Вслед за ведущими демократическими странами Украина обратила внимание на право человека на личную жизнь и на правовую защиту персональной информации о лице. 9 января с.г. Верховный Совет Украины принял Закон Украины «О защите персональных данных» (Закон). Отметим, что история принятия этого Закона продолжается уже более трех лет. Соответствующий законопроект был внесен еще в 2003 году, весной прошлого года принят Верховным Советом, но был возвращен Президентом Украины для повторного рассмотрения. Основные замечания касались несоответствия положений Закона действующим международным соглашениям, подписанным Украиной, а также несогласованности между собой отдельных статей Закона. В частности, Закон базировался на принципе права собственности на персональные данные, что не соответствует Конституции Украины, Гражданскому кодексу Украины, Конвенции о защите прав человека и основоположных свобод, которыми соответствующие права определяются как личные неимущественные права человека. В связи с этим в Верховном Совете нового созыва работа над законопроектом была продолжена, и разработан новый законопроект, в котором частично учтены замечания Президента Украины.

Сфера применения

Основной целью Закона является защита персональных данных при их обработке в базах персональных данных. Законом определяется, что база персональных данных — это совокупности персональных данных в электронной форме или в виде картотеки. Обработку данных осуществляет владелец базы или специально уполномоченное им лицо — распорядитель базы.

Под персональными данными подразу­меваются сведения или часть сведений о физическом лице, которое идентифицировано или может быть идентифицировано. Соответственно, Закон защищает такие сведения при их обработке. Заметим, что в Закон не включен перечень информации, относящейся к персональной. Очевидно, подразумевается, что такой перечень будет определен для каждой базы персональных данных отдельно. Но в то же время определен перечень информации, которая может обрабатываться при соблюдении определенных условий.

Так, не допускается обработка персональных данных о расовом или этничес­ком происхождении лица, политических взглядах, религиозных или философских убеждениях, членстве в политических партиях или профсоюзных объединениях, а также информации, касающейся здоровья или половой жизни. Такая информация может обрабатываться при однозначном согласии субъекта персональных данных, если она была им обнародована, а также если ее предоставление преду­смотрено законом. Кроме того, обрабатывать персональные данные о своих членах и лицах, поддерживающих с ними постоянные контакты, имеют право общественные организации религиозного и философского направления, политичес­кие партии, ­профсоюзные организации при условии непередачи таких сведений третьим лицам.

Достаточно необычно определено понятие «обработка персональных данных». Таковая начинается при сборе указанных данных, включает несколько стадий — регистрация, накопление, хранение, адаптация, изменение, обновление, использование и распространение (распространение, реализация, передача) информации — и заканчивается уничтожением этих сведений.

Под сферу действия Закона попадает только та информация, которая обрабатывается в базах персональных данных, созданных специально уполномоченными органами. Те же базы, которые создаются физическим лицом исключительно для непрофессионального личного или бытового использования (без последующего определения), не попадают под действие анализируемого Закона.

Для персональных данных устанавливается режим ограниченного доступа, кроме обезличенной информации, а также информации о лицах, занимающих выборные должности, и государственных служащих первой категории.

Права человека

В соответствии с Конституцией Украины и основными международными соглашениями, ратифицированными Украиной, Законом признается неотъемлемое и нерушимое личное нематериальное право на персональные данные. Субъект персональных данных (физическое лицо) имеет право на доступ к своим персональным данным, хранящимся в соответствующей базе. Он может истребовать информацию о том, хранятся ли его персональные данные в базе, а также какие именно, и в случае необходимости требовать их изменения или уничтожения при их недостоверности либо несанкционированном использовании. Одним из важнейших является право на защиту персональных данных от несанкционированной обработки, утери, искажения, а также от предоставления информации, порочащей честь, достоинство и деловую репутацию физического лица. В случае выявления таких нарушений физическое лицо имеет право обратиться за защитой в специально уполномоченный орган (который пока что не определен) или органы местного самоуправления.

Обработка персональных данных

Как уже отмечалось, под термином «обработка персональных данных» подразумевается вся совокупность действий с информацией, содержащей персональные сведения о лице. Первичным источником такой информации являются документы, выданные на имя физического лица, подписанные им документы, а также сведения, предоставленные лицом о себе. Причем физическое лицо должно быть проинформировано о том, что сведения о нем включены в базу персональной информации, за исключением создания такой базы из открытых источников информации, временного (до трех месяцев) использования, а также в интересах национальной безопасности, экономического благосостояния и прав человека. Дальнейшая обработка информации осуществляется путем объединения и систематизации сведений о лице или группе лиц, введении информации в соответствующие базы.

Использование персональных данных возможно только с согласия субъекта персональных данных, который может при заключении договора оговорить ограничения обработки его персональных данных. Использование баз персональных данных допускается только при создании условий защиты таких данных, в частности нераспространения персональных данных лицами, осуществляющими обслуживание баз персональных данных. Распространение информации из баз персональных данных возможно только с согласия субъекта персональных данных, причем соблюдение режима секретности должно обеспечиваться стороной, распространяющей такие данные. Доступ к базе не предоставляется, если субъект отношений, связанных с персональными данными, отказывается взять на себя обязательства по обеспечению или обеспечить соблюдение требований Закона.

Как получить информацию из базы

Для получения информации субъект правоотношений направляет владельцу или распорядителю базы запрос, в котором указывается информация о лице, подающем запрос, сведения, позволяющие идентифицировать лицо, информацию о котором необходимо предоставить, перечень необходимых данных и цель запроса (последний пункт не обязателен при получении информации о себе). Запрос должен быть рассмотрен в течение 10 дней, на протяжении которых принимается решение об удовлетворении или отказе в удовлетворении запроса, о чем информируется запрашивающее лицо. Сама информация предоставляется в месячный срок, который может быть продлен, если указанные сведения не могут быть предоставлены вовремя, о чем запрашивающее лицо также письменно информируется. Постановление об отказе предоставить сведения из базы персональных данных или об отсрочке может быть опротестовано в органах государственной власти или местного самоуправления, к полномочиям которых относится защита персональных данных, либо в судебном порядке.