Закон Украины О защите персональных данных

Статья 1. Сфера действия Закона
Настоящий Закон регулирует правовые отношения, связанные с защитой и обработкой персональных данных и направлен на защиту основных прав и свобод человека и гражданина, в частности права на невмешательство в личную жизнь, в связи с обработкой персональных данных.

Этот закон распространяется на деятельность по обработке персональных данных, осуществляется полностью или частично с применением автоматизированных средств, а также на обработку персональных данных, содержащихся в картотеке или подлежащих внесению в картотеки, с применением неавтоматизированных средств.

{Часть третья статьи 1 исключена на основании Закона № 383-VII от 03.07.2013}

{Часть четвертая статьи 1 исключена на основании Закона № 383-VII от 03.07.2013}

Статья 2. Определение терминов
В настоящем Законе нижеприведенные термины употребляются в таком значении:

база персональных данных - именованная совокупность упорядоченных персональных данных в электронной форме и / или в форме картотек персональных данных;

владелец персональных данных - физическое или юридическое лицо, определяет цель обработки персональных данных, устанавливает состав этих данных и процедуры их обработки, если иное не определено законом;

согласие субъекта персональных данных - добровольное волеизъявление физического лица (при условии его осведомленности) относительно предоставления разрешения на обработку его персональных данных согласно сформулированной цели их обработки, выраженное в письменной форме или в форме, позволяющей сделать вывод о предоставлении согласия. В сфере электронной коммерции согласие субъекта персональных данных может быть предоставлено при регистрации в информационно-коммуникационной системе субъекта электронной коммерции путем проставления отметки о предоставлении разрешения на обработку своих персональных данных согласно сформулированной цели их обработки при условии, что такая система не создает возможностей обработки персональных данных до момента проставления отметки;

{Абзац пятый статьи 2 исключен на основании Закона № 383-VII от 03.07.2013}

обезличивание персональных данных - изъятие сведений, которые позволяют прямо или косвенно идентифицировать личность;

картотека - любые структурированные персональные данные, доступные по определенным критериям, независимо от того, такие данные централизованные, децентрализованные или разделены по функциональным или географическим принципам;

обработка персональных данных - любое действие или совокупность действий, таких как сбор, регистрация, накопление, хранение, адаптирование, изменение, возобновление, использование и распространение (распространение, реализация, передача), обезличивание, уничтожение персональных данных, в том числе с использованием информационных (автоматизированных) систем;

получатель - физическое или юридическое лицо, которому предоставляются персональные данные, в том числе третьего лица;

персональные данные - сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано;

распорядитель персональных данных - физическое или юридическое лицо, которому владельцем персональных данных или законом предоставлено право обрабатывать эти данные от имени владельца;

субъект персональных данных - физическое лицо, персональные данные которого обрабатываются;

третье лицо - любое лицо, за исключением субъекта персональных данных, владельца или распорядителя персональных данных и Уполномоченного Верховной Рады Украины по правам человека, которому владельцем или распорядителем персональных данных осуществляется передача персональных данных.

Статья 3. Законодательство о защите персональных данных
Законодательство о защите персональных данных составляют Конституция Украины, этот Закон, другие законы и подзаконные нормативно-правовые акты, международные договоры Украины, согласие на обязательность которых предоставлено Верховной Радой Украины.

Статья 4. Субъекты отношений, связанных с персональными данными
1. Субъектами отношений, связанных с персональными данными, являются:

субъект персональных данных;

владелец персональных данных;

распорядитель персональных данных;

третье лицо;

Уполномоченный Верховной Рады Украины по правам человека (далее - уполномоченный).

{Абзац седьмой части первой статьи 4 исключен на основании Закона № 5491-VI от 20.11.2012}

2. Владельцем или распорядителем персональных данных могут быть предприятия, учреждения и организации всех форм собственности, органы государственной власти или органы местного самоуправления, физические лица - предприниматели, которые обрабатывают персональные данные в соответствии с законом.

3. Распорядителем персональных данных, владельцем которых является орган государственной власти или орган местного самоуправления, кроме этих органов, может быть только предприятие государственной или коммунальной формы собственности.

4. Владелец персональных данных может поручить обработку персональных данных распорядителю персональных данных в соответствии с договором, заключенным в письменной форме.

5. Распорядитель персональных данных может обрабатывать персональные данные только в целях и в объеме, определенных в договоре.

