25 апреля 2014

Шаг веред, два назад

Уполномоченный Верховной Рады по правам человека в письме от 03.03.2014 г. № 2/9-227067.14-1/НД-129 рассмотрел проблемные вопросы в сфере защиты персональных данных.
С 01.01.2014 г. не существует процедуры регистрации баз персональных данных в соответствии с требованиями действующей редакции Закона о защите персональных данных. При этом требование об уведомлении Уполномоченного об обработке персональных данных, представляющих особый риск для прав и свобод субъектов персональных данных, распространяется на всех владельцев, которые осуществляют такую обработку, независимо от того, была ими зарегистрирована в предыдущий период соответствующая база персональных данных или нет.
Владельцам персональных данных необходимо провести анализ процессов обработки этих данных на предмет их отнесения к категории представляющих особый риск для прав и свобод субъектов персональных данных, и по его результатам принять соответствующее решение об уведомлении Уполномоченного и, в случае необходимости, подать соответствующее заявление.
Основным критерием при определении того, составляет ли определенная обработка риск для прав и свобод субъектов, является то, какие категории персональных данных обрабатываются.
Также следует обратить внимание, что с 01.01.2014 г. законодательством не установлена юридическая ответственность за нерегистрацию баз персональных данных, в том числе и тех, которые были созданы, но не были зарегистрированы до 01.01.2014 г.
Исключение понятия «согласие на обработку персональных данных» из Закона о защите персональных данных не лишает возможности использовать иные механизмы по обеспечению его применения. В частности, в Разъяснениях к Типовому порядку обработки персональных данных содержится определение упомянутого понятия и разъяснен порядок его предоставления (получения).
Обязательства обеспечить защиту персональных данных от случайных потери или уничтожения, от незаконной обработки, в том числе незаконного уничтожения или доступа, распространяется на всех владельцев, распорядителей персональных данных и третьих лиц и не зависит от необходимости уведомлять Уполномоченного об обработке персональных данных, представляющих особый риск для прав и свобод субъектов персональных данных.
При этом владельцы, распорядители персональных данных самостоятельно определяют порядок обработки персональных данных, учитывая специфику соответствующей сферы, в соответствии с Законом и Типовым порядком обработки персональных данных.
Контроль за соблюдением законодательства о защите персональных данных возлагается на Уполномоченного лишь с 01.01.2014 г. За совершение деяний, которые определялись как административные правонарушения до 01.01.2014 г., а после этой даты уже не относятся к таковым, с 01.01.2014 г. лица не могут быть привлечены к юридической ответственности.
Осуществление судами контроля за соблюдением законодательства о защите персональных данных должно происходить на основании законодательства о судоустройстве, то есть в процессе осуществления соответствующего судопроизводства (гражданского, административного, уголовного), а также путем предоставления Пленумом ВСУ разъяснений по результатам обобщения судебной практики.

