Наші пропозиціїДрук

Проект змін до Закону України «Про захист персональних даних»

>> завантажити файл (doc, 285Kb)

Чинна редакція Редакція з урахуванням змін Коментарі

Стаття 1. Сфера дії Закону

Цей Закон регулює відносини, пов’язані із захистом персональних даних під час їх обробки.

Дія цього Закону не поширюється на діяльність зі створення баз персональних даних та обробки персональних даних у цих базах:

 Стаття 1. Сфера дії Закону  

фізичною особою – виключно для непрофесійних особистих чи побутових потреб;

журналістом – у зв'язку з виконанням ним службових чи професійних обов'язків;

професійним творчим працівником – для здійснення творчої діяльності.

 Залишити без змін  

Стаття 2. Визначення термінів

У цьому Законі нижченаведені терміни вживаються в такому значенні:

Стаття 2. Визначення термінів

Залишити без змін

  

база персональних даних  іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних;

Залишити без змін

  

володілець бази персональних даних - фізична або юридична особа, якій законом або за згодою суб’єкта персональних даних надано право на обробку цих даних, яка затверджує мету обробки персональних даних у цій базі даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом;

володілець бази персональних даних - фізична або юридична особа, орган державної влади чи орган місцевого самоврядування, якому законом або за згодою суб’єкта персональних даних надано право на обробку цих даних, який затверджує мету обробки персональних даних у цій базі даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом;

Пропоную до визначення «володілець бази персональних даних» додати «орган державної влади та місцевого самоврядування», оскільки відсутність даних суб’єктів суперечить ч.2 ст.4 цього Закону (там вони зазначені)

Державний реєстр баз персональних даних – єдина державна інформаційна система збору, накопичення та обробки відомостей про зареєстровані бази персональних даних;

Державний реєстр володільців баз персональних даних - єдина державна інформаційна система збору, накопичення та обробки відомостей про володільців баз персональних даних;

Редакція погоджена з ІНАУ
Визначення вводиться у звязку із пропозицією замвнити реєстр баз персональних даних на реєстрацію обробників персолнальних даних.
Аргументацію див. у коментарях до статті 9 Закону.
Визначення відсутнє

Загальнодоступні джерела персональних даних – довідники, адресні книги, реєстри, списки, каталоги, інші систематизовані збірники відкритої інформації, які містять персональні дані, розміщені та опубліковані з відома суб’єкта персональних даних. Не вважаються загальнодоступними джерелами персональних даних соціальні мережі та інтернет-ресурси, в яких суб’єкт персональних даних залишають свої персональні дані (окрім випадків, коли суб’єктом персональних даних прямо зазначено, що персональні дані розміщені з метою їх вільного поширення та використання).

Пропозиція погоджена на засіданні робочої групи
Пропоную ввести в Закон термін «Загально доступні джерела ПД». Адже цим Законом встановлено, що дозволяється обробка ПД особи без її згоди у випадку, якщо ПД отримані із загальнодоступних джерел, а самого визначення (переліку) немає. Введення цього визначення в Закон значно спростить ведення бізнесу субєктами господарювання. В якості обгрунтування необхідності існування такого визначення можна взяти положення «Рекомендацій Комітету Міністрів № (85) 20 від 25.10.1985 року стосовно захисту персональних даних, що використовуються в сфері прямого маркетингу, а саме:
2.2. С учетом ограничений, налагаемых национальным законом, любое лицо должно иметь право собирать персональные данные для целей прямого маркетинга из общедоступных или иных опубликованных материалов.
Общедоступные файлы и иные публикации, указанные в параграфе 2.2, могут различаться от страны к стране, колеблясь в пределах от телефонных справочников до электоральных списков или регистров актов (рождения, бракосочетания и смерти), а также газет и журналов.
В данном параграфе говорится, что национальный законодатель вправе установить собственный национальный режим использования указанных материалов, например, ограничить сбор определенных категорий особых персональных данных, если эта информация предназначена для составления маркетингового списка.

