Про затвердження документів у сфері захисту персональних даних

НАКАЗ УПОВНОВАЖЕНИЙ ВЕРХОВНОЇ РАДИ УКРАЇНИ З ПРАВ ЛЮДИНИ 08.01.2014 № 1/02-14
Про затвердження документів у сфері захисту персональних даних
На виконання вимог статей 6, 9, 22, 23, 24 Закону України «Про захист персональних даних» НАКАЗУЮ:затвердити такі, що додаються:
— Типовий порядок обробки персональних даних;
— Порядок здійснення Уповноваженим Верховної Ради України з прав людини контролю за додержанням законодавства про захист персональних даних;
— Порядок повідомлення Уповноваженого Верховної Ради України з прав людини про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, про структурний підрозділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних при їх обробці, а також оприлюднення вказаної інформації.
Уповноважений Верховної Ради України з прав людини В.В.Лутковська

ЗАТВЕРДЖЕНО
Наказ Уповноваженого  Верховної Ради України  з прав людини  08.01.2014 № 1/02-14

ТИПОВИЙ ПОРЯДОК ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ
1. Загальні положення
1.1. Цим Порядком обробки персональних даних (далі — Порядок) визначено загальні вимоги до обробки та захисту персональних даних суб’єктів персональних даних, що обробляються повністю чи частково із застосуванням автоматизованих засобів, а також персональних даних, що містяться у картотеці чи призначені до внесення до картотеки, із застосуванням неавтоматизованих засобів.
1.2. Володільці, розпорядники персональних даних самостійно визначають порядок обробки персональних даних, враховуючи специфіку обробки персональних даних у різних сферах, відповідно до вимог, визначених Законом України «Про захист персональних даних» (далі — Закон) та цим Порядком.
1.3. Вимоги цього Порядку враховуються під час розробки кодексів поведінки щодо обробки персональних даних професійними, самоврядними та іншими громадськими об’єднаннями чи юридичними особами відповідно до статті 27 Закону.
2. Вимоги до обробки персональних даних
2.1. Володілець визначає:
1) мету та підстави обробки персональних даних;
2) категорії суб’єктів персональних даних;
3) склад персональних даних;
4) порядок обробки персональних даних, а саме:
— спосіб збору, накопичення персональних даних;
— строк та умови зберігання персональних даних;
— умови та процедуру зміни, видалення або знищення персональних даних;
— умови та процедуру передачі персональних даних та перелік третіх осіб, яким можуть передаватися персональні дані;
— порядок доступу до персональних даних осіб, які здійснюють обробку, а також суб’єктів персональних даних;
— заходи забезпечення захисту персональних даних;
— процедуру збереження інформації про операції, пов’язані з обробкою персональних даних та доступом до них.
2.2. У випадках, передбачених Законом, володілець також визначає обов’язки та права осіб, відповідальних за організацію роботи, пов’язаної із захистом персональних даних під час їх обробки.
2.3. Процедури обробки, строк обробки та склад персональних даних повинні бути пропорційними меті обробки.
2.4. Мета обробки персональних даних повинна бути чіткою і законною.
2.5. Мета оброки персональних даних повинна бути визначена до початку їх збору.
2.6. У разі зміни визначеної мети обробки персональних даних на нову мету, яка є несумісною з попередньою, для подальшої обробки даних володілець персональних даних, окрім випадків, визначених законодавством, повинен отримати згоду суб’єкта персональних даних на обробку його даних відповідно до нової мети.
2.7. Обробка персональних даних здійснюється володільцем персональних даних лише за згодою суб’єкта персональних даних, за винятком тих випадків, коли така згода не вимагається Законом.
2.8. Згода суб’єкта на обробку його персональних даних повинна бути добровільною та інформованою. Згода може надаватися суб’єктом у письмовій або електронній формі, що дає змогу зробити висновок про її надання. Документи (інформація), що підтверджують надання суб’єктом згоди на обробку його персональних даних, зберігаються володільцем впродовж часу обробки таких даних.
2.9. Володілець персональних даних, крім випадків, передбачених законодавством України, повідомляє суб’єкта персональних даних про склад і зміст зібраних персональних даних, його права, визначені Законом, мету збору персональних даних та третіх осіб, яким передаються його персональні дані:
— в момент збору персональних даних, якщо персональні дані збираються у суб’єкта персональних даних;
— в інших випадках протягом тридцяти робочих днів з дня збору персональних даних.
Володілець зберігає інформацію (документи), які підтверджують надання заявнику вищезазначеної інформації протягом усього періоду обробки персональних даних.
2.10. Персональні дані обробляються у формі, що допускає ідентифікацію фізичної особи, якої вони стосуються, у строк не більше, ніж це необхідно відповідно до мети їх обробки. В будь-якому разі вони обробляються у формі, що допускає ідентифікацію фізичної особи, якої вони стосуються, не довше, ніж це передбачено законодавством у сфері архівної справи та діловодства.
2.11. У разі виявлення відомостей про особу, які не відповідають дійсності, такі відомості мають бути невідкладно змінені або знищені.
2.12. Суб’єкт персональних даних має право пред’являти вмотивовану вимогу володільцю персональних даних щодо заборони обробки своїх персональних даних (їх частини) та/або зміни їх складу/змісту. Така вимога розглядається володільцем впродовж 10 днів з моменту отримання.
