1. Загальні положення

1.1. Цей Порядок встановлює процедуру здійснення Уповноваженим ВерховноїРади України з прав людини (далі - Уповноважений) контролю за додержанням вимогзаконодавства про захист персональних даних шляхом проведення перевірокфізичних осіб, фізичних осіб - підприємців, підприємств, установ і організаційусіх форм власності, органів державної влади та місцевого самоврядування, що єволодільцями та/або розпорядниками персональних даних (далі - суб'єктперевірки), а також оформлення і розгляд результатів перевірок.

1.2. У цьому Порядку терміни вживаються у такому значенні:

безвиїзна перевірка - планова або позапланова перевірка діяльності суб'єктаперевірки Уповноваженим та/або уповноваженими ним посадовими особами, якапроводиться в приміщенні Секретаріату Уповноваженого Верховної Ради України зправ людини на підставі отриманих від суб'єкта перевірки документів та поясненьбез виїзду за місцезнаходженням суб'єкта перевірки та/або за місцем обробкиперсональних даних;

виїзна перевірка - планова або позапланова перевірка діяльності суб'єктаперевірки Уповноваженим та/або уповноваженими ним посадовими особами, якапроводиться за місцезнаходженням суб'єкта перевірки та/або безпосередньо намісці обробки персональних даних;

планова перевірка - перевірка діяльності суб'єкта перевірки, якапроводиться на підставі плану проведення перевірок на відповідний квартал тарік;

позапланова перевірка - перевірка діяльності суб'єкта перевірки, яка непередбачена в плані проведення перевірок.

акт перевірки - службовий документ, який засвідчує факт проведенняперевірки діяльності суб’єкта перевірки та стан додержання ним вимогзаконодавства про захист персональних даних;

припис (вимога) - це обов’язкова для виконання у визначені строки письмовавимога Уповноваженого щодо усунення порушень вимог законодавства про захистперсональних даних, яка вручається (надсилається) суб’єкту перевірки.

Інші терміни у цьому Порядку вживаються у значенні, наведеному в Законі України"Про захист персональних даних".

2.Організація та проведення перевірок

2.1. Контроль за додержанням суб'єктами перевірки законодавства про захистперсональних даних здійснюється Уповноваженим та/або уповноваженими нимпосадовими особами шляхом проведення перевірок: планових, позапланових, виїзнихта безвиїзних. Планові та позапланові перевірки можуть бути виїзними та безвиїзними.

Предметом перевірки є додержання суб’єктом перевірки під час здійсненняобробки персональних даних вимог КонституціїУкраїни, Закону України «Про захист персональних даних», Типового порядку обробкиперсональних даних, а також чинних міжнародних договорів України у сферізахисту персональних даних, згода на обов’язковість яких надана Верховною РадоюУкраїни.

2.2 Виїзна перевірка проводиться Уповноваженим та/або на підставі виданогоним іменного доручення такими посадовими особами (далі - уповноважені посадовіособи):

- керівником Секретаріату та його заступником;

- Представниками Уповноваженого;

- керівниками структурних підрозділів Секретаріату та їх заступниками;

- працівниками Секретаріату Уповноваженого.

Доручення видається у письмовій формі на визначений у ньому строк.

2.3. До участі в перевірці в установленому законодавством порядку можутьбути залучені працівники органів державної влади, в тому числі органівдержавного управління, органів виконавчої влади та правоохоронних органів. Вразі залучення вказаних осіб вони дають письмове зобов’язання пронерозголошення персональних даних, які стануть їм відомі в результатіпроведення перевірки.

2.4. Виїзні перевірки здійснюються в робочий час суб’єкта перевірки,встановлений правилами внутрішнього трудового розпорядку.

2.5. Під час проведення перевірки Уповноважений, уповноважена посадоваособа та суб'єкт перевірки мають права та обов'язки, передбачені у розділі 6 цього Порядку.

