Закон о использовании персональных данных

30.07.2019 Выкл. Автор admin

Оглавление:

Регулирование персональных данных в Беларуси: что нужно знать

В последнее время вопрос защиты персональных данных все более на слуху: он постоянно фигурирует в СМИ, на него обращают внимание как частный сектор, так и государство. В конечном итоге и обычные граждане задумываются, что происходит с той личной информацией, которую о них собирают государственные органы и частные компании: уж слишком много ситуаций, в которых нашим гражданам необходимо делиться своей частной информацией – от регистрации в поликлинике и до использования большинства интернет-ресурсов.

В зарубежных странах законодательство о защите персональных данных отличается динамичностью – так в Европейском союзе в прошлом году был принят новый Регламент о защите персональных данных взамен старой Директивы, в Российской Федерации значительно увеличился размер административных санкций за нарушения, связанные с неправомерным сбором, хранением, обработкой и использованием персональных данных, в США происходят нескончаемые дебаты о пределах вмешательства государства в личную жизнь человека.

В Беларуси на этом фоне тема защиты персональных данных выглядит побочной повесткой: только в этом году планируется утвердить концепцию закона о персональных данных и в 2018 году уже принять сам закон.

Тимофей Савицкий, юридическая фирма COBALT, рассмотрит основные аспекты защиты персональных данных, которые на настоящий момент урегулированы белорусским законодательством.

Что такое персональные данные?

В соответствии Закон Республики Беларусь от 10.11.2008 N 455-З (ред. от 11.05.2016) «Об информации, информатизации и защите информации» (далее – Закон об информации), персональные данные — основные и дополнительные персональные данные физического лица, подлежащие в соответствии с законодательными актами Республики Беларусь внесению в регистр населения, а также иные данные, позволяющие идентифицировать такое лицо. Персональные данные относится к информации, распространение и предоставление которой ограничено.

Закон Республики Беларусь от 21.07.2008 N 418-З (ред. от 04.01.2015) «О регистре населения» (далее – Закон о регистре населения) определяет следующие основные персональные данные: идентификационный номер, фамилия, собственное имя, отчество, пол, число, месяц, год рождения, место рождения, цифровой фотопортрет, данные о гражданстве (подданстве), данные о регистрации по месту жительства и (или) месту пребывания, данные о смерти или объявлении физического лица умершим, признании безвестно отсутствующим, недееспособным, ограниченно дееспособным.

Дополнительными персональными данными, в соответствии с Законом о регистре населения, являются: данные о родителях, опекунах, попечителях, семейном положении, супруге, ребенке (детях) физического лица, о высшем образовании, ученой степени, ученом звании, о роде занятий, о налоговых обязательствах и некоторые иные.

Закон об информации содержит расширительную формулировку «и иные данные, позволяющие идентифицировать такое лицо», что свидетельствует о том, что белорусское законодательство не ограничивается перечнем, установленным Законом о регистре населения, но распространяет свое действие на любую информацию, способную идентифицировать определенное лицо.

Закон об информации, тем не менее, не уточняет, о какой идентификации идет речь – прямой или косвенной. Некоторые виды данных (например, IP-адрес) могут лишь косвенно идентифицировать субъекта – в совокупности с иными данными. В законодательстве большинства западных государств подобный аспект урегулирован и «косвенные» персональные также подлежат такой же защите, как и «прямые». Белорусское законодательство пока не содержит таких деталей.

Обязательное письменное согласие на сбор, обработку, хранение и пользование

В соответствии с Законом об информации при сборе, обработке, хранении персональных данных необходимо получать согласие физического лица, к которому эти персональные данные относятся. При этом, согласие должно быть дано в письменной форме.

Ни Закон об информации, ни иные нормативно-правовые акты не уточняют, что подразумевается под согласием в «письменной форме». Гражданский кодекс лишь содержит определение того, чем является совершение сделки в письменной форме, – к нему, например, относится и обмен факсимильными подписями и иными аналогами подписей.

Применение подобного положения возможно по аналогии и к выражению согласия на сбор, обработку, хранение и пользование персональными данными. Тем не менее, в отсутствие четкого указание на форму согласия в законодательстве, многие субъекты (например, визовые центры при обработке анкет) вынуждены собирать подписи «вручную» — при помощи форм-согласий, которые подписываются лицом, к которому относятся персональные данные.

Подобное положение, к слову, затрудняет работу многим компаниям – простых кликов «я согласен» в некоторых случаях бывает недостаточно, и формально может возникнуть нарушение Закона об информации. Некоторые компании (в частности, онлайн-магазины) включают согласие на сбор персональных данных в публичные договоры (договоры присоединения), заключение которых возможно простым присоединением (например, покупкой товара в магазине). Законодательно они приравниваются к письменным. Тем не менее, здесь речь опять-таки идет о письменной форме договора, а не согласия как такового.

Принятие мер по защите персональных данных

Закон об информации налагает обязательство на любое лицо, собирающее персональные данные, принимать меры по их надлежащей защите до момента, когда лицо, к которому относятся персональные данные, дает согласие на их разглашение либо до момента обезличивания персональных данных.

Закон не содержит точных указаний на то, какими эти меры должны быть. Тем не менее, исходя из практики и применяемых подзаконных актов, под защитой персональных данных как информации, распространение которой ограничено, понимаются организационные и технические меры защиты (например, предусмотренные приказом ОАЦ № 62). К организационным мерам может относится принятие внутренних положений по работе с персональным, к техническим – применение криптографической защиты.

Обязательное письменное согласие на последующую передачу персональных данных

Как и в случае со сбором персональных данных, любой трансфер нуждается в отдельном письменном согласии лица, к которому эти персональные данные относятся. Такое согласие может быть получено непосредственно при сборе персональных данных. Здесь, тем не менее, также возникает вопрос о возможности получения электронного согласия.

С учетом того, что трансграничная передача данных сейчас стала нормальной практикой (особенно в ИТ-сфере), необходимость получения согласия в письменной форме не способствует упрощению и ускорению информационного обмена.

Право на ознакомление с персональными данными

Любое лицо, о котором собираются персональные данные, имеет право на ознакомление с тем, какие и в каком объеме персональные данные содержатся о нем в определенных системах (у определенных лиц).

Ответственность за нарушение законодательства о персональных данных

Административной ответственности за нарушение законодательства о персональных данных пока нет. В настоящий момент известно, что в КоАП будут вноситься изменения, согласно которым за нарушение законодательства о персональных данных будет налагаться штраф до 20 базовых величин.

Уголовный кодекс содержит статью 179 («незаконное собирание либо распространение информации о частной жизни), однако на практике она не применяется для ситуаций по незаконному разглашению и распространению персональных данных.

Что дальше?

Как видно из анализа текущего законодательства Республики Беларусь в области защиты персональных данных, в настоящее время оно достаточно фрагментарно и затрагивает лишь следующие аспекты:

  1. Дефиницию персональных данных;
  2. Необходимость получения письменного согласия при сборе, обработке, хранении, пользовании и последующей передаче персональных данных;
  3. Обязанность по принятию мер по защите персональных данных;
  4. Право субъектов на получение информации о том, какие персональные данные о нем собраны и в каком объеме.

