Про затвердження Порядку здійснення Державною службою України з питань захисту персональних даних державного контролю за додержанням законодавства про захист персональних даних

Міністерства та відомства України

Про затвердження Порядку здійснення Державною службою України з питань захисту персональних даних державного контролю за додержанням законодавства про захист персональних даних

Наказ від 22.06.2012 р. № 947/5

Зареєстровано в Міністерстві юстиції України 26 червня 2012 р. за № 1064/21376

(витяг)

Відповідно до частини першої статті 22, частини другої статті 23 Закону України «Про захист персональних даних», підпунктів 12 — 18 пункту 4 Положення про Державну службу України з питань захисту персональних даних, затвердженого Указом Президента України від 06 квітня 2011 року № 390,

НАКАЗУЮ:

1. Затвердити Порядок здійснення Державною службою України з питань захисту персональних даних державного контролю за додержанням законодавства про захист персональних даних, що додається.

<…>

4. Цей наказ набирає чинності одночасно з набранням чинності Законом України «Про внесення змін до деяких законодавчих актів України щодо посилення відповідальності за порушення законодавства про захист персональних даних» від 02 червня 2011 року № 3454-VI, але не раніше дня його офіційного опублікування.

Міністр О. Лавринович

Затверджено наказом Міністерства юстиції України від 22.06.2012 р. № 947/5

Порядок здійснення Державною службою України з питань захисту персональних даних державного контролю за додержанням законодавства про захист персональних даних

Зареєстровано в Міністерстві юстиції України 26 червня 2012 р. за № 1064/21376

1.1. Цей Порядок врегульовує механізми здійснення Державною службою України з питань захисту персональних даних (далі — ДСЗПД) державного контролю за додержанням вимог законодавства про захист персональних даних шляхом проведення перевірок фізичних осіб, фізичних осіб — підприємців, підприємств, установ і організацій усіх форм власності, органів державної влади, що є володільцями та/або розпорядниками баз персональних даних (далі — суб'єкт перевірки), а також оформлення і розгляд результатів перевірок.

1.2. У цьому Порядку терміни вживаються у такому значенні:

безвиїзна перевірка — планова або позапланова перевірка діяльності суб'єкта перевірки уповноваженими особами ДСЗПД, яка проводиться в приміщенні ДСЗПД на підставі отриманих від суб'єкта перевірки документів та пояснень без виїзду за місцезнаходженням суб'єкта перевірки та/або за місцезнаходженням бази персональних даних;

виїзна перевірка — планова або позапланова перевірка діяльності суб'єкта перевірки працівниками ДСЗПД, яка проводиться за місцезнаходженням суб'єкта перевірки та/або за місцезнаходженням бази персональних даних;

планова перевірка — перевірка діяльності суб'єкта перевірки, яка проводиться на підставі плану проведення перевірок на відповідний квартал та рік;

позапланова перевірка — перевірка діяльності суб'єкта перевірки, яка не передбачена в плані проведення перевірок.

Інші терміни у цьому Порядку вживаються у значенні, наведеному в Законі України «Про захист персональних даних».

2.1. Контроль за додержанням суб'єктами перевірки законодавства про захист персональних даних здійснюється ДСЗПД шляхом проведення перевірок: планових, позапланових, виїзних та безвиїзних. Планові та позапланові перевірки є виїзними та безвиїзними.

2.2. Перевірка проводиться на підставі відповідного наказу ДСЗПД. У наказі ДСЗПД про проведення перевірки визначаються:

суб'єкт перевірки;

дата початку та дата закінчення перевірки;

склад комісії, якій доручено проведення перевірки (далі — комісія), із визначенням її голови;

правові підстави проведення перевірки.

2.3. До комісії повинні входити не менше ніж три посадові особи ДСЗПД. Очолює комісію голова комісії, який визначається наказом ДСЗПД про проведення перевірки. Головою комісії може бути лише представник ДСЗПД.

До роботи комісії можуть залучатися в установленому законодавством порядку працівники інших органів державної влади, в тому числі органів державного управління, органів виконавчої влади та правоохоронних органів, а також фахівці (експерти) (за згодою).

За необхідності склад комісії може бути змінений наказом ДСЗПД.

