Редакцией Закона Украины «О защите персональных данных» от 1 января 2014 года № 2297-VI (Закон) было введено новое понятие «данные, которые представляют особый риск для прав и свобод субъекта персональных данных».

«Особый риск»

Статья 7 Закона дает нам четкий перечень персональных данных, которые относятся к категории «с особым риском». В нее попадают: сведения о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях и профессиональных союзах, судимости, а также информация, касающаяся здоровья, половой жизни, биометрические или генетические данные. Эта же статья полностью запрещает обработку указанной информации о субъекте, но часть 1 статьи 9 Закона все-таки устанавливает определенные исключения из этого правила: обработка допустима только с условием уведомления Уполномоченного Верховного Совета Украины по правам человека (Уполномоченный) о ее проведении и цели этой обработки, что является основным нововведением Закона Украины «О защите персональных данных».

Большинство субъектов хозяйствования, как правило, абсолютно не интересуются приведенной выше информацией о сотрудниках и контрагентах, но все же из каждого правила есть исключения. Важным вопросом остается правовой статус информации, полученной субъектом хозяйствования в результате прохождения сотрудниками медицинских осмотров, которые предусматривает статья 169 Кодекса законов о труде Украины (КЗоТ) Украины. В результате анализа действующих норм законодательства и разъяснений уполномоченных органов можно прийти к выводу, что вы обязаны уведомить Уполномоченного о том, что обрабатываете информацию о состоянии здоровья сотрудника, лишь в случае, если владеете детальной информацией о состоянии его здоровья (диагноз, медицинские показания и прочее). Если же у вас хранятся только медицинские заключения с формулировкой «годен» или «не годен» для выполнения определенных видов работ, субъект хозяйствования не обязан уведомлять Уполномоченного. Это не будет считаться обработкой данных «с особым риском».

С начала 2014 года процедуру регистрации баз персональных данных заменила процедура уведомления Уполномоченного. Согласно положениям новой редакции Закона, вы должны уведомлять Уполномоченного только в случае обработки данных с «особым риском».

Помимо этих нововведений, Закон «приготовил» дополнительный вид проверки со стороны Уполномоченного. Детальный порядок их проведения определяется не самим Законом, а Порядком осуществления Уполномоченным Верховного Совета Украины по правам человека контроля за соблюдением законодательства о защите персональных данных от 8 января 2014 года (Порядок). Указанный Порядок определяет плановые, внеплановые, выездные и безвыездные проверки, которые могут проводиться не только лично Уполномоченным, но и руководителем Секретариата Уполномоченного и его заместителем, представителями Уполномоченного, руководителями структурных подразделений Секретариата Уполномоченного и их заместителями, работниками Секретариата Уполномоченного.

Чего ожидать

Уполномоченный и лица, которым предоставлено право проведения проверок, могут привлекать к таким проверкам представителей органов государственной власти, местного самоуправления, правоохранительные органы. Перед началом проверки они обязаны дать письменную расписку о неразглашении информации.

Периодичность проведения плановых проверок определяется утвержденным планом и составляет не чаще одного раза в год. План проверок на год публикуется на официальном сайте Уполномоченного. Допустим, если у вас не проводилась проверка в этом году, не факт, что она будет в следующем. Это связано не столько с проблемами в законодательстве, сколько с загруженностью работой Уполномоченного и его Секретариата. В связи со сменой редакции Закона и передачей полномочий от ГСЗПД к Уполномоченному возникает не совсем понятная ситуация: согласно пункту 3.1 Порядка, план проверок утверждается до 25 декабря года, предшествующего году, в котором должны будут проводиться проверки. Так как новая редакция Закона начала действовать с 1 января 2014 года, то план проверок на 2014 год Уполномоченным утвержден не был.