2.13. Якщо за результатами розгляду такої вимоги виявлено, що персональні дані суб’єкта (їх частина) обробляються незаконно володілець припиняє обробку персональних даних суб’єкта (їх частини) та інформує про це суб’єкта персональних даних.
Якщо за результатами розгляду такої вимоги виявлено, що персональні дані суб’єкта (їх частина) є недостовірними, володілець припиняє обробку персональних даних суб’єкта (чи їх частини) та/або змінює їх склад/зміст та інформує про це суб’єкта персональних даних.
2.14. У разі якщо вимога не підлягає задоволенню, суб’єкту надається мотивована відповідь щодо відсутності підстав для її задоволення.
2.15. Суб’єкт персональних даних має право відкликати згоду на обробку персональних даних без зазначення мотивів, у разі якщо єдиною підставою для обробки є згода суб’єкта персональних даних. З моменту відкликання згоди володілець зобов’язаний припинити обробку персональних даних.
2.16. Видалення та знищення персональних даних здійснюється у спосіб, що виключає подальшу можливість поновлення таких персональних даних.
2.17. Порядок доступу до персональних даних суб’єкта персональних даних та третіх осіб визначається статтями 16 — 17 Закону.
2.18. Володілець повідомляє суб’єкта персональних даних про дії з його персональними даними на умовах, визначених статтею 21 Закону.
3. Захист персональних даних
3.1. Володілець, розпорядник персональних даних вживають заходів щодо забезпечення захисту персональних даних на всіх етапах їх обробки, у тому числі за допомогою організаційних та технічних заходів.
3.2. Володілець, розпорядник персональних даних самостійно визначають перелік і склад заходів, спрямованих на безпеку обробки персональних даних, з урахуванням вимог законодавства у сферах захисту персональних даних, інформаційної безпеки.
3.3. Захист персональних даних передбачає заходи, спрямовані на запобігання їх випадкових втрати або знищення, незаконної обробки, у тому числі незаконного знищення чи доступу до персональних даних.
3.4. Організаційні заходи охоплюють:
— визначення порядку доступу до персональних даних працівників володільця/розпорядника;
— визначення порядку ведення обліку операцій, пов’язаних з обробкою персональних даних суб’єкта та доступом до них;
— розробку плану дій на випадок несанкціонованого доступу до персональних даних, пошкодження технічного обладнання, виникнення надзвичайних ситуацій;
— регулярне навчання співробітників, які працюють з персональними даними.
3.5. Володілець/розпорядник веде облік працівників, які мають доступ до персональних даних суб’єктів. Володілець/розпорядник визначає рівень доступу зазначених працівників до персональних даних суб’єктів. Кожен із цих працівників користується доступом лише до тих персональних даних (їх частини) суб’єктів, які необхідні йому у зв’язку з виконанням своїх професійних чи службових або трудових обов’язків.
3.6. Усі інші працівники володільця/розпорядника мають право на повну інформацію лише стосовно власних персональних даних.
3.7. Працівники, які мають доступ до персональних даних, дають письмове зобов’язання про нерозголошення персональних даних, які їм було довірено або які стали їм відомі у зв’язку з виконанням професійних чи службових або трудових обов’язків.
3.8. Датою надання права доступу до персональних даних вважається дата надання зобов’язання відповідним працівником.
3.9. Датою позбавлення права доступу до персональних даних вважається дата звільнення працівника, дата переведення на посаду, виконання обов’язків на якій не пов’язане з обробкою персональних даних.
3.10. У разі звільнення працівника, який мав доступ до персональних даних, або переведення його на іншу посаду, що не передбачає роботу з персональними даними суб’єктів, вживаються заходи щодо унеможливлення доступу такої особи до персональних даних, а документи та інші носії, що містять персональні дані суб’єктів, передаються іншому працівнику.
3.11. Володілець/розпорядник веде облік операцій, пов’язаних з обробкою персональних даних суб’єкта та доступом до них. З цією метою володільцем/розпорядником зберігається інформація про:
— дату, час та джерело збирання персональних даних суб’єкта;
— зміну персональних даних;
— перегляд персональних даних;
— будь-яку передачу (копіювання) персональних даних суб’єкта;
— дату та час видалення або знищення персональних даних;
— працівника, який здійснив одну із указаних операцій;
— мету та підстави зміни, перегляду, передачі та видалення або знищення персональних даних.
Володілець/розпорядник персональних даних самостійно визначає процедуру збереження інформації про операції, пов’язані з обробкою персональних даних суб’єкта та доступом до них. У випадку обробки персональних даних суб’єктів за допомогою автоматизованої системи така система автоматично фіксує вказану інформацію. Ця інформація зберігається володільцем/розпорядником упродовж одного року з моменту закінчення року, в якому було здійснено зазначені операції, якщо інше не передбачено законодавством України.
3.12 Вимоги щодо обліку та збереження інформації про перегляд персональних даних не поширюється на володільців/розпорядників, які здійснюють обробку персональних даних в реєстрі, який є відкритим для населення в цілому.
3.13. Персональні дані залежно від способу їх зберігання (паперові, електронні носії) мають оброблятися у такий спосіб, щоб унеможливити доступ до них сторонніх осіб.