2.4. Після підписання уповноваженою посадовою особою ДСЗПД наказу про проведення перевірки голова комісії:

забезпечує інформування керівника суб'єкта перевірки про проведення перевірки шляхом направлення повідомлення;

організовує роботу комісії, визначає коло питань, що підлягають перевірці, виходячи з того, є перевірка плановою чи позаплановою;

розподіляє між членами комісії конкретні завдання для перевірки;

забезпечує координацію роботи членів комісії при підготовці та проведенні перевірки;

визначає строк прибуття членів комісії на перевірку.

2.5. Члени комісії беруть участь у роботі комісії та виконують поставлені перед ними завдання.

Член комісії має право одноособово відповідно до поставлених завдань досліджувати окремі питання перевірки.

2.6. Для проведення перевірки готуються такі документи:

повідомлення про проведення перевірки;

план проведення перевірки;

наказ про проведення перевірки.

2.7. Перед початком проведення перевірки ДСЗПД надсилається повідомлення разом з копією наказу про проведення перевірки за місцезнаходженням або місцем проживання суб'єкта перевірки рекомендованим листом за 10 календарних днів до початку проведення перевірки.

У випадку неможливості проведення перевірки через відсутність у ДСЗПД підтвердження про отримання суб'єктом перевірки повідомлення та копії наказу про проведення перевірки, в тому числі через відсутність суб'єкта перевірки за місцезнаходженням або місцем проживання, суб'єкту перевірки повторно направляються повідомлення та копія наказу про проведення перевірки.

У випадку повторного надходження повідомлення про відсутність суб'єкта перевірки за місцезнаходженням або за місцем проживання комісією складається відповідний акт про неможливість проведення перевірки через відсутність юридичної або фізичної особи за місцезнаходженням або за місцем її проживання за формою згідно з додатком 1* до цього Порядку.

* Додатки не публікуються. — Прим. ред.

2.8. Строк проведення перевірки не може перевищувати 10 робочих днів. За поданням голови комісії продовження строку проведення перевірки здійснюється уповноваженою посадовою особою ДСЗПД, яка прийняла рішення про проведення перевірки, але не більше ніж на 5 робочих днів.

2.9. Першим днем перевірки є день прибуття членів комісії на перевірку. У перший день перевірки голова комісії надає керівникові суб'єкта перевірки, а у разі його відсутності уповноваженій ним особі план проведення перевірки.

2.10. Під час проведення перевірки уповноважені посадові особи ДСЗПД та суб'єкта перевірки мають права та обов'язки, передбачені у розділі VII цього Порядку.

Голова та члени комісії мають право отримувати у керівника суб'єкта перевірки, керівників його структурних підрозділів документи, письмові й усні пояснення та іншу інформацію, що стосується питань, які перевіряються (у тому числі з обмеженим доступом), потрібну для здійснення комісією своїх функцій, зокрема:

установчі документи та інші документи, які регулюють організаційні засади діяльності суб'єкта перевірки;

розпорядчі документи (накази, рішення, розпорядження, постанови тощо) та інші документи, якими затверджено мету обробки, перелік баз персональних даних та їх місцезнаходження, склад персональних даних у базах персональних даних, передбачено отримання згоди від суб'єкта персональних даних на обробку його персональних даних (у разі потреби), затверджено порядок внесення, зміни, поновлення, використання, поширення, знеособлення, знищення персональних даних у базі персональних даних, визначено відповідальну особу або структурний підрозділ, які здійснюють організацію роботи, пов'язаної із захистом персональних даних при їх обробці, порядок захисту персональних даних, в тому числі від незаконної обробки та незаконного доступу до них;

наявність свідоцтв про державну реєстрацію баз персональних даних;

іншу інформацію, яка дає змогу встановити наявність або відсутність порушення законодавства про захист персональних даних.

2.11. Суб'єкт перевірки зобов'язаний надати комісії повну, всебічну та об'єктивну інформацію з усіх питань, які містяться в плані (програмі) проведення перевірки, та забезпечити належні умови для проведення перевірки цієї інформації.

2.12. Комісія у разі потреби має право отримати засвідчені в установленому законодавством порядку копії документів (виписки з документів), довідки, а також письмові пояснення, завірені підписами керівника, або особи, яка виконує його обов'язки, або керівників відповідних структурних підрозділів суб'єкта перевірки.

Комісія має право на безперешкодний доступ до місць зберігання інформації, у тому числі й до комп'ютерів, магнітних носіїв інформації тощо, отримання копій такої інформації.

