СРО АУФТ: Доброго дня, дякуємо за запитання.

Чинне законодавство, наразі, не містить критеріїв щодо створення баз даних. Об’єктом таких баз є інформація про фізичних осіб. Таким чином можна зробити висновок, що Володілець самостійно приймає рішення про те, чи являється та чи інша сукупність персональних даних фізичних осіб, яка знаходиться в його володінні,  базою персональних даних. Градація таких баз даних також залишається  в рамках чинного правового поля на розсуд ТЦБ.

Ст.2 ЗУ «Про захист персональних даних» чітко зазначає, що такою базою є іменована сукупність персональних даних. При цьому – ці персональні дані повинні бути упорядкованими, та утримуватись у формі картотеки чи електронній формі. Абзац 8 цієї же статті встановлює, що персональні дані – це відомості (або їх сукупність) про фізичну особу. Ці відомості дозволяють певних чином ідентифікувати особу. Існування бази також передбачає обробку даних, що в ній містяться, а саме: збирання,  реєстрація,  накопичення,  зберігання,  адаптування, зміну,   поновлення,  використання та поширення тощо відомостей про фізичну особу.
Отже, персональні дані – це дані виключно про фізичну особу, за умов, що ці дані перебувають в обробці. Тобто, на нашу думку, з вище перерахованих баз реєстрацію повинні пройти 1/, 2/, 4/, 5/. База 3/ має не вірну кваліфікацію для реєстрації, оскільки назва бази не відповідає суті, за умов, якщо б це була база під назвою керівники засновників – це була б інша справа.    

Разгонов Сергій Адамович
Член Комітету з питань обробки персональних даних  в сфері електронного документообігу, мережі Інтернет та галузі ІТ Громадської Ради з питань захисту персональних даних у інформаційних системах

ТЦП як юридична особа має, як мінімум, 2 Бази, які містять персональні  дані:  перша – База «Робітники підприємства», друга – База «Контрагенти». Виходячи з цього, у вашому випадку можливо й наступне об’єднання ваших Баз:  База "Засновники" + База "Сертифіковані фахівці" = База «Робітники підприємства»,  База "Доверителі"+ База "Контрагенти"+ База "Клієнти"= База «Контрагенти».

СРО АУФТ:
Відповідно до Закону «Про захист персональних даних» дозвіл суб’єкта не потребується за умов, коли збирання даних про фізичну особу прямо обумовлено законом та передбачено під час реалізації повноважень власника бази даних (ч.6 ст.6 Закону «Про захист персональних даних»). Також у п.1 п.п. 2) ст. 11 Закону «Про захист персональних даних» встановлено, що підставою для виникнення права на використання ПД є вимоги закону.    
Наприклад – ч. 1 ст. 6 Закону про захист персональних даних – мета обробки даних має бути в законах, інших н.- пр. актах, положеннях, установчих документах. Ч. 5 вищезгаданої статті також акцентує увагу на тому, що обробка ПД здійснюється для конкретних цілей, передбачених законами України.
Безумовно, краще зазначити, що надання та обробка персональних даних  здійснюється у відповідності до вимог Закону «Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом", що повністю відповідатиме вимогам ч. 2 п.3 ст.6 Закону – де обсяг персональних даних визначається умовами згоди суб’єкта ПД або відповідно до закону.

Разгонов Сергій Адамович
Член Комітету з питань обробки персональних даних  в сфері електронного документообігу, мережі Інтернет та галузі ІТ Громадської Ради з питань захисту персональних даних у інформаційних системах
Так, можливо.

СРО АУФТ:

 

Згідно до Закону України «Про захист персональних даних» абзац 2 ст.2 базою персональних даних є сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних.  Отже, законодавець визначив, що одна база персональних даних може одночасно існувати у електронній та паперовій формі, але дані електронної бази повинні відповідати даним паперової бази. Якщо ж бази мають різне за об’ємом наповнення, то, відповідно – це різні бази. Наприклад картки будуть містити інформацію «а», «б», «с», а електронна база – лише інформацію «а», - тобто, ідентифікація клієнта буде відбуватись по різному.    

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних:

 

Згідно Закону України «Про захист персональних даних» база персональних  даних - іменована сукупність упорядкованих персональних даних в електронній формі  та/або  у  формі  картотек персональних даних.  Виходячи з вищевикладеного, це одна база персональних даних, яка зберігається  в електронній формі ТА у формі картотек.

