1січня 2011 року набрав чинності Закон України "Про захист персональних даних" (далі - Закон), прийнятий Верховною Радою України 1 червня 2010 року. Цей Закон регулює відносини, пов'язані із захистом персональних даних під час їх обробки, і поширюється на всіх юридичних та фізичних осіб – володільців бази персональних даних (в тому числі на будь-яку ланку профспілкової організації – юридичну особу).
Відповідно до статті 2 Закону:
персональні дані це – відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.
володільцем бази персональних даних є фізична або юридична особа, якій законом або за згодою суб'єкта персональних даних надано право на обробку цих даних, яка затверджує мету обробки персональних даних у цій базі даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом,
базою персональних даних є будь-яка сукупність упорядкованих персональних даних про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована
згода суб’єкта персональних даних – будь-яке документоване, зокрема, письмове, добровільне волевиявлення фізичної щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки.
Володілець бази/баз персональних даних повинен:
визначити та затвердити мету обробки персональних даних у базах персональних даних,
встановити склад персональних даних,
встановити процедуру обробки персональних даних,
визначити відповідальну особу/структурний підрозділ, відповідальний за організацію процесів з обробки персональних даних,
здійснити реєстрацію баз персональних даних.
Метою обробки персональних даних є забезпечення реалізації:
● трудових відносин;
● адміністративно-правових (в тому числі, відносин у сфері державного управління), податкових відносин та відносин у сфері бухгалтерського обліку;
● відносин у сфері управління людськими ресурсами, зокрема, кадровим потенціалом;
● відносин у сфері економічних, фінансових послуг та страхування;
● відносин у сфері реклами та збору персональних даних у комерційних цілях;
● відносин у сфері телекомунікаційних послуг;
● відносин у сфері громадської, політичної та релігійної діяльності, культури, дозвілля, спортивної та соціальної діяльності;
● відносин у сфері освіти;
● відносин у сфері охорони здоров’я;
● відносин у сфері безпеки, включаючи питаннння приваних розслідувань, побудови системи приватної безпеки та приватної охорони;
● відносин у сфері транспорту;
● відносин у сфері науки, історичних досліджень та статистики;
● інших відносин, що вимагають обробки персональних.
Персональні дані поділяються на такі категорій:
дані загального характеру (прізвище, ім’я та по батькові, дата та місце народження, громадянство, місце проживання, особисті відомості (вік, стать, сімейний стан тощо), склад сім'ї, освіта, професія, фінансова інформація,
електронні ідентифікаційні дані,
запис зображень (фото, відео) тощо),
вразливі (чутливі) персональні дані (расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, а також дані, що стосуються здоров'я чи статевого життя).
Кожна юридична особа є щонайменше володільцем однієї бази персональних даних, а саме бази персональних даних працівників, яка ведеться з метою забезпечення вимог законодавства про працю, реалізації податкових відносин та відносин у сфері бухгалтерського обліку та аудиту.
Первинна організація профспілки є володільцем наступних баз персональних даних:
бази персональних даних працівників, яка ведеться з метою забезпечення вимог законодавства про працю, реалізації податкових відносин та відносин у сфері бухгалтерського обліку та аудиту;
бази персональних даних членів профспілки.
Кожна база персональних даних (в електронному вигляді та/або в картотеках, в яких обробляються персональні дані) незалежно від обсягу та форми їх застосування, виду діяльності підлягає державній реєстрації шляхом внесення відповідного запису уповноваженим державним органом з питань захисту персональних даних до Державного реєстру баз персональних даних. Виключень щодо реєстрації баз персональних даних Закон не містить.
Для реєстрації бази персональних даних уповноваженому державному органу з питань захисту персональних даних володільцем бази персональних даних (це стосується будь-якої ланки профспілкової організації, що є юридичною особою) подається заява встановленого зразка (Додаток 1). При цьому, щодо кожної бази даних, яка перебуває у володінні заявника, подається окрема заява. Первинна профспілкова організація, що не є юридичною особою, не подає заяв на реєстрацію баз персональних даних, якими вона володіє.
Заява про реєстрацію бази персональних даних повинна містити:
інформацію про володільця бази персональних даних,
інформацію про базу даних та місце її знаходження,
підтвердження зобов’язання стосовно виконання вимог законодавства щодо захисту персональних даних.
Оскільки, відповідно до статті 5 Закону персональні дані, крім знеособлених персональних даних, за режимом доступу є інформацією з обмеженим доступом, обробка цих даних здійснюється для конкретних і законний цілей, визначених за згодою суб’єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством.
Згоду на обробку персональних даних слід отримати від усіх працівників, прийнятих на роботу після 1 січня 2011 року, зразок якої наведено у Додатку 2.
З урахуванням вимог статті 12 Закону працівник, як суб’єкт персональних даних, протягом 10 робочих днів з дня включення його персональних даних до бази персональних даних має бути повідомлений виключно у письмовій формі (за зразком, наведеним у Додатку 3) про:
свої права, визначені статтею 8 Закону,
мету збору даних (забезпечення реалізації трудових відносин, адміністративно-правових, податкових, відносин в сфері бухгалтерського обліку),
осіб, яким передаються його персональні дані.
Згода суб’єкта персональних даних на обробку його персональних даних повторно не надається, якщо володілець продовжує обробляти персональні дані суб’єкта, відповідно до правовідносин на основі вільного волевиявлення фізичної особи, які виникли до набрання чинності Законом.
Про кожну зміну вищезазначених відомостей, не пізніш як протягом десяти робочих днів з дня настання такої зміни, володілець бази персональних даних зобов'язаний повідомляти уповноважений державний орган з питань захисту персональних даних шляхом подання заяви про внесення змін до відомостей Державного реєстру баз персональних даних.
Заява про реєстрацію бази персональних даних в паперовій формі подається нарочно чи надсилається за адресою: 02660 м. Київ, вул. Марини Раскової, 15, або у формі електронного документа відповідно до вимог Законів України «Про електронні документи та електронний документообіг» та «Про електронний цифровий підпис» надсилається на електронну адресу Державної служби України з питань захисту персональних даних (register@zpd.gov.ua), також заповнити та подати заяву в електронному вигляді можна безпосередньо на сайті Державного реєстру баз персональних даних (https://rbpd.informjust.ua).
Реєструючий орган приймає протягом 10 робочих днів з дня надходження відповідної заяви рішення про реєстрацію бази персональних даних шляхом видання її володільцю свідоцтва про державну реєстрацію бази персональних даних чи повідомлення про відмову в реєстрації, про що вносить запис до Реєстру.
Реєстрація баз персональних даних та внесення змін до відомостей Державного реєстру баз персональних даних здійснюється відповідно до Закону України „Про захист персональних даних” від 01.06.2010 № 2297-VI, Положення про Державний реєстр баз персональних даних та порядок його ведення, затвердженого постановою Кабінету Міністрів України від 25.05.2011 № 616, за формами та згідно з Порядком подання заяв про реєстрацію бази персональних даних та про внесення змін до відомостей Державного реєстру баз персональних даних, що затверджені наказом Міністерства юстиції України від 08.07.2011 № 1824/5. Додаток
Додаток2
Департамент правового захисту ФПУ |