2.13. У разі проведення безвиїзної перевірки ДСЗПД надсилає суб'єкту перевірки письмовий запит про надання документів, необхідних для проведення перевірки. Суб'єкт перевірки зобов'язаний у строк, визначений у запиті, надати ДСЗПД належним чином засвідчені копії документів, зазначених у запиті.

3.1. Підставою для проведення ДСЗПД планової перевірки суб'єкта перевірки щодо дотримання вимог законодавства у сфері захисту персональних даних є включення суб'єкта до плану проведення перевірок.

3.2. Планові перевірки здійснюються відповідно до річних або квартальних планів, які затверджуються ДСЗПД до 1 грудня року, що передує плановому, або до 25 числа останнього місяця кварталу, що передує плановому. План проведення перевірок після його затвердження розміщується на офіційному веб-сайті ДСЗПД.

3.3. ДСЗПД здійснює планові перевірки суб'єкта перевірки щодо дотримання вимог законодавства у сфері захисту персональних даних з періодичністю не частіше одного разу на п'ять років.

3.4. Датою, з якої починається відлік строку для визначення початку наступної планової перевірки, є дата закінчення попередньої планової перевірки.

3.5. У разі потреби одержання від суб'єкта перевірки документів, які необхідні для проведення планової безвиїзної перевірки, голова комісії вживає необхідних заходів відповідно до пункту 2.13 розділу II цього Порядку.

4.1. Позапланові перевірки суб'єктів перевірки можуть проводитись за наявності однієї з таких підстав:

подання суб'єктом перевірки письмової заяви до ДСЗПД про здійснення заходу державного нагляду та контролю за дотриманням законодавства про захист персональних даних за його бажанням;

звернення фізичних та юридичних осіб про порушення суб'єктом перевірки вимог законодавства про захист персональних даних;

неподання у встановлений строк суб'єктом перевірки документів (відомостей, даних) на письмовий запит ДСЗПД щодо здійснення безвиїзної перевірки, а також письмових пояснень про причини, які перешкоджали поданню таких документів;

виявлення та підтвердження недостовірності у відомостях (даних), наданих суб'єктом перевірки на письмовий запит ДСЗПД щодо здійснення безвиїзної перевірки, та/або якщо такі відомості (дані) не дають змоги оцінити виконання суб'єктом перевірки вимог законодавства про захист персональних даних;

перевірка виконання суб'єктом перевірки приписів щодо усунення вимог* законодавства про захист персональних даних, виданих за результатами проведення планових перевірок ДСЗПД.

* Імовірно, не вимог, а їх порушень. — Прим. ред.

4.2. Інформація про проведення позапланової перевірки розміщується на офіційному веб-сайті ДСЗПД за 10 календарних днів до початку її проведення.

4.3. У разі потреби одержання від суб'єкта перевірки документів, які необхідні для проведення позапланової безвиїзної перевірки, голова комісії вживає необхідних заходів відповідно до пункту 2.13 розділу II цього Порядку.

5.1. За результатами здійснення планової або позапланової перевірки комісія складає у двох примірниках акт перевірки додержання законодавства у сфері захисту персональних даних (далі — Акт перевірки) за формою згідно з додатком 2 до цього Порядку.

5.2. Акт перевірки повинен містити такі відомості:

дату, час та місце складання Акта перевірки;

посади, прізвища та ініціали осіб, що проводили перевірку;

посаду, прізвище та ініціали керівника (уповноваженої ним особи) суб'єкта перевірки;

вид перевірки (планова, позапланова, виїзна, безвиїзна);

для суб'єкта перевірки — юридичної особи: найменування, місцезнаходження;

для суб'єкта перевірки — фізичної особи та/або фізичної особи — підприємця: прізвище, ім'я та по батькові, місце проживання;

дані про дату, час початку та час закінчення перевірки, її загальну тривалість;

факти (обставини), які встановлено за результатами перевірки;

висновок про результати перевірки.

При складанні Акта перевірки мають бути додержані об'єктивність і вичерпність опису виявлених фактів і даних.

5.3. Акт перевірки повинен містити один із таких висновків:

про відсутність у діяльності суб'єкта перевірки порушень вимог законодавства про захист персональних даних;

про виявлені у діяльності суб'єкта перевірки порушення вимог законодавства про захист персональних даних, їх детальний опис із посиланням на норми чинного законодавства, які порушено.

Не допускається викладати в Акті перевірки припущення та факти, не підтверджені документально.

