ЗАКЛАД ВИЩОЇ ОСВІТИ – ЯК ОСНОВА СОЦІАЛЬНОЇ СТАБІЛЬНОСТІ ТА ВІДБУДОВИ УКРАЇНИ

Як захистити свої персональні дані?

На адресу «ПВ» надійшов лист від Уповноважено­го ВРУ з прав людини Людмили Денісової. Омбудсман звернулася до редакції «ПВ», щоб з метою забезпечен­ня інформування та правової обізнаності громадян, а також для сприяння належному захисту ними свого права на приватне життя, опублікувати на шпальтах га­зети роз’яснення щодо деяких питань взаємодії Упо­вноваженого ВРУ з прав людини стосовно порушень у сфері захисту персональних даних.

З адля забезпечення єдиної практики застосування зако­нодавства у сфері захисту пер­сональних даних, сприяння належному захисту прав гро­мадян на приватність, Уповноваженим ВРУ з прав людини надаються наступні роз’яснення та практичні рекомендації.

НАЯВНІСТЬ/ВІДСУТНІСТЬ ПРАВОВИХ ПІДСТАВ ДЛЯ ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ

З метою встановлення того, чи мало місце порушення прав людини внаслі­док неправомірної обробки її персо­нальних даних, насамперед необхідно з’ясувати факт наявності/відсутності у особи, що здійснює обробку таких да­них (володільця або розпорядника пер­сональних даних), належних правових підстав для цього.

Загальні вимоги до обробки персо­нальних даних передбачено статтею 6 ЗУ «Про захист персональних даних». У частині п’ятій цієї статті зазначено, що обробка персональних даних здій­снюється для конкретних і законних цілей, визначених за згодою суб’єкта персональних даних, або у випадках, передбачених законами України, у по­рядку, встановленому законодавством.

Своєю чергою, у статті 11 Закону за­кріплено вичерпний перелік підстав для обробки персональних даних, яки­ми є: згода суб’єкта персональних даних на обробку його персональних даних; дозвіл на обробку персональних даних, наданий володільцю персональних да­них відповідно до закону виключно для здійснення його повноважень; укладен­ня та виконання правочину, стороною якого є суб’єкт персональних даних або який укладено на користь суб’єкта пер­сональних даних чи для здійснення за­ходів, що передують укладенню право­чину на вимогу суб’єкта персональних даних; захист життєво важливих інтересів суб’єкта персональних даних; необ­хідність виконання обов’язку володіль­ця персональних даних, який передба­чений законом; необхідність захисту законних інтересів володільця персо­нальних даних або третьої особи, якій передаються персональні дані, крім ви­падків, коли потреби захисту основопо­ложних прав і свобод суб’єкта персо­нальних даних у зв’язку з обробкою його даних переважають такі інтереси.

Відповідно до переліку, згода суб’єкта персональних даних не єдина підстава для обробки його персональ­них даних, оскільки такі дані можуть оброблятися, у тому числі, на підставі укладеного правочину з відповідним суб’єктом, правочином, укладеним на його користь, тощо.

Також необхідно усвідомлювати, що чинне законодавство передбачає мож­ливість укладення правочину через процедуру приєднання до публічного договору (публічної оферти). Приєднан­ня може бути реалізовано, зокрема, шляхом завантаження мобільного до­датку, заповнення певної форми на веб- сайті або вчиненням якихось конклю­дентних дій (отримання грошових ко­штів, здійснення розрахунків тощо), які можуть свідчити про таке приєднання.

Оскільки процедура приєднання та умови використання персональних да­них у таких випадках мають бути врегу­льовані умовами правочину (договору), радимо ретельно вивчати його умови.

