Как известно, Закон Украины «О защите персональных данных» предусматривает обязанность владельцев баз персональных данных осуществить меры по их государственной регистрации по заявочному принципу. Это означает, что каждое предприятие, учреждение, организация, физическое лицо - предприниматель, самозанятое лицо, каждый гражданин и не только должны установить, осуществляют ли они обработку персональных данных для профессиональных целей в базах, определить количество и особенности каждой из баз и обратиться в Государственную службу Украины по вопросам защиты персональных данных с соответствующими заявлениями о регистрации.
При этом, такое требование распространяется не только на юридических, физических лиц - резидентов, но и на иностранные компании, которые обрабатывают персональные данные на территории Украины через свои представительства.
В качестве помощи в регистрации иностранными представительствами баз персональных данных работников дирекцией «Инпредкадры» (структурное подразделение КП «ГДИП») как органом, обеспечивающим кадровое делопроизводство всех иностранных представительств, на официальном сайте были размещены, в частности, примеры заполненного заявления о регистрации, согласия на обработку персональных данных и сообщения о внесении данных в базу.
Учитывая изложенное, у иностранных представительств могло сложиться ошибочное впечатление, что они должны обратиться в уполномоченный государственный орган исключительно с заявлением о регистрации базы персональных данных «Сотрудники». Однако, это не так. В случае разделения баз персональных данных по критерию «субъекты персональных данных» иностранные представительства должны осуществить мероприятия по регистрации не только базы персональных данных «Сотрудники», но и «Контрагенты», «Кандидаты в сотрудники», «Потенциальные контрагенты» (если такие данные обрабатываются). Учитывая специфику деятельности, иностранные представительства могут создавать и базы данных «Медицинские специалисты» (для представительств фармацевтических компаний), «Консультанты» (для представительств косметических компаний) и т.п..
Ориентируясь на предложенные дирекцией «Инпредкадры» проекты документов при подготовке собственных заявлений о регистрации баз, получения согласия на обработку данных, отправке сообщений о внесении данных в базы, представительства должны осознавать, что присутствующие на КП «ГДИП» документы не являются официально утвержденными, «идеальными», ведь они во многих своих частях противоречат действующему законодательству Украины о защите персональных данных.
Так, в главе I заявления о регистрации базы персональных данных владельцем указано представительство, не соответствующее требованиям абз.8 ч.1 ст.2, ч.2 ст.4 и ч.2-3 ст.11 Закона Украины «О защите персональных данных», ст. 95 Гражданского кодекса Украины и ст. 64 Хозяйственного кодекса Украины. Вместе с этим, несмотря на обозначение «нерезидент» в сведениях о владельце базы персональных данных, в графе «Код ОКПО» указывается код представительства в Украине, что является не достаточно логичным. Ясно и то, что предложенный проект документа не содержит полный и корректный перечень распорядителей базы персональных данных, поскольку, учитывая нормы, указанные выше, представительство не может выступать стороной договора, и, таким образом, заключать в письменной форме договоры о распоряжении базами персональных данных.
Предложенный дирекцией «Инпредкадры» проект согласия на обработку персональных данных в форме соответствующего заявления содержит одновременно данные о предоставлении разрешения и информацию о том, что субъект персональных данных уже уведомлен о внесении его данных в базу, что не соответствует ч.2 ст.12 Закона Украины «О защите персональных данных». Содержание предлагаемого проекта уведомления о включении персональных данных в базу не содержит информации о лицах, которым такие данные передаются, что противоречит ч.2 ст.12 Закона Украины «О защите персональных данных» и может иметь следствием наступление административной ответственности по ч.1 ст. 188-39 Кодекса Украины об административных правонарушениях, в частности, штрафа в размере 5100 - 6800 грн.
Предоставленное дирекцией «Инпредкадры» для заполнения приложение к дговору с КП «ГДИП» не содержит определения, с какой именно целью распорядителю разрешается обработка персональных данных, не соответствует требованиям ч.2 ст.11 Закона Украины «О защите персональных данных». Кроме того, стороной в таком приложении указано компанию, тогда как владельцем, который должен заключать договор на распоряжение базой персональных данных, определено представительство.
Итак, к размещенным в сети Интернет документам, включая и те, которые размещены на сайте «Инпредкадры», необходимо относиться с осторожностью. Для выполнения требований Закона Украины «О защите персональных данных» иностранным представительствам рекомендуется не только определить полный перечень существующих баз персональных данных и подготовить должным образом заполненные заявления об их регистрации, но и разработать надлежащее содержание формы согласия на обработку персональных данных, уведомление о включении данных в базу, положение об обработке персональных данных в базе, типовые положения договоров с распорядителями баз персональных данных.
Юристы ЮК «Правовой Альянс» Яна Карцева, Лидия Санжаровская-Гурлач.
По информации пресс-службы ЮК «Правовой Альянс».