5.4. В Акті перевірки викладаються всі виявлені під час перевірки факти невиконання (неналежного виконання) суб'єктом перевірки вимог законодавства у сфері захисту персональних даних.

5.5. У разі ненадання суб'єктом перевірки документів, необхідних для проведення перевірки, в Акті перевірки робиться запис про це із зазначенням причин.

5.6. Акт перевірки складається в двох примірниках та в останній день перевірки підписується всіма членами комісії та керівником суб'єкта перевірки або уповноваженою ним особою.

Якщо суб'єкт перевірки не погоджується з Актом перевірки, він підписує його із зауваженнями. Зауваження суб'єкта перевірки щодо здійснення ДСЗПД державного нагляду та контролю за дотриманням вимог законодавства про захист персональних даних є невід'ємною частиною Акта перевірки. У разі відмови керівника суб'єкта перевірки або уповноваженої ним особи підписати Акт перевірки член комісії вносить до такого акта відповідний запис. У випадку відмови керівника суб'єкта перевірки або уповноваженої ним особи отримати другий примірник Акта перевірки він направляється суб'єкту перевірки протягом 5 робочих днів рекомендованим листом.

5.7. Перший примірник Акта перевірки вручається керівнику суб'єкта перевірки або уповноваженій ним особі, про що ним (нею) ставиться підпис на другому примірнику Акта перевірки, який зберігається в ДСЗПД.

До примірника Акта перевірки ДСЗПД обов'язково додаються матеріали перевірки — копії документів, витяги з документів, належним чином засвідчені суб'єктом перевірки, пояснення, протоколи та інші документи.

Акт перевірки реєструється в Журналі обліку результатів перевірки додержання законодавства про захист персональних даних за формою згідно з додатком 3 до цього Порядку, що зберігається в ДСЗПД.

5.8. Член комісії, який не погоджується з висновками комісії, зазначеними в Акті перевірки, підписує його з письмовим викладенням своєї окремої думки, що є невід'ємною частиною Акта перевірки. При цьому перед підписанням Акта перевірки членом комісії робиться запис: «З окремою думкою, що додається».

5.9. Якщо суб'єкт перевірки має зауваження щодо фактів та висновків, викладених в Акті перевірки, перед підписанням він робить запис: «Із зауваженнями, що додаються». Зауваження оформлюються окремим документом та засвідчуються підписом керівника суб'єкта перевірки або уповноваженої ним особи. Зауваження керівника суб'єкта перевірки або уповноваженої ним особи є невід'ємною частиною Акта перевірки.

5.10. Будь-які виправлення та доповнення в Акті перевірки після його підписання членами комісії не допускаються. Про виявлення описок після підписання Акта перевірки суб'єкт перевірки повідомляється письмово.

5.11. Будь-яка інформація, яка стала відомою під час проведення перевірки членам комісії, не підлягає розголошенню.

5.12. На підставі Акта перевірки, під час якої виявлено порушення вимог законодавства про захист персональних даних, комісією складається припис про усунення порушень вимог законодавства у сфері захисту персональних даних, виявлених під час перевірки, за формою згідно з додатком 4 до цього Порядку (далі — припис). Припис не передбачає застосування санкцій щодо суб'єкта перевірки. Припис підписується головою комісії.

5.13. У приписі зазначаються:

номер, дата та місце складання припису;

для суб'єкта перевірки — юридичної особи: найменування, місцезнаходження, прізвище, ім'я та по батькові керівника юридичної особи;

для суб'єкта перевірки — фізичної особи та/або фізичної особи — підприємця: прізвище, ім'я та по батькові, місце її проживання;

підстава для видачі припису;

заходи щодо усунення порушень, виявлених під час перевірки;

строк виконання припису;

строк інформування суб'єктом перевірки ДСЗПД про усунення виявленого порушення;

підпис голови комісії.

5.14. Припис складається у двох примірниках: перший примірник не пізніше 5 робочих днів з дня складання Акта перевірки надсилається суб'єкту перевірки чи уповноваженій ним особі рекомендованим листом, а другий примірник залишається в ДСЗПД. На копії припису, який залишається у ДСЗПД, проставляються відповідний вихідний номер і дата відправлення.

5.15. Суб'єкт перевірки повинен протягом визначеного у приписі строку (не менше ніж 30 календарних днів) вжити заходів щодо усунення порушень, зазначених у приписі, та письмово поінформувати ДСЗПД про усунення порушень разом із наданням копій документів, що це підтверджують.