ПРАВА СУБ’ЄКТА ПЕРСОНАЛЬНИХ ДАНИХ

Відповідно до частини другої статті 8 Закону суб’єкт персональних даних має право:

1) знати про джерела збирання, міс­цезнаходження своїх персональних да­них, мету їх обробки, місцезнаходжен­ня або місце проживання (перебуван­ня) володільця чи розпорядника персо­нальних даних або дати відповідне до­ручення щодо отримання цієї інформа­ції уповноваженим ним особам, крім випадків, встановлених законом;

2) отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким передаються його персональні дані;

3) на доступ до своїх персональних даних;

4) отримувати не пізніш як за 30 ка­лендарних днів з дня надходження за­питу, крім випадків, передбачених зако­ном, відповідь про те, чи обробляються його персональні дані, а також отриму­вати зміст таких персональних даних;

5) пред’являти вмотивовану вимогу володільцю персональних даних із за­переченням проти обробки своїх персо­нальних даних;

6) пред’являти вмотивовану вимогу щодо зміни або знищення своїх персо­нальних даних будь-яким володільцем та розпорядником персональних да­них, якщо ці дані обробляються неза­конно чи є недостовірними;

7) на захист своїх персональних да­них від незаконної обробки та випадко­вої втрати, знищення, пошкодження у зв’язку з умисним приховуванням, не­наданням чи несвоєчасним їх надан­ням, а також на захист від надання ві­домостей, що є недостовірними чи ганьблять честь, гідність та ділову ре­путацію фізичної особи;

8) звертатися зі скаргами на обробку своїх персональних даних до Уповно­важеного або до суду;

9) застосовувати засоби правового захисту у разі порушення законодав­ства про захист персональних даних;

10) вносити застереження стосовно обмеження права на обробку своїх пер­сональних даних під час надання згоди;

11) знати механізм автоматичної об­робки персональних даних;

12) на захист від автоматизованого рішення, яке має для нього правові на­слідки.

До моменту звернення до Уповнова­женого із скаргою на порушення в сфері захисту персональних даних суб’єкту персональних даних необхідно зверну­тися до особи, яка, на його думку, здій­снює неправомірну обробку персональ­них даних із запитом/вимогою в межах реалізації своїх законних прав.

У такому зверненні/вимозі необхід­но вимагати надання інформації стосов­но джерел отримання персональних да­них, правових підстав їх обробки, з на­данням належно засвідчених копій під­тверджуючих документів. Зауважуємо, що запит має відповідати вимогам стат­ті 16 Закону, а саме містити інформацію про прізвище, ім’я та по батькові, місце проживання (місце перебування) і рек­візити документа, що посвідчує фізич­ну особу, яка подає запит, крім випад­ків, установлених законом (ч. 6 ст. 16).

КОМУНІКАЦІЯ З ОСОБОЮ, ЩО ЗДІЙСНЮЄ ОБРОБКУ ПЕРСОНАЛЬНИХ ДАНИХ

Насамперед необхідно звернути увагу на те, що незалежно від обраного способу спілкування з особою, що здій­снює обробку персональних даних, вар­то забезпечити належну фіксацію його результатів, зокрема шляхом:

– надсилання письмових запитів ре­комендованими листами з описом вкладення, збереження корінців по­штових повідомлень, відомостей щодо трекінгу поштового відправлення, а та­кож отриманих відповідей;

– виготовлення та збереження знім­ків екрана (скриншотів) у разі здій­снення електронного листування/об­міну повідомленнями в месенджерах, чатах, мобільних додатках;

– здійснення фото-, аудіо- та відео­фіксації при телефонних розмовах та при особистому спілкуванні тощо.

Також залежно від конкретних об­ставин може знадобитися підтверджен­ня того, що засіб зв’язку (номер телефо­ну, електронна адреса тощо), викорис­таний під час спілкування, належить саме особі, яка звертається із скаргою до Уповноваженого. Зокрема, в тих ви­падках, коли спілкування суб’єкта пер­сональних даних відбувалося анонімно або з використанням псевдоніма.

Особа, що здійснює обробку персо­нальних даних, зобов’язана надати від­повідь на належно оформлений запит суб’єкта персональних даних з ураху­ванням строків, передбачених Законом (30 календарних днів).