 

Разгонов Сергій Адамович
Член Комітету з питань обробки персональних даних  в сфері електронного документообігу, мережі Інтернет та галузі ІТ Громадської Ради з питань захисту персональних даних у інформаційних системах

Так, можливо. Згідно Закону України «Про захист персональних даних», стаття 2, у цьому Законі  нижченаведені  терміни  вживаються  в  такому значенні:  

 

база персональних  даних - іменована сукупність упорядкованих
персональних даних в електронній формі  та/або  у  формі  картотек
персональних даних;

СРО АУФТ
Здійснюючи професійну діяльність, торговці отримують від клієнтів – фізичних осіб інформацію, яка являє собою персональні дані (ПД) та складає в подальшому базу персональних даних (БПД). Отримання ПД пов’язано з необхідністю здійснювати ідентифікацію клієнтів, як фізичних, так і юридичних осіб на виконання вимог ч. 3 ст. 18 Закону України «Про фінансові послуги та державне регулювання ринків фінансових послуг». Обсяг ПД, які можуть збиратися фінансовою установою (торговцем) для ідентифікації, визначено ст. 18 згаданого закону, а також ст. 9  Закону України «Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, або фінансуванню тероризму». Таким чином, згідно п. п. 3, 5, 6 ст. 6 Закону України «Про захист персональних даних», згода суб’єкта ПД на збір та обробку ПД під час укладення торговцями договорів з клієнтами – фізичними особами не потребується. Проте застерігаємо, що обсяг ПД має та порядок їх отримання має відповідати зазначеним вище нормам закону. 

Відповідь на запитання буде надана пізніше

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Відповідно до Закону України «Про захист персональних даних» (далі – Закон) володілець бази персональних даних - фізична або юридична особа, якій законом або за згодою суб'єкта персональних даних надано право на обробку цих даних, яка затверджує мету обробки персональних даних у цій базі даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом.

Володілець бази персональних даних може доручити обробку персональних даних розпоряднику бази персональних даних відповідно до договору в письмовій формі.

Розпорядник бази персональних даних - фізична чи юридична особа, якій володільцем бази персональних даних, на підставі договору в письмовій формі, або законом надано право обробляти ці дані.

СРО АУФТ:
Юридична особа безумовно може бути власником ПБД (ст. 2 Закону про захист персональних даних). Рішенням загальних зборів учасників можна призначити директора розпорядником БПД.

В той же час звертаємо Вашу увагу, що відповідно до термінів, значення яких викладено в ст. 2 Закону розпорядником може бути як фізична, так і юридична особа.

Відповідно до п. 6 ст.9 Закону про кожну зміну відомостей, необхідних для реєстрації бази Володілець зобов’язаний повідомляти не пізніш як протягом 10 днів з настання такої зміни. На наш погляд  визначення безпосередньо юридичної особи як володільця та як розпорядника дозволить уникнути ризиків, які можуть виникнути при кадрових ротаціях. Тим більш, що відповідно до закону України від 2 червня 2011 року N 3454-VI неповідомлення або несвоєчасне повідомлення спеціально уповноваженого центрального органу виконавчої влади з питань захисту персональних даних про зміну відомостей, що подаються для державної реєстрації бази персональних даних тягне за собою адміністративну відповідальність.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Згідно Закону України «Про захист персональних даних» персональні дані  -  відомості  чи  сукупність відомостей про фізичну  особу,  яка  ідентифікована  або  може   бути   конкретно ідентифікована; В свою чергу,  база персональних  даних - іменована сукупність упорядкованих персональних даних в електронній формі  та/або  у  формі  картотек персональних даних. Виходячи з вищевикладеного, відомості про одну фізичну особу є базою персональних даних.

СРО АУФТ:
Ч.1 статті 13 Закону про захист персональних даних встановлює, що допускається накопичення інформації про фізичну особу (поєднання та систематизація відомостей) чи групу фізичних осіб, з наступним внесенням таких даних до Бази ПД. Таким чином  Закон не робить виключень відповідно до кількості осіб.

СРО АУФТ
Здійснюючи професійну діяльність, торговці отримують від клієнтів – фізичних осіб інформацію, яка являє собою персональні дані (ПД) та складає в подальшому базу персональних даних (БПД). Отримання ПД пов’язано з необхідністю здійснювати ідентифікацію клієнтів, як фізичних, так і юридичних осіб на виконання вимог ч. 3 ст. 18 Закону України «Про фінансові послуги та державне регулювання ринків фінансових послуг». Обсяг ПД, які можуть збиратися фінансовою установою (торговцем) для ідентифікації, визначено ст. 18 згаданого закону, а також ст. 9  Закону України «Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, або фінансуванню тероризму». Таким чином, згідно п. п. 3, 5, 6 ст. 6 Закону України «Про захист персональних даних», згода суб’єкта ПД на збір та обробку ПД під час укладення торговцями договорів з клієнтами – фізичними особами не потребується. Проте застерігаємо, що обсяг ПД має та порядок їх отримання має відповідати зазначеним вище нормам закону.  

Див. відповідь на запитання №8

СРО АУФТ:

Згідно до ч.2 ст. 12 Закону про захист персональних даних Торговець повинен письмово повідомити суб’єкта персональних даних протягом 10 робочих днів про:

-         права суб’єкта ПД;

-         мета збору ПД;

-         коло осіб, яким передаються ПД.
Щодо форми то Закон передбачає виключно письмову форму для повідомлення. На наш погляд краще вибрати той варіант, якій буде містити в собі докази належного та своєчасного повідомлення. Щодо визначення інформації  окремим пунктом договору – то питання суперечливе, у випадку, якщо договір укладається з фізичною особою, вважаємо, що можливий і такий варіант. У випадку якщо договір укладається між юридичними особами включення пунктів щодо захист персональних даних, можливо, не буде розглядатись як виконання п.2 ст.12 Закону.