5.16. У разі виявлення під час перевірки вчинення суб'єктом перевірки адміністративного правопорушення комісія складає протокол про адміністративне правопорушення в порядку, передбаченому законодавством та у розділі VI цього Порядку.

5.17. У разі виявлення під час перевірки суб'єкта перевірки порушення у сфері захисту персональних даних ДСЗПД направляє необхідні матеріали до правоохоронних органів.

6.1. Уповноваженою особою ДСЗПД на складання протоколів про адміністративні правопорушення у сфері захисту персональних даних відповідно до пункту 1 частини першої статті 255 Кодексу України про адміністративні правопорушення (далі — КУпАП) є голова комісії. Протокол про адміністративне правопорушення складається за формою, наведеною у додатку 5 до цього Порядку (далі — протокол).

6.2. При вирішенні питання про складання протоколу про адміністративне правопорушення головою комісії встановлюються:

наявність складу адміністративного правопорушення;

наявність повноважень ДСЗПД на складання протоколу;

досягнення особою, яка притягається до адміністративної відповідальності, віку, після якого настає адміністративна відповідальність;

обставини, що виключають адміністративну відповідальність;

обставини, що пом'якшують або обтяжують відповідальність за адміністративне правопорушення;

строк, протягом якого може бути накладено на особу адміністративне стягнення.

6.3. Усі реквізити протоколу заповнюються розбірливим почерком українською мовою. У відповідних графах, які не заповнюються при складанні протоколу, проставляється прочерк. Заповнення протоколу олівцем не допускається.

6.4. У протоколі викладаються такі відомості:

дата і місце його складання, посада, прізвище, ім'я, по батькові особи, яка склала протокол;

відомості про особу, стосовно якої складено протокол;

місце, час вчинення і суть адміністративного правопорушення;

нормативний акт, який передбачає відповідальність за дане правопорушення;

прізвища, місця проживання свідків і потерпілих, якщо вони є;

пояснення особи, стосовно якої складено протокол;

інші відомості, необхідні для вирішення справи.

Якщо правопорушенням заподіяно матеріальну шкоду, про це також зазначається в протоколі.

6.5. Викладені в протоколі фактичні обставини вчинених дій чи бездіяльності мають відповідати складу адміністративного правопорушення, передбаченого КУпАП.

Внесення до протоколу відомостей та висновків, що не підтверджені документально, а також надання морально-етичних оцінок діям правопорушників не допускається.

6.6. У разі відмови особи, стосовно якої складено протокол, від підписання протоколу про адміністративне правопорушення в ньому робиться запис про це головою комісії. Особа, стосовно якої складено протокол, має право подати пояснення і зауваження щодо змісту протоколу, які додаються до протоколу, а також викласти мотиви своєї відмови від його підписання.

6.7. Особі, стосовно якої складено протокол, роз'яснюються її права та обов'язки, передбачені статтею 268 КУпАП, а також зміст статті 63 Конституції України. Факт ознайомлення особи, стосовно якої складено протокол, з правами та обов'язками у протоколі засвідчується її підписом із зазначенням дати.

6.8. Протокол підписується головою комісії та особою, стосовно якої складено протокол.

6.9. Не допускається закреслення чи виправлення відомостей, що заносяться до протоколу, а також унесення додаткових записів після того, як протокол підписаний особою, стосовно якої його складено.

6.10. Після оформлення і підписання протоколу формується справа про адміністративне правопорушення для передачі її до суду.

За кожним випадком складання протоколу заводиться окрема справа про адміністративне правопорушення, до якої долучаються матеріали, що підтверджують факт вчинення адміністративного правопорушення та причетність до нього особи, стосовно якої складено протокол.

6.11. Справа про адміністративне правопорушення складається з таких матеріалів:

протокол про адміністративне правопорушення;

матеріали (акт перевірки або витяг з нього), що містять ознаки адміністративного правопорушення та підтверджують факт його вчинення;

пояснення та зауваження особи, стосовно якої складено протокол (у разі якщо вони подані не на бланку протоколу);

припис (у випадку складання) та документи, що підтверджують його виконання (у випадку наявності);

опис необхідних документів.

6.12. У разі наявності до справи про адміністративне правопорушення можуть долучатись такі матеріали:

пояснення свідків;

висновки за результатами роботи комісії;

копії посадових обов'язків та інших документів, які стосуються правопорушення.