Статья 5. Объекты защиты
1. Объектами защиты являются персональные данные.

2. Персональные данные могут быть отнесены к конфиденциальной информации о лице законом или соответствующим лицом. Не является конфиденциальной информацией персональные данные, касающиеся лицом, уполномоченным на выполнение функций государства или местного самоуправления, должностных или служебных полномочий.

3. Персональные данные, указанные в декларации лица, уполномоченного на выполнение функций государства или местного самоуправления, оформленной по форме, определенной в соответствии с Законом Украины "О предотвращении коррупции", не относятся к информации с ограниченным доступом, кроме сведений, определенных Законом Украины "О предотвращения коррупции".

Это не относится к информации с ограниченным доступом информация о получении в любой форме физическим лицом бюджетных средств, государственного или коммунального имущества, структура, принципы формирования и размер оплаты труда, вознаграждения, дополнительного блага руководителя, заместителя руководителя юридического лица публичного права, руководителя, заместителя руководителя, члена наблюдательного совета государственного или коммунального предприятия или государственной или коммунальной организации, имеющей целью получение прибыли, лица, постоянно или временно занимает должность члена исполнительного органа входит в состав наблюдательного совета хозяйственного общества, в уставном капитале которого более 50 процентов акций (долей, паев) прямо или косвенно принадлежат государству и / или территориальной общине, кроме случаев, предусмотренных статьей 6 Закона Украины "О доступе к публичной информации".

Не относится к информации с ограниченным доступом информация о физических лиц, имеющих налоговый долг, публикуемую на официальном веб-портале центрального органа исполнительной власти, реализующего государственную налоговую политику, в соответствии с требованиями пункта 35.4 статьи 35 Налогового кодекса Украины.

Законом может быть запрещено отнесение других сведений, являющихся персональными данными, к информации с ограниченным доступом.

Статья 6. Общие требования к обработке персональных данных
1. Цель обработки персональных данных должна быть сформулирована в законах, других нормативно-правовых актах, положениях, учредительных или иных документах, регулирующих деятельность владельца персональных данных, и соответствовать законодательству о защите персональных данных.

Обработка персональных данных осуществляется открыто и прозрачно с применением средств и способом, которые отвечают определенным целям такой обработки.

В случае изменения определенной цели обработки персональных данных на новую цель, которая несовместима с предыдущей, для дальнейшей обработки данных владелец персональных данных должен получить согласие субъекта персональных данных на обработку его данных в соответствии с измененной цели, если иное не предусмотрено законом.

2. Персональные данные должны быть точными, достоверными и обновляться по мере необходимости, определенной целью их обработки.

3. Состав и содержание персональных данных должны быть соответствующими, адекватными и ненадмирнимы относительно определенной цели их обработки.

{Абзац второй части третьей статьи 6 исключен на основании Закона № 5491-VI от 20.11.2012}

4. Первичными источниками сведений о физическом лице являются: выданные на его имя документы; подписанные им документы; сведения, которые лицо предоставляет о себе.

5. Обработка персональных данных производится для конкретных и законных целей, определенных с согласия субъекта персональных данных, или в случаях, предусмотренных законами Украины, в порядке, установленном законодательством.

6. Не допускается обработка данных о физическом лице, являются конфиденциальной информацией, без его согласия, кроме случаев, определенных законом, и только в интересах национальной безопасности, экономического благосостояния и прав человека.

7. Если обработка персональных данных необходима для защиты жизненно важных интересов субъекта персональных данных, обрабатывать персональные данные без его согласия можно до времени, когда получение согласия станет возможным.

8. Персональные данные обрабатываются в форме, допускающей идентификацию физического лица, которого они касаются, не дольше, чем это необходимо для законных целей, в которых они собирались или в дальнейшем обрабатывались.

Дальнейшая обработка персональных данных в исторических, статистических или научных целях может осуществляться при условии обеспечения их надлежащей защиты.

{Часть девятая статьи 6 исключена на основании Закона № 383-VII от 03.07.2013}

10. Типовой порядок обработки персональных данных утверждается Уполномоченным.

Статья 7. Особые требования к обработке персональных данных
1. Запрещается обработка персональных данных о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях и профессиональных союзах, осуждения к уголовному наказанию, а также данных, касающихся здоровья, половой жизни, биометрических или генетических данных.

