Иностранные представительства должны регистрировать не только базу персональных данных «Сотрудники»

Карцева Яна, Юрист ЮК «Правовой Альянс»,

Санжаровский-Гурлач Лидия, Юрист ЮК «Правовой Альянс»

Як відомо, Закон України «Про захист персональних даних» передбачає обов’язок володільців баз персональних даних здійснити заходи щодо їх державної реєстрації за заявочним принципом. Це означає, що кожне підприємство, установа, організація, фізична особа – підприємець, самозайнята особа, кожний громадянин і не тільки мають встановити чи здійснюють вони обробку персональних даних для професійних цілей у базах, визначити кількість та особливості кожної з баз та звернутися до Державної служби України з питань захисту персональних даних з відповідними Завами про реєстрацію.

При цьому, така вимога поширюється не тільки на юридичних, фізичних осіб – резидентів, але й на іноземні компанії, що діють та обробляють персональні дані на території України через свої представництва.

У якості допомоги в реєстрації іноземними представництвами баз персональних даних працівників, Дирекцією «Інпредкадри» (структурний підрозділ КП «ГДІП»), як органом, який забезпечує кадрове діловодство усіх іноземних представництв, на офіційному сайті (http://inpredkadry.kiev.ua/ukr/conf) було розміщено,зокрема, проекти заповненої Заяви про реєстрацію, згоди на обробку персональних даних та повідомлення про внесення даних до бази.

З огляджу на викладене, у іноземних представництв могло скластись хибне враження, що вони мають звернутись до уповноваженого державного органу виключно з Заявою про реєстрацію бази персональних даних «Працівники». Проте, це не так.

У разі поділу баз персональних даних за критерієм «суб’єкти персональних даних», іноземні представництва мають виділити та здійснити заходи з реєстрації не тільки бази персональних даних«Працівники», але й «Контрагенти», «Кандидати у працівники», «Потенційні контрагенти» (якщо такі дані обробляються). З огляду на специфіку діяльності іноземні представництва можуть створювати й бази даних «Медичні спеціалісти» (для представництв фармацевтичних компаній), «Консультанти» (для представництв косметичних компаній) тощо.

Орієнтуючись на запропоновані Дирекцією «Інпредкадри» проекти документів при підготовці власних Заяв про реєстрацію баз, отриманні Згод на обробку даних, надісланні повідомлень про внесення даних до баз, представництва мають усвідомлювати, що розміщені на сайті КП «ГДІП» документи не є офіційно затвердженими, «ідеальними», у багатьох своїх частинах протирічать чинному законодавству України про захист персональних даних.

Так, у Розділі І Заяви про реєстрацію бази персональних даних володільцем зазначено представництво, що не відповідає вимогам абз. 8 ч. 1 ст. 2, ч. 2 ст. 4 та ч. 2-3 ст. 11 Закону України «Про захист персональних даних», ст. 95 Цивільного кодексу України та ст. 64 Господарського кодексу України. Разом з цим, незважаючи на позначення «нерезидент» у відомостях про володільця бази персональних даних, у графі «Код ЄДРПОУ» зазначається код представництва в Україні, що є не досить логічним. Зрозумілим є й те, що запропонований проект документу не містить повний та коректний перелік розпорядників бази персональних даних, оскільки, з огляду на норми, зазначені вище, представництво не може виступати стороною договору, і, таким чином, укладати у письмовій формі договори про розпорядження базами персональних даних.

Запропонований Дирекцією «Інпредкадри» проект згоди на обробку персональних даних у формі відповідної Заяви містить одночасно дані про надання дозволу та інформацію про те, що суб’єкт персональних даних вже повідомлений про внесення його даних до бази, що не відповідає ч. 2 ст. 12 Закону України «Про захист персональних даних».

Зміст запропонованого проекту повідомлення про включення персональних даних до бази не містить інформації про осіб, яким такі дані передаються, що протирічить ч. 2 ст. 12 Закону України «Про захист персональних даних» та може мати наслідком настання адміністративної відповідальності за ч. 1 ст. 188-39 Кодексу України про адміністративні правопорушення, зокрема штрафу у розмірі 5100,00 – 6800,00 грн.

Наданий Дирекцією «Інпредкадри» для заповнення Додаток до Договору з КП «ГДІП» не містить визначення, з якою саме метою розпоряднику дозволяється обробка персональних даних, що не відповідає вимогам ч. 2 ст. 11 Закону України «Про захист персональних даних». Крім того, стороною у такому Додатку зазначено компанію, тоді як володільцем, який має укладати договір на розпорядження базою персональних даних, визначено представництво.

Отже, як бачимо, до розміщених у мережі Інтернет документів, включаючи ті, що розміщена на сайті Дирекції «Інпредкадри», необхідно ставитись з обережністю.

Для виконання вимог Закону України «Про захист персональних даних» іноземним представництвам рекомендовано не тільки визначити повний перелік наявних баз персональних даних та підготувати належним чином заповнені Заяви про їх реєстрацію, але й розробити належного змісту форми Згоди на обробку персональних даних, повідомлення про включення даних до бази, Положення про обробку персональних даних у базі, типові положення до договорів з розпорядниками баз персональних даних.