3.14. З метою забезпечення безпеки обробки персональних даних вживаються спеціальні технічні заходи захисту, у тому числі щодо виключення несанкціонованого доступу до персональних даних, що обробляються та роботі технічного та програмного комплексу, за допомогою якого здійснюється обробка персональних даних.
3.15. В органах державної влади, органах місцевого самоврядування, а також у володільців чи розпорядників персональних даних, що здійснюють обробку персональних даних, яка підлягає повідомленню відповідно до Закону, створюється (визначається) структурний підрозділ або відповідальна особа, яка організовує роботу, пов’язану із захистом персональних даних при їх обробці.
3.16. Інформація про структурний підрозділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних при їх обробці, повідомляється Уповноваженому Верховної Ради України з прав людини відповідно до Закону.
3.17. Відповідальна особа/структурний підрозділ виконує такі завдання:
— інформує та консультує володільця або розпорядника персональних даних з питань додержання законодавства про захист персональних даних;
— взаємодіє з Уповноваженим Верховної Ради України з прав людини та визначеними ним посадовими особами його Секретаріату з питань запобігання та усунення порушень законодавства про захист персональних даних.
3.18. З метою виконання вказаних завдань відповідальна особа/структурний підрозділ:
— забезпечує реалізацію прав суб’єктів персональних даних;
— користується доступом до будь-яких даних, які обробляються володільцем/розпорядником та до всіх приміщень володільця/розпорядника, де здійснюється така обробка;
— у разі виявлення порушень законодавства про захист персональних даних та/або цього Порядку повідомляє про це керівника володільця/розпорядника з метою вжиття необхідних заходів;
— аналізує загрози безпеці персональних даних.
3.19. Вимоги відповідальної особи до заходів щодо забезпечення безпеки обробки персональних даних є обов’язковими для всіх працівників, які здійснюють обробку персональних даних.
3.20. Факти порушень процесу обробки та захисту персональних даних повинні бути документально зафіксовані відповідальною особою або структурним підрозділом, що організовує роботу, пов’язану із захистом персональних даних при їх обробці.
3.21. Взаємодія з Уповноваженим Верховної Ради України з прав людини здійснюється в порядку, визначеному Законом та Законом України «Про Уповноваженого Верховної Ради України з прав людини».
3.22. Організація роботи, пов’язаної із захистом персональних даних при їх обробці, тих володільців/розпорядників, на яких не поширюються вимоги частини другої статті 24 Закону, покладається безпосередньо на тих осіб, які здійснюють обробку персональних даних, або, у разі необхідності, — на окремі структурні підрозділи чи посадових осіб.
ЗАТВЕРДЖЕНО
Наказ Уповноваженого
Верховної Ради України
з прав людини
08.01.2014 № 1/02-14
Порядок
здійснення Уповноваженим Верховної Ради України з прав людини контролю за додержанням законодавства про захист персональних даних
1. Загальні положення
1.1. Цей Порядок встановлює процедуру здійснення Уповноваженим Верховної Ради України з прав людини (далі — Уповноважений) контролю за додержанням вимог законодавства про захист персональних даних шляхом проведення перевірок фізичних осіб, фізичних осіб — підприємців, підприємств, установ і організацій усіх форм власності, органів державної влади та місцевого самоврядування, що є володільцями та/або розпорядниками персональних даних (далі — суб’єкт перевірки), а також оформлення і розгляд результатів перевірок.
1.2. У цьому Порядку терміни вживаються у такому значенні:
безвиїзна перевірка — планова або позапланова перевірка діяльності суб’єкта перевірки Уповноваженим та/або уповноваженими ним посадовими особами, яка проводиться в приміщенні Секретаріату Уповноваженого Верховної Ради України з прав людини на підставі отриманих від суб’єкта перевірки документів та пояснень без виїзду за місцезнаходженням суб’єкта перевірки та/або за місцем обробки персональних даних;
виїзна перевірка — планова або позапланова перевірка діяльності суб’єкта перевірки Уповноваженим та/або уповноваженими ним посадовими особами, яка проводиться за місцезнаходженням суб’єкта перевірки та/або безпосередньо на місці обробки персональних даних;
планова перевірка — перевірка діяльності суб’єкта перевірки, яка проводиться на підставі плану проведення перевірок на відповідний квартал та рік;
позапланова перевірка — перевірка діяльності суб’єкта перевірки, яка не передбачена в плані проведення перевірок.
акт перевірки — службовий документ, який засвідчує факт проведення перевірки діяльності суб’єкта перевірки та стан додержання ним вимог законодавства про захист персональних даних;
припис (вимога) — це обов’язкова для виконання у визначені строки письмова вимога Уповноваженого щодо усунення порушень вимог законодавства про захист персональних даних, яка вручається (надсилається) суб’єкту перевірки.
Інші терміни у цьому Порядку вживаються у значенні, наведеному в Законі України «Про захист персональних даних».
2. Організація та проведення перевірок
2.1. Контроль за додержанням суб’єктами перевірки законодавства про захист персональних даних здійснюється Уповноваженим та/або уповноваженими ним посадовими особами шляхом проведення перевірок: планових, позапланових, виїзних та безвиїзних. Планові та позапланові перевірки можуть бути виїзними та безвиїзними.
Предметом перевірки є додержання суб’єктом перевірки під час здійснення обробки персональних даних вимог Конституції України, Закону України «Про захист персональних даних», Типового порядку обробки персональних даних, а також чинних міжнародних договорів України у сфері захисту персональних даних, згода на обов’язковість яких надана Верховною Радою України.