2. Положения части первой настоящей статьи не применяется, если обработка персональных данных:

1) осуществляется при условии предоставления субъектом персональных данных однозначного согласия на обработку таких данных;

2) необходима для осуществления прав и исполнения обязанностей владельца в сфере трудовых правоотношений в соответствии с законом с обеспечением соответствующей защиты;

3) необходима для защиты жизненно важных интересов субъекта персональных данных или другого лица в случае недееспособности или ограничения гражданской дееспособности субъекта персональных данных;

4) осуществляется с обеспечением соответствующей защиты религиозной организацией, общественной организацией мировоззренческой направленности, политической партией или профессиональным союзом, созданным в соответствии с законом, при условии, что обработка касается исключительно персональных данных членов этих объединений или лиц, поддерживающих постоянные контакты с ними в связи с характером их деятельности, и персональные данные не передаются третьему лицу без согласия субъектов персональных данных;

5) необходима для обоснования, удовлетворения или защиты правового требования;

6) необходима в целях здравоохранения для:

установление медицинского диагноза, для обеспечения попечительства или лечения или предоставления медицинских услуг, функционирования электронной системы здравоохранения при условии, что такие данные обрабатываются медицинским работником, специалистом по реабилитации или другим лицом здравоохранения, реабилитационного учреждения или физическим лицом - предпринимателем , получившей лицензию на осуществление хозяйственной деятельности по медицинской практике, и ее работниками, на которых распространяется действие законодательства о врачебной тайне, работниками центрального органа исполнительной власти, реализующей государственную политику в сфере государственных финансовых гарантий медицинского обслуживания населения, работниками учреждения, осуществляющего государственный санитарно-эпидемиологический надзор и деятельность в области общественного здоровья, получивший лицензию на осуществление хозяйственной деятельности по медицинской практике;

контроля качества предоставления медицинских услуг при условии, что такие данные обрабатываются работниками центрального органа исполнительной власти, реализующими государственную политику в сфере контроля качества предоставления медицинских услуг;

обмена информацией о финансировании медицинских услуг и услуг в сфере здравоохранения при условии, что такие данные обрабатываются работниками Фонда социального страхования Украины, Пенсионного фонда Украины, Фонда социальной защиты лиц с инвалидностью, центрального органа исполнительной власти, что обеспечивает формирование и реализует государственную финансовую и бюджетную политику, на которые возложены обязанности по обеспечению защиты персональных данных.

6-1) необходимый в целях обеспечения ведения воинского учета призывников, военнообязанных и резервистов (в объемах данных, указанных в статье 7 Закона Украины "О Едином государственном реестре призывников, военнообязанных и резервистов")

7) касается приговоров суда, выполнения задач оперативно-розыскной или контрразведывательной деятельности, борьбы с терроризмом и осуществляется государственным органом в пределах его полномочий, определенных законом;

8) касается данных, которые были явно обнародованы субъектом персональных данных.

Статья 8. Права субъекта персональных данных
1. Личные неимущественные права на персональные данные, которыми каждое физическое лицо, являются неотъемлемыми и незыблемыми.

2. Субъект персональных данных имеет право:

1) знать об источниках сбора, местонахождение своих персональных данных, цели их обработки, местонахождение или место жительства (пребывания) владельца или распорядителя персональных данных или дать соответствующее поручение о получении этой информации уполномоченным им лицам, кроме случаев, установленных законом;

2) получать информацию об условиях предоставления доступа к персональным данным, включая информацию о третьих лицах, которым передаются его персональные данные;

3) на доступ к своим персональным данным;

4) получать не позднее чем за тридцать календарных дней со дня поступления запроса, кроме случаев, предусмотренных законом, ответ о том, обрабатываются его персональные данные, а также получать содержание таких персональных данных;

5) предъявлять мотивированное требование владельцу персональных данных с возражением против обработки своих персональных данных;

6) предъявлять мотивированное требование об изменении или уничтожение своих персональных данных любым владельцем и распорядителем персональных данных, если эти данные обрабатываются незаконно или являются недостоверными;

7) на защиту своих персональных данных от незаконной обработки и случайной потери, уничтожения, повреждения в связи с умышленным сокрытием, непредоставлением или несвоевременным их предоставлением, а также на защиту от предоставления сведений, которые являются недостоверными или порочащих честь, достоинство и деловую репутацию физического лица;

8) обращаться с жалобами на обработку своих персональных данных к Уполномоченному или в суд;

9) применять средства правовой защиты в случае нарушения законодательства о защите персональных данных;

10) вносить оговорки об ограничении права на обработку своих персональных данных при предоставлении согласия;

11) отозвать согласие на обработку персональных данных;

12) знать механизм автоматической обработки персональных данных;

13) на защиту от автоматизированного решения, которое имеет для него правовые последствия.

