Нюанси-ЗАПЕРДАНси
Бази персональних даних: коли реєструвати, як вносити зміни і як знищувати
Лист Державної служби України
з питань захисту персональних даних
від 21.09.2012 р. № 10/4546-12*
Щодо окремих питань,
пов’язаних із персональними даними
Державна служба України з питань захисту персональних даних (далі —Служба) розглянула Ваше звернення <...>, надіслане листом Управління з питань звернень громадян Адміністрації Президента України, та в межах повноважень зазначає наступне.
Щодо належності до бази персональних даних
Виходячи з термінів, наведених в статті 2 Закону України «Про захист персональних даних» (далі — Закон), іменована сукупність упорядкованих відомостей про фізичних осіб (клієнтів, працівників, споживачів, контрагентів тощо) в електронній формі та/або у формі картотек персональних даних, щодо якої здійснюється дія або сукупність дій, які пов’язані зі збиранням, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, поновленням, використанням і поширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичних осіб, може становити одну або декілька баз персональних даних в залежності від мети такої обробки, категорій персональних даних та суб’єктів, чиї персональні дані обробляються.
Всі бази персональних даних відповідно до статті 9 Закону підлягають державній реєстрації шляхом внесення відповідного запису Службою до Державного реєстру баз персональних даних у порядку, встановленому Положенням про Державний реєстр баз персональних даних та порядок його ведення, затвердженим Постановою Кабінету Міністрів України від 25.05.2011 р. № 616, та наказом Міністерства юстиції України від 08.07.2011 № 1824/5 «Про затвердження форм заяв про реєстрацію бази персональних даних та про внесення змін до відомостей Державного реєстру баз персональних даних і порядку їх подання», зареєстрованим в Міністерстві юстиції України від 19.07.2011 р. за № 890/19628 (далі — наказ № 1824/5).
Щодо внесення змін
до Державного реєстру баз персональних даних
та вилучення зареєстрованої бази персональних даних
Згідно з пунктом 11 наказу № 1824/5 заявник повідомляє Службу про кожну зміну відомостей, необхідних для реєстрації бази персональних даних, не пізніше ніж протягом десяти робочих днів з дня настання такої зміни шляхом подання відповідної заяви. Тобто заявник зобов’язаний повідомляти Службу про кожну зміну відомостей, необхідних для реєстрації бази персональних даних, а саме: у разі зміни інформації про володільця бази персональних даних, про найменування і місцезнаходження бази персональних даних, мети обробки персональних даних, інформації про розпорядників бази персональних даних.
Під час процедури ліквідації суб’єкта господарювання та у разі припинення ним всіх дій з обробки персональних даних у базах персональних даних володільцю бази персональних даних необхідно повідомити Службу про припинення функціонування бази персональних даних шляхом надсилання Заяви про внесення змін до відомостей Державного реєстру баз персональних даних (проставлення відмітки «Функціонування бази персональних даних припинено»).
Принагідно інформуємо, що на офіційному сайті Служби (http://zpd.gov.ua) у розділі «Рекомендації» розміщено інформацію про дотримання вимог законодавства про захист персональних даних при ліквідації юридичної особи.
Щодо знищення персональних даних
Статтею 15 Закону визначено, що персональні дані в базах персональних даних підлягають знищенню у разі:
закінчення строку зберігання даних, визначеного згодою суб’єкта персональних даних на обробку цих даних або законом;
припинення правовідносин між суб’єктом персональних даних та володільцем чи розпорядником бази, якщо інше не передбачено законом;
набрання законної сили рішенням суду щодо вилучення даних про фізичну особу з бази персональних даних.
При цьому персональні дані в базах персональних даних знищуються в порядку, встановленому відповідно до вимог закону.
Голова Служби О. Мервінський
Від редакції
На низку цілком конкретних запитань Держслужба з питань ПД відреагувала простим цитуванням норм Закону. Як, наприклад, виконати норму Закону про необхідність знищення персональних даних працівника після його звільнення? Хто як не спеціалізоване відомство мало з’ясувати ситуацію?! І якщо, приміром, Мін’юсту (див. його лист від 25.09.2012 р. № Н-18036/8.2 у «Бухгалтері» № 40’2012 на с. 21–23) або Державній архівній службі України (див. її лист від 13.09.2012 р. № 01.2/2855 у «Бухгалтері» № 39’2012 на с. 34–35) ще можна було вибачити непоінформованість у цьому питанні, то мовчання Держслужби з питань ПД дивує.
* Наводимо запитання, відповіддю на які є цей лист:
«1. Якщо підприємство виявило помилку в заяві про реєстрацію БПД (неправильно вказано контактний телефон та ін.) уже після того, як заяву було надіслано, як саме виправити таку помилку? Чи слід надіслати нову або повторну заяву?
2. У разі припинення (ліквідації) підприємства, яке зареєструвало БПД у грудні 2011 року,— чи необхідно здійснювати будь-які дії (отримувати підтвердження, що БПД знята з обліку тощо)?
3. Суб’єкт господарювання є власником сервісного центру з ремонту техніки та отримує дані клієнтів, позначені у квитанціях (П. І. Б., адреса і номер телефону), при цьому надалі така інформація не систематизується (квитанції просто накопичуються). Чи потрібно в такому випадку реєструвати базу даних «Клієнти»?
4. Чи є структуровані папки з договорами з фізичними особами базами персональних данних чи ні?
5. Якщо фізична особа звільнилася за власним бажанням, чи повинне підприємство, зважаючи на вимоги Закону від 01.06.2010 р. № 2297-VI «Про захист персональних даних», знищити всі дані про неї (зокрема, згідно з вимогами п. 2 ст. 15)? Чи існують вимоги інших нормативних актів (крім Закону № 2297) щодо строку зберігання документів?
6. Адвокат заводить на кожного клієнта окрему папку, куди поміщає відомості про такого клієнта, документи (або їх копії), що були отримані під час ведення справи. Чи повинен адвокат зареєструвати базу персональних даних?».— Ред.