2.2 Виїзна перевірка проводиться Уповноваженим та/або на підставі виданого ним іменного доручення такими посадовими особами (далі — уповноважені посадові особи):
— керівником Секретаріату та його заступником;
— Представниками Уповноваженого;
— керівниками структурних підрозділів Секретаріату та їх заступниками;
— працівниками Секретаріату Уповноваженого.
Доручення видається у письмовій формі на визначений у ньому строк.
2.3. До участі в перевірці в установленому законодавством порядку можуть бути залучені працівники органів державної влади, в тому числі органів державного управління, органів виконавчої влади та правоохоронних органів. В разі залучення вказаних осіб вони дають письмове зобов’язання про нерозголошення персональних даних, які стануть їм відомі в результаті проведення перевірки.
2.4. Виїзні перевірки здійснюються в робочий час суб’єкта перевірки, встановлений правилами внутрішнього трудового розпорядку.
2.5. Під час проведення перевірки Уповноважений, уповноважена посадова особа та суб’єкт перевірки мають права та обов’язки, передбачені у розділі 6 цього Порядку.
2.6. Суб’єкт перевірки зобов’язаний забезпечити доступ до приміщень, матеріалів і документів, необхідних для проведення перевірки, надавати інформацію і давати пояснення щодо фактичної та правової підстави своїх дій та рішень та забезпечити належні умови для проведення перевірки цієї інформації.
2.7. Безвиїзна перевірка проводиться в порядку, визначеному пп. 3.1-3.6 Розділу 3 Порядку здійснення провадження Уповноваженого Верховної Ради України з прав людини, з урахуванням положень цього Порядку Уповноваженим та/або уповноваженими посадовими особами.
3. Проведення планової перевірки
3.1. Планові перевірки проводяться відповідно до річних або квартальних планів, які затверджуються Уповноваженим до 1 грудня року, що передує плановому, або до 25 числа останнього місяця кварталу, що передує плановому.
3.2. У плані зазначаються категорії суб’єктів перевірок. План проведення перевірок після його затвердження розміщується на офіційному веб-сайті Уповноваженого.
3.3. Планові перевірки суб’єкта перевірки щодо дотримання вимог законодавства у сфері захисту персональних даних здійснюються з періодичністю не частіше одного разу на рік.
3.4. Датою, з якої починається відлік строку для визначення початку наступної планової перевірки, є дата закінчення попередньої планової перевірки.
4. Проведення позапланової перевірки
4.1. Позапланові перевірки суб’єктів перевірки можуть проводитись за наявності однієї або декількох підстав/приводів, зокрема:
за власною ініціативою Уповноваженого;
при безпосередньому виявленні порушень вимог законодавства про захист персональних даних Уповноваженим, в тому числі і в результаті здійснення дослідження системних проблем щодо забезпечення права на приватність, повагу до приватного та сімейного життя;
при наявності інформації про порушення вимог законодавства про захист персональних даних в повідомленнях, опублікованих в засобах масової інформації, оприлюднених в мережі Інтернет;
обґрунтовані звернення фізичних та юридичних осіб з повідомленням про порушення фізичною особою, фізичною особою — підприємцем, підприємством, установою і організацією усіх форм власності, органом державної влади чи місцевого самоврядування, що є володільцями та/або розпорядниками персональних даних вимог законодавства про захист персональних даних;
виявлення недостовірності у відомостях (даних), наданих суб’єктом перевірки на письмовий запит Уповноваженого щодо здійснення безвиїзної перевірки, та/або якщо такі відомості (дані) не дають змоги оцінити виконання суб’єктом перевірки вимог законодавства про захист персональних даних;
контроль за виконанням суб’єктом перевірки приписів щодо усунення порушень вимог законодавства про захист персональних даних, виданих за результатами проведення перевірок.
5. Оформлення результатів перевірок
5.1. За результатами здійснення планової або позапланової перевірки Уповноважений та/або уповноважена посадова особи складає у двох примірниках акт перевірки додержання вимог законодавства про захист персональних даних (далі — Акт) за формою згідно з додатком 1 до цього Порядку.
5.2. Акт повинен містити такі відомості:
дату, час та місце складання;
посади, прізвища та ініціали осіб, що проводили перевірку;
посаду, прізвище та ініціали керівника (уповноваженої ним особи) або прізвище та ініціали фізичної особи суб’єкта перевірки;
вид перевірки (планова, позапланова, виїзна, безвиїзна);
для суб’єкта перевірки — органу державної влади та місцевого самоврядування: найменування, місцезнаходження;
для суб’єкта перевірки — юридичної особи: найменування, місцезнаходження;
для суб’єкта перевірки — фізичної особи та/або фізичної особи — підприємця: прізвище, ім’я та по батькові, місце проживання;
дані про дату, час початку та час закінчення перевірки, її загальну тривалість;
факти (обставини), які встановлено за результатами перевірки;
висновок про результати перевірки.
При складанні Акта мають бути додержані об’єктивність і вичерпність опису виявлених фактів і даних.
5.3. Акт повинен містити один із таких висновків:
про відсутність у діяльності суб’єкта перевірки порушень вимог законодавства про захист персональних даних;
про виявлені у діяльності суб’єкта перевірки порушення вимог законодавства про захист персональних даних, їх детальний опис із посиланням на норми чинного законодавства, які порушено.