УПОВНОВАЖЕНИЙ ВЕРХОВНОЇ РАДИ УКРАЇНИ З ПРАВ ЛЮДИНИ
ЛИСТ
від 03.03.2014 р. N 2/9-227067.14-1/НД-129
Уповноваженим Верховної Ради України з прав людини (далі - Уповноважений) розглянуто звернення щодо надання змістовної інформації з викладених проблемних питань, у зв'язку з цим інформуємо про результати такого розгляду.
1. Щодо механізму контролю судами за додержанням законодавства про захист персональних даних у межах повноважень, передбачених законом
Статтею 22 Закону України "Про захист персональних даних" (далі - Закон) у редакції, що діє з 01.01.2014 р., передбачено покладення контролю за додержанням законодавства про захист персональних даних у межах повноважень, передбачених законом, на Уповноваженого та суди.
Таким чином, механізм здійснення судами зазначеного контролю має відбуватись на підставі законодавства про судоустрій, тобто в процесі здійснення судами судочинства (цивільного, адміністративного, кримінального та під час розгляду справ про адміністративні правопорушення), а також шляхом надання Пленумом вищого спеціалізованого суду, за результатами узагальнення судової практики, роз'яснень рекомендаційного характеру з питань застосування спеціалізованими судами законодавства при вирішенні справ відповідної судової юрисдикції (пункти 2 і 6 частини другої статті 36 Закону України "Про судоустрій і статус суддів").
Слід звернути увагу, що суб'єкт персональних даних відповідно до пунктів 78 та 9 частини другої статті 8 Закону наділений такими правами:
на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження у зв'язку з умисним приховуванням, ненаданням чи несвоєчасним їх наданням, а також на захист від надання відомостей, що є недостовірним чи ганьблять честь, гідність та ділову репутацію фізичної особи;
звертатися із скаргами на обробку своїх персональних даних до Уповноваженого або до суду;
застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних.
Реалізація зазначених прав узгоджується зі статтею 16 Цивільного кодексу України, якою передбачено, що кожна особа має право звернутися до суду за захистом свого особистого немайнового або майнового права та інтересу, та, відповідно, із Цивільним процесуальним кодексом України.
Також пунктом 10 частини першої статті 23 Закону Уповноважений наділений компетенцією складати протоколи про притягнення до адміністративної відповідальності та направляти їх до суду у випадках, передбачених законом, що вказує на повноваження відповідних судів загальної юрисдикції забезпечувати додержання законодавства про захист персональних даних.
2. Щодо необхідності отримувати згоду на обробку персональних даних
Статтею 11 Закону визначений перелік підстав для обробки персональних даних, однією з яких є згода суб'єкта персональних даних на обробку його персональних даних.
Виключення поняття "згода на обробку персональних даних" із Закону не позбавляє можливості використовувати інші механізми щодо забезпечення його застосування. Так, відповідно до пунктів 4 та 6 частини першої статті 23 Закону Уповноважений у сфері захисту персональних даних затверджує нормативно-правові акти у сфері захисту персональних даних у випадках, передбачених цим Законом, та надає рекомендації щодо практичного застосування законодавства про захист персональних даних, роз'яснює права і обов'язки відповідних осіб за зверненням суб'єктів персональних даних, володільців або розпорядників персональних даних, структурних підрозділів або відповідальних осіб з організації роботи із захисту персональних даних, інших осіб.
Відповідно до зазначених положень законодавства наказом Уповноваженого від 08.01.2014 р. N 1/02-14 "Про затвердження документів у сфері захисту персональних даних" (далі - наказ Уповноваженого) затверджено:
Зазначені нормативно-правові акти опубліковані на офіційному сайті Уповноваженого (http://www.ombudsman.gov.ua), до кожного з цих актів надано відповідні роз'яснення. Зокрема, у Роз'ясненнях до Типового порядку обробки персональних даних надано визначення поняття "згода на обробку персональних даних" та розтлумачено порядок її надання (отримання).
Так, згода суб'єкта персональних даних - добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, висловлене у письмовій чи електронній Формі.
Отже, володільцям та розпорядникам персональних даних отримувати згоду на обробку таких даних доведеться, зокрема, у тих випадках, коли існує потреба для обробки цих даних, а інші передбачені статтею 11 Закону підстави для обробки таких даних не поширюються на цей випадок обробки даних.
3. Щодо визначення "особливого ризику для прав і свобод суб'єктів персональних даних"
У пункті 1.2 Порядку повідомлення визначено, що обробкою персональних даних, що становить особливий ризик для прав і свобод суб'єктів, є будь-яка дія або сукупність дій, а саме збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання і поширення (розповсюдження, реалізація, передача), знеособлення, знищення, у тому числі з використанням інформаційних (автоматизованих) систем, яка здійснюється відносно персональних даних про:
- расове, етнічне та національне походження;
- політичні, релігійні або світоглядні переконання;
- членство в політичних партіях та/або організаціях, професійних спілках, релігійних організаціях чи в громадських організаціях світоглядної спрямованості;
- стан здоров'я;
- статеве життя;
- біометричні дані;
- генетичні дані;
- притягнення до адміністративної чи кримінальної відповідальності;
- застосування щодо особи заходів в рамках досудового розслідування;
- вжиття щодо особи заходів, передбачених Законом України "Про оперативно-розшукову діяльність";
- вчинення щодо особи тих чи інших видів насильства;
- місцеперебування та/або шляхи пересування особи.
