О защите персональных данных

В тексте Закона слова "владелец базы персональных данных" и "распорядитель базы персональных данных" во всех падежах и числах заменены соответственно словами "владелец персональных данных" и "распорядитель персональных данных" в соответствующем падеже и числе в соответствии с Законом № 5491-VI от 20.11.2012} Статья 1. Сфера действия Закона Настоящий Закон регулирует правовые отношения, связанные с защитой и обработкой персональных данных, и направлен на защиту основополагающих прав и свобод человека и гражданина, в частности права на невмешательство в личную жизнь, в связи с обработкой персональных данных. Настоящий Закон распространяется на деятельность по обработке персональных данных, которая осуществляется полностью или частично с применением автоматизированных средств, а также на обработку персональных данных, содержащихся в картотеке или предназначенных для внесения в картотеку, с применением неавтоматизированных средств. {Часть третья статьи 1 исключена на основании Закона № 383-VII от 03.07.2013} {Часть четвёртая статьи 1 исключена на основании Закона № 383-VII от 03.07.2013} {Статья 1 в редакции Закона № 5491-VI от 20.11.2012} Статья 2. Определение терминов В настоящем Законе нижеприведённые термины употребляются в таком значении: база персональных данных - именованная совокупность упорядоченных персональных данных в электронной форме и/или в форме картотек персональных данных; владелец персональных данных - физическое или юридическое лицо, которое определяет цель обработки персональных данных, устанавливает состав этих данных и процедуры их обработки, если иное не определено законом; {Абзац третий статьи 2 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; в редакции Закона № 383-VII от 03.07.2013} согласие субъекта персональных данных - добровольное волеизъявление физического лица (при условии его информированности) относительно предоставления разрешения на обработку его персональных данных в соответствии со сформулированной целью их обработки, выраженное в письменной форме или в форме, позволяющей сделать вывод о предоставлении согласия. В сфере электронной коммерции согласие субъекта персональных данных может быть предоставлено при регистрации в информационно-коммуникационной системе субъекта электронной коммерции путём проставления отметки о предоставлении разрешения на обработку своих персональных данных в соответствии со сформулированной целью их обработки, при условии, что такая система не создаёт возможностей для обработки персональных данных до момента проставления отметки; {Абзац четвёртый статьи 2 в редакции Закона № 1262-VII от 13.05.2014; с изменениями, внесёнными в соответствии с Законами № 675-VIII от 03.09.2015, № 1089-IX от 16.12.2020} {Абзац пятый статьи 2 исключён на основании Закона № 383-VII от 03.07.2013} обезличивание персональных данных - изъятие сведений, позволяющих прямо или косвенно идентифицировать лицо; {Абзац шестой статьи 2 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} картотека - любые структурированные персональные данные, доступные по определённым критериям, независимо от того, централизованы ли такие данные, децентрализованы или разделены по функциональным либо географическим принципам; {Статья 2 дополнена термином в соответствии с Законом № 5491-VI от 20.11.2012} обработка персональных данных - любое действие или совокупность действий, таких как сбор, регистрация, накопление, хранение, адаптирование, изменение, обновление, использование и распространение (распространение, реализация, передача), обезличивание, уничтожение персональных данных, в том числе с использованием информационных (автоматизированных) систем; {Абзац статьи 2 в редакции Закона № 5491-VI от 20.11.2012} получатель - физическое или юридическое лицо, которому предоставляются персональные данные, в том числе третье лицо; {Статья 2 дополнена термином в соответствии с Законом № 5491-VI от 20.11.2012} персональные данные - сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано; распорядитель персональных данных - физическое или юридическое лицо, которому владельцем персональных данных или законом предоставлено право обрабатывать эти данные от имени владельца; {Абзац одиннадцатый статьи 2 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} субъект персональных