В законодательстве пока не содержится разграничения на чувствительные (например, данные о здоровье) и нечувствительные персональные данные (у чувствительных данных большая защита), конкретных обязанностей обработчиков персональных данных и прав субъектов персональных данных, санкций за нарушение законодательства о персональных данных и многих иных принципов, принятых в европейских государствах, Российской Федерации и многих других странах.

Отсутствие профильного регулирования имеет ряд негативных последствий как для граждан, так и для бизнеса, таких как, например, низкая защита прав и интересов граждан, неопределенность международного бизнеса при выходе на рынок Беларуси, противоречивость применения норм действующего законодательства. Закон о персональных данных (2018) ставит свой целью разрешить выделенные проблемы.

Наш МВА-партнер

Обработка персональных данных физических лиц

В последнее время тема использования и защиты персональных данных физических лиц приобрела особую актуальность. Как известно, не так давно Украина ратифицировала Конвенцию Совета Европы о защите лиц в связи с автоматизированной обработкой персональных данных и Дополнительный протокол к этой Конвенции относительно органов надзора и трансграничных потоков данных.

Выполняя принятые обязательства, с целью адаптации украинского законодательства к международным нормам, 1 июня 2010 года Верховная Рада Украины приняла Закон Украины «О защите персональных данных» № 2297-VI (далее – Закон № 2297-VI). Данный Закон вступил в силу с 1 января 2011 года и практически с этого момента стали формироваться государственные органы, которые уполномочены осуществлять регистрационные процедуры и контроль в данной сфере. В настоящий момент такие полномочия получила Государственная служба Украины по вопросам защиты персональных данных (далее – Служба). К функциям Службы относятся регистрация баз персональных данных, ведение Государственного реестра баз персональных данных, а также контроль в данной сфере. С начала июля 2011 года Служба начала активную деятельность.

Базы персональных данных физических лиц в медицинских и оздоровительных учреждениях, аптеках и салонах красоты, гостиниц, а также других субъектов хозяйствования

В соответствии с действующим законодательством персональными данными является любая информация о физическом лице, которая позволяет его идентифицировать, в частности об: имени, дате и месте рождения, месте работы и проживания, образовании и т.д. Персональными данными также могут быть сведения о: национальности, образовании, семейном положении, религиозности, состоянии здоровья и др. Кроме того, согласно решению Конституционного Суда Украины от 30 октября 1997 № 5-зп к персональным данным также относятся данные об имущественном состоянии и медицинская информация (информация о состоянии здоровья, в т.ч. из истории болезни).

В соответствии с Законом № 2297-VI объектами защиты являются лишь те персональные данные, которые обрабатываются и вносятся в базу персональных данных.

Статьей 2 указанного Закона определено, что база персональных данных — это именуемая совокупность упорядоченных персональных данных в электронном виде и/или в виде картотек персональных данных. Поэтому базы пациентов и медицинские карточки последних в медицинских и оздоровительных учреждениях и у частнопрактикующих врачей, базы и карточки клиентов салонов красоты, аптек и иные подобные клиентские базы других субъектов хозяйствования являются базами персональных данных. Причем, следует отметить, что как минимум одна база персональных данных физических лиц есть у каждого работодателя. Это база наемных работников, которая формируется при оформлении их кадровых дел.

Говоря о базах персональных данных, возникает вопрос о том, из какого минимального количества лиц может состоять База персональных данных. Отвечая на этот вопрос необходимо учитывать два важных момента. Во-первых, база персональных данных – это совокупность сведений о физических лицах. То есть, формально это могут быть сведения даже о двух физических лицах. Во-вторых, персональные данные даже одного физического лица уже должны охраняться. Поэтому специалисты Службы советуют регистрировать Базы персональных данных, начиная с появления первого лица в этой базе. В ближайшее время планируется внести изменения в Закон № 2297-VI, в соответствии с которыми юридические лица и физические лица–предприниматели должны будут регистрировать Базы персональных данных еще до создания такой базы и внесения первых данных.

Баз персональных данных на одном предприятии или в организации может быть несколько. Нередко одни и те же данные дублируются в электронном и бумажном виде (например, картотека). Однако, если цель обработки сведений, которые обрабатываются в электронном виде и в виде картотек, одна и та же, то это и будет одна база данных. Просто способ обработки данных в данном случае смешанный.

Владельцами базы персональных данных являются физические или юридические лица, которым законом или по согласию субъекта персональных данных предоставлено право на обработку этих данных, которое утверждает цель обработки данных в этой базе данных, устанавливает состав этих данных и процедуры их обработки, если иное не установлено Законом.

В соответствии с Законом № 2297-VI все субъекты, которые обрабатывают, вносят в базы или используют персональные данные физических лиц, должны регистрировать такие базы персональных данных в установленном законом порядке.

Процедура регистрации базы персональных данных

Существующая сегодня процедура регистрации баз персональных данных не предполагает передачу в специально уполномоченный государственный орган (Службу) персональных данных физических лиц, которые были переданы последними тем или иным предприятиям, организациям или физическим лицам. Фактически в Службу передаются лишь общие данные о такой базе (картотеке) в частности информация о: цели сбора информации, предполагаемом количестве лиц, которые предоставили (или могут предоставить в будущем) такую информацию, каким образом персональная информация будет храниться, может ли она передаваться третьим лицам и др. Такие сведения указываются в заявлении установленного образца. Форма такого заявления предполагает довольно подробную информацию не только о самой базе, но и о лицах, ответственных за сбор, обработку, хранение и выдачу таких данных.

Зарегистрировать базу персональных данных можно как лично, так и через представителя (документы необходимо подавать непосредственно в Службу, которая находиться в г. Киеве). На первый взгляд, процедура не сложная, однако уже сегодня около 20% заявителей уже получили отказ в регистрации баз персональных данных. Отправка заявлений на регистрацию БПД возможна и по почте, в т.ч. заказным письмом.

Государственный контроль над соблюдением норм законодательства о защите персональных данных

В соответствии с Законом № 2297-VI специально уполномоченным государственным органом по вопросам защиты персональных данных физических лиц является именно Государственная служба Украины по вопросам защиты персональных данных. Указом Президента Украины от 6 апреля 2011 года № 390/2011 было утверждено Положение о Государственной службе Украины по вопросам защиты персональных данных (далее — Положение). В соответствии с Положением деятельность Службы направляется и координируется Кабинетом Министров Украины через министра юстиции Украины. Как уже упоминалось, в число полномочий Службы входит и контроль над соблюдением требований соответствующего законодательства по защите персональных данных.

В составе Службы уже действует Отдел контроля над соблюдением законодательства о защите персональных данных (далее – Отдел контроля). Это подразделение уполномочено проводить плановые и внеплановые проверки предприятий, организаций, физических лиц-предпринимателей и по их результатами давать предписания об устранении нарушений, а также налагать штрафные санкции на нарушителей.

С 1 июля 2012 года полномочия у Отдела контроля существенно расширены, а к нарушителям будут применяться санкции как административного, так и уголовного характера.

Юридическая ответственность за нарушения законодательства в сфере защиты персональных данных

Какое же наказание ожидает нарушителей законодательства о защите персональных данных физических лиц? Ответ на этот вопрос указан в Законе Украины «О внесении изменений в некоторые законодательные акты Украины относительно усиления ответственности за нарушение законодательства о защите персональных данных» от 02.06.2011 г. № 3454-VI. Данный закон установил довольно серьезные санкции административной и уголовной ответственности, которые указаны в новых статьях Кодекса Украины об административных правонарушениях (188-39 и 188-40 КоАП) и в измененной ст. 182 Уголовного кодекса Украины (далее – УК Украины).

