Базовый перечень вопросов для проверки работниками Государственной службы Украины по вопросам защиты персональных данных соблюдения субъектами проверок (владельцами/распорядителями баз персональных данных или третьими лицами) требований законодательства о защите персональных данных:
1. Наличие у субъекта проверки действительного факта обработки персональных данных: выяснения сферы деятельности, категорий субъектов персональных данных и категорий персональных данных, которые обрабатываются.
2. Наличие документов, регламентирующих деятельность субъекта проверки:
- Для органов государственной власти: Указ Президента Украины о создании и об утверждении соответствующих Положений; свидетельства о государственной регистрации других нормативных документов, регулирующих деятельность;
- Для субъектов хозяйствования: учредительные документы;
- Для субъектов предпринимательской деятельности: свидетельство о государственной регистрации физического лица-предпринимателя и свидетельство об уплате единого налога (если лицо является плательщиком единого налога).
3. Статус субъекта проверки: принадлежность к владельцам/распорядителям базы персональных данных или к третьему лицу.
4. В случае наличия у распорядителя базы персональных данных, владельцем которой является орган государственной власти или орган местного самоуправления, - проверка его принадлежности к государственной или коммунальной форме собственности, которая относится к сфере управления этого органа.
5. Наличие у субъекта проверки документов, подтверждающих регистрацию баз персональных данных или копий документов касаемо их отправки для регистрации в ГСЗПД.
6. Правовые основания для осуществления обработки персональных данных в базе персональных данных:
- На основании разрешения, предоставленного в соответствии с законодательством Украины исключительно для осуществления полномочий;
- На основании согласия, предоставленного субъектом персональных данных на обработку его персональных данных.
7. В случае изучения разрешения на обработку персональных данных, предоставленного субъекту проверки в соответствии с законом исключительно для осуществления его полномочий, проверяется соответствие конкретным положением каждого акта (пункт, часть, статья), которые предусматривают право на обработку субъектом проверки персональных данных физических лиц, а также установление соответствия процедур обработки персональных данных положением акта, которым было предусмотрено право на обработку персональных данных.
8. При наличии согласия субъекта персональных данных как правового основания для обработки персональных данных проверяется и определяется полнота охвата предоставленным согласием всех установленных субъектом проверки процессов обработки персональных данных.
9. Наличие нормативно-правового акта, учредительного или иного документа, регулирующего деятельность субъекта проверки, который содержит или утверждает цель обработки персональных данных.
10. Проверка соответствия цели обработки персональных данных целям, установленной нормативно-правовыми актами, учредительными или другими документами, а также цели, которая была указана субъектом проверки в заявлении на регистрацию базы персональных данных.
11. Проверка соответствия определенной или установленной цели состава и содержания персональных данных, содержащихся в соответствующей базе персональных данных.
12. Установка источников получения сведений о физическом лице (первичные источники в виде подписанных физическим лицом документов, сведений, которые физическое лицо предоставляет о себе или общедоступные источники, что предусмотрено законодательством).
13. Наличие у субъекта проверки персональных данных, по которым установлены особые требования для их обработки, а также проверка наличия соответствующих правовых оснований для их обработки.
14. Наличие однозначно предоставленного согласия субъекта персональных данных на обработку персональных данных, по которым установлены особые требования для их обработки.
15. Законность осуществления субъектом проверки составляющих процесса обработки персональных данных в соответствии с законодательством:
- Сообщение субъекта персональных данных в течение десяти рабочих дней со дня включения его персональных данных в соответствующую базу персональных данных;
- Обеспечение субъектом проверки целостности персональных данных и соответствующего режима доступа к ним;
- Проверка сроков обработки персональных данных в форме, допускающей идентификацию физического лица и правовые основания для установления именно таких сроков обработки персональных данных;
- Наличие и законность процедур распространения персональных данных (правовые основания, обеспечения защиты персональных данных при их передаче, выполнение стороной, которой осуществлялась передачи персональных данных соответствующих гарантий выполнения требований законодательства);
- Законность процедур уничтожения персональных данных (наличие фактов о персональных данных, срок хранения которых истек, а также наличие фактов обработки персональных данных субъекта, правоотношения по которым приостановлено);
- Наличие уведомления субъекта персональных данных о включении в базу персональных данных, его права, определенные Законом, цель сбора данных и лиц, которым передаются его персональные данные;
- Соответствие данных и сведений, представленных субъектом проверки для регистрации баз персональных данных фактическому состоянию обработки персональных данных у субъекта проверки;
- Законность установленного в субъекте проверки порядка доступа к персональным данным.
16. Наличие у субъекта проверки документов, устанавливающих процедуры обработки персональных данных и связанных со сбором, регистрацией, накоплением, хранением, адаптацией, изменением, обновлением, использованием и распространением (распространением, реализацией, передачей), обезличением, уничтожением сведений о физическом лице.
17. Установлением субъектом проверки:
- Порядка внесения, изменения, обновления, использования, распространения, обезличивание, уничтожение персональных данных в базе персональных данных;
- Порядка защиты персональных данных, в том числе от незаконной обработки и незаконного доступа к ним;
- Распространение на все действия субъекта проверки всех требований по защите персональных данных от незаконной обработки, а также от незаконного доступа к ним.
18. Наличие у субъекта проверки - владельца базы персональных данных распорядителя базы. В случае наличия распорядителя проверяется:
- Документальное подтверждение факта заключения договора в письменной форме между владельцем и распорядителем баз персональных данных;
- Соответствие условий обработки распорядителем базы персональных данных условиям, которые определены в соответствующем договоре с владельцем баз персональных данных (в частности, соответствие целям, составу, содержанию, объему и т.д.). А также выяснение, не предоставлено ли распорядителю базы персональных данных больше полномочий по обработке персональных данных, чем у владельца.
19. Порядок доступа к персональным данным, которые обрабатываются субъектом проверки третьих лиц.
20. Наличие передачи персональных данных иностранным субъектам отношений, связанных с персональными данными. В случае наличия - установление соответствующих процедур.
21. Наличие документа об определении структурного подразделения или ответственного лица, которые организуют работу, связанную с защитой персональных данных при их обработке, а также документов, регламентирующих его деятельность.
22. Выполнение структурным подразделением или ответственным лицом задач по организации работы, связанной с защитой персональных данных при их обработке.
23. Ведение субъектом проверки учета фактов предоставления и лишения работников права доступа к персональным данным и их обработки, а также попыток и фактов несанкционированных и/или незаконных действий по обработке персональных данных.
24. Разграничение режимов доступа сотрудников к обработке персональных данных в базе персональных данных в соответствии с их профессиональными, трудовыми или служебными обязанностями.
25. Организация обработки субъектом проверки персональных данных в составе информационной (автоматизированной) системы, в которой обеспечивается защита персональных данных в соответствии с законодательством.
26. Выполнение субъектом проверки требований по внедрению организационных и технических мер защиты персональных данных при их обработке в форме картотек.
Алексей Мервинский, председатель Государственной службы Украины по вопросам защиты персональных данных