Забороняється вносити до акта перевірки відомості про порушення, які не підтверджено документально.
5.4. В Акті викладаються всі виявлені під час перевірки факти невиконання (неналежного виконання) суб’єктом перевірки вимог законодавства про захист персональних даних.
5.5. У разі ненадання суб’єктом перевірки документів, необхідних для проведення перевірки, в Акті робиться запис про це із зазначенням причин.
5.6. Виїзна перевірка
5.6.1. За результатами проведення виїзної перевірки складається Акт в двох примірниках, який підписується Уповноваженим або уповноваженою посадовою особою (особами), яка проводила перевірку, та керівником суб’єкта перевірки або уповноваженою ним особою.
5.6.2. Якщо суб’єкт перевірки не погоджується з Актом, він підписує його із зауваженнями. Зауваження суб’єкта перевірки щодо здійснення уповноваженими посадовими особами контролю за дотриманням вимог законодавства про захист персональних даних є невід’ємною частиною Акта. При цьому, на останній сторінці всіх примірників Акта робиться запис: «Із зауваженнями».
У разі відмови керівника суб’єкта перевірки або уповноваженої ним особи підписати Акт уповноважена посадова особа вносить до такого Акта відповідний запис.
5.6.3. Перший примірник Акта вручається керівнику суб’єкта перевірки або уповноваженій ним особі, про що ним (нею) ставиться підпис на другому примірнику Акта, який зберігається в Секретаріаті Уповноваженого.
У випадку відмови керівника суб’єкта перевірки або уповноваженої ним особи отримати другий примірник Акта він направляться суб’єкту перевірки протягом 5 робочих днів рекомендованим листом з повідомленням про вручення.
До примірника Акта, який зберігається в Секретаріаті Уповноваженого обов’язково додаються матеріали перевірки — копії документів, витяги з документів, належним чином засвідчені суб’єктом перевірки, пояснення, протоколи та інші документи.
5.7. Безвиїзна перевірка
5.7.1. За результатами проведення безвиїзної перевірки складається Акт в двох примірниках, який підписується Уповноваженим та/або уповноваженою посадовою особою (особами), яка проводила перевірку. Перший примірник надсилається суб’єкту перевірки для ознайомлення, а другий зберігається в Секретаріаті Уповноваженого.
5.7.2. До примірника Акта, який зберігається в Секретаріаті Уповноваженого, додаються матеріали перевірки — копії документів, витяги з документів, належним чином засвідчені суб’єктом перевірки, пояснення, протоколи та інші документи.
5.8. Будь-які виправлення та доповнення в Акті перевірки після його підписання не допускаються. Про виявлення описок після підписання Акта перевірки суб’єкт перевірки повідомляється письмово.
5.9. Будь-яка інформація, яка стала відомою Уповноваженому та/або уповноваженій посадовій особі (особам) під час проведення перевірки, не підлягає розголошенню.
5.10. На підставі Акта перевірки, під час якої виявлено порушення вимог законодавства про захист персональних даних, складається припис про усунення порушень вимог законодавства у сфері захисту персональних даних, виявлених під час перевірки, за формою згідно з додатком 2 до цього Порядку (далі — припис).
5.11. У приписі зазначаються:
номер, дата та місце складання припису;
для суб’єкта перевірки — органу державної влади та місцевого самоврядування: найменування, місцезнаходження;
для суб’єкта перевірки — юридичної особи: найменування, місцезнаходження, прізвище, ім’я та по батькові керівника юридичної особи;
для суб’єкта перевірки — фізичної особи та/або фізичної особи — підприємця: прізвище, ім’я та по батькові, місце її проживання;
підстава для видачі припису;
заходи необхідні для усунення порушень, виявлених під час перевірки;
строк виконання припису;
строк інформування суб’єктом перевірки Уповноваженого про усунення виявленого порушення;
підпис уповноваженої посадової особи (осіб), яка проводила перевірку.
5.12. Припис складається у двох примірниках: перший примірник не пізніше 5 робочих днів з дня складання Акта перевірки надсилається суб’єкту перевірки чи уповноваженій ним особі рекомендованим листом з повідомленням про вручення, а другий примірник залишається в Секретаріаті Уповноваженого.
На копії припису, який залишається у Секретаріаті Уповноваженого, проставляються відповідний вихідний номер і дата відправлення.
5.13. Суб’єкт перевірки повинен протягом визначеного у приписі строку (не менше ніж 30 календарних днів) вжити заходів щодо усунення порушень, зазначених у приписі, та письмово поінформувати Уповноваженого про усунення порушень разом із наданням копій документів, що це підтверджують.
5.14. Контроль за своєчасністю та повнотою виконання вимог, зазначених у приписі, здійснюється шляхом вивчення вказаних копій документів та, у разі необхідності, шляхом проведення позапланової перевірки.
5.15. У разі невиконання припису протягом вказаного у ньому строку Уповноважений або уповноважена посадова особа складає протокол про адміністративне правопорушення, передбачене статтею 188-40 Кодексу України про адміністративні правопорушення (далі — КУпАП) за формою та у порядку, передбаченому законодавством та Порядком оформлення матеріалів про адміністративні правопорушення.