13 января 2012 года Верховной Радой Украины был принят новый Закон, которым вступление в силу норм об ответсвенности за нарушение законодательства о защите персональных данных было перенесено на 1 июля 2012 . С этой даты в Украине уже применяются санкции за правонарушения и преступления, связанные с персональными данными физических лиц.

В соответствии со ст. 188-39 КоАП несообщение или несвоевременное сообщение субъекту персональных данных об его правах в связи с включением его персональных данных в базу персональных данных, или цели сбора этих данных и лиц, которым эти данные передаются, – влекут за собой наложение штрафа на должностные лица, граждан-субъектов предпринимательской деятельности – от трехсот до четырехсот (от 5100 грн. до 6800 грн.) необлагаемых минимумов доходов граждан (НМДГ). То есть, физическое лицо должно ОБЯЗАТЕЛЬНО подписать письменное согласие на включение обработку его данных в базу. Причем в медучреждении или салоне это касается не только пациентов (клиентов), но и нанятых сотрудников предприятия, организации или физического лица-предпринимателя, если они трудоустроены после 1 января 2011 года.

Уклонение от государственной регистрации базы персональных данных – влечет за собой наложение штрафа на должностные лица, граждан-субъектов предпринимательской деятельности – от пятисот до тысячи НМДГ (от 8500 до 17000 грн.).

Несоблюдение установленного законодательством порядка защиты персональных данных в базе персональных данных, которое привело к незаконному доступу к ним, влечет за собой наложение штрафа от трехсот до тысячи НМДГ (от 5100 до 17000 грн.).

Статья 182 УК Украины предусматривает уголовную ответственность, в т.ч. санкции в виде ограничения или лишения свободы за незаконный сбор, хранение, использование, уничтожение, распространение конфиденциальной информации о личности.

Учитывая столь серьезные санкции субъектам хозяйствования всех форм собственности рекомендуется обязательно зарегистрировать базы персональных данных. Причем следует помнить, что на предприятии может быть несколько таких баз.

Как правильно организовать работу с персональными данными физических лиц на предприятии или в организации

Если на предприятии или в организации собираются и обрабатываются персональные данные физических лиц, то они обязаны соблюдать требования, указанные в Законе № 2297-VI. Для этого необходимо не только зарегистрировать базу персональных данных. Еще до регистрации базы необходимо установить цель обработки входящих в нее данных, назначить ответственное лицо, на которое возложить обязанности относительно обеспечения защиты персональных данных, обеспечить получение в письменной форме согласия от физических лиц на обработку их персональных данных. Пока нормативно четко не установлены требования к таким процедурам, каждый субъект самостоятельно определяет, что именно нужно сделать для того, чтобы привести свои базы персональных данных в соответствие с действующим законодательством.

Статья 24 Закона № 2297-VI определяет, что государство гарантирует защиту персональных данных. Все субъекты правоотношений, связанных с персональными данными, обязаны обеспечить защиту таких данных от незаконной обработки, и также от незаконного доступа к ним. Причем обеспечение защиты таких данных в базе персональных данных полагается на владельца этой базы.

Специалисты Службы для обеспечения защиты на предприятии (в организации) персональных данных рекомендуют оформить ряд документов, в частности таких как: Положение о базах персональных данных, Приказ о создании Базы персональных данных, Приказ о назначении ответственного лица, Должностную инструкцию ответственного лица, Положение о конфиденциальной информации, Соглашение о неразглашении конфиденциальной информации и др.

Если Вам необходима помощь по оформлению и подаче заявления о регистрации Баз персональных данных, разработке пакета необходимых документов по их защите или Вы хотите получить квалифицированную консультацию, – обращайтесь к специалистам ЮК «Центра медицинского и фармацевтического права».

Тел.: +380 50 691 85 76; + 380 (44) 585 06 31 — Центральный офис в Киеве

Если вы не смогли дозвониться, заполните, пожалуйста, форму обратной связи:

ОБРАТИТЕ ВНИМАНИЕ!

ЮК «Центр медицинского и фармацевтического права» НЕ ЯВЛЯЕТСЯ подразделением или представителем Государственной службы Украины по вопросам защиты персональных данных или связанным каким-либо способом с нею лицом! Мы предлагаем платные юридические услуги по правильному оформлению и подаче заявления на регистрацию БПД и консультации. Поэтому мы не берем на себя обязательства по ускорению получения бланка Свидетельства о регистрации БПД!

К СВЕДЕНИЮ!

В 5 номере журнала «Медицинская практика: организационные и правовые аспекты» было напечатано эксклюзивное интервью с Председателем Государственной службы Украины по вопросам защиты персональных данных Алексеем Мервинским, в котором рассказано об основных положениях Закона № 2297-VI и особенностях деятельности органа, который он возглавляет.

В настоящее время Государственная служба в связи с огромным количеством поданных заявок значительно задерживает сроки оформления Свидетельств. Пока еще не выданы Свидетельства по заявкам, поданным в декабре 2011 г.

Европейская правда

Защита персональных данных уже стала частью законодательства каждой развитой страны.

А что Украина? В 2010 году был принят закон «О защите персональных данных». Год спустя президент определил уполномоченный орган по вопросам защиты персональных данных — Государственную службу Украины по вопросам защиты персональных данных.

В 2013 году правительство прислушалось к мнению европейских специалистов. Последние считали украинскую службу по вопросам защиты персональных данных недостаточно независимой. Для устранения этого недостатка ее передали уполномоченному Верховной рады Украины по правам человека.

Использование в качестве государственного регулятора омбудсмена — привычное явление в Европе.

Украина в вопросе защиты персональных данных опирается на международный опыт. Но в государстве пока нет достаточной законодательной базы и системы, способной эффективно работать в современных условиях.

Чтобы обозначить вектор развития и исправить недоработки, стоит обратить внимание на то, как этот вопрос регулируется в других странах.

Защита персональных данных в ЕС

Поскольку Украина берет пример с Европы, хотелось бы подробнее остановиться на развитии системы в ЕС.

Европейское законодательство больше двух десятилетий совершенствует систему защиты персональных данных.

В мае 2018 года вступит в силу новое положение о защите данных. В числе нововведений — запрет на сбор персональных данных компаниями и государством без разрешения со стороны физлица. Исключения допускаются только в том случае, если в стране существуют законодательные положения, которые принуждают к передаче информации.

Вторым пунктом стало «право на забвение».

Это означает, что Facebook, Google, Twitter и другие крупные компании обязаны удалить аккаунт и личные данные пользователя по первому запросу.

Компании не имеют права передавать персональные данные пользователей в страны, где уровень защиты ниже, чем в ЕС.

Также подтверждать разрешение на обработку персональных данных теперь можно не с 13, а с 16 лет. На компании с европейскими представительствами накладывается ряд ограничений.

Им нельзя обмениваться данными с другими подразделениями, если не соблюдаются правила по защите данных. Также нельзя передавать информацию властям США и других стран.

Каждый человек может обратится с жалобой в ведомство в одной из 28 стран ЕС. Все они подконтрольны Европейскому комитету по защите персональных данных.