2.6. Суб'єкт перевірки зобов'язаний забезпечити доступ до приміщень,матеріалів і документів, необхідних для проведення перевірки, надаватиінформацію і давати пояснення щодо фактичної та правової підстави своїх дій тарішень та забезпечити належні умови для проведення перевірки цієї інформації.

2.7. Безвиїзна перевірка проводиться в порядку, визначеному пп. 3.1-3.6 Розділу3 Порядку здійснення провадження Уповноваженого Верховної Ради України з правлюдини, з урахуванням положень цього Порядку Уповноваженим та/абоуповноваженими посадовими особами.

3.Проведення планової перевірки

3.1. Планові перевірки проводяться відповідно до річних або квартальнихпланів, які затверджуються Уповноваженим до 1 грудня року, що передуєплановому, або до 25 числа останнього місяця кварталу, що передує плановому.

3.2. У плані зазначаються категорії суб’єктів перевірок. План проведення перевірокпісля його затвердження розміщується на офіційному веб-сайті Уповноваженого.

3.3. Планові перевірки суб'єкта перевірки щодо дотримання вимогзаконодавства у сфері захисту персональних даних здійснюються з періодичністюне частіше одного разу на рік.

3.4. Датою, з якої починається відлік строку для визначення початкунаступної планової перевірки, є дата закінчення попередньої планової перевірки.

4.Проведення позапланової перевірки

4.1. Позапланові перевірки суб'єктів перевірки можуть проводитись занаявності однієї або декількох підстав/приводів, зокрема:

за власною ініціативою Уповноваженого;

при безпосередньому виявленні порушень вимог законодавства про захистперсональних даних Уповноваженим, в тому числі і в результаті здійсненнядослідження системних проблем щодо забезпечення права на приватність, повагу доприватного та сімейного життя;

при наявності інформації про порушення вимог законодавства про захистперсональних даних в повідомленнях, опублікованих в засобах масової інформації,оприлюднених в мережі Інтернет;

обґрунтовані звернення фізичних та юридичних осіб з повідомленням пропорушення фізичною особою, фізичною особою - підприємцем, підприємством,установою і організацією усіх форм власності, органом державної влади чимісцевого самоврядування, що є володільцями та/або розпорядниками персональнихданих вимог законодавства про захист персональних даних;

виявлення недостовірності у відомостях (даних), наданих суб'єктом перевіркина письмовий запит Уповноваженого щодо здійснення безвиїзної перевірки, та/абоякщо такі відомості (дані) не дають змоги оцінити виконання суб'єктом перевіркивимог законодавства про захист персональних даних;

контроль за виконанням суб'єктом перевірки приписів щодо усунення порушеньвимог законодавства про захист персональних даних, виданих за результатамипроведення перевірок.

5.Оформлення результатів перевірок

5.1. За результатами здійснення планової або позапланової перевіркиУповноважений та/або уповноважена посадова особи складає у двохпримірниках акт перевіркидодержання вимог законодавства про захист персональних даних (далі - Акт) заформою згідно з додатком 1 до цього Порядку.

5.2. Акт повинен містити такі відомості:

дату, час та місце складання;

посади, прізвища та ініціали осіб, що проводили перевірку;

посаду, прізвище та ініціали керівника (уповноваженої ним особи) абопрізвище та ініціали фізичної особи суб'єкта перевірки;

вид перевірки (планова, позапланова, виїзна, безвиїзна);

для суб’єкта перевірки - органу державної влади та місцевогосамоврядування: найменування, місцезнаходження;

для суб'єкта перевірки - юридичної особи: найменування, місцезнаходження;

для суб'єкта перевірки - фізичної особи та/або фізичної особи - підприємця:прізвище, ім'я та по батькові, місце проживання;

дані про дату, час початку та час закінчення перевірки, її загальнутривалість;

факти (обставини), які встановлено за результатами перевірки;

висновок про результати перевірки.

При складанні Акта мають бути додержані об'єктивність і вичерпність описувиявлених фактів і даних.

