1 июня 2010 года парламентом был принят Закон Украины «О защите персональных данных», который вступил в силу с 1 января 2011 года. Вместе со вступлением в силу указанного закона, было сформировано новое ведомство с наименованием - Государственная служба Украины по вопросам защиты персональных данных (далее по тексту – Служба). На данную Службу были возложены функции по  регистрации баз персональных данных, ведению Государственного реестра баз персональных данных, а также контроль за соблюдением законодательства в сфере этих правоотношений. С начала июля 2011 г. Служба начала активную деятельность. Такая приятная новость ошеломила предпринимателей в Донецке, Макеевке и Донецкой области и заставила обращаться в юридические фирмы, к юристам, адвокатам за юридическими услугами по регистрации баз персональных данных, либо просто за юридической консультацией по поводу регистрации баз персональных данных и ответственности за игнорирование обязанностей предусмотренных этим законом.

Согласно вышеуказанного Закона:

Под персональными данными понимаются сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано;

Базой персональных данных является совокупность упорядоченных персональных данных в электронном виде и/или в виде картотек персональных данных

Субъектом персональных данных является физическое лицо, в отношении которого в соответствии с законом осуществляется обработка его персональных данных;

Под владельцем базы персональных данных подразумевается физическое или юридическое лицо, которому законом или с согласия субъекта персональных данных предоставлено право на обработку этих данных, утверждает цель обработки персональных данных в этой базе данных, устанавливает состав этих данных и процедуры их обработки, если иное не определено законом.

Обработкой персональных данных является любое действие или совокупность действий, осуществленных полностью или частично в информационной (автоматизированной) системе и / или в картотеках персональных данных, которые связаны со сбором, регистрацией, накоплением, хранением, адаптированием, изменением, обновлением, использованием и распространением (распространением, реализацией, передачей), обезличением, уничтожением сведения о физическом лице.

      Таким образом, согласно требованиям указанного закона субъектом персональных данных является любое физическое лицо (наемный работник, клиент), который предоставил разрешение на обработку его персональных данных владельцу базы персональных данных. (например это может быть связано с деятельностью физического лица предпринимателя или юридического лица, которые оказывают услуги клиентам физическим лицам или использующие наемный труд и ведущие кадровый учет при помощи анкет и других документов идентифицирующих личность, в таких случаях база данных относительно каких либо клиентов физических лиц или база данных о наемных работниках будут считаться базами персональных данных и возлагать на предпринимателей обязанности, предусмотренные вышеуказанным законом). Хотя бы одна база персональных данных на любом предприятии всегда имеется, это база данных наемных работников по которым ведется кадровый учет.

        На предприятии может быть несколько баз персональных данных, однако нередко одни и те же данные дублируются в электронном и бумажном виде (например, кадровые картотеки). Но в случае если цель обработки баз данных в электронном виде и в виде картотеки одинаковая, то это будет одна база данных и соответственно подлежать регистрации как одна база данных.

       Правильная организация работы с базами персональных данных будет заключаться в следующих этапах:

      1. Необходимо определить цель обработки базы персональных данных. В частности ст. 6 вышеуказанного закона предусматривается, что цель обработки персональных данных должна быть сформулирована в законах, других нормативно-правовых актах, положениях, учредительных или иных документах, регулирующих деятельность владельца базы персональных данных, и соответствовать законодательству о защите персональных данных. Таким образом, предприятию в целях соблюдения законности при обработке персональных данных необходимо будет внести изменения в свои учредительные документы, в которых предусмотреть цель такой обработки.

   2. Создать Положение о базах персональных данных, Приказ о создании Базы персональных данных, Приказ о назначении ответственного лица, Должностную инструкцию ответственного лица, Положение о конфиденциальной информации, Соглашение о неразглашении конфиденциальной информации.

3. Обеспечить получение письменного согласия физического лица на включение сведений о нем в базу персональных данных (ст. 11 Закона).

  информацию о владельце базы персональных данных;
              информацию о наименовании и местонахождении базы персональных данных;
              информацию о цели обработки персональных данных в базе
персональных данных, сформулированную в соответствии с требованиями статей 6 и 7 Закона о защите персональных данных;

(Как пример, целью обработки персональных данных может быть: обеспечение реализации трудовых отношений; административно-правовых; налоговых отношений и отношений в сфере бухгалтерского учета и аудита; отношений в сфере управления человеческими ресурсами; отношений в сфере экономических, финансовых услуг; отношений в сфере рекламы; отношений в сфере телекоммуникационных услуг; отношений в сфере общественной, политической и религиозной деятельности; отношений в сфере культуры, досуга, спортивной и социальной деятельности; отношений в сфере образования; отношений в сфере здравоохранения; отношений в сфере безопасности; отношений в сфере транспорта ; отношений в сфере науки, исторических исследований и статистики подобное.