згода суб’єкта персональних даних - будь-яке документоване, зокрема письмове, добровільне волевиявлення фізичної особи щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки;

згода суб’єкта персональних даних - будь-яке документоване, зокрема письмове, добровільне волевиявлення фізичної особи щодо надання згоди на обробку її персональних даних відповідно до сформульованої мети їх обробки;

Прийнято рішення змінити дане визначення, з метою «прибрати» слово дозвіл (щоб не було сумнівів підпадання даного визначення під дію законодавства в сфері дозвільної системи)

знеособлення персональних даних - вилучення відомостей, які дають змогу ідентифікувати особу;

Знеособлення бази персональних даних - вилучення відомостей, які дають змогу ідентифікувати осіб, відомості про яких містяться в цій базі;

Оскільки даний термін у тексті Закону замінено на інший термін (див коментарі до ч.9 ст. 6 Закону). Потрібно виключити або замінити на «знеособлення баз персональних даних»
визначення відсутнє

картотека персональних даних – структорована сукупність документів на паперових носіях, що містять персональні дані, підбір та упорядкування яких здійснений у автоматизованому режимі, та які можуть бути знайдені за допомогою певного критерію пошуку.

Очевидно існує доцільність розмежування ПД на категорії «ідентифікуючі» та «вразливі» з метою встановлення різного ступеню їх захисту. Проте, щоб не міняти конструкцію закону в цілому і не робити розподіл даних на категорії (оскільке це буде дуже складно) пропонується ввести лише термін «ідентифікуючі ПД» та встановити їх спрощений порядок обробки в комерційних цілях. Це термін використаний лише у ст. 6-2 Закону відповідно до пропонованої редакції.

Статтею 3 Страдзбургської Конвенції 1981 року передбачено, що її вимоги повинні застосовуватись щодо обрбки ПД саме в автоматизованих базах ПД. Проте також міститься застереження, що держави можуть застосовувати процедуру також і до неавтоматизованої обробки.
Стоїть задача вивести з під дії Закону неавтоматизовані Бази ПД. Проте це складно зробити, оскільки в такому випадку доведеться міняти підхід до самого Закону, а тиакож вносити зміни до Закону «Про ратифікацію Конвенції…». Пропонується дати визначення «картотека ПД» і таким чином звузити сферу поширення дії Закону В такому разі під дію Закону не будуть підпадали «стопки документів з персональними даними», візитниці, списки контактів клієнтів і т.д. (а лише автоматизовані файли). Пропонується обговорити пропонований підхід на робочій групі

За основу взято визначення терміну «картотеки», наведене у п (с) ст. 9 Директиви 95/46/ЕС від 24 жовтня 1995 року.

(с) "картотека персональных данных" означает любой структурированный набор личных данных, являющийся доступным в соответствии с определенными критериями, централизованный, децентрализованный или распределенный на функциональной или географической основе;

обробка персональних даних  будь-яка дія або сукупність дій, здійснених повністю або частково в інформаційній (автоматизованій) системі та/або в картотеках персональних даних, які пов’язані зі збиранням, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, поновленням, використанням і поширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичну особу;

 Залишити без змін  

персональні дані – відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована

персональні дані – відомості про фізичну особу, які в своїй сукупності дають можливість ідентифікувати таку особу. персональні дані – відомості про фізичну особу, які в своїй сукупності дають можливість ідентифікувати таку особу. Мінімальною сукупністю відомостей, що дають можливість ідентифікувати особу (ідентифікуючими даними) є: прізвище, ім’я та по-батькові особи разом з датою її народження або домашньою, поштовою чи електронною адресою, або номером телефону, або реєстраційним номером облікової картки платника податків.

Прийнято рішення дати більш точне визначення терміну «персональні дані» (ключового терміну закону) шляхом встановлення мінімальної сукупності відомостей, які можуть бути «персональними даними» (див. додатково коментар до ст. 6-2 (яку пропонується включити до Закону), якою пропонується передбачити спрощений порядок обробки ідентифікуючих даних.
Із вступом в дію Податкового кодексу термін «ідентифікаційний номер платника податку» змінено на «реєстраційний номер облікової картки платника податків», тому його і заствосовано

розпорядник бази персональних даних – фізична чи юридична особа, якій володільцем бази персональних даних або законом надано право обробляти ці дані;

розпорядник бази персональних даних – фізична чи юридична особа, орган державної влади чи орган місцевого самоврядування, якому володільцем бази персональних даних або законом надано право обробляти ці дані. Не є розпорядником бази персональних даних особа, якій володільцем бази персональних даних доручено здійснювати роботи технічного характеру з базою персональних даних без доступу до змісту персональних даних.