Копії документів, що долучаються до матеріалів справи про адміністративне правопорушення, завіряються в установленому порядку.

6.13. Протокол про адміністративне правопорушення разом з іншими матеріалами у триденний строк з моменту його складання надсилається до місцевого загального суду за місцем вчинення правопорушення.

6.14. Складені протоколи про адміністративні правопорушення реєструються у Журналі обліку матеріалів про адміністративні правопорушення, який ведеться ДСЗПД за формою згідно з додатком 6 до цього Порядку.

6.15. Справи про адміністративні правопорушення, які передаються до суду, прошиваються і нумеруються за аркушами. В описі справи зазначаються: порядковий номер, повна назва документа, його дата, номери аркушів за порядком, а також загальна кількість документів і аркушів цифрами та словами. Опис підписується уповноваженою особою ДСЗПД, проставляється дата його складання та завіряється печаткою.

6.16. Після отримання відомостей про прийняте судом рішення у справі про адміністративне правопорушення до Журналу обліку матеріалів про адміністративні правопорушення вносяться відомості про результати розгляду справи: номер та дата винесеного судом рішення, відомості про суд (суддю), який прийняв рішення, результати розгляду справи.

6.17. Матеріали про адміністративні правопорушення підшиваються до справи за порядковими номерами Журналу обліку матеріалів про адміністративні правопорушення.

6.18. Строки зберігання матеріалів про адміністративні правопорушення та Журналу обліку матеріалів про адміністративні правопорушення встановлюються відповідно до чинного законодавства.

6.19. При передачі сформованої у ДСЗПД справи про адміністративне правопорушення до суду з відповідної справи робиться копія, яка залишається на зберіганні у ДСЗПД.

7.1. Голова комісії, члени комісії при проведенні перевірки мають право:

безперешкодно входити на об'єкт перевірки за службовим посвідченням і мати доступ до документів та інших матеріалів, потрібних для проведення перевірки;

узгоджувати із керівником суб'єкта перевірки або уповноваженою ним особою організаційні питання щодо проведення перевірки;

вимагати для перевірки необхідні документи та іншу інформацію у зв'язку з реалізацією своїх повноважень;

знімати копії з документів суб'єкта перевірки, необхідних для проведення перевірки та документування (фіксування) порушень, та вимагати їх засвідчення у встановленому законодавством порядку. У разі існування документа лише в електронній формі за умови, що даний документ створений суб'єктом перевірки, суб'єкт перевірки зобов'язаний надати його паперову копію, що забезпечує візуальну форму відображення документа, засвідчену суб'єктом перевірки у встановленому законодавством порядку. У разі неможливості надати паперову копію, що забезпечує візуальну форму відображення документа, проводиться огляд електронного документа, про що складається акт огляду електронного документа за формою згідно з додатком 7 до цього Порядку;

вимагати в межах своєї компетенції у керівника та/або посадових осіб суб'єкта перевірки надання письмових пояснень;

у зв'язку з реалізацією своїх повноважень та відповідно до законодавства звертатись до органів прокуратури, інших правоохоронних органів.

7.2. Окрім прав, наданих голові комісії та членам комісії відповідно до пункту 7.1 цього розділу, голова комісії додатково має право:

складати та підписувати приписи про усунення порушення вимог законодавства у сфері захисту персональних даних;

складати та підписувати протоколи про адміністративні правопорушення у сфері захисту персональних даних;

залучати для складання протоколів осіб, присутніх при виявленні правопорушення.

7.3. Голова комісії, члени комісії при проведенні перевірки зобов'язані:

повно, об'єктивно та неупереджено здійснювати перевірку у межах визначених повноважень;

ознайомити керівника суб'єкта перевірки або уповноважену ним особу з планом проведення перевірки;

повідомити керівника суб'єкта перевірки або уповноважену ним особу про обов'язки та повноваження голови та членів комісії, причину та мету перевірки, права, обов'язки керівника та посадових осіб суб'єкта перевірки;

ознайомити керівника суб'єкта перевірки або уповноважену ним особу з результатами проведеної перевірки та/або протоколом про адміністративні правопорушення;

ознайомити особу, стосовно якої складено протокол, про її права та обов'язки, передбачені КУпАП, а також статтею 63 Конституції України;

визначити перелік необхідних для перевірки документів та строки їх надання;

належним чином оформлювати результати перевірок;

неухильно дотримуватись вимог до складання протоколів про адміністративні правопорушення, визначених цим Порядком.