5.16. У разі виявлення під час перевірки передбаченого статтею 188-39 чи статтею 188-40 КУпАП адміністративного правопорушення, вчиненого суб’єктом перевірки, Уповноважений або уповноважена посадова особа відповідно до пункту 1 частини першої статті 255 КУпАП складає протокол про адміністративне правопорушення за формою та у порядку, передбаченому законодавством та Порядком оформлення матеріалів про адміністративні правопорушення.
5.17. У разі виявлення під час перевірки суб’єкта перевірки ознак кримінального правопорушення Уповноважений направляє необхідні матеріали до правоохоронних органів.
6. Права та обов’язки уповноваженої посадової особи та посадових осіб суб’єкта перевірки
6.1. Уповноважена посадова особа при проведенні перевірки має право:
6.1.1. Безперешкодно входити на об’єкт перевірки за службовим посвідченням і мати безперешкодний доступ до місць зберігання інформації, у тому числі й до комп’ютерів, магнітних носіїв інформації тощо.
6.1.2. Отримувати на свою вимогу та мати доступ до будь-якої інформації (документів) володільців або розпорядників персональних даних, які необхідні для здійснення контролю за забезпеченням захисту персональних даних, у тому числі доступ до персональних даних, відповідних баз даних чи картотек, інформації з обмеженим доступом.
У разі існування документа лише в електронній формі за умови, що даний документ створений суб’єктом перевірки, суб’єкт перевірки зобов’язаний надати його паперову копію, що забезпечує візуальну форму відображення документа, засвідчену суб’єктом перевірки у встановленому законодавством порядку. У разі неможливості надати паперову копію, що забезпечує візуальну форму відображення документа, проводиться огляд електронного документа, про що складається акт огляду електронного документа за формою згідно з додатком 3 до цього Порядку.
6.1.3. Отримувати засвідчені у встановленому законодавством порядку копії документів.
6.1.4. Вимагати в межах своєї компетенції у керівника та/або посадових осіб суб’єкта перевірки надання завірених підписом письмових пояснень.
6.1.5. Звертатись у зв’язку з реалізацією своїх повноважень та відповідно до законодавства до органів прокуратури, інших правоохоронних органів.
6.1.6. Складати та підписувати приписи про запобігання або усунення порушень законодавства про захист персональних даних.
6.1.7. Складати та підписувати протоколи про притягнення до адміністративної відповідальності за виявлені порушення законодавства про захист персональних даних;
6.1.8. Залучати для складання протоколів осіб, присутніх при виявленні правопорушення.
6.2. Уповноважена посадова особа при проведенні перевірки зобов’язана:
6.2.1. Повно, об’єктивно та неупереджено здійснювати перевірку у межах визначених повноважень;
6.2.2. Повідомити керівника суб’єкта перевірки або уповноважену ним особу про свої обов’язки та повноваження, причину та мету перевірки, права, обов’язки керівника та посадових осіб суб’єкта перевірки;
6.2.3. Ознайомити керівника суб’єкта перевірки або уповноважену ним особу з результатами проведеної перевірки та/або протоколом про адміністративні правопорушення;
6.2.4. Визначати перелік необхідних для перевірки документів та строки їх надання;
6.2.5. Належним чином оформлювати результати перевірок;
6.2.6. Неухильно дотримуватись вимог до складання протоколів про адміністративні правопорушення, визначених Порядком оформлення матеріалів про адміністративні правопорушення.
6.3. Посадові особи суб’єкта перевірки, в тому числі керівник суб’єкта перевірки або уповноважена ним особа, під час здійснення перевірки мають право:
6.3.1. Перевіряти наявність в уповноваженої посадової особи (осіб) службового посвідчення та підстав для проведення перевірки;
6.3.2. Бути присутніми під час здійснення перевірки;
6.3.3. Одержувати та ознайомлюватись за результатами проведеної перевірки з Актом та/або протоколом про адміністративне правопорушення;
6.3.4. Надавати в письмовій формі свої пояснення та зауваження до Акта та/або протоколу про адміністративні правопорушення;
6.3.5. Оскаржувати в установленому законом порядку неправомірні дії уповноваженої посадової особи (осіб).
6.4. Посадові особи суб’єкта перевірки, в тому числі керівник суб’єкта перевірки або уповноважена ним особа, під час здійснення перевірки зобов’язані:
6.4.1. Безперешкодно допускати уповноважену посадову особу (осіб) на об’єкт перевірки та надавати доступ до документів та інших матеріалів, потрібних для проведення перевірки;
6.4.2. Надавати необхідні документи, та іншу інформацію, завірені підписом письмові пояснення, а також засвідчені в установленому законодавством порядку копії документів, що необхідні проведення перевірки;
6.4.3. Виконувати вимоги уповноваженої посадової особи (осіб) з питань додержання вимог законодавства про захист персональних даних.
Додаток 1
АКТ
перевірки додержання законодавства про захист персональних даних
(текст)
Додаток 2
ПРИПИС
про усунення порушення вимог законодавства у сфері захисту персональних даних, виявленого під час перевірки
(текст)
Додаток 3
АКТ
огляду електронного документа
(текст)
ЗАТВЕРДЖЕНО
Наказ Уповноваженого
Верховної Ради України
з прав людини
08.01.2014 № 1/02-14
Порядок
повідомлення Уповноваженого Верховної Ради України з прав людини про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, про структурний підрозділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних при їх обробці, а також оприлюднення вказаної інформації
1. Загальні положення
1.1. Цей Порядок встановлює процедуру та затверджує форму повідомлення Уповноваженого Верховної Ради України з прав людини (далі — Уповноважений) про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, про зміну відомостей, що підлягають повідомленню, та про структурний підрозділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних при їх обробці, а також оприлюднення зазначеної інформації на офіційному веб-сайті Уповноваженого.