Пропоную додати фразу «орган державної влади чи орган місцевого самоврядування» - мотивація аналогічна коментарю щодо володільця баз ПД
Пропонується додати умову про те, що не вважається розпорядником особа, яка здійснює технічне обслуговування для органів державної влади, і при цьому працює з Базами ПД – щоб ця норма не «заблокувала» будь-які відносини, пов’язані з обслуговуванням державних органів

суб’єкт персональних даних – фізична особа, стосовно якої відповідно до закону здійснюється обробка її персональних даних;

 Залишити без змін  

третя особа – будь-яка особа, за винятком суб’єкта персональних даних, володільця чи розпорядника бази персональних даних та уповноваженого державного органу з питань захисту персональних даних, якій володільцем чи розпорядником бази персональних даних здійснюється передача персональних даних відповідно до закону.

 Залишити без змін  

Стаття 3. Законодавство про захист персональних даних

Законодавство про захист персональних даних складають Конституція України, цей Закон, інші закони та підзаконні нормативно-правові акти, міжнародні договори України, згода на обов'язковість яких надана Верховною Радою України.

Стаття 3. Законодавство про захист персональних даних

Залишити без змін

                                

Стаття 4. Суб’єкти відносин, пов’язаних із персональними даними

Стаття 4. Суб’єкти відносин, пов’язаних із персональними даними

  

1. Суб’єктами відносин, пов’язаних із персональними даними, є:

  • суб’єкт персональних даних;
  • володілець бази персональних даних;
  • розпорядник бази персональних даних;
  • третя особа;
  • уповноважений державний орган з питань захисту персональних даних;
  • інші органи державної влади та органи місцевого самоврядування, до повноважень яких належить здійснення захисту персональних даних.

 

Залишити без змін

  

2. Володільцем чи розпорядником бази персональних даних можуть бути підприємства, установи і організації усіх форм власності, органи державної влади чи органи місцевого самоврядування, фізичні особи – підприємці, які обробляють персональні дані відповідно до закону.

 2. Володільцем чи розпорядником бази персональних даних можуть бути підприємства, установи і організації усіх форм власності, органи державної влади чи органи місцевого самоврядування, фізичні особи, які обробляють персональні дані відповідно до закону.

Прийнято рішення після узгодження редакції абзацу 2 статті 2, внести в цей пункт відповідні змінеи (пункти пов’язані) Пропоную додати до переліку суб’єктів, що можуть бути володільцями чи розпорядниками бази ПД ще й фізичних осіб. Адже в іншому випадку фізична особа взагалі не зможе обробляти персональні дані, що є нелогічно і суперечить реаліям. До того ж, це пряме положення Страдзбургської Конвенції "контролер базы данных" означает физическое или юридическое лицо, государственный орган, ведомство или любую другую организацию, которая в соответствии с национальным правом наделена полномочиями решать, для какой цели создается автоматизированная база данных, какие категории персональных данных будут накапливаться и какие операции с ними будут осуществляться.

3. Розпорядником бази персональних даних, володільцем якої є орган державної влади чи орган місцевого самоврядування, крім цих органів, може бути лише підприємство державної або комунальної форми власності, що належить до сфери управління цього органу.

 3. Залишити без змін  

Стаття 5. Об’єкти захисту

1. Об’єктами захисту є персональні дані, які обробляються в базах персональних даних.

Стаття 5. Об’єкти захисту

Залишити без змін

  

2. Персональні дані, крім знеособлених персональних даних, за режимом доступу є інформацією з обмеженим доступом.

 Залишити без змін  

3. Законом може бути заборонено віднесення персональних даних певних категорій громадян чи їх вичерпного переліку до інформації з обмеженим доступом.