Пример формулировки цели:

Обработка персональных данных физических лиц общего характера (фамилия, имя и отчество, дата и место рождения, гражданство, место жительства и т.п.) или уязвимых персональных данных (расовое или этническое происхождение, политические, религиозные или мировоззренческие убеждения, членство в политических партиях и профессиональных союзах, а также данных, касающихся здоровья или половой жизни) осуществляется для обеспечения реализации (указать каких именно) отношений, в соответствии с (перечислить правовые акты, положения, учредительные и другие документы, регулирующие деятельность владельца).

         информацию о других распорядителях базы персональных данных;
   подтверждение обязательства по выполнению требований защиты персональных данных, установленных законодательством о защите персональных данных.

сообщает заявителю не позднее следующего рабочего дня со дня поступления заявления о его получении;
принимает решение о регистрации базы персональных данных течение десяти рабочих дней со дня поступления заявления.

12. В случае если ГСВПД принято решение о регистрации базы персональных данных, ГСВПД выдает свидетельство о государственной регистрации базы персональных данных заявителю или уполномоченному им представителю по доверенности и предъявленным документом, удостоверяющим личность, или направляет по почте заказным письмом с описью вложения.
13. Заявитель сообщает ГСВПД о каждом изменении сведений, необходимых для регистрации базы персональных данных, не позднее чем в течение десяти рабочих дней со дня наступления такого изменения, путем подачи соответствующего заявления.
14. ГСВПД сообщает заявителю о принятом решении о внесении изменений в сведения Государственного реестра баз персональных данных в той же форме, в которой было получено такое заявление.              Как заявил глава службы по вопросам защиты персональных данных Владимир Козак, уклонением от регистрации баз персональных данных не будет являться факт подачи заявления на регистрацию баз персональных данных до 1 января 2012 г.                                                                                           При наличии цифровой подписи, заявления могут быть поданы через специальную электронную форму, тогда подтверждение о регистрации придет уже на следующий день.                                         Последними актуальными новостями по регистрации персональных данных стали официальные заявления представителей Министерства Юстиции Украины, которые заявили что автоматической ответственности за не регистрацию баз персональных данных до 01.01.2012 г. предприниматели нести не будут, так как это не предусмотрено законом. Таким образом заявление на регистрацию баз персональных данных можно подать и в 2012 г., главное зарегистрировать такие базы до момента плановой проверки на Вашем предприятии. Напомним так же, что за уклонение от регистрации баз персональных данных будет применяться ответственность в виде штрафов в размере от 8 500 до 17 000 в соответствии со ст.188-39 КОАПУ если отправит по почте заявления о регистрации до 01.01.2012 г. Кроме этого штрафы предусмотрены за другие нарушения данного закона, в частности за незаконный сбор, хранение, обработку персональных данных, а так же уголовная ответственность. Такая ответственность будет предусматриваться если предприниматель будет грубо нарушать закон о персональных данных, а именно не соблюдать порядок обработки персональных данных.                                                                                                                                                                               Многие предприниматели в последнее время непонятным образом были введены в заблуждение тем что якобы ответственность за несоблюдение закона о защите персональных данных была отсрочена до 1 июля 2012 г. На самом деле на днях депутатами был зарегистрирован такой законопроект, однако во первых его еще не рассматривали в первом и втором чтении, а так же не приняли целиком, во вторых его не подписал президент, в третьих, он еще не опубликован, поэтому вся эта информация является всего лишь необоснованными слухами и может привести к необоснованному игнорированию закона, а в последствии к огромным штрафам.                                                                                                                                              О том что с 1 января 2012 года предприниматели будут нести административную или уголовную ответственность за несоблюдение закона о защите персональных данных можно убедиться если зайти на официальный сайт Верховной Рады Украины и открыть закон о внесении изменений в некоторые законодательные акты относительно усиления ответственности за нарушение законодательства о защите персональных данных. Его можно открыть по этой ссылке http://zakon.rada.gov.ua/cgi-bin/laws/main.cgi?nreg=3454-17.            В свете последних официальных новостей по этой теме и исходя из уже наработанной личной практике по регистрации баз персональных данных хочу дать разъяснения уважаемым субъектам предпринимательской деятельности относительно того как избежать вышеуказанной ответственности. Во первых регистрация баз персональных данных касается как юридических лиц (предприятия разных организационно правовых форм, ООО, ЧП, КП, ЧАО, ПАО) и физических лиц предпринимателей (СПД, ФОП); Во вторых регистрация баз персональных данных необходима если у Вас есть наемные работники (более двух человек), или есть договора с клиентами (которым Вы оказываете услуги или продаете товары, или выполняете для них работы), или есть договора с контрагентами (то есть теми у которых Вы что то приобретаете). Таким образом нужно регистрировать три базы : "Работники", "Клиенты", "Контрагенты"; В третьих заявление нужно составить правильно, указав правильно цель обработки персональных данных, правовые основания такой обработки, нормативные акты на основании которых производиться обработка и другие данные. Неправильно составленное заявление госслужба по персональным данным отказывается регистрировать; В четвертых для обеспечения законности обработки персональных данных и избежании ответственности необходимо отобрать у каждого работника, или клиента, или контрагента согласие на обработку его данных и ознакомить его под расписку с его правами. Часто клиенты задают мне один и тот же вопрос, необходимо ли отправлять в Киев данные на каждого работника? Ни в коем случае не надо, так как это не предусмотрено законом. В пятых необходимо составить и утвердить положение об обработке персональных данных в котором указать все нюансы которые при проверке успокоят проверяющих и не дадут им повода для претензий относительно того что Вы не соблюдаете порядок обработки, составить приказ на ответственного за обработку персональных данных. Федерации профсоюзов Украины выразила народным депутатам свою обеспокоенность наличием в Законе о защите персональных данных пробелов в виде невозможных для выполнения норм, что может привести к безосновательному привлечению к ответственности владельцев баз персональных данных, в том числе профсоюзов.
В частности:
Законом не сформулирована цель обработки персональных данных, во многих нормах он отсылает к другим, еще не принятым нормативно-правовым актам;
отсутствуют нормы, детализирующие их применение отдельными категориями субъектов (общественные организации, в том числе профсоюзные);
не определен исчерпывающий перечень сведений, которые относятся к персональным данным, и отсутствует четкая процедура уничтожения персональных данных;
не предусмотрено, какие условия должен создать владелец базы данных для их надлежащей защиты и т. п.