Нарушения в этой области наказываются в зависимости от серьезности. В том числе и штрафом до 4% годового оборота. С оригинальным текстом документа можно ознакомиться на сайте права Европейского Союза.

Кто еще может служить нам примером

Помимо европейской системы защиты, каждая страна прошла свой путь создания. Например, в Германии первый закон в сфере защиты персональных даных был принят в еще 1970 году в земле Гессен. А спустя семь лет появился первый федеральный закон, защищающий персональные данные немцев.

Его пересмотрели в 1990 году, адаптировав под новые реалии. Главной целью закона стала защита неприкосновенности частной жизни при использовании персональных данных. Уже та редакция закона регламентировала сбор, обработку и использование персональной информации, которые собирало государство и негосударственные учреждения.

Исполнение закона правительство возложило на Федеральную комиссию по защите персональных данных. В каждой из 16 земель приняли собственные законы в этой сфере. Их исполнение регулируется специальными комиссиями. Внедренное в ЕС с 2018 года положение о защите данных распространяется и на Германию.

Служить примером может также Франция. В процессе создания системы

французское общество прошло через попытку тотального контроля над гражданами, но сумело сохранить демократические принципы.

В начале 1970-х годов правительство приняло Национальный информационный план. Его целью стало создание банков данных. Правительство запустило проекты SIRENE и SAFARI, которые выдавали идентификационные коды компаниям и частным лицам. В дальнейшем их планировали использовать, чтобы устанавливать взаимосвязи между различными базами данных.

Французскому обществу подобный подход не понравился, что вызвало волну негативных публикаций в прессе. В итоге правительство свернуло план и занялось созданием системы защиты персональных данных.

С 1974 года действует «Французская национальная комиссия по обработке данных и гражданским свободам». Она стала регулятором системы защиты персональных данных в стране.

В 1978 году правительство приняло закон «Об обработке данных, файлах данных и индивидуальных свободах». В нем, помимо определения ключевых понятий, установлены наказания за нарушения. Правонарушители штрафуются, а также могут получить тюремный срок до 5 лет.

Впоследствии правительство приняло ряд законов для укрепления этой системы. Франция чрезвычайно жестко следит за защитой прав и свобод своих граждан. Нарушения в области персональных данных освещаются в прессе.

Франция — отличный пример страны с развитой системой защиты персональной информации, базирующейся на проработанном законодательстве. Государство активно борется с нарушениями, в том числе штрафует крупные компании.

Еще один пример — Великобритания. Система защиты персональных данных здесь начала формироваться позже, чем во Франции и Германии, профильный закон был принят в 1984 году.

В нем, помимо основных положений, указывались требования к структурам, собирающим и обрабатывающим персональную информацию. Каждый из таких пользователей обязан сообщить об информации, которую собирает, и целях.

Для этого правительство создало специальный Регистр защиты данных. Невыполнение этого требования карается законом.

Каждый житель страны имеет право узнать, владеет ли та или иная организация его персональными данными.

Особенно жестко в Великобритании наказывают за потерю персональных данных. Регулятором в этой сфере выступает Комиссариат по защите информации, а также ряд независимых комиссий.

Система защиты персональных данных в Украине нуждается в реформировании и развитии. У государства нет достаточной законодательной базы и структуры для улучшения ее эффективности.

Свою роль в этом сыграла попытка скопировать идеи западных стран. Последние постепенно выстраивали системы, устраняли слабые места и адаптировались к новым условиям.

Украинская система пока слишком молода и уязвима. Усложняет ситуацию низкая осведомленность граждан, в том числе и правовая.

Решение этих проблем — длительный процесс, который может длиться годами.

Публикации в рубрике «Экспертное мнение» не являются редакционными статьями и отражают исключительно точку зрения автора

Discovered

Деньги, банки, страхование, экономика и бизнес

О защите персональных данных

Закон Украины «О защите персональных данных» от 01.06.2010 г. № 2297-VI (с изменениями по состоянию на 2018 г.) регулирует отношения, связанные с защитой персональных данных при их обработке.

Персональные данные (или личные данные) — любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Статья 1. Сфера действия Закона

Настоящий Закон регулирует правовые отношения, связанные с защитой и обработкой персональных данных и направлен на защиту основных прав и свобод человека и гражданина, в частности права на невмешательство в личную жизнь, в связи с обработкой персональных данных.

Этот Закон распространяется на деятельность по обработке персональных данных, осуществляется полностью или частично с применением автоматизированных средств, а также на обработку персональных данных, содержащихся в картотеке или подлежащих внесению в картотеку, с применением неавтоматизированных средств.

Статья 2. Основные понятия

В этом Законе нижеприведенные термины употребляются в таком значении:

  • база персональных данных — именованная совокупность упорядоченных персональных данных в электронной форме и/или в форме картотек персональных данных;
  • владелец персональных данных — физическое или юридическое лицо, которое определяет цель обработки персональных данных, устанавливает состав этих данных и процедуры их обработки, если иное не определено законом;
  • согласие субъекта персональных данных — добровольное волеизъявление физического лица (при условии его осведомленности) о предоставлении разрешения на обработку его персональных данных в соответствии с сформулированной целью их обработки, высказанное в письменной форме или в форме, позволяющей сделать вывод о предоставлении согласия. В сфере электронной коммерции согласие субъекта персональных данных может быть предоставлено ​​при регистрации в информационно-телекоммуникационной системе субъекта электронной коммерции путем проставления отметки о предоставлении разрешения на обработку своих персональных данных в соответствии с сформулированной целью их обработки, при условии, что такая система не создает возможностей для обработки персональных данных до момента проставления отметки;
  • обезличивание персональных данных — изъятие сведений, которые позволяют прямо или косвенно идентифицировать личность;
  • картотека — любые структурированные персональные данные, доступные по определенным критериям, независимо от того, являются ли такие данные централизованными, децентрализованными или разделенными по функциональным или географическим принципам;
  • обработка персональных данных — любое действие или совокупность действий, таких как сбор, регистрация, накопление, хранение, адаптирование, изменение, возобновление, использование и распространение (распространение, реализация, передача), обезличивание, уничтожение персональных данных, в том числе с использованием информационных (автоматизированных) систем;
  • получатель — физическое или юридическое лицо, которому предоставляются персональные данные, в том числе третьего лица;
  • персональные данные — сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано;
  • распорядитель персональных данных — физическое или юридическое лицо, которому владельцем персональных данных или законом предоставлено право обрабатывать эти данные от имени владельца;
  • субъект персональных данных — физическое лицо, персональные данные которого обрабатываются;
  • третье лицо — любое лицо, за исключением субъекта персональных данных, владельца или распорядителя персональных данных и Уполномоченного Верховной Рады Украины по правам человека, которому владельцем или распорядителем персональных данных осуществляется передача персональных данных.

Статья 3. Законодательство о защите персональных данных

Законодательство о защите персональных данных составляют Конституция Украины, этот Закон, другие законы и подзаконные нормативно-правовые акты, международные договоры Украины, согласие на обязательность которых предоставлено Верховной Радой Украины.

Статья 4. Субъекты отношений, связанных с персональными данными

1. Субъектами отношений, связанными с персональными данными, являются:

  • субъект персональных данных;
  • владелец персональных данных;
  • распорядитель персональных данных;
  • третье лицо;
  • Уполномоченный Верховной Рады Украины по правам человека (далее — Уполномоченный).