1.2. Для цілей цього Порядку обробка персональних даних, що становить особливий ризик для прав і свобод суб’єктів — це будь-яка дія або сукупність дій, а саме збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання і поширення (розповсюдження, реалізація, передача), знеособлення, знищення, у тому числі з використанням інформаційних (автоматизованих) систем, яка здійснюється відносно персональних даних про:
— расове, етнічне та національне походження;
— політичні, релігійні або світоглядні переконання;
— членство в політичних партіях та/або організаціях, професійних спілках, релігійних організаціях чи в громадських організаціях світоглядної спрямованості;
— стан здоров’я;
— статеве життя;
— біометричні дані;
— генетичні дані;
— притягнення до адміністративної чи кримінальної відповідальності;
— застосування щодо особи заходів в рамках досудового розслідування;
— вжиття щодо особи заходів, передбачених Законом України «Про оперативно-розшукову діяльність»;
— вчинення щодо особи тих чи інших видів насильства;
— місцеперебування та/або шляхи пересування особи.
Інші терміни у цьому Порядку вживаються у значенні, наведеному в Законі України «Про захист персональних даних» (далі — Закон).
2. Процедура та форма повідомлення Уповноваженого про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних
2.1. Володілець персональних даних повідомляє Уповноваженого про здійснення ним будь-яких видів обробки персональних даних, які становлять особливий ризик для прав і свобод суб’єктів персональних даних, крім випадків, якщо:
2.1.1. здійснюється обробка, єдиною метою якої є ведення реєстру для надання інформації населенню, який відкритий для населення в цілому;
2.1.2. обробка здійснюється громадськими об’єднаннями, політичними партіями та/або організаціями, професійними спілками, об’єднаннями роботодавців, релігійними організаціями, громадськими організаціями світоглядної спрямованості за умови, що обробка стосується виключно персональних даних членів цих об’єднань та не передається без їх згоди;
2.1.3. обробка необхідна для реалізації прав та виконання обов’язків володільця персональних даних у сфері трудових правовідносин відповідно до закону.
2.2. З метою повідомлення Уповноваженого володілець персональних даних подає до Секретаріату Уповноваженого заповнений бланк заяви за формою, наведеною у Додатку 1, в межах строків, встановлених Законом. Кожна сторінка заяви має бути пронумерована та скріплена печаткою (у разі наявності) і підписом уповноваженої на те особи.
2.3. Володілець персональних даних повідомляє Уповноваженого листом на адресу Секретаріату Уповноваженого: вул. Інститутська, 21/8; м. Київ, 01008, або іншим доступним заявнику способом (факсом, електронною поштою, через скриньку, спеціально розміщену на 1 поверсі Секретаріату Уповноваженого). В разі направлення заяви електронною поштою заява має бути відсканована.
2.4. Заява повинна містити відомості про:
2.4.1. Володільця персональних даних:
— П.І.Б., реєстраційний номер облікової картки платника податків, паспортні дані, місце проживання для фізичної особи;
— найменування, код ЄДРПОУ, адреса реєстрації та/або місцезнаходження для юридичної особи.
2.4.2. Розпорядника персональних даних:
— П.І.Б., реєстраційний номер облікової картки платника податків, паспортні дані, місце проживання для фізичної особи;
— найменування, код ЄДРПОУ, адреса реєстрації та/або місцезнаходження для юридичної особи.
2.4.3. Обробку персональних даних, вказаних у п. 1.2.:
— персональні дані, що обробляються;
— мету обробки персональних даних (з посиланням на нормативно-правові акти, положення, установчі чи інші документи, які регулюють діяльність володільця персональних даних);
— категорію чи категорії суб’єктів, чиї персональні дані обробляються;
— третіх осіб, яким передаються персональні дані суб’єктів;
— транскордонну передачу персональних даних;
— місце (фактична адреса) обробки персональних даних;
— загальний опис технічних та організаційних заходів, що здійснюються володільцем персональних даних, для забезпечення їх захисту.
2.5. Заявники зберігають копію заяви, що була подана до Секретаріату Уповноваженого.
2.6. Уповноважений в порядку черговості надходження заяв, за винятком ситуацій, вказаних у п. 2.9., оприлюднює на офіційному веб-сайті Уповноваженого вказані у п. 2.4. відомості в окремому розділі «Повідомлення про здійснення обробки персональних даних, що становить особливий ризик для прав і свобод суб’єктів персональних даних».
2.7. Заяви, отримані Уповноваженим, зберігаються в архіві / електронному архіві Секретаріату Уповноваженого в порядку і впродовж строків, встановлених законодавством.
2.8. Заява вважається такою, що не була подана, та до розгляду не приймається у разі якщо:
— форма заяви не відповідає тій, що визначена у Додатку 1;
— заява містить неповну та явну недостовірну інформацію ;
— інформація, викладена у заяві, не містить відомостей, які б вказували на те, що володільцем персональних даних здійснюється обробка персональних даних, що становить особливий ризик для прав і свобод суб’єктів персональних даних.
