БАЗЫ ПЕРСОНАЛЬНЫХ ДАННЫХ:
порядок действий владельца БПД
в случае его ликвидации
Письмо Государственной службы Украины по вопросам защиты персональных данных от 21.09.12 г. № 10/4546-12
«Об отдельных вопросах, связанных с персональными данными»
В комментируемом письме Государственная служба Украины по вопросам защиты персональных данных (ГСЗПД) напоминает некоторые вопросы, связанные с использованием персональных данных физических лиц.
Заметим, что данное письмо издано до внесения последних изменений в Закон Украины «О защите персональных данных» от 01.06.10 г. № 2297-VI (далее — Закон о БПД) Законом Украины от 20.11.12 г. № 5491-VI*, однако сделанные в нем выводы в большинстве своем актуальны и сейчас.
* Эти изменения вступили в силу 20.12.12 г.
В частности, ГСЗПД напоминает, что именованная совокупность упорядоченных сведений о физических лицах в электронной форме и/или в форме картотек персональных данных, в отношении которой осуществляется действие или совокупность действий, связанных со сбором, регистрацией, накоплением, хранением, адаптированием, изменением, восстановлением, использованием и расширением (распространением, реализацией, передачей), обезличиванием, уничтожением сведений о физических лицах, может составлять одну или несколько баз персональных данных в зависимости от цели такой обработки, категорий персональных данных и субъектов, чьи персональные данные обрабатываются. Соответственно такие БПД подлежат государственной регистрации. При возникновении каких-либо изменений (в информации о владельце БПД, в названии или местонахождении, цели обработки и т. п.) о них необходимо уведомить ГСЗПД в течение 10 рабочих дней со дня наступления соответствующих изменений (ч. 6 ст. 9 Закона о БПД). Кроме того, об изменениях в этот же срок нужно уведомить и субъекта персональных данных (ч. 3 ст. 21 Закона о БПД).
Далее в комментируемом сегодня письме разъясняется порядок действий субъекта хозяйствования — владельца БПД в случае его ликвидации. Закон о БПД в этом отношении немногословен. Так, здесь сказано, что персональные данные удаляются или уничтожаются в порядке, установленном в соответствии с требованиями закона. В ч. 2 ст. 15 Закона о БПД перечислены случаи, при которых персональные данные уничтожаются:
— окончание срока хранения данных, определенного согласием субъекта персональных данных на обработку этих данных или законом;
— прекращение правоотношений между субъектом персональных данных и владельцем или распорядителем базы, если другое не предусмотрено законом;
— вступление в законную силу решения суда относительно исключения данных о физическом лице из БПД.
ГСЗПД в комментируемом письме разъясняет, что при ликвидации владельца БПД необходимо направить в данную службу Заявление о внесении изменений в сведения Государственного реестра БПД, в котором проставляется отметка «Функционирование базы персональных данных прекращено». За более подробными разъяснениями ГНСУ отсылает к разделу «Рекомендации» на официальном сайте ГСЗПД — www.zpd.gov.ua (см. «При ликвидации субъекта данные о физлицах, хранящиеся в БПД, уничтожаются или сдаются в архив» на с. 8).
| При ликвидации субъекта данные о физлицах, Из рекомендаций, размещенных на официальном сайте ГСЗПД «По окончании процессов обработки персональных данных персональные данные подлежат уничтожению или передаче в архив. В соответствии с требованиями статьи 15 Закона Украины «О защите персональных данных» персональные данные в базах персональных данных уничтожаются в порядке, установленном согласно требованиям закона. Персональные данные в базах персональных данных подлежат уничтожению в случае прекращения правоотношений между субъектом персональных данных и владельцем или распорядителем базы, если иное не предусмотрено законом. Об уничтожении персональных данных владелец базы персональных данных в течение десяти рабочих дней уведомляет субъекта персональных данных, а также субъектов отношений, связанных с персональными данными, которым эти данные были переданы (статья 21 Закона Украины «О защите персональных данных»). В соответствии с пунктом 1.7 Типового порядка обработки персональных данных в базах персональных данных, утвержденного приказом Министерства юстиции Украины от 30.12.2011 г. № 3659/5, владелец базы персональных хранит персональные данные в течение срока не более необходимого в соответствии с целью их обработки, если иное не предусмотрено законодательством. Уничтожение персональных данных осуществляется способом, исключающим последующую возможность восстановления таких данных. Важным этапом в процессе ликвидации субъекта хозяйствования является передача необходимых для хранения баз персональных данных в архив. В соответствии со статьей 32 Закона Украины «О Национальном архивном фонде и архивных учреждениях» в случае ликвидации юридических лиц (частной формы собственности) ликвидационные комиссии обязаны обеспечить сохранность их архивных документов и по согласованию с центральным органом исполнительной власти в сфере архивного дела и делопроизводства либо уполномоченным им архивным учреждением определить место последующего хранения архивных документов этих юридических лиц (все первичные документы, регистры бухгалтерского учета, бухгалтерскую отчетность и другие документы, связанные с исчислением и уплатой налогов и сборов (обязательных платежей) за период 1095 дней, предшествующих дате последней хозяйственной операции, — в течение трех лет со дня сдачи в архив, документы о начислении и выплате заработной платы наемным работникам — в течение семидесяти лет). Таким местом хранения могут быть архивные учреждения, система которых определена указанным Законом. В случае ликвидации либо реорганизации органов государственной власти, органов местного самоуправления, государственных и коммунальных предприятий, учреждений и организаций документы, накопившиеся за время их деятельности, передаются ликвидационной комиссией (ликвидатором) правопреемникам в порядке, установленном центральным органом исполнительной власти в сфере архивного дела и делопроизводства, с сохранением соответствующей формы собственности на указанные документы, а при отсутствии правопреемников — соответствующим государственным архивным учреждениям или другим местным архивным учреждениям (статья 31 Закона Украины «О Национальном архивном фонде и архивных учреждениях»). При этом следует отметить, что в случае ликвидации владельца базы персональных данных его база персональных данных становится частью общей базы персональных данных архивного учреждения. То есть новая база персональных данных субъекта хозяйствования не создается. В случае передачи персональных данных в архивные учреждения субъекты персональных данных должны быть уведомлены о факте такой передачи и об изменении цели обработки их персональных данных». |
Из этого заключаем, что те персональные данные физических лиц, которые должны храниться в архиве в течение установленных сроков согласно Перечню типовых документов, которые создаются в деятельности органов государственной власти и местного самоуправления, других учреждений, предприятий и организаций, с указанием сроков хранения документов, утвержденному приказом Минюста от 12.04.12 г. № 578/5, должны быть соответственно переданы в архив.
Другие персональные данные физических лиц, составляющие БПД (например, данные о клиентах (покупателях), номера их телефонов и т. п.), если они не подлежат обязательной передаче в архив, должны быть уничтожены. Соответственно это должно сопровождаться каким-либо актом (распоряжением, другим внутренним документом), где будут прописаны детали такого уничтожения (способ, сроки, ответственные лица и т. п.).
Также нужно помнить, что действующее законодательство требует уведомить самих субъектов персональных данных (физических лиц) о том, что их данные, согласие на обработку которых было предоставлено владельцу БПД, уничтожены или удалены (ч. 3 ст. 21 Закона о БПД).