7.4. Посадові особи суб'єкта перевірки, в тому числі керівник суб'єкта перевірки або уповноважена ним особа, під час здійснення перевірки мають право:

перевіряти наявність у голови та членів комісії службового посвідчення та підстав для проведення перевірки;

бути присутніми під час здійснення перевірки;

одержувати та ознайомлюватись за результатами проведеної перевірки з Актом перевірки та/або протоколом про адміністративне правопорушення;

надавати в письмовій формі свої пояснення та зауваження до Акта перевірки та/або протоколу про адміністративні правопорушення;

оскаржувати в установленому законом порядку неправомірні дії голови та членів комісії.

7.5. Посадові особи суб'єкта перевірки, в тому числі керівник суб'єкта перевірки або уповноважена ним особа, під час здійснення перевірки зобов'язані:

безперешкодно допускати голову та членів комісії на об'єкт перевірки та надавати доступ до документів та інших матеріалів, потрібних для проведення перевірки;

надавати необхідні документи та іншу інформацію, а також засвідчені в установленому законодавством порядку копії документів, що можуть бути джерелом інформації про порушення законодавства про захист персональних даних;

виконувати вимоги голови та членів комісії з питань додержання законодавства про захист персональних даних.

В. о. директора Департаменту
 взаємодії з органами влади
 С. Мартиненко

коментар редакції

Бази персональних даних: чи чекати перевіряючих?

Держслужба із захисту персональних даних нарешті отримала затверджений Мін'юстом Порядок здійснення держконтролю. Утім, його відсутність не заважала їй проводити перевірки і раніше. Уже в IV кварталі 2011 року Держслужба працювала за затвердженим та розміщеним на її сайті (http://zpd.gov.ua) планом проведення перевірок. Щоправда, до нього ввійшло всього 9 суб'єктів господарювання. У плані проведення перевірок на III квартал 2012 року і того менше — лише чотири юрособи, три з яких — колекторські фірми. Щодо позапланових перевірок, то поки що суб'єктів господарювання, відносно яких такі перевірки було проведено, можна перелічити на пальцях однієї руки.

Пояснити таку низьку активність Держслужби у проведенні перевірок можна відразу декількома факторами: по-перше, у Держслужби все ще немає територіальних органів, по-друге, її основні зусилля спрямовано на обробку заяв про реєстрацію баз персональних даних, основний потік яких припав на кінець 2011 року і з яким досі Держслужба впоратися не може. Наразі продовжують оброблятися заяви, що надійшли до Держслужби у грудні 2011 року — січні 2012 року; при цьому, наприклад, у І кварталі 2012 року було зареєстровано 6427 баз персональних даних; а до необроблених заяв за той же І квартал додалося ще 859765 заяв. Як бачимо, у нормальний ритм роботи Держслужба ввійде ще нескоро.

Безумовно, певною стримуючою обставиною був і факт відсутності затвердженого Порядку проведення перевірок, а також можливості застосування санкцій, якщо за результатами контрольного заходу виявлено порушення чинного законодавства. Нагадаємо: відповідні адмінштрафи, розмір яких в окремих випадках може досягати 17000 грн., почали діяти 1 липня 2012 року (докладно про бази персональних даних, порядок їх реєстрації та можливу відповідальність див. «Податки та бухгалтерський облік», 2012, № 48). Варто зауважити: до проекту закону, яким Кабмін пропонував скасувати необхідність реєстрації баз персональних даних, пов'язаних із трудовими відносинами (фактично йдеться про БПД «Працівники», яка, на думку самої Держслужби, є у кожного суб'єкта господарювання з найманими працівниками), у парламентарів, які пішли на канікули до 4 вересня, справа так і не дійшла.

Щодо самого Порядку проведення перевірок слід звернути увагу на такі моменти:

1. Судячи з усього, Мін'юст при його затвердженні виходив з того, що Закон України «Про основні засади державного нагляду (контролю) у сфері господарської діяльності» від 05.04.2007 р. № 877-V на діяльність Держслужби із захисту персональних даних поширюватися не повинен. Як можна припустити, аргумент традиційний — питання захисту персональних даних з господарською діяльністю не пов'язані, а тому й до сфери дії Закону не потрапляють.