Таким чином, основним критерієм при визначенні того, чи становить певна обробка такий ризик, є те, які категорії персональних даних обробляються. При цьому обробка вважатиметься такою, що становить особливий ризик для прав і свобод суб'єктів персональних даних, у разі якщо: склад персональних даних про особу, які обробляються володільцем, включає відомості вказаного вище змісту (пункт 1.2 Порядку повідомлення), або коли володільцем обробляються персональні дані певної категорії суб'єктів, яку можна виділити за вказаним у пункті 1.2 Порядку повідомлення критерієм. Про це більш детально зазначено у Роз'ясненнях основних положень Порядку повідомлення Уповноваженого щодо визначення обробки персональних даних, яка становить особливий ризик для прав і свобод суб'єктів персональних даних, що додаються до Порядку повідомлення і опубліковані на офіційному сайті Уповноваженого.
4. Щодо здійснення захисту персональних даних, про обробку яких повідомляти Уповноваженого не потрібно
Зобов'язання забезпечити захист персональних даних від випадкових втрати або знищення, від незаконної обробки, у тому числі незаконного знищення чи доступу до персональних даних, закріплено у частині першій статті 24 Закону, поширюється на всіх володільців, розпорядників персональних даних та третіх осіб і не залежить від необхідності повідомляти Уповноваженого про обробку персональних даних, що становить особливий ризик для прав і свобод суб'єктів персональних даних.
При цьому володільці, розпорядники персональних даних самостійно визначають порядок обробки персональних даних, враховуючи специфіку обробки персональних даних у різних сферах, відповідно до вимог, визначених Закономта Типовим порядком обробки персональних даних.
5. Щодо вчинення з 01.01.2014 р. дій з базами персональних даних, зареєстрованими до вказаної дати
Наразі з 01.01.2014 р. процедури реєстрації баз персональних даних відповідно до вимог чинної редакції Закону немає. При цьому вимога щодо повідомленняУповноваженого про обробку персональних даних, яка становить особливий ризик для прав і свобод суб'єктів персональних даних, поширюється на всіх володільців, які здійснюють таку обробку персональних даних, незалежно від того, була ними зареєстрована в попередній період відповідна база персональних даних чи ні.
При цьому обробка персональних даних повинна здійснюватись з дотриманням вимог чинного законодавства у сфері захисту персональних даних.
6. Щодо реєстрації баз персональних даних, утворених до 01.01.2014 р.
З 01.01.2014 р. відповідно до вимог чинної редакції Закону процедура реєстрації баз персональних даних замінена обов'язком володільців персональних даних повідомляти Уповноваженого про обробку персональних даних, яка становить особливий ризик для прав і свобод суб'єктів персональних даних. У зв'язку з цим володільцям персональних даних необхідно провести аналіз процесів обробки цих даних на предмет їх віднесення до таких, що становлять особливий ризик для прав і свобод суб'єктів персональних даних, та за його результатом прийняти відповідне рішення про повідомлення Уповноваженого і, в разі необхідності, подати відповідну заяву за формою, встановленою у додатку 1 до Порядку повідомлення.
Також слід звернути увагу, що з 01.01.2014 р. законодавством не встановлено юридичну відповідальність за нереєстрацію баз персональних даних, у тому числі й тих, що були створені, але не були зареєстровані до 01.01.2014 р.
7. Щодо можливості Уповноваженого накладати штрафи за порушення, допущені до 01.01.2014 р.
Контроль за додержанням законодавства про захист персональних даних у межах повноважень, передбачених законом, покладається на Уповноваженого лише з набранням чинності Законом України від 03.07.2013 р. N 383-VII "Про внесення змін до деяких законодавчих актів України щодо удосконалення системи захисту персональних даних" (далі - Закон N 383-VII), тобто з 01.01.2014 р. Законом N 383-VII внесено зміни також і до Кодексу України про адміністративні правопорушення (фактичне викладеннястатей 18839 та 18840 в новій редакції). При цьому відповідно до статті 8 Кодексу України про адміністративні правопорушення закони, які пом'якшують або скасовують відповідальність за адміністративні правопорушення, мають зворотну силу, тобто поширюються і на правопорушення, вчинені до видання цих законів. Таким чином, за вчинення діянь, які визначались як адміністративні правопорушення до 01.01.2014 р., а після цієї дати вже не відносяться до таких правопорушень, з 01.01.2014 р. до юридичної відповідальності особи не можуть бути притягнені.
Крім того, статтею 38 Кодексу України про адміністративні правопорушенняпередбачено, що адміністративне стягнення може бути накладено не пізніш, як черездва місяці з дня вчинення правопорушення, а при триваючому правопорушенні - не пізніш, як через два місяці з дня його виявлення, за винятком випадків, коли справи про адміністративні правопорушення відповідно до цього Кодексу підвідомчі суду (судді). Якщо справи про адміністративні правопорушення відповідно до цього Кодексу чи інших законів підвідомчі суду (судді), стягнення може бути накладено не пізніш, як через три місяці з дня вчинення правопорушення, а при триваючому правопорушенні - не пізніш, як через три місяці з дня його виявлення, крім справ про адміністративні правопорушення, зазначені у частині третій цієї статті.
Слід звернути увагу, що відповідно до пункту 10 частини першої статті 23 Закону Уповноважений складає протоколи про притягнення до адміністративної відповідальності та направляє їх до суду у випадках, передбачених законом.
Отже, Уповноваженим може бути складено протокол про притягнення до адміністративної відповідальності за ті діяння, які визнаються адміністративними правопорушеннями згідно з чинним законодавством і вчинені чи виявлені, відповідно, у строки, встановлені частиною другою статті 38 Кодексу України про адміністративні правопорушення.

Керівник Секретаріату
Б. Крикливенко

Добавьте +1470 к вашей карме.
Нажмите на кнопочки соцсетей — поделитесь информацией.
Пространство любит помогать тем, кто помогает другим. Помните об этом:)


Комментариев нет:

Отправить комментарий