5.3. Акт повинен містити один із таких висновків:

про відсутність у діяльності суб'єкта перевірки порушень вимогзаконодавства про захист персональних даних;

про виявлені у діяльності суб'єкта перевірки порушення вимог законодавствапро захист персональних даних, їх детальний опис із посиланням на норми чинногозаконодавства, які порушено.

Забороняється вносити до акта перевірки відомості про порушення, які непідтверджено документально.

5.4. В Акті викладаються всі виявлені під час перевірки факти невиконання(неналежного виконання) суб'єктом перевірки вимог законодавства про захистперсональних даних.

5.5. У разі ненадання суб'єктом перевірки документів, необхідних дляпроведення перевірки, в Акті робиться запис про це із зазначенням причин.

5.6. Виїзна перевірка

5.6.1. За результатами проведення виїзної перевірки складається Акт в двохпримірниках, який підписується Уповноваженим або уповноваженою посадовою особою(особами), яка проводила перевірку, та керівником суб'єкта перевірки абоуповноваженою ним особою.

5.6.2. Якщо суб'єкт перевірки не погоджується з Актом, він підписує його іззауваженнями. Зауваження суб'єкта перевірки щодо здійснення уповноваженимипосадовими особами контролю за дотриманням вимог законодавства про захистперсональних даних є невід'ємною частиною Акта. При цьому, на останній сторінцівсіх примірників Акта робиться запис: "Із зауваженнями".

У разі відмови керівника суб'єкта перевірки або уповноваженої ним особипідписати Акт уповноважена посадова особа вносить до такого Акта відповідний запис.

5.6.3. Перший примірник Акта вручається керівнику суб'єкта перевірки абоуповноваженій ним особі, про що ним (нею) ставиться підпис на другомупримірнику Акта, який зберігається в Секретаріаті Уповноваженого.

У випадку відмови керівника суб'єкта перевірки або уповноваженої ним особиотримати другий примірник Акта він направляться суб'єкту перевірки протягом 5робочих днів рекомендованим листом з повідомленням про вручення.

До примірника Акта, який зберігається в Секретаріаті Уповноваженогообов'язково додаються матеріали перевірки - копії документів, витяги здокументів, належним чином засвідчені суб'єктом перевірки, пояснення, протоколита інші документи.

5.7. Безвиїзна перевірка

5.7.1. За результатами проведення безвиїзної перевірки складається Акт вдвох примірниках, який підписується Уповноваженим та/або уповноваженоюпосадовою особою (особами), яка проводила перевірку. Перший примірникнадсилається суб’єкту перевірки для ознайомлення, а другий зберігається вСекретаріаті Уповноваженого.

5.7.2. До примірника Акта, який зберігається в Секретаріаті Уповноваженого,додаються матеріали перевірки - копії документів, витяги з документів, належнимчином засвідчені суб'єктом перевірки, пояснення, протоколи та інші документи.

5.8. Будь-які виправлення та доповнення в Акті перевірки після йогопідписання не допускаються. Про виявлення описок після підписання Актаперевірки суб'єкт перевірки повідомляється письмово.

5.9. Будь-яка інформація, яка стала відомою Уповноваженому та/абоуповноваженій посадовій особі (особам) під час проведення перевірки, непідлягає розголошенню.

5.10. На підставі Акта перевірки, під час якої виявлено порушення вимогзаконодавства про захист персональних даних, складається припис про усуненняпорушень вимог законодавства у сфері захисту персональних даних, виявлених підчас перевірки, за формою згідно з додатком 2 до цього Порядку (далі - припис).

5.11. У приписі зазначаються:

номер, дата та місце складання припису;

для суб’єкта перевірки - органу державної влади та місцевогосамоврядування: найменування, місцезнаходження;

для суб'єкта перевірки - юридичної особи: найменування, місцезнаходження,прізвище, ім'я та по батькові керівника юридичної особи;

для суб'єкта перевірки - фізичної особи та/або фізичної особи - підприємця:прізвище, ім'я та по батькові, місце її проживання;

підстава для видачі припису;

заходи необхідні для усунення порушень, виявлених під час перевірки;

строк виконання припису;

строк інформування суб'єктом перевірки Уповноваженого про усуненнявиявленого порушення;

підпис уповноваженої посадової особи (осіб), яка проводила перевірку.