 Залишити без змін  

4. Персональні дані фізичної особи, яка претендує зайняти чи займає виборну посаду (у представницьких органах) або посаду державного службовця першої категорії, не належать до інформації з обмеженим доступом, за винятком інформації, яка визначена такою відповідно до закону.
 
 

 
 
 
 
5. Відсутня

4. Персональні дані фізичної особи, яка претендує зайняти чи займає виборну посаду (у представницьких органах державної влади та місцевого самоврядування), посаду державного службовця першої – четвертої категорії, керівника політичної партії, його заступника, не належать до інформації з обмеженим доступом за винятком інформації, яка визначена такою відповідно до закону.

5. Не належать до інформації з обмеженим доступом відомості про керівника, заступника керівника, іншої посадової особи громадської організації, руху, благодійної організації, суб’єкта господарювання будь-якої форми власності, установи, організації, фізичної особи-підприємця, якщо ці дані стосуються виключно їх службової діяльності (прізвище, ім’я та по-батькові, назва посади, номери службових телефонів, адреси електронної пошти, місцезнаходження, поштова адреса для листування.

Редакцію узгоджено на засіданні робочої групи.
За основу визначення «публічної посадової особи» взято термін з Конвенції Організації об’єднаних Націй проти корупції від 31.10.2003 року (дане визначення охоплює держаиних службовців незалежно від посади. Думаю, правозахисні організації тут будуть нам союзниками):
«Публичное должностное лицо»
любое назначаемое или избираемое лицо, занимающее какую-либо должность в законодательном, исполнительном, административном или судебном органе Государства-участника на постоянной или временной основе, за плату или без оплаты труда, независимо от уровня должности этого лица;
любое другое лицо, выполняющее какую-либо публичную функцию, в том числе для публичного ведомства или публичного предприятия, или предоставляющее какую-либо публичную услугу, как это определяется во внутреннем законодательстве Государства-участника и как это применяется в соответствующей области правового регулирования этого Государства-участника;
любое другое лицо, определяемое в качестве "публичного должностного лица" во внутреннем законодательстве Государства-участника. Тем не менее для целей принятия некоторых конкретных мер, предусмотренных главой II настоящей Конвенции, "публичное должностное лицо" может означать любое лицо, выполняющее какую-либо публичную функцию или предоставляющее какую-либо публичную услугу, как это определяется во внутреннем законодательстве Государства-участника и как это применяется в соответствующей области правового регулирования этого Государства-участника».

В ЗУ «Про протидію легалізації доходів.....» наведене визначення «публічний діяч» - надто невдале визначення, в даному випадку воно не підходить

Також пропоную доповнити статтю частиною 5, яка уможливить використання даних будь-яких працівників компаній в службових цілях

Стаття 6. Загальні вимоги до обробки персональних даних

1. Мета обробки персональних даних має бути сформульована в законах, інших нормативно-правових актах, положеннях, установчих чи інших документах, які регулюють діяльність володільця бази персональних даних, та відповідати законодавству про захист персональних даних. У разі зміни визначеної мети обробки персональних даних суб’єктом персональних даних має бути надана згода на обробку його даних відповідно до зміненої мети.

Стаття 6. Загальні вимоги до обробки персональних даних

Залишити без змін

  

2. Персональні дані мають бути точними, достовірними, у разі необхідності - оновлюватися.

 Залишити без змін  

3. Склад та зміст персональних даних мають бути відповідними та ненадмірними стосовно визначеної мети їх обробки.
Обсяг персональних даних, які можуть бути включені до бази персональних даних, визначається умовами згоди суб’єкта персональних даних або відповідно до закону.

 Залишити без змін  

4. Первинними джерелами відомостей про фізичну особу є: видані на її ім’я документи; підписані нею документи; відомості, які особа надає про себе.

 Залишити без змін  

5. Обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб’єкта персональних даних або у випадках, передбачених законами України, у порядку, встановленому законодавством.

 Залишити без змін  

6. Не допускається обробка даних про фізичну особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

6. Не допускається обробка даних про фізичну особу без її згоди, крім випадків, визначених частиною 7 цієї статті, частиною 2 статті 6-1, ст.6-2 цього Закону, частиною 2 статті 7 цього Закону.