Авторы письма обращают внимание на необходимость упрощения бюрократических процедур регистрации баз персональных данных.

Так, предлагается предусмотреть, что обработка персональных данных владельцем баз на основании трудовых и гражданско-правовых отношений, членства в общественных объединениях (в том числе профсоюзных), может осуществляться без обязательного уведомления органа по защите прав субъектов персональных данных при условии, что персональные данные не будут распространяться или разглашаться третьим лицам без письменного согласия субъекта персональных данных, а относительно членства — при условии использования этих данных для достижения законных целей, предусмотренных учредительными документами общественных организаций. Именно таким образом сформулирована аналогичная норма в соответствующем законе России (постановление от 23.12.2011 г. № П-9-21). 13.01.2012 г. Верховная Рада Украины приняла Закон которым отложила ответственность за нарушения законодательства в сфере защиты персональных данных до 1 июля 2012 года. Данный закон пока еще не вступил в силу. Однако после подписания его Президентом Виктором Януковичем и официального опубликования он вступит в силу. Таким образом парламентарии предоставили предпринимателям еще пол года времени для регистрации баз персональных данных. Однако не следует откладывать регистрацию баз персональных данных в слишком долгий ящик, поскольку как заявил на пресс конференции 26.01.2012 г. Председатель Государственной службы Украины по вопросам защиты персональных данных Владимир Козак: "По большому счету, отсрочка санкций ситуацию не меняет. Во-первых, ответственность за неправомерную обработку персональных данных предусмотрена и в действующем Уголовном кодексе. И новый Закон об ответственности лишь дополняет и конкретизирует эту ответственность. Во-вторых, на данный момент еще не утвержден Порядок осуществления контроля за соблюдением Закона о защите персональных данных (то есть, нет даже механизма составления протоколов об административных нарушениях) . По моему мнению, предприятиям сейчас стоит больше опасаться не штрафов, а граждан - субъектов персональных данных, которые могут предъявить к ним соответствующую претензию в случае неправомерного использования их персональных данных".