Цей Закон регулює відносини, пов’язані із захистом персональних даних фізичних осіб під час їх обробки. Дія Закону не поширюється на діяльність зі створення баз персональних даних (БПД) та обробки персональних даних у цих базах:

• – фізичною особою — виключно для непрофесійних особистих чи побутових потреб;
• – журналістом — у зв’язку з виконанням ним службових чи професійних обов’язків;
• – професійним творчим працівником — для здійснення творчої діяльності.

Суб’єктами відносин, пов’язаних із персональними даними, є:

• – суб’єкт персональних даних;
• – володілець БПД;
• – розпорядник БПД;
• – третя особа;
• – уповноважений державний орган з питань захисту персональних даних;
• – інші органи державної влади та органи місцевого самоврядування, до повноважень яких належить здійснення захисту персональних даних.

Володільцем чи розпорядником БПД можуть бути підприємства, установи і організації усіх форм власності, органи державної влади чи органи місцевого самоврядування, фізичні особи — підприємці, які обробляють персональні дані відповідно до закону.

СУБ’ЄКТИ, СТОСОВНО ЯКИХ ЗДІЙСНЮЄТЬСЯ ОБРОБКА ПЕРСОНАЛЬНИХ ДАНИХ Такими суб’єктами є:

• – громадяни;
• – наймані працівники;
• – посадові особи;
• – платники податків та зборів;
• – клієнти;
• – покупці;
• – споживачі;
• – абоненти;
• – пацієнти;
• – пасажири, батьки;
• – суб’єкти відносин у сфері страхування;
• – суб’єкти фінансових відносин;
• – суб’єкти відносин у сфері реклами (рекламодавці, рекламовиробники, розповсюджувачі, споживачі);
• – члени політичних партій / громадських / релігійних організацій;
• – вихованці закладів освіти (учні, студенти, абітурієнти, курсанти, слухачі, стажисти, аспіранти, докторанти, випускники та інші);
• – інші фізичні особи, які подають власні персональні дані при реалізації своїх прав чи обов’язків.

ПЕРСОНАЛЬНІ ДАНІ, ЩО ОБРОБЛЯЮТЬСЯ

Відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована, є персональ­ними даними. бробляються такі дані:

– ідентифікаційні дані (ім’я, адреса, телефон тощо);
– паспортні дані;
– особисті відомості (вік, стать, сімейний стан тощо);
– склад сім’ї;
– освіта;
– професія, спеціальність, кваліфікація;
– біометричні дані (зріст, вага, особливі прикмети тощо);
– психологічні дані (особистість, характер тощо);
– житлові умови; спосіб життя, життєві інтереси та захоплення;
– споживчі звички;
– фінансова інформація;
– електронні ідентифікаційні дані (трафік, IP-адреса тощо);
– електронні дані про локалізацію (GSM, GPS тощо);
– запис зображень (фото, відео);
– звукозапис;
– інші персональні дані.

БАЗА ПЕРСОНАЛЬНИХ ДАНИХ

Первинними джерелами відомостей про фізичну особу є: видані на її ім’я документи; підписані нею документи; відомості, які особа надає про себе.

Таким чином, відомості про працівників, відображені в кадрових документах, зокрема про вік, дату і місце народження, місце проживання, ідентифікаційний номер, соціальний статус, пільги відповідно до закону (одинокі матері, жінки з дітьми віком до трьох років чи іншого віку дітей, «чорнобильці», неповнолітні, пенсіонери тощо) з точки зору Закону № 2297 вважаються пер­сональними даними, які у своїй сукупності складають БПД або її частину.

Відповідно документація підприємств, установ та організацій в електронній формі та/або у формі картотек, що містить пев­ним чином структуровані персональні дані найманих працівників, вважається БПД або її частиною.

Так само кваліфікаційний клас, відомості про штрафи, а також список працівників із вказівкою на їх спеціальні кваліфікаційні документи, сертифікати, нагороди або вчене звання, список клієнтів, передплатників тощо теж є БПД.

Слід зауважити, що відповідно до статті 8 Закону № 2297 особисті немайнові права на персональні дані, які має кожна фізична особа, є невід’ємними і непорушними.

 КРОКИ 1–4. Розроблення проектів Порядку обробки персональних даних у БПД, згоди на обробку персональних даних, повідомлення про включення персональних даних до БПД, зобов’язання щодо збереження інформації з обмеженим доступом

Робота на підприємстві, в установі, організації щодо захисту персональних даних фізичних осіб (найманих працівників, посадових осіб, платників податків та ін.) може розпочинатися з усного чи письмового розпорядження керівника, який призначає відповідальних за цю роботу осіб. Вона полягає у вивченні відповідних нормативно-правових документів, аналізі внутрішніх локальних документів і господарсько-правових стосунків із фізичними особами — працівниками і непрацівниками, юридичними особами, контрагентами, клієнтами тощо. Встановлюється мета та наявність законних чи інших підстав для обробки персональних даних фізичних осіб, а вже відповідно до мети визначається кількість баз персональних даних.

Підсумком проведеної роботи буде подання до Державної служби захисту персональних даних відповідних заяв про реєстрацію наявних на підприємстві БПД. Заява про реєстрацію бази персональних даних подається заявником щодо кожної бази даних, яка перебуває у його володінні, за формою та у порядку, затвердженими наказом Міністерства юстиції «Про затвердження форм заяв про реєстрацію бази персональних даних та про внесення змін до відомостей Дер­жавного реєстру баз персональних даних і порядку їх подання» від 8 липня 2011 року № 1824/5.