Відповідь на запитання буде надана пізніше

СРО АУФТ:
Оскільки законодавство передбачає умови при яких право на використання (складова обробки) даних не виникає  без згоди особи (окрім випадків, передбачених законами, наприклад законодавство про запобігання легалізації)  вважаємо, що повідомлення про включення до бази даних та про права, передбачені ст.8 Закону здійснити потрібно. Тим не менш тільки наступна практика дозволить визначитися з цього питання остаточно.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Згода суб’єкта персональних даних на обробку його персональних даних повторно не надається, якщо володілець продовжує обробляти персональні дані суб’єкта, відповідно до правовідносин на основі вільного волевиявлення фізичної особи, які виникли до набрання чинності Законом.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Якщо роботодавець зберігає цю документацію, в якій є персональні дані фізичних осіб, то це є базою персональних даних.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Згода суб’єкта персональних даних на обробку його персональних даних повторно не надається, якщо володілець продовжує обробляти персональні дані суб’єкта, відповідно до правовідносин на основі вільного волевиявлення фізичної особи, які виникли до набрання чинності Законом.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Найбільш розповсюджені помилки трапляються із-за того, що деякі поля в заяві про реєстрацію бази персональних даних не заповнюються заявниками, немає посилань на нормативно-правові  акти, а також не вказуються категорії персональних даних, які необхідно вказувати в заяві.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Якщо персональні дані у Вашій візитниці використовуються Вами для Ваших службових потреб то це буде базою персональних даних, а якщо Ви використовуєте ці дані виключно  для  непрофесійних особистих чи побутових потреб, тоді це не підпадає під дію Закону України «Про захист персональних даних»

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

На кожну базу персональних даних потрібно заповнити одну заяву, отже заяв Ви подаєте стільки, скільки у Вас існує баз персональних даних. До ДСЗПД потрібно подати один примірник заяви.

Разгонов Сергій Адамович
Член Комітету з питань обробки персональних даних  в сфері електронного документообігу, мережі Інтернет та галузі ІТ Громадської Ради з питань захисту персональних даних у інформаційних системах

Оформлення заяви має відповідати вимогам Порядку подання заяв про реєстрацію бази персональних даних та про внесення відомостей Державного реєстру баз персональних даних (затверджено Наказам Міністерства юстиції України від 08.07.2011 №1824/5):
1.      На заяві обов’язково зазначається вихідний номер та дата.
2.      Заяви заповнюються державною мовою, розбірливими друкованими літерами.
3.      Заяви не повинні містити помарок, закреслень і виправлень.
4.      Сторінки заяв нумеруються, на кожній сторінці заяви зазначаються номер сторінки та загальна кількість сторінок.
5.      Кожна сторінка заяви має бути підписана та скріплена печаткою (за наявності).

Заповнення заяви має відповідати Положення про порядок ведення Державного реєстру персональних баз даних та порядок його ведення (затверджене Постановою КМУ від 25.05.2011 №616):

1.      Розділ І – Інформація про володільця бази персональних даних.
Тип особи (фізична або юридична), статут особи (резидент або нерезидент), найменування або ПІБ володільця, ЄДРПОУ або РНОКПП (ІДН), паспортні дані у разі якщо володільцем є фізична особа, адреса володільця.
2.      Розділ ІІ – Інформація про найменування і місцезнаходження бази персональних даних. Зазначається фактичне місцезнаходження БПД.
3.      Розділ ІІІ – Мета обробки персональних даних.

Мету розробки необхідно зазначати з посиланням на нормативно-правові акти, положення, установчі чи інші документи, які регулюють діяльність володільця бази персональних даних, та визначенням категорії обробки персональних даних (Наприклад: дані загального характеру (прізвище, ім’я та по батькові, дата та місце народження, громадянство, місце проживання тощо) та вразливі персональні дані (дані про стан здоров’я ­– історія хвороби, етнічна та релігійна належність, кредитна історія, ідентифікаційний код тощо).

4.      Розділ IV – Інформація про розпорядників бази персональних даних.

Розділ IV заповнюється у випадку, якщо ви доручаєте обробку персональних даних ІНШІЙ юридичній особі, якщо володілець обробляє їх самостійно, то заповнювати цей розділ не потрібно.

5.      Підтверджую зобов’язання стосовно виконання вимог законодавства щодо захисту персональних даних – обов’язково повинна бути позначка «Х», якщо її немає, то заява до розгляду не приймається.