{Часть третья статьи 8 исключена на основании Закона № 383-VII от 03.07.2013}

Статья 9. Сообщение об обработке персональных данных
1. Владелец персональных данных сообщает Уполномоченного об обработке персональных данных, представляет особый риск для прав и свобод субъектов персональных данных, за тридцати рабочих дней со дня начала такой обработки.

Виды обработки персональных данных, представляет особый риск для прав и свобод субъектов персональных данных, и категории субъектов, на которых распространяется требование об уведомлении, определяются уполномоченным.

2. Сообщение об обработке персональных данных подается по форме и в порядке, определенными Уполномоченным.

3. Владелец персональных данных обязан сообщать Уполномоченного о каждом изменении сведений, подлежащих сообщению, в течение десяти рабочих дней со дня наступления такого изменения.

4. Информация, сообщаемая в соответствии с настоящей статьей, подлежит обнародованию на официальном сайте Уполномоченного в порядке, определенном уполномоченным.

Статья 10. Использование персональных данных
1. Использование персональных данных предусматривает любые действия владельца по обработке этих данных, действия по их защите, а также действия по предоставлению частичного или полного права обработки персональных данных другим субъектам отношений, связанных с персональными данными, совершаемые с согласия субъекта персональных данных или в соответствии с законом.

2. Использование персональных данных владельцем осуществляется в случае создания им условий для защиты этих данных. Владельцу запрещается разглашать сведения относительно субъектов персональных данных, доступ к персональным данным которых предоставляется другим субъектам отношений, связанных с такими данными.

3. Использование персональных данных работниками субъектов отношений, связанных с персональными данными, должно осуществляться только в соответствии с их профессиональных или служебных или трудовых обязанностей. Эти работники обязаны не допускать разглашения в любой способ персональных данных, которые им было доверено или которые стали известны в связи с исполнением профессиональных или служебных или трудовых обязанностей, кроме случаев, предусмотренных законом. Такое обязательство действующее после прекращения ими деятельности, связанной с персональными данными, кроме случаев, установленных законом.

4. Сведения о личной жизни физического лица не могут использоваться как фактор, подтверждающий или опровергает ее деловые качества.

5. Если лицо, являющееся резидентом Дия Сити в соответствии с Законом Украины "О стимулировании развития цифровой экономики в Украине", выступает субъектом отношений, связанных с персональными данными, использование таких персональных данных гиг-специалистами резидента Дия Сити должно осуществляться только в соответствии с их обязанностей по гиг-контрактам. Эти гиг-специалисты обязаны не допускать разглашения в любой способ персональных данных, которые им было доверено или которые стали им известны в связи с исполнением обязанностей по гиг-контракту, кроме случаев, предусмотренных законом. Такое обязательство действует после прекращения ими деятельности, связанной с персональными данными, кроме случаев, установленных законом.

Статья 11. Основания для обработки персональных данных
1. Основаниями для обработки персональных данных является:

1) согласие субъекта персональных данных на обработку его персональных данных;

2) разрешение на обработку персональных данных, предоставленный владельцу персональных данных в соответствии с законом исключительно для осуществления его полномочий;

3) заключение и исполнение сделки, стороной которого является субъект персональных данных или который заключен в пользу субъекта персональных данных или для осуществления мероприятий, предшествующих заключению сделки по требованию субъекта персональных данных;

4) защита жизненно важных интересов субъекта персональных данных;

5) необходимость исполнения обязанности владельца персональных данных, который предусмотрен законом;

6) необходимость защиты законных интересов владельца персональных данных или третьего лица, которому передаются персональные данные, кроме случаев, когда необходимости защиты основных прав и свобод субъекта персональных данных в связи с обработкой его данных преобладают такие интересы.

Статья 12. Сбор персональных данных
1. Сбор персональных данных является составляющей процесса их обработки, предусматривает действия по подбору или упорядочению сведений о физическом лице.