5.12. Припис складається у двох примірниках: перший примірник не пізніше 5робочих днів з дня складання Акта перевірки надсилається суб'єкту перевірки чиуповноваженій ним особі рекомендованим листом з повідомленням про вручення, адругий примірник залишається в Секретаріаті Уповноваженого.

На копії припису, який залишається у Секретаріаті Уповноваженого,проставляються відповідний вихідний номер і дата відправлення.

5.13. Суб'єкт перевірки повинен протягом визначеного у приписі строку (неменше ніж 30 календарних днів) вжити заходів щодо усунення порушень, зазначениху приписі, та письмово поінформувати Уповноваженого про усунення порушень разоміз наданням копій документів, що це підтверджують.

5.14. Контроль за своєчасністю та повнотою виконання вимог, зазначених уприписі, здійснюється шляхом вивчення вказаних копій документів та, у разінеобхідності, шляхом проведення позапланової перевірки.

5.15. У разі невиконання припису протягом вказаного у ньому строкуУповноважений або уповноважена посадова особа складає протокол проадміністративне правопорушення, передбачене статтею188-40 КодексуУкраїни про адміністративні правопорушення (далі - КУпАП) за формою та упорядку, передбаченому законодавством та Порядком оформлення матеріалів проадміністративні правопорушення.

5.16. У разі виявлення під час перевірки передбаченого статтею188-39 чи статтею 188-40КУпАП адміністративного правопорушення,вчиненого суб'єктом перевірки, Уповноважений або уповноважена посадова особавідповідно до пункту 1 частини першої статті 255 КУпАПскладає протокол проадміністративне правопорушення за формою та у порядку, передбаченомузаконодавством та Порядком оформлення матеріалів про адміністративніправопорушення.

5.17. У разі виявлення під час перевірки суб'єкта перевірки ознаккримінального правопорушення Уповноважений направляє необхідні матеріали доправоохоронних органів.

6.Права та обов'язки уповноваженої посадової особи та посадових осіб суб'єктаперевірки

6.1. Уповноважена посадова особа при проведенні перевірки має право:

6.1.1. Безперешкодно входити на об'єкт перевірки за службовим посвідченнямі мати безперешкодний доступ до місць зберігання інформації, у тому числі й докомп'ютерів, магнітних носіїв інформації тощо.

6.1.2. Отримувати на свою вимогу та мати доступ до будь-якої інформації(документів) володільців або розпорядників персональних даних, які необхіднідля здійснення контролю за забезпеченням захисту персональних даних, у томучислі доступ до персональних даних, відповідних баз даних чи картотек,інформації з обмеженим доступом.

У разі існування документа лише в електронній формі за умови, що данийдокумент створений суб'єктом перевірки, суб'єкт перевірки зобов'язаний надатийого паперову копію, що забезпечує візуальну форму відображення документа,засвідчену суб'єктом перевірки у встановленому законодавством порядку. У разінеможливості надати паперову копію, що забезпечує візуальну форму відображеннядокумента, проводиться огляд електронного документа, про що складається акт оглядуелектронного документа за формою згідно з додатком 3 до цього Порядку.

6.1.3. Отримувати засвідчені у встановленому законодавством порядку копіїдокументів.

6.1.4. Вимагати в межах своєї компетенції у керівника та/або посадових осібсуб'єкта перевірки надання завірених підписом письмових пояснень.

6.1.5. Звертатись у зв'язку з реалізацією своїх повноважень та відповіднодо законодавства до органів прокуратури, інших правоохоронних органів.

6.1.6. Складати та підписувати приписи про запобігання або усуненняпорушень законодавства про захист персональних даних.

6.1.7. Складати та підписувати протоколи про притягнення доадміністративної відповідальності за виявлені порушення законодавства прозахист персональних даних;

6.1.8. Залучати для складання протоколів осіб, присутніх при виявленніправопорушення.