2. Владельцем или распорядителем персональных данных могут быть предприятия, учреждения и организации всех форм собственности, органы государственной власти или органы местного самоуправления, физические лица-предприниматели, которые обрабатывают персональные данные в соответствии с законом.

3. Распорядителем персональных данных, владельцем которых является орган государственной власти или орган местного самоуправления, кроме этих органов, может быть только предприятие государственной или коммунальной формы собственности, принадлежащей к сфере управления этого органа.

4. Владелец персональных данных может поручить обработку персональных данных распорядителю персональных данных в соответствии с договором, заключенным в письменной форме.

5. Распорядитель персональных данных может обрабатывать персональные данные только в целях и в объеме, определенных в договоре.

Статья 5. Объекты защиты

1. Объектами защиты являются персональные данные.

2. Персональные данные могут быть отнесены к конфиденциальной информации о лице законом или соответствующим лицом. Не является конфиденциальной информацией персональные данные, касающиеся лица, занимающего должность, связанную с выполнением функций государства или органов местного самоуправления, должностных или служебных полномочий.

3. Персональные данные, указанные в декларации об имуществе, доходах, расходах и обязательствах финансового характера, оформленной по форме и в порядке, установленным Законом Украины «Об основах предотвращения и противодействия коррупции», не относятся к информации с ограниченным доступом, кроме сведений, определенных Законом Украины «Об основах предотвращения и противодействия коррупции».

Не относится к информации с ограниченным доступом информация о получении в любой форме физическим лицом бюджетных средств, государственного или коммунального имущества, кроме случаев, предусмотренных статьей 6 Закона Украины «О доступе к публичной информации».

Законом может быть запрещено отнесение других сведений, являющихся персональными данными, к информации с ограниченным доступом.

Статья 6. Общие требования к обработке персональных данных

1. Цель обработки персональных данных должна быть сформулирована в законах, других нормативно-правовых актах, положениях, учредительных или иных документах, регулирующих деятельность владельца персональных данных, и соответствовать законодательству о защите персональных данных.

Обработка персональных данных осуществляется открыто и прозрачно с применением средств и способом, которые отвечают определенным целям такой обработки.

В случае изменения определенной цели обработки персональных данных на новую цель, которая несовместима с предыдущей, для дальнейшей обработки данных владелец персональных данных должен получить согласие субъекта персональных данных на обработку его данных в соответствии с измененной целью, если иное не предусмотрено законом.

2. Персональные данные должны быть точными, достоверными и обновляться по мере необходимости, определенной целью их обработки.

3. Состав и содержание персональных данных должны быть соответствующими, адекватными и ненадмерными относительно определенной цели их обработки.

4. Первичными источниками сведений о физическом лице являются:

  • выданные на его имя документы;
  • подписанные им документы;
  • сведения, которые лицо предоставляет о себе.

5. Обработка персональных данных осуществляется для конкретных и законных целей, определенных по согласию субъекта персональных данных или в случаях, предусмотренных законами Украины, в порядке, установленном законодательством.

6. Не допускается обработка данных о физическом лице, которые являются конфиденциальной информацией, без его согласия, кроме случаев, определенных законом, и только в интересах национальной безопасности, экономического благосостояния и прав человека.

7. Если обработка персональных данных необходима для защиты жизненно важных интересов субъекта персональных данных, обрабатывать персональные данные без его согласия можно до момента, когда получение согласия станет возможным.

8. Персональные данные обрабатываются в форме, допускающей идентификацию физического лица, которого они касаются, не дольше, чем это необходимо для законных целей, для которых они собирались или в дальнейшем обрабатывались.

Дальнейшая обработка персональных данных в исторических, статистических или научных целях может осуществляться при условии обеспечения их надлежащей защиты.

10. Типовой порядок обработки персональных данных утверждается Уполномоченным.

Статья 7. Особые требования к обработке персональных данных

1. Запрещается обработка персональных данных о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях и профессиональных союзах, осуждении к уголовному наказанию, а также данных, касающихся здоровья, половой жизни, биометрических или генетических данных.

2. Положения части первой настоящей статьи не применяются, если обработка персональных данных:

  1. осуществляется при условии предоставления субъектом персональных данных однозначного согласия на обработку таких данных;
  2. необходима для осуществления прав и исполнения обязанностей владельца в сфере трудовых правоотношений в соответствии с законом с обеспечением соответствующей защиты;
  3. необходима для защиты жизненно важных интересов субъекта персональных данных или другого лица в случае недееспособности или ограничения гражданской дееспособности субъекта персональных данных;
  4. осуществляется с обеспечением соответствующей защиты религиозной организацией, общественной организацией мировоззренческой направленности, политической партией или профессиональным союзом, созданным в соответствии с законом, при условии, что обработка касается исключительно персональных данных членов этих объединений или лиц, поддерживающих постоянные контакты с ними в связи с характером их деятельности, и персональные данные не передаются третьему лицу без согласия субъектов персональных данных;
  5. необходима для обоснования, удовлетворения или защиты правового требования;
  6. необходима в целях охраны здоровья, установления медицинского диагноза, для обеспечения попечительства или лечения или оказания медицинских услуг, функционирования электронной системы здравоохранения при условии, что такие данные обрабатываются медицинским работником или другим лицом учреждения здравоохранения или физической лицом-предпринимателем, получившим лицензию на осуществление хозяйственной деятельности по медицинской практике, и ее работниками, на которых возложены обязанности по обеспечению защиты персональных данных и на которых распространяется действие законодательства о врачебной тайне, работниками центрального органа исполнительной власти, реализующего государственную политику в сфере государственных финансовых гарантий медицинского обслуживания населения, на которых возложены обязанности по обеспечению защиты персональных данных;
  7. касается приговоров суда, выполнения задач оперативно-розыскной или контрразведывательной деятельности, борьбы с терроризмом и осуществляется государственным органом в пределах его полномочий, определенных законом;
  8. касается данных, которые были явно обнародованы субъектом персональных данных.

Статья 8. Права субъекта персональных данных

1. Личные неимущественные права на персональные данные, которыми каждое физическое лицо, являются неотъемлемыми и непреложными.

2. Субъект персональных данных имеет право:

  1. знать об источниках сбора, местонахождении своих персональных данных, цели их обработки, местонахождении или месте жительства (пребывания) владельца или распорядителя персональных данных или дать соответствующее поручение о получении этой информации уполномоченным им лицам, кроме случаев, установленных законом;
  2. получать информацию об условиях предоставления доступа к персональным данным, включая информацию о третьих лицах, которым передаются его персональные данные;
  3. на доступ к своим персональным данным;
  4. получать не позднее чем за тридцать календарных дней со дня поступления запроса, кроме случаев, предусмотренных законом, ответ о том, обрабатываются ли его персональные данные, а также получать содержание таких персональных данных;
  5. предъявлять мотивированное требование владельцу персональных данных с возражением против обработки своих персональных данных;
  6. предъявлять мотивированное требование об изменении или уничтожении своих персональных данных любым владельцем и распорядителем персональных данных, если эти данные обрабатываются незаконно или являются недостоверными;
  7. на защиту своих персональных данных от незаконной обработки и случайной потери, уничтожения, повреждения в связи с умышленным сокрытием, непредоставлением или несвоевременным их предоставлением, а также на защиту от предоставления сведений, которые являются недостоверными или порочащими честь, достоинство и деловую репутацию физического лица;
  8. обращаться с жалобами на обработку своих персональных данных к Уполномоченному или в суд;
  9. применять средства правовой защиты в случае нарушения законодательства о защите персональных данных;
  10. вносить оговорки об ограничении права на обработку своих персональных данных при предоставлении согласия;
  11. отозвать согласие на обработку персональных данных;
  12. знать механизм автоматической обработки персональных данных;
  13. на защиту от автоматизированного решения, которое имеет для него правовые последствия.