  

7. Якщо обробка персональних даних є необхідною для захисту життєво важливих інтересів суб’єкта персональних даних, обробляти персональні дані без його згоди можна до часу, коли отримання згоди стане можливим.

 Залишити без змін  

8. Персональні дані обробляються у формі, що допускає ідентифікацію фізичної особи, якої вони стосуються, у строк, не більший ніж це необхідно відповідно до їх законного призначення.

 Залишити без змін  

9. Використання персональних даних в історичних, статистичних чи наукових цілях може здійснюватися лише в знеособленому вигляді.

9. Використання баз персональних даних в історичних, статистичних чи наукових цілях може здійснюватися лише в знеособленому вигляді.

Термін «знеособлення персональних даних» взагалі не може існувати, оскільки після знеособлення інформація перестає бути персональними даними. До того ж, більш логічним з точки зору даної статті є застосування терміну «використання баз персональних даних в знеособленому вигляді»

10. Типовий порядок обробки персональних даних у базах персональних даних затверджується уповноваженим державним органом з питань захисту персональних даних.
Порядок обробки персональних даних, які належать до банківської таємниці, затверджується Національним банком України.

 Залишити без змін  

Стаття 6-1. Умови обробки персональних даних

Стаття 6-1. Умови обробки персональних даних

                               
Стаття відсутня

1. Обробка персональних даних може здійснюватись володільцем чи розпорядником персональних даних тільки за згодою суб’єкта персональних даних за винятком випадків, передбачених частиною 2 цієї статті.

В тому чи іншому вигляді в частині 2 статті враховані всі випадки, передбачені Страдзбургською Конвенцією 1981 року, коли допускається використання ПД без згоди особи
 

2. Отримання згоди суб’єкта персональних даних на обробку його персональних даних не вимагається в наступних випадках:

  
 

1) здійснюється обробка персональних даних, отриманих із загальнодоступних джерел;

Визначення терміну «загальнодоступні джерела» див. у ст. 2 пропонованої редакції)
 

2) обробка персональних даних здійснюється роботодавцем щодо працівника для здійснення прав та виконання обов’язків у сфері трудових правовідносин відповідно до законодавства України про працю, утримання та перерахування загальнообов’язкових податків та зборів відповідно до чинного законодавства України

Стосується можливості обробки персональних даних «публічних осіб» без їх згоди, порядок використання яких пропонується визначити у ч. 4, 5 ст. 5 пропонованої редакції Закону (додатково див. коментарі до вказаної статті у пропонованій редакції).
 

3) обробка персональних даних здійснюється стороною з метою укладення та виконання договору, однією із сторін якого є суб’єкт персональних даних.

З метою посилення захисту субєктів персональних даних пропонується встановити солідарну відповідалність володільця і тих осіб, кому передані ці дані.
 

4) обробка персональних даних здійснюється з метою виконання юридичного зобов’язання, стороною якого є суб’єкт персональних даних;

  
 

5) обробка персональних даних здійснюється органом державної влади, його посадовою особою в цілях захисту національної безпеки, запобігання, розслідування, розкриття і обвинувачення за вчинення злочинів в рамках здійснення оперативно-розшукової, контррозвідувальної діяльності; досудового слідства та судового провадження, боротьби з тероризмом, а також для виконання інших його повноважень, прямо передбачених законом та при умові, якщо виконання таких повноважень є неможливим без обробки персональних даних цієї особи.

  
 

6) обробка персональних даних є необхідною для захисту життя, здоров’я, інших життєво-важливих інтересів суб’єкта персональних даних;

  
 

7) обробка персональних даних здійснюється для доставки поштових відправлень операторами поштового зв’язку, кур’єрськими службами;

  
 

8) обробки персональних даних щодо осіб, передбачених частинами 4 та 5 статті 5 цього Закону;

  
 

3. У випадку, якщо володілець бази персональних даних доручає обробку персональних даних розпоряднику чи передає персональні дані третій особі, володілець та розпорядник (третя особа) несуть солідарну відповідальність перед суб’єктом персональних даних за дотримання конфіденційності персональних даних та безпеки персональних даних при їх обробці у відповідності до цього Закону.