Исходя из этого, можно сделать вывод, что 2014 год пройдет под знаком внеплановых проверок. Пункт 4.1 Порядка определяет ряд оснований для проведения такой проверки:

— по собственной инициативе Уполномоченного;

— при непосредственном выявлении нарушений требований законодательства о защите персональных данных Уполномоченным, в том числе и в результате проведения исследования системных проблем по обеспечению права на приватность, уважение частной и семейной жизни;

— при наличии ин­формации о нарушении требований законодательства о защите персональных данных в сообщениях, опубликованных в средствах массовой информации, обнародованных в сети Интернет;

— при условии обоснованных обращений физических и юридических лиц с сообщением о нарушении владельцами и/или распорядителями персональных данных субъекта требований законодательства о защите персональных данных;

— при выявлении недостоверности в сведениях, предоставленных субъектом проверки по письменному запросу Уполномоченного по осуществлению невыездной проверки, и/или если такие сведения не позволяют оценить выполнение субъектом проверки требований законодательства о защите персональных данных;

— в ходе контроля за выполнением субъектом предписаний по устранению нарушений требований законодательства о защите персональных данных, выданных по результатам проведения проверки.

Таким образом, внеплановые проверки в основном будут проводиться на основании поступивших жалоб либо выявленных неточностей и расхождений в документации.

Вопросы остаются

Что касается выездных и безвыездных проверок, то этот вопрос будет определяться лично Уполномоченным. Во время проверок или предварительно перед их началом лица, уполномоченные их проводить, имеют право истребовать соответствующие документы, получить доступ к конфиденциальной информации, распечатки с электронных носителей, письменные пояснения должностных лиц предприятий.

Также на данный момент остается открытым вопрос, что делать и как быть тем субъектам хозяйствования, которые подали заявку на регистрацию баз персональных данных в 2012–2013 годах по упраздненным в настоящее время нормам Закона.Будут ли в отношении них проводиться такие проверки? Из разъяснений Уполномоченного следует, что все субъекты, которые зарегистрированы или подали заявку на регистрацию баз персональных данных до вступления в силу новой редакции Закона Украины «О защите персональных данных», подлежат проверке. Но поскольку на данный момент Закон указывает только на конкретный ряд баз данных, подлежащих проверке, можно сделать вывод, что в первую очередь проверять будут именно субъектов, которые обрабатывают данные, представляющие собой «особый риск» нарушений прав лица, а также тех, в отношении которых поступили жалобы.

 

КРАВЧЕНКО Ирина — юрист ООО «ЮКК ДЕ-ЮРЕ», г. Одесса

---

Мнение

Новеллы Закона

Виталий ЦИМБАЛИСТЫЙ,
юрист ЮФ ILF

Выделение категории персональных данных, обработка которых составляет особый риск для прав и свобод субъекта, а также введение усиленного режима такой обработки призваны защитить наиболее уязвимую сферу жизни человека (состояние здоровья, половую жизнь, данные о расовом, этническом, национальном происхождении, политических, религиозных убеждениях, привлечении к ответственности и т.п.). Новшества направлены на реализацию законодательной фазы выполнения Плана действий по либерализации ЕС визового режима для Украины в сфере защиты персональных данных. Такие данные особо «чувствительны» к обработке. Поэтому их бесконтрольное распространение вследствие безответственной обработки владельцем может повлечь за собой причинение существенного и непоправимого вреда интересам человека.

Еще одно новшество законодателя — передача функций государственного контроля в сфере защиты персональных данных Уполномоченному Верховного Совета Украины по правам человека. Этот шаг соответствует европейским стандартам, так как Уполномоченный имеет необходимый уровень автономии для надлежащего исполнения возложенных на него обязанностей. Контроль над обработкой персональных данных Уполномоченный осуществляет все также посредством проверок, проведение которых стоит ожидать чаще. Так, плановые проверки теперь будут проводиться не более одного раза в год (предыдущая норма — не чаще одного раза в пять лет), а перечень оснований для проведения внеплановых проверок значительно расширен. Следует отметить, что такие основания для проведения внеплановой проверки, как инициатива Уполномоченного или наличие информации о нарушениях в СМИ и сети Интернет, по сути, делают ограничения для осуществления контрольных внеплановых мероприятий сугубо декларативными.