данных - физическое лицо, персональные данные которого обрабатываются; {Абзац двенадцатый статьи 2 в редакции Закона № 383-VII от 03.07.2013} третье лицо - любое лицо, за исключением субъекта персональных данных, владельца или распорядителя персональных данных и Уполномоченного Верховной Рады Украины по правам человека, которому владельцем или распорядителем персональных данных осуществляется передача персональных данных. {Абзац тринадцатый статьи 2 в редакции Закона № 383-VII от 03.07.2013} Статья 3. Законодательство о защите персональных данных Законодательство о защите персональных данных составляют Конституция Украины, настоящий Закон, другие законы и подзаконные нормативно-правовые акты, международные договоры Украины, согласие на обязательность которых предоставлено Верховной Радой Украины. Статья 4. Субъекты отношений, связанных с персональными данными 1. Субъектами отношений, связанных с персональными данными, являются: субъект персональных данных; владелец персональных данных; распорядитель персональных данных; третье лицо; Уполномоченный Верховной Рады Украины по правам человека (далее - Уполномоченный). {Абзац шестой части первой статьи 4 в редакции Закона № 383-VII от 03.07.2013} {Абзац седьмой части первой статьи 4 исключён на основании Закона № 5491-VI от 20.11.2012} 2. Владельцем или распорядителем персональных данных могут быть предприятия, учреждения и организации всех форм собственности, органы государственной власти или органы местного самоуправления, физические лица - предприниматели, которые обрабатывают персональные данные в соответствии с законом. 3. Распорядителем персональных данных, владельцем которых является орган государственной власти или орган местного самоуправления, кроме этих органов, может быть только предприятие государственной или коммунальной формы собственности. {Часть третья статьи 4 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; в редакции Закона № 1907-IX от 18.11.2021} 4. Владелец персональных данных может поручить обработку персональных данных распорядителю персональных данных в соответствии с договором, заключённым в письменной форме. {Статья 4 дополнена частью четвёртой в соответствии с Законом № 5491-VI от 20.11.2012} 5. Распорядитель персональных данных может обрабатывать персональные данные лишь с целью и в объёме, определённых в договоре. {Статья 4 дополнена частью пятой в соответствии с Законом № 5491-VI от 20.11.2012} Статья 5. Объекты защиты 1. Объектами защиты являются персональные данные. 2. Персональные данные могут быть отнесены к конфиденциальной информации о лице законом или соответствующим лицом. Не являются конфиденциальной информацией персональные данные, касающиеся осуществления лицом, уполномоченным на выполнение функций государства или местного самоуправления, должностных или служебных полномочий. {Часть вторая статьи 5 с изменениями, внесёнными в соответствии с Законом № 524-IX от 04.03.2020} 3. Персональные данные, указанные в декларации лица, уполномоченного на выполнение функций государства или местного самоуправления, оформленной по форме, определённой в соответствии с Законом Украины "О предотвращении коррупции", не относятся к информации с ограниченным доступом, кроме сведений, определённых Законом Украины "О предотвращении коррупции". {Абзац первый части третьей статьи 5 в редакции Закона № 524-IX от 04.03.2020} Не относится к информации с ограниченным доступом информация о получении в любой форме физическим лицом бюджетных средств, государственного или коммунального имущества, структуре, принципах формирования и размере оплаты труда, вознаграждения, дополнительного блага руководителя, заместителя руководителя юридического лица публичного права, руководителя, заместителя руководителя, члена наблюдательного совета государственного или коммунального предприятия либо государственной или коммунальной организации, имеющей целью получение прибыли, лица, которое постоянно или временно занимает должность члена исполнительного органа либо входит в состав наблюдательного совета хозяйственного общества, в уставном капитале которого более 50 процентов акций (долей, паёв) прямо или косвенно принадлежат государству и/или территориальной общине, кроме случаев, предусмотренных статьёй 6 Закона Украины "О доступе к публичной информации". {Абзац