6.      Блок «Відомості про заявника» - підлягає обов’язковому заповненню.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Зразки заповнення заяв є на сайті ДСЗПД  zpd.gov.ua  в розділі-Реєстрація баз персональних даних.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Бази персональних даних, в першу чергу поділяються за метою обробки персональних даних. Якщо під мету бази персональних даних «Кадри» підпадає база даних «Власники» то це буде однією базою даних. Якщо мета обробки персональних даних у цих базах різна, то це буде дві бази персональних даних.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Володільцем бази персональних даних, згідно Закону України «Про захист персональних даних», є фізична або юридична особа,  якій законом або за  згодою  суб'єкта  персональних  даних надано  право  на  обробку цих даних,  яка затверджує мету обробки персональних даних у цій базі даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом.

Див. відповідь на питання № 20

Див. відповідь на питання № 20

Див. відповідь на питання № 20

Розуміємо та вибачаємо :)

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Ні, повідомляти не потрібно, тому що передача даних до ДПА передбачена законодавством.

Див. відповідь на питання № 38

СРО АУФТ:
В контексті Закону "Про захист персональних даних"  має місце створення БПД відповідно до мети обробки даних, визначеної безпосереднью  юридичною особою. Тобто не йде мова про створення бази даних акціонерів (посадових осіб акціонерів) єдиної для використання. Відповідно, якщо  відбулось внесення персональних даних до бази, Володільцем якої є зберігач - повідомлення має бути здійснено зберігачем.
Відповідно до Закону, повідомлення має бути здійснено протягом 10 робочих днів з дня включення персональних даних особи у БПД.
Якщо Емітен має намір створити власну БПД то, оскільки законом не передбачені випадки необхідності ведення такої бази, Емітен має отримати згоду фізичної особи.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Згідно Закону України «Про захист персональних даних» обробка персональних даних це будь-яка дія або сукупність дій, здійснених повністю або частково в інформаційній (автоматизованій) системі  та/або в картотеках персональних даних,  які пов'язані зі збиранням,  реєстрацією,  накопиченням, зберіганням, адаптуванням, зміною,  поновленням, використанням і поширенням (розповсюдженням, реалізацією,  передачею),  знеособленням, знищенням відомостей про фізичну особу.

Якщо укладалися угоди з купівлі-продажу, в яких є персональні дані фізичних осіб, і ці угоди зберігаються у Володільця, то це буде базою персональних даних.

СРО АУФТ:
Так. Сподіваємось, що частина питань найде своє висвітлення  під час цього заходу. Питання, які були надіслані  Торговцями раніше, та питання, які направлені під час інтернет-конференціі будуть узагальнені та  опрацьовані з урахуванням вимог чинного законодавства про захист персональних даних. Наступного тижня буде направлено методичні рекомендації.

Разгонов Сергій Адамович
Член Комітету з питань обробки персональних даних  в сфері електронного документообігу, мережі Інтернет та галузі ІТ Громадської Ради з питань захисту персональних даних у інформаційних системах
Практичні кроки з виконання Закону України "Про захист персональних даних" полягають у наступному:
1) Скласти список даних, які відповідно до бізнес-процесами підприємства, а також відповідно до вимог нормативних документів регулятора необхідно реєструвати та вести облік як в паперовому, так і в електронному вигляді.
2) Визначити - які з описаних даних можна віднести до персональних даних громадянина Україна.
3) Визначити - які з персональних даних враховуються (реєструються) на підставі вимог нормативних документів різних регуляторів. Визначити - облік яких персональних даних не регламентується нормами регулятора.
4) Скласти список персональних даних, які не регламентується нормами інших (будь-яких) законів України.
5) Створити на підприємстві систему ідентифікаторів персональних даних по п.4. Таким чином, вести облік персональних даних в одному місці, а у всіх інших місцях / документах / облікових системах застосовувати ідентифікатори ПД. Захищати ПД необхідно в одній базі, яка є першоджерелом і зберігає первинні дані.
6) Затвердити наказом по підприємству список персональних даних, облік яких необхідно вести на підприємстві. Встановити в наказі, що всі персональні дані відносяться до категорії відкритих даних. Призначити відповідального за облік ПД. Визначити в наказі перелік організаційних заходів щодо захисту відкритих персональних даних.
7) Затвердити наказом по підприємству форму згоди на обробку персональних даних, які підлягають обліку на підприємстві (окремо виділити згоду на облік домашнього телефону, мобільного телефону, банківських даних приватної особи, та ін.), а також згода громадянина на публікацію його персональних даних з інформаційних довідниках та облікових системах, які експлуатуються на підприємстві відповідно до бізнес-процесами. Згода повинна бути добровільна і конкретне.
8) Заповнити заявку на реєстрацію бази персональних даних. Типова форма заявки наведена на сайті Держ.службі  - http://zpd.gov.ua/.
9) надіслати рекомендованим листом з повідомленням від вручення заявку про реєстрацію ПД.
10) отримати від Державної службі  свідоцтво про реєстрацію бази ПД.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Згода суб’єкта персональних даних на обробку його персональних даних повторно не надається, якщо володілець продовжує обробляти персональні дані суб’єкта, відповідно до правовідносин на основі вільного волевиявлення фізичної особи, які виникли до набрання чинності Законом.