6.2. Уповноважена посадова особа при проведенні перевірки зобов'язана:

6.2.1. Повно, об'єктивно та неупереджено здійснювати перевірку у межахвизначених повноважень;

6.2.2. Повідомити керівника суб'єкта перевірки або уповноважену ним особупро свої обов'язки та повноваження, причину та мету перевірки, права, обов'язкикерівника та посадових осіб суб'єкта перевірки;

6.2.3. Ознайомити керівника суб'єкта перевірки або уповноважену ним особу зрезультатами проведеної перевірки та/або протоколом про адміністративніправопорушення;

6.2.4. Визначати перелік необхідних для перевірки документів та строки їхнадання;

6.2.5. Належним чином оформлювати результати перевірок;

6.2.6. Неухильно дотримуватись вимог до складання протоколів проадміністративні правопорушення, визначених Порядком оформлення матеріалів проадміністративні правопорушення.

6.3. Посадові особи суб'єкта перевірки, в тому числі керівник суб'єктаперевірки або уповноважена ним особа, під час здійснення перевірки мають право:

6.3.1. Перевіряти наявність в уповноваженої посадової особи (осіб)службового посвідчення та підстав для проведення перевірки;

6.3.2. Бути присутніми під час здійснення перевірки;

6.3.3. Одержувати та ознайомлюватись за результатами проведеної перевірки зАктом та/або протоколом про адміністративне правопорушення;

6.3.4. Надавати в письмовій формі свої пояснення та зауваження до Актата/або протоколу про адміністративні правопорушення;

6.3.5. Оскаржувати в установленому законом порядку неправомірні дії уповноваженоїпосадової особи (осіб).

6.4. Посадові особи суб'єкта перевірки, в тому числі керівник суб'єктаперевірки або уповноважена ним особа, під час здійснення перевірки зобов'язані:

6.4.1. Безперешкодно допускати уповноважену посадову особу (осіб) на об'єктперевірки та надавати доступ до документів та інших матеріалів, потрібних дляпроведення перевірки;

6.4.2. Надавати необхідні документи, та іншу інформацію, завірені підписомписьмові пояснення, а також засвідчені в установленому законодавством порядкукопії документів, що необхідні проведення перевірки;

6.4.3. Виконувати вимоги уповноваженої посадової особи (осіб) з питаньдодержання вимог законодавства про захист персональних даних.

Порядо повідомлення Уповноваженого Верховної Ради Україниз прав людини про обробку персональних даних, яка становить особливий ризик дляправ і свобод суб’єктів персональних даних, про структурний підрозділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональнихданих при їх обробці, а також оприлюднення вказаної інформації

1. Загальні положення

1.1. Цей Порядок встановлює процедуру та затверджує форму повідомлення Уповноваженого Верховної Ради України з прав людини (далі - Уповноважений) про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, про зміну відомостей, що підлягають повідомленню, та про структурний підрозділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних при їх обробці, а також оприлюднення зазначеної інформації на офіційному веб-сайті Уповноваженого.

1.2. Для цілей цього Порядку обробка персональних даних, що становить особливий ризик для прав і свобод суб’єктів - це будь-яка дія або сукупність дій, а саме збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання і поширення (розповсюдження, реалізація, передача), знеособлення, знищення, у тому числі з використанням інформаційних (автоматизованих) систем, яка здійснюється відносно персональних даних про:

- расове, етнічне та національне походження;

- політичні, релігійні або світоглядні переконання;

- членство в політичних партіях та/або організаціях, професійних спілках, релігійних організаціях чи в громадських організаціях світоглядної спрямованості;

- стан здоров’я;

- статеве життя;

- біометричні дані;

- генетичні дані;

- притягнення до адміністративної чи кримінальної відповідальності;

- застосування щодо особи заходів в рамках досудового розслідування;

- вжиття щодо особи заходів, передбачених Законом України «Про оперативно-розшукову діяльність»;

- вчинення щодо особи тих чи інших видів насильства;

- місцеперебування та/або шляхи пересування особи.