второй части третьей статьи 5 в редакции Закона № 1723-IX от 08.09.2021} Не относится к информации с ограниченным доступом информация о физических лицах, имеющих налоговый долг, которая публикуется на официальном веб-портале центрального органа исполнительной власти, реализующего государственную налоговую политику, в соответствии с требованиями пункта 35.4 статьи 35 Налогового кодекса Украины. {Часть третья статьи 5 дополнена новым абзацем в соответствии с Законом № 1914-IX от 30.11.2021} Законом может быть запрещено отнесение иных сведений, являющихся персональными данными, к информации с ограниченным доступом. {Статья 5 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; в редакции Закона № 1170-VII от 27.03.2014} Статья 6. Общие требования к обработке персональных данных 1. Цель обработки персональных данных должна быть сформулирована в законах, других нормативно-правовых актах, положениях, учредительных или иных документах, регулирующих деятельность владельца персональных данных, и соответствовать законодательству о защите персональных данных. Обработка персональных данных осуществляется открыто и прозрачно с применением средств и способом, соответствующими определённым целям такой обработки. {Часть первая статьи 6 дополнена новым абзацем в соответствии с Законом № 5491-VI от 20.11.2012} В случае изменения определённой цели обработки персональных данных на новую цель, которая является несовместимой с предыдущей, для дальнейшей обработки данных владелец персональных данных должен получить согласие субъекта персональных данных на обработку его данных в соответствии с изменённой целью, если иное не предусмотрено законом. {Абзац третий части первой статьи 6 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; в редакции Закона № 383-VII от 03.07.2013} 2. Персональные данные должны быть точными, достоверными и обновляться по мере необходимости, определённой целью их обработки. {Часть вторая статьи 6 в редакции Закона № 5491-VI от 20.11.2012} 3. Состав и содержание персональных данных должны быть соответствующими, адекватными и не чрезмерными по отношению к определённой цели их обработки. {Абзац первый части третьей статьи 6 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} {Абзац второй части третьей статьи 6 исключён на основании Закона № 5491-VI от 20.11.2012} 4. Первичными источниками сведений о физическом лице являются: выданные на её имя документы; подписанные ею документы; сведения, которые лицо предоставляет о себе. 5. Обработка персональных данных осуществляется для конкретных и законных целей, определённых с согласия субъекта персональных данных, или в случаях, предусмотренных законами Украины, в порядке, установленном законодательством. {Часть пятая статьи 6 в редакции Закона № 1907-IX от 18.11.2021; с изменениями, внесёнными в соответствии с Законами № 1971-IX от 16.12.2021, № 2075-IX от 17.02.2022} 6. Не допускается обработка данных о физическом лице, являющихся конфиденциальной информацией, без её согласия, кроме случаев, определённых законом, и лишь в интересах национальной безопасности, экономического благосостояния и прав человека. {Часть шестая статьи 6 с изменениями, внесёнными в соответствии с Законом № 1170-VII от 27.03.2014} 7. Если обработка персональных данных необходима для защиты жизненно важных интересов субъекта персональных данных, обрабатывать персональные данные без его согласия можно до времени, когда получение согласия станет возможным. 8. Персональные данные обрабатываются в форме, допускающей идентификацию физического лица, которого они касаются, не дольше, чем это необходимо для законных целей, в которых они собирались или в дальнейшем обрабатывались. Дальнейшая обработка персональных данных в исторических, статистических или научных целях может осуществляться при условии обеспечения их надлежащей защиты. {Часть восьмая статьи 6 в редакции Закона № 383-VII от 03.07.2013} {Часть девятая статьи 6 исключена на основании Закона № 383-VII от 03.07.2013} 10. Типовой порядок обработки персональных данных утверждается Уполномоченным. {Часть десятая статьи 6 с изменениями, внесёнными в соответствии с Законами № 4452-VI от 23.02.2012, № 5491-VI от 20.11.2012; в редакции Законов № 383-VII от 03.07.2013, № 1262-VII от 13.05.2014} Статья 7. Особые требования к обработке персональных