Відсутність відповіді/своєчасної відповіді особи, що здійснює обробку персональних даних, на обґрунтовану вимогу/звернення суб’єкта персональ­них даних, за умови наявності підтвер­дження факту надсилання такої вимо­ги/звернення, також може бути підста­вою для здійснення Уповноваженим функцій контролю.

МЕЖІ КОМПЕТЕНЦІЇ ОМБУДСМАНА

Звернення до Уповноваженого щодо вчинених порушень у сфері захисту персональних даних має бути обґрун­тованим і ґрунтуватися на фактичних обставинах, які мають бути докумен­тально підтвердженими. Адже на Упо­вноваженого не покладено слідчих чи розшукових функцій, а також пошуку і фіксації фактичних даних про проти­правні діяння окремих осіб.

До компетенції Уповноваженого не належить вирішення цивільно-право­вих та фінансових спорів, а також вре­гулювання відносин, що вбачаються з укладених правочинів, у тому числі до­говорів займу, позики, кредиту тощо, якщо такі спори та відносини безпосе­редньо не пов’язані з порушеннями за­конодавства, допущеними під час об­робки персональних даних.

Підставою для здійснення позапла­нових перевірок суб’єктів, що здійсню­ють обробку персональних даних, зо­крема, є обґрунтовані звернення фізич­них та юридичних осіб з повідомлен­ням про порушення вимог законодав­ства про захист персональних даних.

Крім того, Уповноважений не може втручатися в хід досудового слідства та/або судовий процес між третіми осо­бами, в тому числі за умов, що слід­ство/судовий процес безпосередньо пов’язані з порушеннями в сфері захис­ту персональних даних.

Уповноважений не зможе допомог­ти, якщо заявник справді перебував/ перебуває у правовідносинах з особою, що обробляє персональні дані, на під­ставі чинного правочину (його окре­мих положень): отримав та не повернув кредит/позику або має непогашену за­боргованість за будь-які інші отримані роботи/послуги. Тобто, якщо персо­нальні дані заявника обробляються на законних підставах.

Також необхідно розуміти, що факт відкликання заявником згоди на оброб­ку його персональних даних не носити­ме правового навантаження, якщо для обробки таких персональних даних бу­дуть наявні інші законні підстави. На­приклад, відкликання згоди на оброб­ку персональних даних не звільняє осо­бу від виконання своїх зобов’язань за договором позики та не позбавляє кре­дитора права обробки персональних даних з метою стягнення заборгованос­ті за таким договором.

Натомість Уповноважений зможе належним чином виконати свої функції в сфері захисту персональних даних за умови надання суб’єктом звернення на­лежного обґрунтування своїх поруше­них прав разом з достатньою кількістю підтверджуючих матеріалів (доказів).

ВИСНОВКИ

Ураховуючи викладене вище, необ­хідно:

– уважно ознайомлюватися з умова­ми правочинів (у тому числі публічних) при їх укладенні/приєднанні до них, а також ретельно вивчати ліцензійні умо­ви використання програмних продуктів (зокрема мобільних додатків), угоди ко­ристувача, політики конфіденційності, реєстраційні форми на веб-сайтах тощо, оскільки умови обробки ваших персо­нальних даних можуть бути закріплені саме в зазначених документах;

– повною мірою користуватися пра­вами суб’єкта персональних даних, пе­редбачених шляхом надсилання запи­тів/вимог/заперечень тощо до осіб, які обробляють персональні дані, з метою з’ясування фактичних обставин та при­пинення обробки персональних даних без належних правових підстав;

– збирати і зберігати фактичні під­твердження (докази) вашої взаємодії з потенційними порушниками та обов’язково долучати їх до звернень/ скарг, які надсилаєте до Уповноважено­го, з метою вжиття заходів реагування.

У будь-якому випадку всі скарги буде розглянуто Уповноваженим у межах його компетенції, проте разом із цим ефективність їх розгляду безпосе­редньо залежить від чіткості викладен­ня обставин та доданих підтверджую­чих матеріалів.

Усі новини