Статья 9. Уведомление об обработке персональных данных

1. Владелец персональных данных уведомляет Уполномоченного об обработке персональных данных, которая представляет особый риск для прав и свобод субъектов персональных данных, в течение тридцати рабочих дней со дня начала такой обработки.

Виды обработки персональных данных, которая представляет особый риск для прав и свобод субъектов персональных данных, и категории субъектов, на которых распространяется требование об уведомлении, определяются Уполномоченным.

2. Уведомление об обработке персональных данных предоставляется по форме и в порядке, определенными Уполномоченным.

3. Владелец персональных данных обязан уведомить Уполномоченного о каждом изменении сведений, подлежащих сообщению, в течение десяти рабочих дней со дня наступления такого изменения.

4. Информация, сообщаемая в соответствии с настоящей статьей, подлежит обнародованию на официальном сайте Уполномоченного в порядке, определенном Уполномоченным.

Статья 10. Использование персональных данных

1. Использование персональных данных предусматривает любые действия владельца по обработке этих данных, действия по их защите, а также действия по предоставлению частичного или полного права обработки персональных данных другим субъектам отношений, связанных с персональными данными, совершаемые с согласия субъекта персональных данных или в соответствии с законом.

2. Использование персональных данных владельцем осуществляется в случае создания им условий для защиты этих данных. Владельцу запрещается разглашать сведения относительно субъектов персональных данных, доступ к персональным данным которых предоставляется другим субъектам отношений, связанных с такими данными.

3. Использование персональных данных работниками субъектов отношений, связанных с персональными данными, должно осуществляться только в соответствии с их профессиональными или служебными или трудовыми обязанностями. Эти работники обязаны не допускать разглашения в любой способ персональных данных, которые им было доверены или которые стали известны в связи с исполнением профессиональных или служебных или трудовых обязанностей, кроме случаев, предусмотренных законом. Такое обязательство действующее и после прекращения ими деятельности, связанной с персональными данными, кроме случаев, установленных законом.

4. Сведения о личной жизни физического лица не могут использоваться как фактор, подтверждающий или опровергающий его деловые качества.

Статья 11. Основания для обработки персональных данных

1. Основаниями для обработки персональных данных является:

  1. согласие субъекта персональных данных на обработку его персональных данных;
  2. разрешение на обработку персональных данных, предоставленное владельцу персональных данных в соответствии с законом исключительно для осуществления его полномочий;
  3. заключение и исполнение сделки, стороной которой является субъект персональных данных или которая заключена в пользу субъекта персональных данных или для осуществления мероприятий, предшествующих заключению сделки по требованию субъекта персональных данных;
  4. защита жизненно важных интересов субъекта персональных данных;
  5. необходимость исполнения обязанности владельца персональных данных, которая предусмотрена законом;
  6. необходимость защиты законных интересов владельца персональных данных или третьего лица, которому передаются персональные данные, кроме случаев, когда потребности защиты основных прав и свобод субъекта персональных данных в связи с обработкой его данных превышают такие интересы.

Статья 12. Сбор персональных данных

1. Сбор персональных данных является составляющей процесса их обработки, что предусматривает действия по подбору или упорядочению сведений о физическом лице.

2. Субъект персональных данных информируется о владельце персональных данных, составе и содержании собранных персональных данных, своих правах, определенных этим Законом, цели сбора персональных данных и лицах, которым передаются его персональные данные:

  • в момент сбора персональных данных, если персональные данные собираются у субъекта персональных данных;
  • в других случаях в течение тридцати рабочих дней со дня сбора персональных данных.

Статья 13. Накопление и хранение персональных данных

1. Накопление персональных данных предусматривает действия по объединению и систематизации сведений о физическом лице или группе физических лиц или внесение этих данных в базу персональных данных.

2. Хранение персональных данных предусматривает действия по обеспечению их целостности и соответствующего режима доступа к ним.

Статья 14. Распространение персональных данных

1. Распространение персональных данных предусматривает действия по передаче сведений о физическом лице с согласия субъекта персональных данных.

2. Распространение персональных данных без согласия субъекта персональных данных или уполномоченного им лица допускается в случаях, определенных законом, и только (если это необходимо) в интересах национальной безопасности, экономического благосостояния и прав человека.

3. Выполнение требований установленного режима защиты персональных данных обеспечивает сторона, распространяющая эти данные.

4. Сторона, которой передаются персональные данные, должна предварительно принять меры по обеспечению требований этого Закона.

Статья 15. Удаление или уничтожение персональных данных

1. Персональные данные удаляются или уничтожаются в порядке, установленном в соответствии с требованиями закона.

2. Персональные данные подлежат удалению или уничтожению в случае:

  1. истечения срока хранения данных, определенного согласием субъекта персональных данных на обработку этих данных или законом;
  2. прекращение правоотношений между субъектом персональных данных и владельцем или распорядителем, если иное не предусмотрено законом;
  3. издания соответствующего предписания Уполномоченного или определенных им должностных лиц секретариата Уполномоченного;
  4. вступления в законную силу решения суда об удалении или уничтожении персональных данных.

3. Персональные данные, собранные с нарушением требований настоящего Закона, подлежат удалению или уничтожению в установленном законодательством порядке.

4. Персональные данные, собранные во время выполнения задач оперативно-розыскной или контрразведывательной деятельности, борьбы с терроризмом, удаляются или уничтожаются в соответствии с требованиями закона.

Статья 16. Порядок доступа к персональным данным

1. Порядок доступа к персональным данным третьих лиц определяется условиями согласия субъекта персональных данных, предоставленного владельцу персональных данных на обработку этих данных, или в соответствии с требованиями закона. Порядок доступа третьих лиц к персональным данным, которые находятся во владении распорядителя публичной информации, определяется Законом Украины «О доступе к публичной информации», кроме данных, которые получает Министерство финансов Украины от других органов при осуществлении полномочий по контролю за соблюдением бюджетного законодательства в части мониторинга пенсий, пособий, льгот, субсидий, других социальных выплат.

2. Доступ к персональным данным третьему лицу не предоставляется, если указанное лицо отказывается взять на себя обязательства по обеспечению выполнения требований этого Закона или не может их обеспечить.

3. Субъект отношений, связанных с персональными данными, подает запрос о доступе (далее — запрос) к персональным данным владельцу персональных данных.

4. В запросе указываются:

  1. фамилия, имя и отчество, место жительства (место нахождения) и реквизиты документа, удостоверяющего физическое лицо, подающее запрос (для физического лица-заявителя);
  2. наименование, местонахождение юридического лица, подающего запрос, должность, фамилия, имя и отчество лица, удостоверяющего запрос; подтверждение того, что содержание запроса соответствует полномочиям юридического лица (для юридического лица-заявителя);
  3. фамилия, имя и отчество, а также другие сведения, позволяющие идентифицировать физическое лицо, в отношении которого делается запрос;
  4. сведения о базе персональных данных, в отношении которой подается запрос, сведения о владельце или распорядителе персональных данных;
  5. перечень запрашиваемых персональных данных;
  6. цель и/или правовые основания для запроса.

