог ст. 6 і> 7 Закону № 2297;

- Інформацію про інших розпорядниках бази персональних даних;

- Підтвердження зобов'язання щодо виконання умов захисту персональних даних, встановлених законодавством про захист інформації.

Заяву можна відправити рекомендованим листом за адресою державного органу із захисту персональних даних або в електронному вигляді за умови, що підприємство (підприємець) придбало в установленому порядку сертифікати електронних цифрових підписів.

Підставою для обробки персональних даних може бути (ст. 11 Закону № 2297):

- Згода суб'єкта персональних даних на обробку його персональних даних. Суб'єкт персональних даних має право при наданні згоди внести застереження стосовно обмеження права на обробку своїх персональних даних;

- Дозвіл на обробку персональних даних, надане власнику бази персональних даних відповідно до закону виключно для здійснення його повноважень.

У відповідності зі ст. 12 Закону № 2297 суб'єкт персональних даних протягом десяти робочих днів з дня включення його персональних даних до бази персональних даних повідомляється про свої права, визначених цим Законом, про мету збору даних та осіб, яким передаються його персональні дані, виключно у письмовій формі. При цьому повідомлення не здійснюється, якщо персональні дані збираються із загальнодоступних джерел.

Поширення персональних даних передбачає дії щодо передачі відомостей про фізичну особу з баз персональних даних за згодою суб'єкта персональних даних. При цьому поширення персональних даних без згоди суб'єкта персональних даних або уповноваженої ним особи допускається у випадках, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини. Виконання вимог встановленого режиму захисту персональних даних забезпечує сторона, що поширює ці дані (ст. 14 Закону № 2297).

Також слід відзначити той факт, що Законом України «Про внесення змін до деяких законодавчих актів в частині посилення відповідальності за порушення законодавства про захист персональних даних» від 02.06.2011 р. № 3454-VI, який набирає чинності з 01.01.2012 р, вводиться адміністративна відповідальність, зокрема, за.:

- Ухилення від державної реєстрації баз персональних даних - у розмірі від 500 до 1000 неоподатковуваних мінімумів доходів громадян (для посадових осіб підприємств та громадян - суб'єктів підприємницької діяльності);

- Неповідомлення або несвоєчасне повідомлення суб'єкта персональних даних про його права у зв'язку із внесенням його персональних даних у базу персональних даних, про мету збору цих даних та осіб, яким ці дані передаються, - від 300 до 400 неоподатковуваних мінімумів доходів громадян (для посадових осіб підприємств та громадян - суб'єктів підприємницької діяльності).

Ольга Буркун

Аудитор АФ «Курсор-Аудит»

Штрафи за правопорушення у сфері захисту персональних даних можуть зрости до 34 000 грн

Тема, яка час від часу виникає на законодавчому горизонті, і при цьому неодмінно яскравим спалахом – це, звичайно, тема захисту персональних даних...
  
   Нещодавно у Закон про ЗПД N 2297-VI від 01.06.2010 р. було внесено масштабні зміни, про які ми багато писали.
   

   І ось наш уряд виступає з черговим проектом щодо удосконалення законодавства із ЗПД.
  
   Перше, на що хочеться звернути увагу – це зміни щодо адміністративної відповідальності.
  
   Позитивна новина: пропонується скасувати шалені штрафи за неповідомлення або несвоєчасне повідомлення суб'єкта персональних даних про його права у зв'язку із включенням його даних до бази персональних даних (ч. 1 ст. 188³⁹ КпАП). Нагадаємо, що зараз за це порушення передбачено штраф у розмірі 3400-6800 грн, а якщо таке порушення вчинено повторно протягом року - 6800-11900 грн.
  
   Негативна новина: планується введення штрафу у розмірі 5100 - 17000 грн за недодержання порядку захисту персональних даних у базі, що призвело до порушення прав суб'єктів персональних даних (як ви розумієте, таке формулювання дає широкий простір для фантазії) . Зауважимо, що зараз такий штраф накладається, якщо неправильний захист даних приводить тільки до незаконного доступу до них.
  
   А також пропонується ввести норму, згідно з якою повторне протягом року вчинення таких дій каратиметься штрафом у розмірі 17000-34000 грн (ч. 5 та 6 ст. 188³⁹ КпАП).
  
   Крім того, проектом передбачено ще багато суттєвих змін, які ми більш детально розглянемо найближчим часом.
  
   ------------------------------
  
   Проект Закону "Про внесення змін до деяких законодавчих актів України щодо удосконалення інституційної системи захисту персональних даних" (N 2282 від 12.02.2013 р.)
  
   Відтворення матеріалу у будь-якій формі повністю або частково можливо лише з письмового дозволу Компанії "Дінай"