Законом України «Про внесення змін до деяких законодавчих актів України щодо удосконалення системи захисту персональних даних» від 03.07.2013 р. № 383-VII (далі — Закон № 383) було внесено зміни до Закону України «Про захист персональних даних» від 01.06.2010 р. № 2297-VI (далі — Закон № 2297), які набрали чинності з 1 січня 2014 року.
Основним нововведенням стало фактичне скасування обов’язку реєстрації баз персональних даних.
Крім того, повноваження Державної служби України з питань захисту персональних даних були передані Уповноваженому ВРУ з прав людини (далі — Уповноважений).
При цьому Положення про Державну службу України з питань захисту персональних даних, затверджене Указом Президента України від 06.04.2011 р. № 390/2011, чинності не втратило.
Вочевидь, це зумовлено існуванням перехідного періоду тривалістю в 3 місяці, протягом якого Уповноважений, на підставі Прикінцевих та перехідних положень Закону № 383, зобов’язаний прийняти власні нормативно-правові акти у сфері захисту персональних даних, а Кабмін — передати Уповноваженому реєстр баз персональних даних та заяви про їх реєстрацію, подані до набрання чинності зазначеним Законом.
Натомість ст. 9 оновленого Закону № 2297 встановлено, що володільці баз персональних даних зобов’язані повідомляти Уповноваженого про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів цих даних.
Види «ризикової» обробки та категорії осіб, на яких поширюється вимога щодо такого повідомлення, визначені наказом Уповноваженого «Про затвердження документів у сфері захисту персональних даних» від 08.01.2014 р. № 1/02-14, яким, зокрема, встановлено:
- Типовий порядок обробки персональних даних; — Порядок здійснення Уповноваженим ВРУ з прав людини контролю за додержанням законодавства про захист персональних даних;
- Порядок повідомлення Уповноваженого ВРУ з прав людини про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, про структурний підрозділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних при їх обробці, а також оприлюднення вказаної інформації (далі — Порядок повідомлення).
Так, згідно з п. 1.2 Порядку повідомлення до даних, що становлять особливий ризик, відноситься така інформація:
- расове, етнічне та національне походження;
- політичні, релігійні або світоглядні переконання;
- членство в політичних партіях та/або організаціях, професійних спілках, релігійних організаціях чи в громадських організаціях світоглядної спрямованості;
- стан здоров’я 1;
(1 Виняток становить інформація, яка міститься у медичних довідках, листках непрацездатності тощо, що обробляються володільцем при реалізації трудових відносин. Про це, зокрема, йдеться в офіційному Роз’ясненні основних положень Порядку повідомлення від 08.01.2014 р.) - статеве життя;
- біометричні дані;
- генетичні дані;
- притягнення до адміністративної чи кримінальної відповідальності 2;
(2 Разом з цим, у згаданому Роз’ясненні зазначено, що обробкою «ризикових» даних вважається не лише обробка даних про притягнення до відповідальності, а й обробка загальних персональних даних, які належать особі, що притягувалася до адміністративної чи кримінальної відповідальності. Відтак, на такого володільця поширюється вимога щодо повідомлення Уповноваженого.) - застосування щодо особи заходів в рамках досудового розслідування;
- вжиття щодо особи заходів, передбачених Законом України «Про оперативно-розшукову діяльність»;
- вчинення щодо особи тих чи інших видів насильства;
- місцеперебування та/або шляхи пересування особи 3.
(3 В дану категорію, згідно з Роз’ясненням, не потрапляє інформація про місце проживання, місце реєстрації, службові та інші відрядження та поїздки.)
Отже, у разі здійснення обробки вищезазначених даних, на їх володільця в загальному порядку поширюються вимоги ст. 9 Закону № 2297 щодо інформування Уповноваженого про таку обробку.
Винятками із загальновстановленого обов’язку, згідно з п. 2.1 Порядку повідомлення, є випадки, коли:
- єдиною метою здійснюваної обробки є ведення реєстру для надання інформації населенню, який відкритий для населення в цілому;
- обробка здійснюється громадськими об’єднаннями, політичними партіями та/або організаціями, професійними спілками, об’єднаннями роботодавців, релігійними організаціями, громадськими організаціями світоглядної спрямованості за умови, що обробка стосується виключно персональних даних членів цих об’єднань та не передається без їх згоди;
- обробка необхідна для реалізації прав та виконання обов’язків володільця персональних даних у сфері трудових правовідносин відповідно до закону.
Оскільки нормами ч. 2 ст. 24 КЗпП передбачена законна підстава роботодавця володіти певними персональними даними найманих працівників, при здійсненні «ризикової» обробки даних, передбачених п. 1.2 Порядку повідомлення, що належать особам, які перебувають у трудових відносинах із володільцем персональних даних, на такого володільця не поширюється вимога щодо обов’язкового повідомлення Уповноваженого про таку обробку.
В усіх інших випадках володілець персональних даних, що здійснює обробку даних, які становлять особливий ризик для їх суб’єктів, зобов’язаний повідомити Уповноваженого впродовж тридцяти робочих днів з дня початку такої обробки.
Для цього такий володілець листом або іншим зручним для нього способом (факсом, електронною поштою, через скриньку, спеціально розміщену на першому поверсі Секретаріату Уповноваженого) подає до Секретаріату Уповноваженого заповнений бланк заяви за формою додатка 1 до Порядку повідомлення. Копію даної заяви володілець повинен зберігати у себе.
При поданні належним чином оформленої заяви, відомості, зазначені у ній, оприлюднюються на офіційному веб-сайті Уповноваженого в окремому розділі «Повідомлення про здійснення обробки персональних даних, що становить особливий ризик для прав і свобод суб’єктів персональних даних».
В аналогічному порядку здійснюється повідомлення Уповноваженого про зміну відомостей в процесі обробки персональних даних, яка становить особливий ризик (з поданням заяви за формою додатка 2 до Порядку повідомлення), та про припинення такої обробки (при поданні заяви за формою додатка 3 до Порядку повідомлення).
Крім того, аналогічним чином володільці повідомляють Уповноваженого про створення структурного підрозділу або призначення відповідальної особи, що організовує роботу, пов’язану із захистом персональних даних при їх обробці, шляхом подання заяви за формою додатка 4 до Порядку повідомлення протягом 30 днів з моменту створення такого підрозділу або призначення відповідальної особи.
Варто зазначити, що порушення законодавства про захист персональних даних тягне за собою відповідальність, встановлену ст. 18839 КпАП.
Так, неповідомлення або несвоєчасне повідомлення Уповноваженого про обробку персональних даних або про зміну відомостей, які підлягають повідомленню, повідомлення неповних чи недостовірних відомостей, — тягнуть за собою накладення штрафу на громадян від 100 до 200 НМДГ і на посадових осіб, громадян — суб’єктів підприємницької діяльності — від 200 до 400 НМДГ.