2.9. Відомості про володільця персональних даних, який надіслав заяву, вказану у п. 2.8. Порядку, із зазначенням відповідної підстави, оприлюднюються на офіційному веб-сайті Уповноваженого в окремому розділі «Заяви, не прийняті до розгляду».
2.10. Заяви, вказані у п. 2.8. Порядку, формуються в окремі справи з грифом «Заяви, не прийняті до розгляду», та зберігаються протягом шести місяців з подальшим знищенням в порядку, визначеному законодавством України.
3. Процедура та форма повідомлення Уповноваженого про зміну відомостей у процесі обробки персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних
3.1. Володілець персональних даних, який повідомив Уповноваженого про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, в порядку, визначеному пп. 2.1.-2.5. цього Порядку, повідомляє Уповноваженого про кожну зміну відомостей, вказаних у п. 2.4.
3.2. З цією метою володілець персональних даних подає до Секретаріату Уповноваженого заповнений бланк заяви за формою, наведеною у Додатку 2, в межах строків, встановлених Законом, за правилами, визначеними пунктами 2.2-2.3 цього порядку.
3.3. Уповноважений в порядку черговості надходження заяв, вказаних в п. 3.2. Порядку, оприлюднює на офіційному веб-сайті Уповноваженого інформацію про зміну відомостей, надісланих у заяві, в розділі «Повідомлення про здійснення обробки персональних даних, що становить особливий ризик для прав і свобод суб’єктів персональних даних».
3.4. Заяви, отримані Уповноваженим, зберігаються в архіві Секретаріату Уповноваженого в порядку і впродовж строків, встановлених законодавством.
3.5. Заява вважається такою, що не була подана, та до розгляду не приймається у таких випадках:
— форма заяви не відповідає тій, що визначена у Додатку 2;
— заява містить неповну або явно недостовірну інформацію.
3.6. Заявники зберігають копію заяви, що була подана до Секретаріату Уповноваженого.
3.7. Відомості про володільця, який надіслав заяву, вказану у п. 3.5. Порядку, із зазначенням відповідної підстави, оприлюднюються на офіційному веб-сайті Уповноваженого в окремому розділі «Заяви, не прийняті до розгляду».
3.8. Заяви, вказані у п. 3.5., формуються в окремі справи з грифом «Заяви, не прийняті до розгляду» та зберігаються протягом шести місяців з подальшим знищенням в порядку, визначеному законодавством України.
4. Процедура та форма повідомлення Уповноваженого про припинення обробки персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних
4.1. Володілець персональних даних, який повідомив Уповноваженого про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, в порядку, визначеному пп. 2.1.-2.5. цього Порядку, повідомляє Уповноваженого про припинення такої обробки персональних даних.
4.2. З цією метою володілець персональних даних подає до Секретаріату Уповноваженого протягом 10 днів з моменту припинення обробки заповнений бланк заяви за формою, наведеною у Додатку 3, за правилами, передбаченими в пунктах 2.2.- 2.3. цього Порядку.
4.3. Уповноважений в порядку черговості надходження заяв, вказаних в п. 4.2. Порядку, оприлюднює на офіційному веб-сайті Уповноваженого інформацію про припинення володільцем персональних даних обробки персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, в окремому розділі «Повідомлення про здійснення обробки персональних даних, що становить особливий ризик для прав і свобод суб’єктів персональних даних».
4.4. Заяви, отримані Уповноваженим, зберігаються в архіві Секретаріату Уповноваженого в порядку і впродовж строків, встановлених законодавством.
5. Повідомлення про структурний підрозділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних при їх обробці,та оприлюднення такої інформації
5.1. Органи державної влади, органи місцевого самоврядування, а також володільці чи розпорядники персональних даних, що здійснюють обробку персональних даних, інформація про яку підлягає повідомленню Уповноваженому відповідно до цього Порядку, повідомляють Уповноваженого про створення структурного підрозділу або призначення відповідальної особи, що організовує роботу, пов’язану із захистом персональних даних при їх обробці (далі — структурний підрозділ або відповідальна особа).
5.2. З цією метою суб’єкти, вказані в п. 5.1. Порядку, подають до Секретаріату Уповноваженого заповнений бланк заяви за формою, наведеною у Додатку 4, з усіма підтверджуючими документами, впродовж 30 днів з моменту створення структурного підрозділу або призначення відповідальної особи за правилами, визначеними в пунктах 2.2.-2.3. цього Порядку.
5.3. Уповноважений в порядку черговості надходження заяв, вказаних в п. 5.2. Порядку, оприлюднює на офіційному веб-сайті Уповноваженого надіслані відомості в окремому розділі «Інформація про структурний підрозділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних при їх обробці».
5.4. В разі направлення володільцем повідомлення про припинення ним обробки персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, вказані в п. 5.3. відомості видаляються із офіційного веб-сайту Уповноваженого.
Додаток 1
Заява
про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних
(текст)
Додаток 2
Заява
про зміну відомостей щодо обробки персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних
(текст)
Додаток 3
Заява
про припинення обробки персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних
(текст)
Додаток 4
Заява
про структурний підрозділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних при їх обробці
(текст)
( Текст взято з сайту Уповноваженого Верховної Ради України з прав людини )