5. Срок изучения запроса на предмет его удовлетворения не может превышать десяти рабочих дней со дня его поступления.

В течение этого срока владелец персональных данных доводит до сведения лица, подающего запрос, что запрос будет удовлетворен или соответствующие персональные данные не подлежат предоставлению, с указанием основания, определенного в соответствующем нормативно-правовом акте.

Запрос удовлетворяется в течение тридцати календарных дней со дня его поступления, если иное не предусмотрено законом.

6. Субъект персональных данных имеет право на получение любых сведений о себе у любого субъекта отношений, связанных с персональными данными, при условии предоставления информации, определенной в пункте 1 части четвертой этой статьи, кроме случаев, установленных законом.

Статья 17. Отсрочка или отказ в доступе к персональным данным

1. Отсрочка доступа субъекта персональных данных к своим персональным данным не допускается.

2. Отсрочка доступа к персональным данным третьих лиц допускается в случае, если необходимые данные не могут быть предоставлены в течение тридцати календарных дней со дня поступления запроса. При этом общий срок решения вопросов, затронутых в запросе, не может превышать сорока пяти календарных дней.

Сообщение об отсрочке доводится к сведению третьего лица, подавшего запрос, в письменной форме с разъяснением порядка обжалования такого решения.

В сообщении об отсрочке указываются:

  1. фамилия, имя и отчество должностного лица;
  2. дата отправки сообщения;
  3. причина отсрочки;
  4. срок, в течение которого удовлетворен запрос.

3. Отказ в доступе к персональным данным допускается, если доступ к ним запрещен по закону.

В сообщении об отказе указываются:

  1. фамилия, имя, отчество должностного лица, которое отказывает в доступе;
  2. дата отправки сообщения;
  3. причина отказа.

Статья 18. Обжалование решения об отсрочке или отказе в доступе к персональным данным

1. Решение об отсрочке или отказе в доступе к персональным данным может быть обжаловано у Уполномоченного Верховной Рады Украины по правам человека или суде.

2. Если запрос сделан субъектом персональных данных относительно данных о себе, обязанность доказывания в суде законности отказа в доступе возлагается на владельца персональных данных, к которому подан запрос.

Статья 19. Оплата доступа к персональным данным

1. Доступ субъекта персональных данных к данным о себе осуществляется бесплатно.

2. Доступ других субъектов отношений, связанных с персональными данными, к персональным данным определенного физического лица или группы физических лиц может быть платным в случае соблюдения условий, определенных настоящим Законом. Оплате подлежит работа, связанная с обработкой персональных данных, а также работа по консультированию и организации доступа к соответствующим данным.

3. Размер платы за услуги по предоставлению доступа к персональным данным органами государственной власти определяется Кабинетом Министров Украины.

4. Органы государственной власти и органы местного самоуправления имеют право на беспрепятственный и бесплатный доступ к персональным данным в соответствии с их полномочиями.

Статья 20. Изменения и дополнения к персональным данным

1. Владельцы или распорядители персональных данных обязаны вносить изменения в персональные данные на основании мотивированного письменного требования субъекта персональных данных.

2. Владельцы или распорядители персональных данных обязаны вносить изменения в персональные данные также при обращении других субъектов отношений, связанных с персональными данными, если на это есть согласие субъекта персональных данных или соответствующее изменение осуществляется согласно предписанию Уполномоченного или определенных им должностных лиц секретариата Уполномоченного или по решению суда, вступившим в законную силу.

3. Изменение персональных данных, которые не соответствуют действительности, проводится безотлагательно с момента установления несоответствия.

Статья 21. Уведомление о действиях с персональными данными

1. О передаче персональных данных третьему лицу владелец персональных данных в течение десяти рабочих дней уведомляет субъекта персональных данных, если этого требуют условия его согласия или иное не предусмотрено законом.

2. Уведомления, указанные в части первой настоящей статьи, не производятся в случае:

  1. передачи персональных данных по запросам при выполнении задач оперативно-розыскной или контрразведывательной деятельности, борьбы с терроризмом;
  2. выполнения органами государственной власти и органами местного самоуправления своих полномочий, предусмотренных законом;
  3. осуществления обработки персональных данных в исторических, статистических или научных целях;
  4. уведомление субъекта персональных данных в соответствии с требованиями части второй статьи 12 настоящего Закона.

3. Об изменении, удалении или уничтожении персональных данных или ограничении доступа к ним владелец персональных данных в течение десяти рабочих дней уведомляет субъекта персональных данных, а также субъектов отношений, связанных с персональными данными, которым эти данные были переданы.

Статья 22. Контроль за соблюдением законодательства о защите персональных данных

1. Контроль за соблюдением законодательства о защите персональных данных в пределах полномочий, предусмотренных законом, осуществляют следующие органы:

Статья 23. Полномочия Уполномоченного Верховной Рады Украины по правам человека в сфере защиты персональных данных

1. Уполномоченный имеет такие полномочия в сфере защиты персональных данных:

  1. получать предложения, жалобы и иные обращения физических и юридических лиц по вопросам защиты персональных данных и принимать решения по результатам их рассмотрения;
  2. проводить на основании обращений или по собственной инициативе выездные и невыездные, плановые, внеплановые проверки владельцев или распорядителей персональных данных в порядке, определенном Уполномоченным, с обеспечением в соответствии с законом доступа в помещения, где осуществляется обработка персональных данных;
  3. получать по своему требованию и иметь доступ к любой информации (документам) владельцев или распорядителей персональных данных, которые необходимы для осуществления контроля за обеспечением защиты персональных данных, в том числе доступ к персональным данным, соответствующим базам данных или картотекам, информации с ограниченным доступом;
  4. утверждать нормативно-правовые акты в области защиты персональных данных в случаях, предусмотренных настоящим Законом;
  5. по итогам проверки, рассмотрения обращения выдавать обязательные для исполнения требования (предписания) о предотвращении или устранении нарушений законодательства о защите персональных данных, в том числе по изменению, удалению или уничтожению персональных данных, обеспечению доступа к ним, предоставлению или запрету их предоставления третьему лицу, приостановлению или прекращению обработки персональных данных;
  6. давать рекомендации по практическому применению законодательства о защите персональных данных, разъяснять права и обязанности соответствующих лиц по обращению субъектов персональных данных, владельцев или распорядителей персональных данных, структурных подразделений или ответственных лиц по организации работы по защите персональных данных, других лиц;
  7. взаимодействовать со структурными подразделениями или ответственными лицами, которые в соответствии с настоящим Законом организуют работу, связанную с защитой персональных данных при их обработке; обнародовать информацию о таких структурных подразделениях и ответственных лицах;
  8. обращаться с предложениями к Верховной Раде Украины, Президенту Украины, Кабинету Министров Украины, другим государственным органам, органам местного самоуправления, их должностным лицам по принятию или внесению изменений в нормативно-правовые акты по вопросам защиты персональных данных;
  9. предоставлять по обращению профессиональных, самоуправляющихся и других общественных объединений или юридических лиц заключения по проектам кодексов поведения в сфере защиты персональных данных и изменениям к ним;
  10. составлять протоколы о привлечении к административной ответственности и направлять их в суд в случаях, предусмотренных законом;
  11. информировать о законодательстве по вопросам защиты персональных данных, проблемах его практического применения, правах и обязанностях субъектов отношений, связанных с персональными данными;
  12. осуществлять мониторинг новых практик, тенденций и технологий защиты персональных данных;
  13. организовывать и обеспечивать взаимодействие с иностранными субъектами отношений, связанных с персональными данными, в том числе в связи с выполнением Конвенции о защите лиц в связи с автоматизированной обработкой персональных данных и Дополнительного протокола к ней, других международных договоров Украины в сфере защиты персональных данных;
  14. участвовать в работе международных организаций по вопросам защиты персональных данных.