2. Субъект персональных данных сообщается о владельце персональных данных, состав и содержание собранных персональных данных, свои права, определенные этим Законом, цель сбора персональных данных и лицах, которым передаются его персональные данные:

в момент сбора персональных данных, если персональные данные собираются у субъекта персональных данных;

в других случаях в течение тридцати рабочих дней со дня сбора персональных данных.

{Часть третья статьи 12 исключена на основании Закона № 5491-VI от 20.11.2012}

{Часть четвертая статьи 12 исключена на основании Закона № 5491-VI от 20.11.2012}

Статья 13. Накопление и хранение персональных данных
1. Накопление персональных данных предусматривает действия по объединению и систематизации сведений о физическом лице или группу физических лиц или внесение этих данных в базу персональных данных.

2. Хранение персональных данных предусматривает действия по обеспечению их целостности и соответствующего режима доступа к ним.

Статья 14. Распространение персональных данных
1. Распространение персональных данных предусматривает действия по передаче сведений о физическом лице с согласия субъекта персональных данных.

2. Распространение персональных данных без согласия субъекта персональных данных или уполномоченного им лица допускается в случаях, определенных законом, и только (если это необходимо) в интересах национальной безопасности, экономического благосостояния и прав человека.

3. Выполнение требований установленного режима защиты персональных данных обеспечивает сторона распространяет эти данные.

4. Сторона, которой передаются персональные данные, должна предварительно принять меры по обеспечению требований этого Закона.

Статья 15. Удаление или уничтожение персональных данных
1. Персональные данные удаляются или уничтожаются в порядке, установленном в соответствии с требованиями закона.

2. Персональные данные подлежат удалению или уничтожению в случае:

1) истечения срока хранения данных, определенного согласия субъекта персональных данных на обработку этих данных или законом;

2) прекращение правоотношений между субъектом персональных данных и владельцем или распорядителем, если иное не предусмотрено законом;

3) издания соответствующего предписания уполномоченного или определенных им должностных лиц секретариата Уполномоченного;

4) вступления в законную силу решения суда об удалении или уничтожение персональных данных.

3. Персональные данные, собранные с нарушением требований настоящего Закона, подлежат удалению или уничтожению в установленном законодательством порядке.

4. Персональные данные, собранные во время выполнения задач оперативно-розыскной или контрразведывательной деятельности, борьбы с терроризмом, удаляются или уничтожаются в соответствии с требованиями закона.

Статья 16. Порядок доступа к персональным данным
1. Порядок доступа к персональным данным третьих лиц определяется условиями согласия субъекта персональных данных на обработку этих данных, предоставленной владельцу персональных данных, или в соответствии с требованиями закона. Порядок доступа третьих лиц к персональным данным, которые находятся во владении распорядителя публичной информации, определяется Законом Украины "О доступе к публичной информации", кроме данных, получает от других органов центральный орган исполнительной власти, обеспечивающий формирование и реализует государственную финансовую и бюджетную политику , при осуществлении верификации и мониторинга государственных выплат.

2. Доступ к персональным данным третьему лицу не предоставляется, если указанное лицо отказывается взять на себя обязательства по обеспечению выполнения требований этого Закона или не может их обеспечить.

3. Субъект отношений, связанных с персональными данными, подает запрос о доступе (далее - запрос) к персональным данным владельцу персональных данных.

4. В запросе указываются:

1) фамилия, имя и отчество, место жительства (место нахождения) и реквизиты документа, удостоверяющего физическое лицо, подающее запрос (для физического лица - заявителя);

2) наименование, местонахождение юридического лица, подающего запрос, должность, фамилия, имя и отчество лица, удостоверяющего запрос; подтверждение того, что содержание запроса соответствует полномочиям юридического лица (для юридического лица - заявителя);

3) фамилия, имя и отчество, а также другие сведения, позволяющие идентифицировать физическое лицо, в отношении которого делается запрос;

4) сведения о базе персональных данных, в отношении которого подается запрос, сведения о владельце или распорядителя персональных данных;

5) перечень персональных данных, запрашиваемых;

6) цель и / или правовые основания для запроса.

5. Срок изучения запроса на предмет его удовлетворения не может превышать десяти рабочих дней со дня его поступления.

В течение этого срока владелец персональных данных доводит до сведения лица, подающего запрос, запрос будет удовлетворен или соответствующие персональные данные не подлежат предоставлению, с указанием основания, определенной в соответствующем нормативно-правовом акте.