2. Види перевірок, що проводяться Держслужбою із захисту персональних даних, звичні — планові (виїзні й безвиїзні) та позапланові (які також можуть здійснюватися як з виїздом за місцезнаходженням БПД, так і без нього). Незвичне інше: і про планові, і про позапланові перевірки Держслужба зобов'язана завчасно, а саме за 10 календарних днів, повідомити суб'єкта, який перевіряється, шляхом направлення повідомлення про перевірку з копією наказу про її проведення. Крім того, суб'єкт господарювання може дізнатися про те, що його очікує плановий або позаплановий візит Держслужби із захисту персональних даних (і про те, що стало для цього підставою), ознайомившись з розміщеними на сайті Держслужби планами перевірок на квартал, а також наказами про проведення позапланових перевірок.

3. Перевірки Держслужби можуть проводитися у тому числі за місцем проживання фізичних осіб (наприклад, якщо воно було вказане в заяві про реєстрацію бази персональних даних як місце її знаходження).

4. Строк проведення перевірки (як планової, так і позапланової) не може перевищувати 10 робочих днів з можливістю продовження ще не більше ніж на 5 робочих днів. У цій частині спостерігається відразу дві суперечності Порядку, що коментується, Закону № 877, який, по-перше, передбачає скорочену тривалість перевірок для суб'єктів малого підприємництва (до 5 робочих днів планові перевірки, до двох — позапланові), і по-друге, забороняє подовжувати позапланові.

5. Найнеприємніше виглядають повноваження, названі в пунктах 2.12 і 2.13 Порядку, що коментується. У них ідеться про право перевіряючих отримати «засвідчені в установленому законодавством порядку копії документів (виписки з документів), довідки, а також письмові пояснення, завірені підписами керівника або особи, яка виконує його обов'язки, або керівників відповідних структурних підрозділів суб'єкта перевірки», про право доступу до місць зберігання інформації, у тому числі до комп'ютерів (для ознайомлення з електронними документами з екрана комп'ютера), магнітних носіїв інформації, можливості перевіряючих отримувати копії такої інформації, а також про право направляти суб'єктам господарювання письмовий запит про надання документів у строк, указаний в запиті (законодавчо такий строк не встановлено). Причому перелік документів, які можуть затребувати перевіряючі, за задумом, мав бути обмежений документами, названими в п. 2.10. Але укладачі Порядку, мабуть, також це розуміючи, вирішили завершити його фразою «іншу інформацію, яка дає змогу встановити наявність або відсутність порушення законодавства про захист персональних даних», що розв'язує руки перевіряючим.

Безумовно, кожна конкретна ситуація потребує індивідуального підходу. Проте якщо вимога про надання тих чи інших документів здасться суб'єкту господарювання неприйнятною, він може відмовити представникам Держслужби в її задоволенні (рекомендуємо робити це у письмовій формі з поясненням причин відмови), ураховуючи, що, по-перше, згідно із Законом України «Про захист персональних даних» від 01.06.2010 р. № 2297-VI доступ до інформації, пов'язаної з обробкою персональних даних, і до приміщень, де здійснюється така обробка, має здійснюватися відповідно до закону (тобто такий порядок має бути встановлено на рівні закону, а не наказу Мін'юсту), по-друге, чинне законодавство не передбачає штрафних санкцій ані для самого підприємства, ані для його посадових осіб, ані для фізосіб-підприємців у разі відмови від надання документів, що затребуються Держслужбою.

У разі отримання перевіряючими такої відмови подальший розвиток подій може бути таким: 1) суб'єкт, щодо якого проводиться перевірка, може отримати письмовий припис про усунення порушень вимог законодавства про захист персональних даних у вигляді ненадання затребуваної інформації (інакше — штраф на посадових осіб або фізособу-підприємця в розмірі від 100 до 200 неоподатковуваних мінімумів доходів громадян, тобто від 1700 до 3400 грн.) або 2) Держслужба звернеться до суду з вимогою зобов'язати надати їй необхідну інформацію. Утім, у задоволенні подібних вимог, якщо вони і надходитимуть, суди, як можна припустити, відмовлятимуть, тим більше, що самим Порядком проведення перевірок передбачено спосіб реагування на відмову надати необхідні документи. Така відмова є підставою для проведення позапланової перевірки. Кожна нова відмова — нова підстава для нової позапланової перевірки.

Утім, сподіваємося, що необхідність обмірковувати варіанти реагування на подібні вимоги Держслужби із захисту персональних даних у суб'єктів господарювання виникне ще нескоро.

　Олена Уварова