Курочкіна Ірина Юріївна
Начальник відділу регулювання діяльності торговців цінними паперами
Департаменту методології та регулювання ринку цінних паперів ДКЦПФР

На мій погляд ВДЦП не може вважатись розпорядником БПД «Депоненти», володільцем якої є зберігач ЦП, виходячи з визначень наведених у Законі України «Про захист персональних даних»

СРО АУФТ
Відповідно до ст.  11 Закону "Про захист персональних даних" підставою виникнення права на використання права є згода фізичної особо або дозвіл на обробку персональних даних, наданий Володільцю відповідно до закону.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

В даному випадку необхідно обробляти персональні дані фізичних осіб лише в межах, визначеному законодавством.

Курочкіна Ірина Юріївна
Начальник відділу регулювання діяльності торговців цінними паперами
Департаменту методології та регулювання ринку цінних паперів

 

Цього року ДКЦПФР не планувала вносити зміни до своїх нормативно-правових актів з метою виконання норм цього закону.
Після створення НКЦПФР питання щодо внесення відповідних змін з метою виконання норм цього закону професійними учасниками фондового ринку буде включено до плану підготовки регуляторних актів.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Володілець самостійно визначає правові підстави.
Якщо Володілець обробляє персональні дані, лише на підставі дозволу, наданого законом, тоді посилаєтесь на один закон, якщо існують інші правові підстави, вказуйте ще й інші правові підстави.

Див. відповідь на питання № 22 та № 42

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

З метою забезпечення вивчення та врахування думки громадськості, на сайті ДСЗПД у підрозділі «Громадське обговорення» розділу «Документи» розміщено проект наказу Міністерства юстиції України «Про затвердження Положення про порядок здійснення Державною службою України з питань захисту персональних даних  державного контролю за додержанням законодавства про захист персональних даних»

Будь ласка, можете ознайомитися з даним проектом наказу та знайти там відповіді на Ваші запитання.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Згода суб’єкта персональних даних на обробку його персональних даних повторно не надається, якщо володілець продовжує обробляти персональні дані суб’єкта, відповідно до правовідносин на основі вільного волевиявлення фізичної особи, які виникли до набрання чинності Законом.

СРО АУФТ
Відповідно до Закону "Про захист персональних даних" розпорядником БПД є фізична чи юридична особа, якій Володільцем БПД або законо надано право обробляти ці дані. Володільцем БПД є юридична особа, якій законом або за згодою  фізичної особи надано право на обробку персональних даних.
Відповідно до ст. 54 Закону України "Про інститути спільного інвестування (пайові та корпоративні інвестиційні фонди)"
Реєстр власників іменних цінних паперів ІСІ, випущених у документарній формі, веде реєстратор за договором з корпоративним інвестиційним фондом або компанією з управління активами пайового інвестиційного фонду з урахуванням вимог законодавства. Реєстр власників іменних цінних паперів ІСІ може вести зберігач активів ІСІ без отримання ліцензії Комісії.
У разі, якщо кількість акціонерів (учасників пайового інвестиційного фонду) ІСІ не перевищує 500 осіб, ведення реєстру власників іменних цінних паперів ІСІ може здійснювати компанія з управління активами такого фонду без отримання ліцензії Комісії.
Облік прав власності на цінні папери ІСІ, що існують у бездокументарній формі, здійснюється згідно із законодавством.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Визначайте мету обробки бази персональних даних, і визначайте кількість у Вас баз. В першу чергу, бази персональних даних поділяються за метою їх обробки.

Разгонов Сергій Адамович
Член Комітету з питань обробки персональних даних  в сфері електронного документообігу, мережі Інтернет та галузі ІТ Громадської Ради з питань захисту персональних даних у інформаційних системах

Конечно можно

СРО АУФТ
Якщо володілець обробляє персональні дані в межах, визначених законом, в такому випадку, згода на обробку персональних даних не потрібна.

СРО АУФТ
Здійснюючи професійну діяльність, торговці отримують від клієнтів – фізичних осіб інформацію, яка являє собою персональні дані (ПД) та складає в подальшому базу персональних даних (БПД). Отримання ПД пов’язано з необхідністю здійснювати ідентифікацію клієнтів, як фізичних, так і юридичних осіб на виконання вимог ч. 3 ст. 18 Закону України «Про фінансові послуги та державне регулювання ринків фінансових послуг». Обсяг ПД, які можуть збиратися фінансовою установою (торговцем) для ідентифікації, визначено ст. 18 згаданого закону, а також ст. 9  Закону України «Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, або фінансуванню тероризму». Таким чином, згідно п. п. 3, 5, 6 ст. 6 Закону України «Про захист персональних даних», згода суб’єкта ПД на збір та обробку ПД під час укладення торговцями договорів з клієнтами – фізичними особами не потребується. Проте застерігаємо, що обсяг ПД має та порядок їх отримання має відповідати зазначеним вище нормам закону. 