Запрос удовлетворяется в течение тридцати календарных дней со дня его поступления, если иное не предусмотрено законом.

6. Субъект персональных данных имеет право на получение любых сведений о себе у любого субъекта отношений, связанных с персональными данными, при условии предоставления информации, определенной в пункте 1 части четвертой этой статьи, кроме случаев, установленных законом.

Статья 17. Отсрочка или отказ в доступе к персональным данным
1. Отсрочка доступа субъекта персональных данных к своим персональным данным не допускается.

2. Отсрочка доступа к персональным данным третьих лиц допускается в случае, если необходимые данные не могут быть предоставлены в течение тридцати календарных дней со дня поступления запроса. При этом общий срок решения вопросов, затронутых в запросе, не может превышать сорока пяти календарных дней.

Сообщение об отсрочке доводится до сведения третьего лица, подавшего запрос, в письменной форме с разъяснением порядка обжалования такого решения.

В сообщении об отсрочке указываются:

1) фамилия, имя и отчество должностного лица;

2) дата отправки сообщения;

3) причина отсрочки;

4) срок, в течение которого удовлетворен запрос.

3. Отказ в доступе к персональным данным допускается, если доступ к ним запрещен по закону.

В сообщении об отказе указываются:

1) фамилия, имя, отчество должностного лица, которое отказывает в доступе;

2) дата отправки сообщения;

3) причина отказа.

Статья 18. Обжалование решения об отсрочке или отказе в доступе к персональным данным
1. Решение об отсрочке или отказе в доступе к персональным данным может быть обжаловано в Уполномоченного Верховной Рады Украины по правам человека или суда.

2. Если запрос сделан субъектом персональных данных о данных о себе, обязанность доказывания в суде законности отказа в доступе возлагается на владельца персональных данных, к которому подан запрос.

Статья 19. Оплата доступа к персональным данным
1. Доступ субъекта персональных данных к данным о себе осуществляется бесплатно.

2. Доступ других субъектов отношений, связанных с персональными данными, к персональным данным определенного физического лица или группы физических лиц может быть платным в случае соблюдения условий, определенных настоящим Законом. Оплате подлежит работа, связанная с обработкой персональных данных, а также работа по консультированию и организации доступа к соответствующим данным.

3. Размер платы за услуги по предоставлению доступа к персональным данным органами государственной власти определяется Кабинетом Министров Украины.

4. Органы государственной власти и органы местного самоуправления имеют право на беспрепятственный и бесплатный доступ к персональным данным в соответствии с их полномочиями.

Статья 20. Изменения и дополнения к персональным данным
1. Владельци или распорядителем персональных данных обязаны вносить изменения в персональные данные на основании мотивированного письменного требования субъекта персональных данных.

2. Владельци или распорядители персональных данных обязаны вносить изменения в персональные данные также по обращению других субъектов отношений, связанных с персональными данными, если на это есть согласие субъекта персональных данных или соответствующее изменение осуществляется согласно предписанию Уполномоченного или определенных им должностных лиц секретариата Уполномоченного или по решению суда, вступившим в законную силу.

3. Изменение персональных данных, которые не соответствуют действительности, проводится безотлагательно с момента установления несоответствия.

Статья 21. Сообщение о действиях с персональными данными
1. О передаче персональных данных третьему лицу владелец персональных данных в течение десяти рабочих дней уведомляет субъекта персональных данных, если этого требуют условия его согласия или иное не предусмотрено законом.

2. Сообщение, указанные в части первой настоящей статьи, не производятся в случае:

1) передачи персональных данных по запросам при выполнении задач оперативно-розыскной или контрразведывательной деятельности, борьбы с терроризмом

2) выполнение органами государственной власти и органами местного самоуправления своих полномочий, предусмотренных законом;

3) осуществление обработки персональных данных в исторических, статистических или научных целях;

4) уведомление субъекта персональных данных в соответствии с требованиями части второй статьи 12 настоящего Закона.

3. Об изменении, удаление или уничтожение персональных данных или ограничение доступа к ним владелец персональных данных в течение десяти рабочих дней уведомляет субъекта персональных данных, а также субъектов отношений, связанных с персональными данными, которым эти данные были переданы.

Статья 22. Контроль за соблюдением законодательства о защите персональных данных
1. Контроль за соблюдением законодательства о защите персональных данных в пределах полномочий, предусмотренных законом, осуществляют следующие органы:

1) Уполномоченный;

2) суды.