  

Стаття 6-2

Відсутня

Стаття 6-2. Особливості обробки ідентифікуючих персональних даних в комерційних цілях.

  
 

1. Допускається обробка ідентифікуючих даних без попередньої згоди суб’єкта персональних даних (крім реєстраційного номеру облікової карти платника податків), якщо така обробка здійснюється володільцем бази персональних даних виключно в комерційних цілях за умови, що дані отримані під час попередніх взаємовідносин із суб’єктом персональних даних з відома суб’єкта персональних даних та за умови, що останній не заперечив проти обробки його ідентифікуючих даних.

2. Не допускається збір ідентифікуючих даних в комерційних цілях із використанням інформації, що може ввести в оману суб’єкта персональних даних щодо мети, з якою збираються ідентифікуючі дані.

3. Обробка ідентифікуючих даних в комерційних цілях може здійснюватись також особою, яка отримала ці дані не від суб’єкта персональних даних безпосердньо, за умови якщо суб’єкт персональних даних під час збору персональних даних був поставлений до відома про можливість передачі його даних іншим особам в комерційних цілях та не заперечив проти цього.

Вважаю, що введення даної статті є необхідним, адже використання персональних даних для направлення реклами – охоплює 90 % використання ПД взагалі. Таку діяльність здійснюють більшість суб’єктів господарювання. Тут повинен діяти спрощений порядок обробки, оскільки використання ідентифікуючих даних для відправки реклами не може нанести реальної шкоди особі, і отримувати щоразу згоду від субєкта персональних даних не є доцільним. Такого принципу притримуються у більшості Європейських країн.

При розробці даної статті використані положення «Рекомендацій Комітету Міністрів № (85) 20 від 25.10.1985 року стосовно захисту персональних даних, що використовуються в сфері прямого маркетингу. Основні положення рекомендацій:
« 2.1. Лицо, подготавливающее маркетинговый список (marketing lists), главным образом список имен и адресов для собственных маркетинговых целей, имеет право на использование данных, полученных во время предыдущих контактов с настоящими или будущими потребителями или партнерами»
С учетом положений параграфа 2.5, должно быть возможным предоставление списка третьим лицам для целей прямого маркетинга при условии, что субъект персональных данных непосредственно или иным подходящим образом был поставлен об этом в известность в момент сбора или вскоре после него и не наложил запрет на это предоставление.
Параграф 3.1 Рекомендация решительно (expressly) допускает эту практику, подчеркивая, однако, что субъект персональных данных своевременно должен быть поставлен в известность о таких действиях и иметь возможность их запретить».
 

4. Володілець бази персональних даних, що містить ідентифікуючі дані, або особа, зазначена у частині 3 цієї статті, зобов’язані забезпечити захист ідентифікуючих даних від їх несанкціонованого поширення, а також надати суб’єкту персональних даних можливість здійснити відмову від обробки його ідентифікуючих даних у спосіб, зрозумілий та зручний для суб’єкта персональних даних.

Редакція узгоджена на засіданні робочої групи

Стаття 7. Особливі вимоги до обробки персональних даних

Стаття 7. Особливі вимоги до обробки персональних даних

  

1. Забороняється обробка персональних даних про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, а також даних, що стосуються здоров’я чи статевого життя.