данных 1. Запрещается обработка персональных данных о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях и профессиональных союзах, осуждении к уголовному наказанию, а также данных, касающихся здоровья, половой жизни, биометрических или генетических данных. {Часть первая статьи 7 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; в редакции Закона № 383-VII от 03.07.2013} 2. Положения части первой настоящей статьи не применяются, если обработка персональных данных: 1) осуществляется при условии предоставления субъектом персональных данных однозначного согласия на обработку таких данных; 2) необходима для осуществления прав и выполнения обязанностей владельца в сфере трудовых правоотношений в соответствии с законом с обеспечением соответствующей защиты; {Пункт 2 части второй статьи 7 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 3) необходима для защиты жизненно важных интересов субъекта персональных данных или другого лица в случае недееспособности или ограничения гражданской дееспособности субъекта персональных данных; {Пункт 3 части второй статьи 7 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 4) осуществляется с обеспечением соответствующей защиты религиозной организацией, общественной организацией мировоззренческой направленности, политической партией или профессиональным союзом, созданными в соответствии с законом, при условии, что обработка касается исключительно персональных данных членов этих объединений или лиц, поддерживающих постоянные контакты с ними в связи с характером их деятельности, и персональные данные не передаются третьему лицу без согласия субъектов персональных данных; {Пункт 4 части второй статьи 7 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 5) необходима для обоснования, удовлетворения или защиты правового требования; 6) необходима в целях охраны здоровья для: установления медицинского диагноза, для обеспечения ухода или лечения либо предоставления медицинских услуг, мониторинга соответствия установленным условиям предоставления таких услуг (в том числе условиям договоров о медицинском обслуживании населения и договоров о реимбурсации по программе медицинских гарантий), функционирования электронной системы здравоохранения при условии, что такие данные обрабатываются медицинским работником, специалистом по реабилитации или иным лицом учреждения здравоохранения, реабилитационного учреждения либо физическим лицом - предпринимателем, получившим лицензию на осуществление хозяйственной деятельности по медицинской практике, и её работниками, на которых возложены обязанности по обеспечению защиты персональных данных и на которых распространяется действие законодательства о врачебной тайне, работниками центрального органа исполнительной власти, реализующего государственную политику в сфере государственных финансовых гарантий медицинского обслуживания населения, работниками учреждения, осуществляющего государственный санитарно-эпидемиологический надзор и деятельность в области общественного здоровья, получившего лицензию на осуществление хозяйственной деятельности по медицинской практике, на которых возложены обязанности по обеспечению защиты персональных данных; {Абзац второй пункта 6 части второй статьи 7 в редакции Закона № 2347-IX от 01.07.2022} контроля качества предоставления медицинских услуг при условии, что такие данные обрабатываются работниками центрального органа исполнительной власти, реализующего государственную политику в сфере контроля качества предоставления медицинских услуг; {Абзац третий пункта 6 части второй статьи 7 вступает в силу с 1 января 2023 года} обмена информацией о финансировании медицинских услуг и услуг в сфере здравоохранения при условии, что такие данные обрабатываются работниками Фонда социального страхования Украины, Пенсионного фонда Украины, Фонда социальной защиты лиц с инвалидностью, центрального органа исполнительной власти, обеспечивающего формирование и реализующего государственную финансовую и бюджетную политику, на которых возложены обязанности по обеспечению защиты персональных данных. {Пункт 6 части второй статьи 7 в редакции Законов № 5491-VI от 20.11.2012, № 2168-VIII от 19.10.2017, № 1962-IX от 15.12.2021} 6-1) необходима в целях обеспечения ведения воинского учёта призывников, военнообязанных и резервистов (в объёмах