Рекомендація Держслужби з питань захисту персональних даних від 08.06.2012 р.
Державна служба захисту персональних даних розглядає чергове питання, яке непокоїть володільців баз персональних даних, — що робити з персональними даними у разі ліквідації юрособи?
Надаючи на нього відповідь, Держслужба звертає увагу на низку важливих моментів.
1. Під час ліквідації госпсуб'єкта (на нашу думку, якщо фізособа-підприємець має зареєстровані бази персональних даних, — це стосується також і його) потрібно дотримуватися вимог законодавства України у сфері захисту персональних даних, зокрема в частині виконання обов'язків перед державою, дотримання прав суб'єктів персональних даних, а також дотримання всіх необхідних процедур обробки персональних даних.
Відповідно до ч. 6 ст. 9 ЗУ від 01.06.2010 р. №2297-VI «Про захист персональних даних» володілець бази персональних даних зобов'язаний повідомляти Державну службу України з питань захисту персональних даних (далі — ДСЗПД) про кожну зміну відомостей, необхідних для реєстрації відповідної бази, протягом 10 робочих днів з дня настання такої зміни.
Під час процедури ліквідації госпсуб'єкта та у разі припинення ним усіх дій з обробки ПД у базах персональних даних володільцю необхідно повідомити ДСЗПД про припинення функціонування бази ПД шляхом надсилання заяви про внесення змін до відомостей Держреєстру баз персональних даних, форму якої затверджено наказом Мін'юсту від 08.07.2011 р. №1824/5.
Але зважаючи на те, що сама служба почала приймати заяви лише з другої половини 2011 року та опрацювала не всі подані заяви на цей час, зі змінами до відомостей Держреєстру баз персональних даних не все так просто.
По-перше, заяви на реєстрацію баз ПД надсилаються віднедавна, і лише невелика частина володільців отримала безпосередньо саме Свідоцтво про державну реєстрацію баз персональних даних на фірмовому бланку. Більшість з отриманих Держслужбою заяв ще обробляються.
По-друге, внести зміни можна лише до зареєстрованих баз персональних даних. А оскільки більшість ще обробляються, то як можна вносити до них зміни у разі ліквідації володільця, — наразі питання є відкритим.
Проте ті володільці баз, які вже отримали свідоцтва про держреєстрацію баз персональних даних, можуть вносити зміни до відомостей у встановленому порядку для реєстрації баз персональних даних (Постанова КМУ від 25.05.2011 р. №616).
2. Після закінчення процесів обробки персональних даних такі дані підлягають знищенню або передачі до архіву. У разі знищення ПД у зв'язку з припиненням госпдіяльності володільця потрібно повідомити самих суб'єктів протягом 10 робочих днів. Порядок такого повідомлення та безпосередньо знищення персональних даних має бути прописано у відповідному Положенні (порядку тощо) про обробку персональних даних, затверджених володільцем такої бази.
У разі передання даних до архіву у випадку ліквідації володільця бази персональних даних його база стає частиною загальної бази архівної установи. Тобто нова база персональних даних суб'єкта господарювання не утворюється.
У разі передачі персональних даних до архівних установ суб'єкти персональних даних, на думку Держслужби, також мають бути повідомлені про факт такої передачі та про зміну мети обробки їхніх персональних даних.
Наталія КАНАРЬОВА, «Дебет-Кредит»