 Залишити без змін  

2. Положення частини першої цієї статі не застосовується, якщо обробка персональних даних:
1) здійснюється за умови надання суб’єктом персональних даних однозначної згоди на обробку таких даних;
2) необхідна для здійснення прав та виконання обов’язків у сфері трудових правовідносин відповідно до закону;
3) необхідна для захисту інтересів суб’єкта персональних даних або іншої особи у разі недієздатності або обмеження цивільної дієздатності суб’єкта персональних даних;
4) здійснюється релігійною організацією, громадською організацією світоглядної спрямованості, політичною партією або професійною спілкою, що створені відповідно до закону, за умови, що обробка стосується виключно персональних даних членів цих об’єднань або осіб, які підтримують постійні контакти з ними у зв’язку з характером їх діяльності, та персональні дані не передаються третій особі без згоди суб’єктів персональних даних; 5) необхідна для обґрунтування, задоволення або захисту правової вимоги; 6) необхідна в цілях охорони здоров’я, для забезпечення піклування чи лікування за умови, що такі дані обробляються медичним працівником або іншою особою закладу охорони здоров’я, на якого покладено обов’язки щодо забезпечення захисту персональних даних; 7) стосується обвинувачень у вчиненні злочинів, вироків суду, здійснення державним органом повноважень, визначених законом, щодо виконання завдань оперативно-розшукової чи контрозвідувальної діяльності, боротьби з тероризмом; 8) стосується даних, які були оприлюднені суб'єктом персональних даних.

 Залишити без змін  

Стаття 8. Права суб’єкта персональних даних

Стаття 8. Права суб’єкта персональних даних

  

1. Особисті немайнові права на персональні дані, які має кожна фізична особа, є невід’ємними і непорушними.

 Залишити без змін  

2. Суб’єкт персональних даних має право:
1) знати про місцезнаходження бази персональних даних, яка містить його персональні дані, її призначення та найменування, місцезнаходження та/або місце проживання (перебування) володільця чи розпорядника цієї бази, або дати відповідне доручення щодо отримання цієї інформації уповноваженим ним особам, крім випадків, встановлених законом;
2) отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким передаються його персональні дані, що містяться у відповідній базі персональних даних;
3) на доступ до своїх персональних даних, що містяться у відповідній базі персональних даних;
4) отримувати не пізніше, як за тридцять календарних днів з дня надходження запиту, крім випадків, передбачених законом, відповідь про те, чи зберігаються його персональні дані у відповідній базі персональних даних, а також отримувати зміст його персональних даних, які зберігаються;
5) пред’являти вмотивовану вимогу із запереченням проти обробки своїх персональних даних органами державної влади, органами місцевого самоврядування при здійсненні їхніх повноважень, передбачених законом;
6) пред’являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних будь-яким володільцем та розпорядником цієї бази, якщо ці дані обробляються незаконно чи є недостовірними;
7) на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження у зв’язку з умисним приховуванням, ненаданням чи несвоєчасним їх наданням, а також на захист від надання відомостей, що є недостовірними чи ганьблять честь, гідність та ділову репутацію фізичної особи;
8) звертатися з питань захисту своїх прав щодо персональних даних до органів державної влади, органів місцевого самоврядування, до повноважень яких належить здійснення захисту персональних даних;
9) застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних.

 Залишити без змін  

3. Розпорядження персональними даними фізичної особи, обмеженої в цивільній дієздатності або визнаної недієздатною, здійснює її законний представник.

 Залишити без змін  

Стаття 9. Реєстрація баз персональних даних

Стаття 9. Реєстрація володільців баз персональних даних

  

1. База персональних даних підлягає обов'язковій державній реєстрації шляхом внесення відповідного запису уповноваженим державним органом з питань захисту персональних даних до Державного реєстру баз персональних даних. Положення про Державний реєстр баз персональних даних та порядок його ведення затверджуються Кабінетом Міністрів України.

1. Володілець бази персональних даних до початку обробки персональних даних зобов’язаний повідомити Уповноважений державний орган з питань захисту персональних даних про свій намір здійснювати обробку персональних даних шляхом реєстрації у Державному реєстрі володільців баз персональних даних, крім випадків, коли здійснюється обробка персональних даних, що передбачені частиною 2 статті 6-1 цього Закону.

З метою спрощення процедури реєстрації та оптимізації витрат уповноваженого органу пропонується встановити заявочний принцип реєстрації, відповідно до якого, якщо після подачі заяви про реєстрацію від уповноваженого органу не надійшло вимоги, передбаченої частиною 5 цієї статті, то володілець БПЛ вважається зареєстрованим.

2. Реєстрація баз персональних даних здійснюється за заявочним принципом шляхом повідомлення.

2. Реєстрація володільців баз персональних даних здійснюється Уповноваженим державним органом з питань захисту персональних даних за заявочним принципом. Положення про Д