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Відповідно до вимог Закону обробка персональних даних повинна здійснюватися для конкретних і законних цілей, визначених за згодою суб’єкта персональних даних, або у випадках, передбачених законами України, у порядку встановленому законодавством.

Крім того, володілець бази/баз персональних даних повинен:
- визначити та затвердити мету обробки персональних даних у базах персональних даних,
- встановити склад персональних даних, 
- встановити процедуру обробки персональних даних, 
- визначити відповідальну особу/структурний підрозділ, відповідальний за організацію процесів з обробки персональних даних,
- здійснити реєстрацію баз персональних  даних.

СРО АУФТ
На нашу думку, обробка ПД на виконання вимог законодавства з фінансового моніторингу не потребує отримання згоди власників ПД.
Додатково див. відповідь на питання № 60

СРО АУФТ
Див. відповідь на питання № 49

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Знову ж, питання повторюється. Бази діляться, в першу чергу, за  метою обробки персональних даних.

Разгонов Сергій Адамович
Член Комітету з питань обробки персональних даних  в сфері електронного документообігу, мережі Інтернет та галузі ІТ Громадської Ради з питань захисту персональних даних у інформаційних системах
База персональных данных - это часть бизнес-процесса предприятия с четко прописанными правилами обработки, однозначно определенной целью обработки, составом персональных данных и процедурой обработки.
Таким образом, с точки зрения технической реализации базой ПД может быть признано: бумажная копия реестра клиентов предприятия, программная система по обработке данных клиентов, и тд. В случае, когда персональные данные клиентов, контрагентов, учредителей  и тд. -  учитываются в единой технической реализации как части бизнес-процесса предприятия, то можно регистрировать одну базу ПД, но следует помнить, что при проверке будет необходимо доказать правильность  принятого решения.
Додатково див. відповідь на запитання №7

Разгонов Сергій Адамович
Член Комітету з питань обробки персональних даних  в сфері електронного документообігу, мережі Інтернет та галузі ІТ Громадської Ради з питань захисту персональних даних у інформаційних системах
База персональных данных - это часть бизнес-процесса предприятия с четко прописанными правилами обработки, однозначно определенной целью обработки, составом персональных данных и процедурой обработки.
Таким образом, с точки зрения технической реализации базой ПД может быть признано: бумажная копия реестра клиентов предприятия, программная система по обработке данных клиентов, и тд. В случае, когда персональные данные клиентов, контрагентов, учредителей  и тд. -  учитываются в единой технической реализации как части бизнес-процесса предприятия, то можно регистрировать одну базу ПД, но следует помнить, что при проверке будет необходимо доказать правильность  принятого решения.

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Якщо законом надано дозвіл на  обробку персональних даних, згода на обробку не потрібна, і володілець повинен обробляти персональні дані фізичної особи лише в межах, наданих законом.

СРО АУФТ
На нашу думку, НКЦПФР та Біржі не є третіми особами в розумінні п. 2 ч. 2 ст. 8 Закону, оскільки торговець надає зазначеним органам ПД на виконання вимог Закону (ч. 5 ст. 6 Закону)

СРО АУФТ
Нажаль немає  визначеності з цього питання. При буквальному читанні - так, повідомлення мають бути здійснені.
Проте, на наше переконання порядок застосування зазначеної норми має бути окремо розтлумачено регулятором, оскільки межі її застосування не визначені.

СРО АУФТ:

Відповідно до заповнення заявки:

Додаткові аркуші 4 та 5 заповнюються та подаються лише у разі необхідності, тобто розпорядників та/або місць знаходження баз даних більше одного. Якщо додаткові аркуші 4 та 5 не містять інформації, то їх прикладати до заяви не потрібно.

СРО АУФТ
Стосовно персональних даних, які були надані до набуття чинності Законом "Про захист персональних даних див. відповіді, які були надані раніше.
Стосовно згоди на обробку персональних даних, то Закон передбачає обробку даних за для конкретних і законих цілей, визначених за згодою фізичної особи, або у випадках, парадбачених законами України (наприклад ст. 18 Закону України "Про фінансові послуги та державне регулювання ринків фінансових послуг ", ст. 9 Закону України "Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, або фінансуванню тероризму")

СРО АУФТ
Закон не містить чіткого порядку повідомлення, лише визначає, що таке повідомлення має бути здійснено в письмовій формі (ч. 2 ст. 12 Закону).

Див.відповідь на запитання № 53

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Якщо особа не надає згоду, то її персональні дані повинні оброблятися лише в межах, визначених законом

Разгонов Сергій Адамович
Член Комітету з питань обробки персональних даних  в сфері електронного документообігу, мережі Інтернет та галузі ІТ Громадської Ради з питань захисту персональних даних у інформаційних системах

База персональных данных - это часть бизнес-процесса предприятия с четко прописанными правилами обработки, однозначно определенной целью обработки, составом персональных данных и процедурой обработки.
Таким образом, с точки зрения технической реализации базой ПД может быть признано: бумажная копия (картотека) реестра клиентов предприятия, программная система по обработке данных клиентов, и тд.

