БАЗИ ПЕРСОНАЛЬНИХ ДАНИХ:
порядок дій володільця БПД у разі його ліквідації
Лист Державної служби України з питань захисту персональних даних від 21.09.12 р. № 10/4546-12
«Щодо окремих питань, пов’язаних з персональними даними»
У листі, що коментується, Державна служба України з питань захисту персональних даних (ДСЗПД) нагадує деякі моменти, пов’язані з використанням персональних даних фізичних осіб.
Зауважимо, що цей лист видано до внесення останніх змін до Закону України «Про захист персональних даних» від 01.06.10 р. № 2297-VI (далі — Закон про БПД) Законом України від 20.11.12 р. № 5491-VI*, однак зроблені в ньому висновки здебільшого актуальні й сьогодні.
* Ці зміни набрали чинності 20.12.12 р.
Зокрема, ДСЗПД нагадує, що іменована сукупність упорядкованих відомостей про фізичних осіб в електронній формі та/або у формі картотек персональних даних, стосовно якої здійснюється дія або сукупність дій, пов’язаних зі збиранням, реєстрацією, накопиченням, зберіганням, адаптацією, зміною, відновленням, використанням та розширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичних осіб, може становити одну або декілька баз персональних даних залежно від мети такої обробки, категорій персональних даних та суб’єктів, чиї персональні дані обробляються. Відповідно такі БПД підлягають державній реєстрації. При виникненні будь-яких змін (в інформації про власника БПД, у назві або місцезнаходженні, меті обробки тощо) про них необхідно повідомити ДСЗПД протягом 10 робочих днів від дня настання відповідних змін (ч. 6 ст. 9 Закону про БПД). Крім того, про зміни саме в цей строк потрібно повідомити й суб’єкта персональних даних (ч. 3 ст. 21 Закону про БПД).
Далі в листі, що коментується, роз’яснюється порядок дій суб’єкта господарювання — володільця БПД у разі його ліквідації. Закон про БПД у цьому плані небагатослівний. Так, тут зазначено, що персональні дані видаляються або знищуються в порядку, установленому відповідно до вимог закону. У ч. 2 ст. 15 Закону про БПД перелічено випадки, у яких персональні дані знищуються:
— закінчення строку зберігання даних, визначеного згодою суб’єкта персональних даних на обробку цих даних або законом;
— припинення правовідносин між суб’єктом персональних даних та володільцем або розпорядником бази, якщо інше не передбачено законом;
— набрання законної сили рішенням суду щодо виключення даних про фізичну особу з БПД.
ДСЗПД у листі, що коментується, роз’яснює: при ліквідації володільця БПД необхідно надіслати до цієї служби Заяву про внесення змін до відомостей Державного реєстру БПД, у якій проставляється відмітка «Функціонування бази персональних даних припинено». За детальнішими роз’ясненнями ДПСУ відсилає до розділу «Рекомендації» на офіційному сайті ДСЗПД — www.zpd.gov.ua (див. «При ліквідації суб’єкта дані про фізичних осіб, що зберігаються у БПД, знищуються або здаються до архіву» на с. 8).
| При ліквідації суб’єкта дані про фізичних осіб, Із рекомендацій, розміщених на офіційному сайті ДСЗПД «Після закінчення процесів обробки персональних даних персональні дані підлягають знищенню або передачі в архів. Відповідно до вимог статті 15 Закону України «Про захист персональних даних» персональні дані в базах персональних даних знищуються в порядку, встановленому відповідно до вимог закону. Персональні дані в базах персональних даних підлягають знищенню у разі припинення правовідносин між суб’єктом персональних даних та володільцем чи розпорядником бази, якщо інше не передбачено законом. Про знищення персональних даних володілець бази персональних даних протягом десяти робочих днів повідомляє суб’єкта персональних даних, а також суб’єктів відносин, пов’язаних із персональними даними, яким ці дані було передано (стаття 21 Закону України «Про захист персональних даних»). Відповідно до пункту 1.7 Типового порядку обробки персональних даних у базах персональних даних, затвердженого наказом Міністерства юстиції України від 30.12.2011 р. № 3659/5, володілець бази персональних зберігає персональні дані у строк не більше, ніж це необхідно відповідно до мети їх обробки, якщо інше не передбачено законодавством. Знищення персональних даних здійснюється у спосіб, що виключає подальшу можливість поновлення таких даних. Важливим етапом у процесі ліквідації суб’єкта господарювання є передача необхідних для зберігання баз персональних даних в архів. Відповідно до статті 32 Закону України «Про Національний архівний фонд та архівні установи» у разі ліквідації юридичних осіб (приватної форми власності) ліквідаційні комісії зобов’язані забезпечити збереженість їх архівних документів і за погодженням із центральним органом виконавчої влади у сфері архівної справи і діловодства або уповноваженою ним архівною установою визначити місце подальшого зберігання архівних документів цих юридичних осіб (усі первинні документи, регістри бухгалтерського обліку, бухгалтерську звітність та інші документи, пов’язані з обчисленням і сплатою податків і зборів (обов’язкових платежів) за період 1095 днів, що передують даті останньої господарської операції, — протягом трьох років з дня здавання в архів, документи про нарахування та виплату заробітної плати найманим працівникам — протягом сімдесяти років). Таким місцем зберігання можуть бути архівні установи, система яких визначена зазначеним Законом. У разі ліквідації або реорганізації органів державної влади, органів місцевого самоврядування, державних і комунальних підприємств, установ та організацій документи, що нагромадилися за час їх діяльності, передаються ліквідаційною комісією (ліквідатором) правонаступникам у порядку, встановленому центральним органом виконавчої влади у сфері архівної справи і діловодства, зі збереженням відповідної форми власності на зазначені документи, а у випадках відсутності правонаступників — відповідним державним архівним установам або іншим місцевим архівним установам (стаття 31 Закону України «Про Національний архівний фонд та архівні установи»). При цьому слід зазначити, що у випадку ліквідації володільця бази персональних даних його база персональних даних стає частиною загальної бази персональних даних архівної установи. Тобто нова база персональних даних суб’єкта господарювання не утворюється. У випадку передачі персональних даних в архівні установи суб’єкти персональних даних мають бути повідомлені про факт такої передачі та про зміну мети обробки їх персональних даних». |
Із цього доходимо висновку, що ті персональні дані фізичних осіб, які мають зберігатися в архіві протягом установлених строків відповідно до Переліку типових документів, що створюються під час діяльності органів державної влади та місцевого самоврядування, інших установ, підприємств та організацій, із зазначенням строків зберігання документів, затвердженого наказом Мін’юсту від 12.04.12 р. № 578/5, має бути передано до архіву.
Інші персональні дані фізичних осіб, що складають БПД (наприклад, дані про клієнтів (покупців), номери їх телефонів тощо), якщо вони не підлягають обов’язковій передачі до архіву, має бути знищено. Відповідно це має супроводжуватися будь-яким актом (розпорядженням, іншим внутрішнім документом), де буде прописано деталі такого знищення (спосіб, строки, відповідальні особи тощо).
Також потрібно пам’ятати, що чинне законодавство вимагає повідомити самих суб’єктів персональних даних (фізичних осіб) про те, що їх дані, згоду на обробку яких було надано володільцю БПД, знищено або видалено (ч. 3 ст. 21 Закону про БПД).