Статья 23. Полномочия Уполномоченного Верховной Рады Украины по правам человека в сфере защиты персональных данных
1. Уполномоченный такие полномочия в сфере защиты персональных данных:

1) получать предложения, жалобы и иные обращения физических и юридических лиц по вопросам защиты персональных данных и принимать решения по результатам их рассмотрения;

2) проводить на основании обращений или по собственной инициативе выездные и невыездные, плановые, внеплановые проверки владельцев или распорядителей персональных данных в порядке, определенном уполномоченным, с обеспечением в соответствии с законом доступа в помещения, где осуществляется обработка персональных данных;

3) получать на свое требование и иметь доступ к любой информации (документов) владельцев или распорядителей персональных данных, которые необходимы для осуществления контроля за обеспечением защиты персональных данных, в том числе доступ к персональным данным, соответствующих баз данных или картотек, информации по ограниченным доступом;

4) утверждать нормативно-правовые акты в области защиты персональных данных в случаях, предусмотренных настоящим Законом;

5) по итогам проверки, рассмотрения обращения выдавать обязательные для исполнения требования (предписания) о предотвращении или устранении нарушений законодательства о защите персональных данных, в том числе по изменению, удаление или уничтожение персональных данных, обеспечение доступа к ним, предоставления или запрета их предоставление третьему лицу, приостановлении или прекращении обработки персональных данных;

6) давать рекомендации по практическому применению законодательства о защите персональных данных, разъяснять права и обязанности соответствующих лиц по обращению субъектов персональных данных, владельцев или распорядителей персональных данных, структурных подразделений или ответственных лиц по организации работы по защите персональных данных, других лиц;

7) взаимодействовать со структурными подразделениями или ответственными лицами, которые в соответствии с настоящим Законом организуют работу, связанную с защитой персональных данных при их обработке; обнародовать информацию о таких структурных подразделениях и ответственных лиц;

8) обращаться с предложениями в Верховную Раду Украины, Президента Украины, Кабинета Министров Украины, других государственных органов, органов местного самоуправления, их должностных лиц по принятию или внесение изменений в нормативно-правовых актов по вопросам защиты персональных данных;

9) предоставлять по обращению профессиональных, самоуправляющихся и других общественных объединений или юридических лиц заключения по проектам кодексов поведения в сфере защиты персональных данных и изменений в них;

10) составлять протоколы о привлечении к административной ответственности и направлять их в суд в случаях, предусмотренных законом;

11) информировать о законодательстве по вопросам защиты персональных данных, проблемы его практического применения, права и обязанности субъектов отношений, связанных с персональными данными;

12) осуществлять мониторинг новых практик, тенденций и технологий защиты персональных данных;

13) организовывать и обеспечивать взаимодействие с иностранными субъектами отношений, связанных с персональными данными, в том числе в связи с выполнением Конвенции о защите лиц в связи с автоматизированной обработкой персональных данных и Дополнительного протокола к ней, других международных договоров Украины в сфере защиты персональных данных;

14) участвовать в работе международных организаций по вопросам защиты персональных данных.

2. Уполномоченный Верховной Рады Украины по правам человека включает в свой ежегодный доклад о состоянии соблюдения и защиты прав и свобод человека и гражданина в Украине отчет о состоянии соблюдения законодательства в сфере защиты персональных данных.

Статья 24. Обеспечение защиты персональных данных
1. Владельци, распорядители персональных данных и третьи лица обязаны обеспечить защиту этих данных от случайных потери или уничтожения, от незаконной обработки, в том числе незаконного уничтожения или доступа к персональным данным.

2. В органах государственной власти, органах местного самоуправления, а также в владельцем или распорядителем персональных данных, осуществляющих обработку персональных данных, подлежит сообщению соответствии с настоящим Законом, создается (определяется) структурное подразделение или ответственное лицо, организует работу, связанную с защитой персональных данных при их обработке.

Информация об указанном структурное подразделение или ответственное лицо сообщается Уполномоченному Верховной Рады Украины по правам человека, который обеспечивает ее обнародования.

3. Структурное подразделение или ответственное лицо, организует работу, связанную с защитой персональных данных при их обработке:

1) информирует и консультирует владельца или распорядителя персональных данных по вопросам соблюдения законодательства о защите персональных данных;

2) взаимодействует с Уполномоченным Верховной Рады Украины по правам человека и определенными им должностными лицами его секретариата по вопросам предотвращения и устранения нарушений законодательства о защите персональных данных.