Разгонов Сергій Адамович
Член Комітету з питань обробки персональних даних  в сфері електронного документообігу, мережі Інтернет та галузі ІТ Громадської Ради з питань захисту персональних даних у інформаційних системах

См. ответ на вопрос № 22

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Нет, не является.

Див. відповідь на питання № 42, № 61

СРО АУФТ

 БПД мають формуватися не стільки у залежності від напрямків професійної діяльності торговця, скільки залежно від мети обробки (збору) ПД. На приклад, з метою ідентифікації осіб в межах здійснення фінансового моніторингу, з метою кадрового обліку персоналу та подання обов’язкової звітності і т. д.
Щоб підтвердити зобов'язання стосовно виконання вимог законодавства щодо захисту персональних даних в розділі ІV заяви необхідно проставити «галочку» у відповідному полі.
Власник БПД повинен сповіщати державний орган у випадку зміни мети обробки та обсягу інформації (зміну категорій ПД), яка включається до такої БПД.

Див. відповідь на запитання № 60

Див. відповідь на запитання № 77

Див. відповідь на питання № 60, № 74

Див. відповідь на запитання №42, №60, №71

Див. відповідь на запитання № 60
Також просимо що раз звернути увагу на вимоги законодавства про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, або фінансуванню тероризму, особливо в частині відмови надання інформації, необхідної для проведення ідентифікації фізичної особи.

Див. відповідь на питання № 42, № 61

Див. відповідь на запитання № 60, №74

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних
Згідно Закону України «Про захист персональних даних» база  персональних  даних  підлягає  державній  реєстрації шляхом  внесення  відповідного  запису   уповноваженим   державним органом  з питань захисту персональних даних до Державного реєстру баз персональних даних.  
Уповноважений   державний   орган   з    питань    захисту персональних  даних  -  центральний  орган  виконавчої  влади,  до повноважень  якого  належить   захист   персональних   даних,   що утворюється відповідно до законодавства.
Згідно Указу Президента України № 390/2011, Державна служба України з питань захисту персональних даних (ДСЗПД України) є центральним органом виконавчої влади, що забезпечує реалізацію державної політики у сфері захисту персональних даних.
 
Виходячи з вищевикладеного, заяву про реєстрацію бази персональних даних необхідно подавати до ДСЗПД.
 

Див. відповідь на запитання № 76, № 86

СРО АУФТ

Звітність формується на підставі інформації, в тому числі - персональних даних, які включені до баз персональних даних персоналу торговця, клієнтів – фізичних осіб, фізичних осіб, щодо яких здійснюється ідентифікація в межах фінансового моніторингу та інших. Сформовані звіти не є БПД.

СРО АУФТ

Як варіант:

БПД фізичних осіб, ідентифікація яких здійснюється при наданні фінансових послуг

Див. відповідь на запитання №60, № 67 в частині ідентифікації вимоги розповсюджуються також і на зберігачів.

Див. відповідь на запитання № 92

СРО АУФТ
Відповідно до ст. 9 закону "Про захист персональних даних" Володілець БПД має повідомляти державного реєстратора лише у випадку зміни мети обробки та/або обсягу (переліку, категорій) інформації, яка вноситься до БПД.

СРО АУФТ

Роботодавець має, принаймні, прізвище, ім’я, по-батькові та ідентифікаційний код працівника. Зазначеної інформації достатньо для ідентифікації особи, отже така інформація є ПД в розумінні ст. 2 Закону.

Див відповідь на питання № 92

Див. відповідь на запитання № 60, № 74

Див. відповідь на питання № 93

СРО АУФТ

В розумінні Закону, персональні дані засновників товариства – фізичних осіб складають БПД. Якщо безпосередньо на Товаристві здійснюється  збор інформації щодо засновників - так, потрібно.

 Згідно визначення в ст. 2 Закону, база персональних даних – іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних. Персональні дані - відомості, чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути ідентифікована. На нашу думку, якщо працює одна людина -  також реєструвати БПД потрібно.

СРО АУФТ
Базою персональних даних є не договори, а персональні дані фізичних осіб, які можуть бути сторонами таких договорів. В такому випадку, юридична особа стає власником БПД клієнтів/контрагентів – фізичних осіб.

СРО АУФТ

На нашу думку, під картотекою ПД слід розглядати будь-яку упорядковану сукупність персональних даних в документальній формі. Електронна форма ПД - будь-яка упорядкована сукупність персональних даних в електронній формі. Дані персоналу торговця складають БПД працівників.  Персональні дані фізичних осіб, зібрані в процесі ідентифікації на виконання законодавства у сфері фінансового моніторингу складають окрему БПД виходячи з мети обробки та обсягу інформації, яка може включатися до такої БПД. Інформацію про зміни БПД необхідно подавати у випадку зміни мети обробки та/або обсягу інформації, яка може включатися до такої БПД.