2. Уполномоченный Верховной Рады Украины по правам человека включает в свой ежегодный доклад о состоянии соблюдения и защиты прав и свобод человека и гражданина в Украине отчет о состоянии соблюдения законодательства в сфере защиты персональных данных.

Статья 24. Обеспечение защиты персональных данных

1. Владельцы, распорядители персональных данных и третьи лица обязаны обеспечить защиту этих данных от случайных потери или уничтожения, от незаконной обработки, в том числе незаконного уничтожения или доступа к персональным данным.

2. В органах государственной власти, органах местного самоуправления, а также у владельцев или распорядителей персональными данными, осуществляющих обработку персональных данных, подлежащих уведомлению в соответствии с настоящим Законом, создается (определяется) структурное подразделение или ответственное лицо, которое организует работу, связанную с защитой персональных данных при их обработке.

Информация об указанном структурном подразделении или ответственном лице сообщается Уполномоченному Верховной Рады Украины по правам человека, который обеспечивает ее обнародование.

3. Структурное подразделение или ответственное лицо, которое организует работу, связанную с защитой персональных данных при их обработке:

  1. информирует и консультирует владельца или распорядителя персональных данных по вопросам соблюдения законодательства о защите персональных данных;
  2. взаимодействует с Уполномоченным Верховной Рады Украины по правам человека и определенными им должностными лицами его секретариата по вопросам предотвращения и устранения нарушений законодательства о защите персональных данных.

4. Физические лица-предприниматели, в том числе врачи, имеющие соответствующую лицензию, адвокаты, нотариусы лично обеспечивают защиту персональных данных, с которыми они обладают, согласно требованиям закона.

Статья 25. Ограничения действия этого Закона

1. Ограничение действия статей 6, 7 и 8 настоящего Закона может осуществляться в случаях, предусмотренных законом, насколько это необходимо в демократическом обществе в интересах национальной безопасности, экономического благосостояния или защиты прав и свобод субъектов персональных данных или других лиц.

2. Разрешается обработка персональных данных без применения положений настоящего Закона, если такая обработка осуществляется:

  1. физическим лицом исключительно для личных или бытовых нужд;
  2. исключительно для журналистских и творческих целей, при условии обеспечения баланса между правом на уважение личной жизни и правом на свободу слова.

3. Действие настоящего Закона не распространяется на отношения по получению архивной информации репрессивных органов.

Статья 26. Финансирование работ по защите персональных данных

Финансирование работ и мероприятий по обеспечению защиты персональных данных осуществляется за счет средств Государственного бюджета Украины и местных бюджетов, средств субъектов отношений, связанных с персональными данными.

Статья 27. Применение положений настоящего Закона

1. Положения по защите персональных данных, изложенные в настоящем Законе, могут дополняться или уточняться другими законами, при условии, что они устанавливают требования по защите персональных данных, которые не противоречат требованиям этого Закона.

2. Профессиональные, самоуправляющиеся и другие общественные объединения или юридические лица могут разрабатывать кодексы поведения с целью обеспечения эффективной защиты прав субъектов персональных данных, соблюдения законодательства о защите персональных данных с учетом специфики обработки персональных данных в различных сферах. При разработке такого кодекса поведения или внесении изменений в него соответствующее объединение или юридическое лицо может обратиться за заключением к Уполномоченному.

Статья 28. Ответственность за нарушение законодательства о защите персональных данных

Нарушение законодательства о защите персональных данных влечет за собой ответственность, установленную законом.

Статья 29. Международное сотрудничество и передача персональных данных

1. Сотрудничество с иностранными субъектами отношений, связанных с персональными данными, регулируется Конституцией Украины, этим Законом, другими нормативно-правовыми актами и международными договорами Украины.

2. Если международным договором Украины, согласие на обязательность которого предоставлено Верховной Радой Украины, установлены иные правила, чем те, которые предусмотрены законодательством Украины, то применяются правила международного договора Украины.

3. Передача персональных данных иностранным субъектам отношений, связанных с персональными данными, осуществляется только при условии обеспечения соответствующим государством надлежащей защиты персональных данных в случаях, установленных законом или международным договором Украины.

Государства-участники Европейского экономического пространства, а также государства, подписавшие Конвенцию Совета Европы о защите лиц в связи с автоматизированной обработкой персональных данных, признаются такими, которые обеспечивают надлежащий уровень защиты персональных данных.

Кабинет Министров Украины определяет перечень государств, которые обеспечивают надлежащую защиту персональных данных.

Персональные данные не могут распространяться с иной целью, чем та, с которой они были собраны.

4. Персональные данные могут передаваться иностранным субъектам отношений, связанных с персональными данными, а также в случае:

  1. предоставления субъектом персональных данных однозначного согласия на такую ​​передачу;
  2. необходимости заключения или исполнения сделки между владельцем персональных данных и третьим лицом — субъектом персональных данных в пользу субъекта персональных данных;
  3. необходимости защиты жизненно важных интересов субъектов персональных данных;
  4. необходимости защиты общественного интереса, установления, выполнения и обеспечения правового требования;
  5. предоставления владельцем персональных данных соответствующих гарантий невмешательства в личную и семейную жизнь субъекта персональных данных.

Статья 30. Заключительные положения

1. Настоящий Закон вступает в силу с 1 января 2011 года.

2. Кабинету Министров Украины в течение шести месяцев со дня вступления в силу настоящего Закона:

  • обеспечить принятие нормативно-правовых актов, предусмотренных настоящим Законом;
  • обеспечить приведение своих нормативно-правовых актов в соответствие с настоящим Законом.

Смотрите еще:

  • Имущественный вычет по уведомлению заявление Получение налогового имущественного вычета при покупке жилья через работодателя Существует два варианта получения имущественного налогового вычета при покупке квартиры/дома: - через налоговую инспекцию (процесс получения вычета через налоговую инспекцию […]
  • Госпошлина за регистрации права на земельный участок Госпошлина за регистрацию земельного участка с расположенной на нем блокированной жилой застройкой составит 350 руб. Минфин России разъяснил, что в отношении земельного участка с видом разрешенного использования "блокированная жилая застройка" госпошлина за […]
  • Произведения римских юристов Произведения римских юристов 12. ДЕЯТЕЛЬНОСТЬ ЮРИСТОВ КАК ИСТОЧНИК РИМСКОГО ПРАВА Формирование юриспруденции как самостоятельного и важного источника права началось примерно в III в. до н. э. В период республики деятельность юристов сводилась к: – […]