4. Физические лица - предприниматели, в том числе врачи, имеющие соответствующую лицензию, адвокаты, нотариусы лично обеспечивают защиту персональных данных, которыми они обладают, согласно требованиям закона.

Статья 25. Ограничение действия этого Закона
1. Ограничение действия статей 6, 7 и 8 настоящего Закона может осуществляться в случаях, предусмотренных законом, насколько это необходимо в демократическом обществе в интересах национальной безопасности, экономического благосостояния или защиты прав и свобод субъектов персональных данных или других лиц.

2. Разрешается обработка персональных данных без применения положений настоящего Закона, если такая обработка осуществляется:

1) физическим лицом исключительно для личных или бытовых нужд;

2) исключительно для журналистских и творческих целей, при условии обеспечения баланса между правом на уважение личной жизни и правом на свободу слова.

3. Действие настоящего Закона не распространяется на отношения по получению архивной информации репрессивных органов.

Статья 26. Финансирование работ по защите персональных данных
Финансирование работ и мероприятий по обеспечению защиты персональных данных осуществляется за счет средств Государственного бюджета Украины и местных бюджетов, средств субъектов отношений, связанных с персональными данными.

Статья 27. Применение положений настоящего Закона
1. Положение по защите персональных данных, изложенные в настоящем Законе, могут дополняться или уточняться другими законами, при условии, что они устанавливают требования по защите персональных данных, которые не противоречат требованиям этого Закона.

2. Профессиональные, самоуправляющиеся и другие общественные объединения или юридические лица могут разрабатывать кодексы поведения с целью обеспечения эффективной защиты прав субъектов персональных данных, соблюдения законодательства о защите персональных данных с учетом специфики обработки персональных данных в различных сферах. При разработке такого кодекса поведения или внесении изменений в него соответствующее объединение или юридическое лицо может обратиться за заключением Уполномоченного.

Статья 28. Ответственность за нарушение законодательства о защите персональных данных
Нарушение законодательства о защите персональных данных влечет за собой ответственность, установленную законом.

Статья 29. Международное сотрудничество и передача персональных данных
1. Сотрудничество с иностранными субъектами отношений, связанных с персональными данными, регулируется Конституцией Украины, этим Законом, другими нормативно-правовыми актами и международными договорами Украины.

2. Если международным договором Украины, согласие на обязательность которого предоставлено Верховной Радой Украины, установлены иные правила, чем те, которые предусмотрены законодательством Украины, то применяются правила международного договора Украины.

3. Передача персональных данных иностранным субъектам отношений, связанных с персональными данными, осуществляется только при условии обеспечения соответствующей государством надлежащей защиты персональных данных в случаях, установленных законом или международным договором Украины.

Государства - участники Европейского экономического пространства, а также государства, подписавшие Конвенцию Совета Европы о защите лиц в связи с автоматизированной обработкой персональных данных, признаются обеспечивают надлежащий уровень защиты персональных данных.

Кабинет Министров Украины определяет перечень государств, которые обеспечивают надлежащую защиту персональных данных.

Персональные данные не могут распространяться на другие цели, чем та, с которой они были собраны.

4. Персональные данные могут передаваться иностранным субъектам отношений, связанных с персональными данными, а также в случае:

1) предоставление субъектом персональных данных однозначного согласия на такую передачу;

2) необходимости заключения или исполнения сделки между владельцем персональных данных и третьим лицом - субъектом персональных данных в пользу субъекта персональных данных;

3) необходимости защиты жизненно важных интересов субъектов персональных данных;

4) необходимости защиты общественного интереса, установка, выполнение и обеспечение правового требования;

5) предоставление владельцем персональных данных соответствующих гарантий невмешательства в личную и семейную жизнь субъекта персональных данных.

Статья 30. Заключительные положения
1. Настоящий Закон вступает в силу с 1 января 2011 года.

2. Кабинету Министров Украины в течение шести месяцев со дня вступления в силу настоящего Закона:

обеспечить принятие нормативно-правовых актов, предусмотренных настоящим Законом;

обеспечить приведение своих нормативно-правовых актов в соответствие с настоящим Законом.




Президент Украины

В. Янукович

г. Киев

1 июня 2010

№ 2297-VI


Закон действующий. Актуальность проверена 10.02.2021