СРО АУФТ
Складання та надання звітності до державного регулятора передбачено вимогами чинного законодавства.
Обробку даних здійснює ТЦП за допомогою програмного забезпечення яким ТЦП  володіє/користується, наприклад АФР-ТЦП.

Див. відповідь на питання № 103

СРО АУФТ

Законодавство не містить тлумачення понять «картотека персональних даних», тому слід виходити із загального лексичного значення. На нашу думку, під картотекою ПД слід розглядати будь-яку упорядковану сукупність персональних даних в документальній формі, критеріїв щодо впорядкованості інформації в таких картотеках не встановлено (тобто, немає «мінімального рівня впорядкованості»).

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Заяву подавати можна в електор. вигляді, підписану ЕЦП. Стосовно чи підходять ЕЦП, це питання до Вашого ЦСК. 

СРО АУФТ

Заяви про реєстрацію БПД, які подаються в електронному вигляді, мають бути посвідченні електронними цифровими підписами центрів сертифікації ключів, які акредитовані в ДСЗПД. З переліком таких центрів можна ознайомитися за адресою http://www.zpd.gov.ua/indexServices.html

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Згода суб'єкта  персональних  даних - будь-яке документоване, зокрема письмове,  добровільне волевиявлення фізичної  особи  щодо
надання  дозволу  на  обробку  її персональних даних відповідно до сформульованої мети їх обробки.
 

Див. відповідь на запитання № 43

СРО АУФТ
Закон про АТ не містить вимоги такого АТ мати базу ПД акціонерів-фізичних осіб. Як вже зазначалось, реєстр акціонерів веде депозитарій, який в рамках закону надає зведений обліковий реєстр акціонерів АТ-у за певних випадків (проведення ЗЗА тощо).

СРО АУФТ
Див. відповідь на питання 49

СРО АУФТ

В такому випадку слід зазначити, що з метою забезпечення збереження ПД фізичної особи та контрольованого їх розповсюдження, База ПД реєструється на конкретного володільця, який і нестиме відповідальність у разі порушення режиму розповсюдження ПД.

При реєстрації Бази ПД обов’язково надається інформація щодо володільця бази та розпорядника. А тому, виходячи із того, що є особа-розпорядник, якому надано право обробляти ПД у Базі ПД, іншим особам передача персональної інформації може надаватись виключно у рамках закону.

СРО АУФТ

На жаль, на сьогодні маємо не багато нормативних документів. Це, безумовно, сам Закон 2297, це Порядок подання заяв про реєстрацію бази персональних даних та про внесення змін до відомостей ДРБПД, затверджений Наказом Мінюсту № 1824/5 від 08.07.2011,

 

Це Постанова КМУ Про затвердження Положення про Державний реєстр баз персональних даних та порядок його ведення від 25.05.2011 року за № 616. З 01.01.2012 року вступають в силу зміни до КК України та Кодексу про Адмін. правопорушення – Закон 3454.

Та на виконання вимоги п. 10 ст.. 6 Закону 2297 має бути розроблений Типовий порядок обробки персональних даних у базах персональних даних, який затверджується уповноваженим державним органом з питань захисту персональних даних. 

Див. відповідь на питання № 133

Див. відповідь на питання № 133

Див. відповідь на питання № 133

Див. відповідь на питання № 133

СРО АУФТ
У випадку, якщо Ви ідентифікуєте ці бази кожну окремо з метою обробки інформації.
Точка зору  фахівців, викладена у відповідях на попередні питання свідчить про можливість суттєвого скорочення  викладеного Вами переліку.

Див. відповідь на питання № 133

СРО АУФТ
Закон 2297 не встановлює вимог до кваліфікаційних характеристик розпорядника, виключно вимоги щодо надання повноважень. При цьому – розпорядником можуть бути як фізична, так і юридична особа, з якою володільцем БПД укладено письмовий договір – п.2 ст. 11 Закону 2297. При цьому Розпорядник бази персональних даних може обробляти персональні дані лише з метою і в обсязі, визначених у договорі.  
Також  при визначенні особи-розпорядника необхідно враховувати, що має бути визначений певний обсяг прав щодо обробки БД, а також, що дані, подані при реєстрації БП підлягають актуалізації протягом 10 днів з дати зміни. Отже необхідно враховувати кадрові ризики, а також той факт - чи доручається оброка даних третій особі (юридичній чи фізичній) на підставі договору. Якщо немає потреб в укладанні таких договорів - відповідно - не буде розпорядника.

СРО АУФТ
Да, считается

Див. відповідь на питання №42, №61

Див. відповідь на питання № 135

Див. відповідь на питання № 135

Голік Наталія Анатоліївна
Провідний спеціаліст відділу нормативно-правового забезпечення  Управління юридичного забезпечення Державної служби України з питань захисту персональних даних

Реєстрація БПД здійснюється безкоштовно.