Звісно, що кожне підприємство самостійно формує свою організаційну структуру або згідно із законодавством укладає відповідні господарські договори на здійснення тих чи інших власних функцій іншими особами. Відповідно у кожному підприємстві буде свій порядок роботи з персональними даними працівників. Однак загальна схема організації роботи з персональними даними найманих працівників у багатьох аспектах буде однаковою.

Запропоновані нижче зразки документів можуть використовуватись працівниками кадрових служб підприємств, установ та організацій усіх форм власності, яким відповідно до КЗпП та інших нормативно-правових актів фізичні особи надають свої персональні дані, при розробці власних відповідних документів. У запропонованих зразках документів базу даних умовно названо «база персональних даних «Персонал».Д «Персонал».

КРОК 5. Видання наказу про ведення бази персональних даних працівників підприємства

КРОК 6. Внесення змін до положень про структурні підрозділи

До положень про структурні підрозділи, відповідальних за обробку персональних даних та їх захист, мають бути внесені відповідні зміни.

Про Кадровий підрозділ

1. У розділі «Завдання»:
«Організація роботи щодо обробки персональних даних працівників підприємства в базі персональних даних «Персонал» та їх захисту від незаконної обробки та незаконного доступу до них».

2. У розділі «Функції»:
«Здійснює обробку персональних даних працівників підприємства в базі персональних даних «Персонал» в частині особових справ працівників, особових карток працівників, наказів (розпоряджень) про прийняття на роботу та переведення, копій звітів форми № 4-ПН та інших звітів, що містять персоніфіковані дані працівників, електронних баз даних «Кадри» та «Штатно-посадове розміщення». Забезпечує захист персональних даних працівників підприємства, які обробляються.
Здійснює контроль за виконанням відповідних функцій керівниками структурних підрозділів, відповідальних за організацію робіт з обробки персональних даних та їх захисту в частині окремих складових бази персональних даних «Персонал».

Про Підрозділ бухгалтерського обліку та звітності

У розділі «Функції»:
«Здійснює обробку персональних даних працівників підприємства в базі персональних даних «Персонал» в частині розрахунково-платіжних відомостей працівників, листків тимчасової непрацездатності працівників, копій звітів форми № 1-ДФ, щодо сум нарахованого єдиного соціального внеску, про здійснення відрахування та виплати за виконавчими документами, інших звітів, що містять персоніфіковані дані працівників, та електронної бази даних «Оплата праці». Забезпечує захист персональних даних працівників підприємства, які обробляються».

Про Підрозділ охорони
У розділі «Функції»:
«Здійснює обробку персональних даних працівників підприємства в базі персональних даних «Персонал» в частині інформації, розміщеної в електронній базі даних «Перепустка». Забезпечує захист персональних даних працівників підприємства, які обробляються».

Про Підрозділ інформаційно-організаційного забезпечення
У розділі «Функції»:
«Здійснює обробку персональних даних працівників підприємства в базі персональних даних «Персонал» в частині інформації, розміщеної в електронній базі даних «Телефон». Забезпечує захист персональних даних працівників підприємства, які обробляються».

Про Підрозділ інформаційних ресурсів та технологій
У розділі «Функції»:
«Здійснює заходи із захисту персональних даних бази персональних даних «Персонал», розміщених в електронних базах даних «Кадри», «Штатно-посадове розміщення», «Перепустка», «Телефон», «Оплата праці».

Для всіх відповідальних структурних підрозділів

У розділі «Взаємовідносини»:
«Взаємодіє у встановленому порядку з працівниками структурних підрозділів, відповідальних за обробку персональних даних працівників підприємства в базі персональних даних «Персонал» та їх захист».

КРОК 7. Внесення змін до посадових інструкцій працівників

До посадових інструкцій працівників, відповідальних за обробку персональних даних фізичних осіб та їх захист від незаконної обробки і незаконного доступу до них, теж вносяться відповідні зміни.

До посадових інструкцій керівників структурних підрозділів

У розділі «Завдання та обов’язки»:
«Організовує виконання робіт щодо обліку персональних даних працівників підприємства в базі персональних даних «Персонал» в частині функцій, покладених на структурний підрозділ.
Здійснює контроль за дотриманням працівниками структурного підрозділу законодавства України з питань персональних даних фізичних осіб та встановленого на підприємстві порядку обробки персональних даних».

До посадових інструкцій працівників структурних підрозділів, відповідальних за обробку персональних даних

У розділі «Завдання та обов’язки»:
«Виконує роботи з обліку персональних даних працівників підприємства в базі персональних даних «Персонал» в частині функцій, покладених на структурний підрозділ (або: в частині ведення особових справ працівників, особових карток працівників, підготовки проектів наказів проприйняття на роботу та переведення, підготовки звітівформи № 4-ПН та інших звітів, що містять персоніфіковані дані працівників, атакож ведення електронних баз даних «Кадри» та «Штатно-посадове розміщення»).

До посадових інструкцій всіх працівників, відповідальних за обробку персональних даних та їх захист

У розділі «Відповідальність»:
«Несе відповідальність за збереження інформації про персональні дані працівників, відображеної в базі персональних даних «Персонал».

У розділі «Повинен знати»:
«Законодавство України, яке регулює порядок обробки та захист персональних даних фізичних осіб, внутрішні положення та інші розпорядчі документи підприємства з цих питань».