Інші терміни у цьому Порядку вживаються у значенні, наведеному в Законі України «Про захист персональних даних» (далі - Закон).

2. Процедура та форма повідомлення Уповноваженого про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних

2.1. Володілець персональних даних повідомляє Уповноваженого про здійснення ним будь-яких видів обробки персональних даних, які становлять особливий ризик для прав і свобод суб’єктів персональних даних, крім випадків, якщо:

2.1.1. здійснюється обробка, єдиною метою якої є ведення реєстру для надання інформації населенню, який відкритий для населення в цілому;

2.1.2. обробка здійснюється громадськими об’єднаннями, політичними партіями та/або організаціями, професійними спілками, об’єднаннями роботодавців, релігійними організаціями, громадськими організаціями світоглядної спрямованості за умови, що обробка стосується виключно персональних даних членів цих об’єднань та не передається без їх згоди;

2.1.3. обробка необхідна для реалізації прав та виконання обов’язків володільця персональних даних у сфері трудових правовідносин відповідно до закону.

2.2. З метою повідомлення Уповноваженого володілець персональних даних подає до Секретаріату Уповноваженого заповнений бланк заяви за формою, наведеною у Додатку 1, в межах строків, встановлених Законом. Кожна сторінка заяви має бути пронумерована та скріплена печаткою (у разі наявності) і підписом уповноваженої на те особи.

2.3. Володілець персональних даних повідомляє Уповноваженого листом на адресу Секретаріату Уповноваженого: вул. Інститутська, 21/8; м. Київ, 01008, або іншим доступним заявнику способом (факсом, електронною поштою, через скриньку, спеціально розміщену на 1 поверсі Секретаріату Уповноваженого). В разі направлення заяви електронною поштою заява має бути відсканована.

2.4. Заява повинна містити відомості про:

2.4.1. Володільця персональних даних:

- П.І.Б., реєстраційний номер облікової картки платника податків, паспортні дані, місце проживання для фізичної особи;

- найменування, код ЄДРПОУ, адреса реєстрації та/або місцезнаходження для юридичної особи.

2.4.2. Розпорядника персональних даних:

- П.І.Б., реєстраційний номер облікової картки платника податків, паспортні дані, місце проживання для фізичної особи;

- найменування, код ЄДРПОУ, адреса реєстрації та/або місцезнаходження для юридичної особи.

2.4.3. Обробку персональних даних, вказаних у п. 1.2.:

- персональні дані, що обробляються;

- мету обробки персональних даних (з посиланням на нормативно-правові акти, положення, установчі чи інші документи, які регулюють діяльність володільця персональних даних);

- категорію чи категорії суб’єктів, чиї персональні дані обробляються;

- третіх осіб, яким передаються персональні дані суб’єктів;

- транскордонну передачу персональних даних;

- місце (фактична адреса) обробки персональних даних;

- загальний опис технічних та організаційних заходів, що здійснюються володільцем персональних даних, для забезпечення їх захисту.

2.5. Заявники зберігають копію заяви, що була подана до Секретаріату Уповноваженого.

2.6. Уповноважений в порядку черговості надходження заяв, за винятком ситуацій, вказаних у п. 2.9., оприлюднює на офіційному веб-сайті Уповноваженого вказані у п. 2.4. відомості в окремому розділі «Повідомлення про здійснення обробки персональних даних, що становить особливий ризик для прав і свобод суб’єктів персональних даних».

2.7. Заяви, отримані Уповноваженим, зберігаються в архіві / електронному архіві Секретаріату Уповноваженого в порядку і впродовж строків, встановлених законодавством.

2.8. Заява вважається такою, що не була подана, та до розгляду не приймається у разі якщо:

- форма заяви не відповідає тій, що визначена у Додатку 1;

- заява містить неповну та явну недостовірну інформацію ;

- інформація, викладена у заяві, не містить відомостей