данных, указанных в статье 7 Закона Украины "О Едином государственном реестре призывников, военнообязанных и резервистов"); {Часть вторая статьи 7 дополнена пунктом 6-1 в соответствии с Законом № 1357-IX от 30.03.2021} 7) касается приговоров суда, выполнения задач оперативно-розыскной или контрразведывательной деятельности, борьбы с терроризмом и осуществляется государственным органом в пределах его полномочий, определённых законом; {Пункт 7 части второй статьи 7 с изменениями, внесёнными в соответствии с Законом № 245-VII от 16.05.2013; в редакции Закона № 383-VII от 03.07.2013} 8) касается данных, которые были явно обнародованы субъектом персональных данных. {Пункт 8 части второй статьи 7 с изменениями, внесёнными в соответствии с Законом № 383-VII от 03.07.2013} Статья 8. Права субъекта персональных данных 1. Личные неимущественные права на персональные данные, которые имеет каждое физическое лицо, являются неотъемлемыми и нерушимыми. 2. Субъект персональных данных имеет право: 1) знать об источниках сбора, местонахождении своих персональных данных, цели их обработки, местонахождении или месте жительства (пребывания) владельца или распорядителя персональных данных либо дать соответствующее поручение относительно получения этой информации уполномоченным им лицам, кроме случаев, установленных законом; {Пункт 1 части второй статьи 8 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; в редакции Закона № 383-VII от 03.07.2013} 2) получать информацию об условиях предоставления доступа к персональным данным, в частности информацию о третьих лицах, которым передаются его персональные данные; {Пункт 2 части второй статьи 8 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 3) на доступ к своим персональным данным; {Пункт 3 части второй статьи 8 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 4) получать не позднее чем за тридцать календарных дней со дня поступления запроса, кроме случаев, предусмотренных законом, ответ о том, обрабатываются ли его персональные данные, а также получать содержание таких персональных данных; {Пункт 4 части второй статьи 8 в редакции Закона № 383-VII от 03.07.2013} 5) предъявлять мотивированное требование владельцу персональных данных с возражением против обработки своих персональных данных; {Пункт 5 части второй статьи 8 в редакции Закона № 5491-VI от 20.11.2012} 6) предъявлять мотивированное требование об изменении или уничтожении своих персональных данных любым владельцем и распорядителем персональных данных, если эти данные обрабатываются незаконно или являются недостоверными; {Пункт 6 части второй статьи 8 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 7) на защиту своих персональных данных от незаконной обработки и случайной потери, уничтожения, повреждения в связи с умышленным сокрытием, непредоставлением или несвоевременным их предоставлением, а также на защиту от предоставления сведений, являющихся недостоверными либо порочащими честь, достоинство и деловую репутацию физического лица; 8) обращаться с жалобами на обработку своих персональных данных к Уполномоченному или в суд; {Пункт 8 части второй статьи 8 в редакции Закона № 5491-VI от 20.11.2012; с изменениями, внесёнными в соответствии с Законом № 383-VII от 03.07.2013} 9) применять средства правовой защиты в случае нарушения законодательства о защите персональных данных; 10) вносить оговорки относительно ограничения права на обработку своих персональных данных при предоставлении согласия; {Часть вторая статьи 8 дополнена пунктом 10 в соответствии с Законом № 5491-VI от 20.11.2012} 11) отозвать согласие на обработку персональных данных; {Часть вторая статьи 8 дополнена пунктом 11 в соответствии с Законом № 5491-VI от 20.11.2012} 12) знать механизм автоматической обработки персональных данных; {Часть вторая статьи 8 дополнена пунктом 12 в соответствии с Законом № 5491-VI от 20.11.2012} 13) на защиту от автоматизированного решения, которое имеет для него правовые последствия. {Часть вторая статьи 8 дополнена пунктом 13 в соответствии с Законом № 5491-VI от 20.11.2012} {Часть третья статьи 8 исключена на основании Закона № 383-VII от 03.07.2013} Статья 9. Уведомление об обработке персональных данных 1. Владелец персональных данных уведомляет Уполномоченного об обработке персональных данных, которая представляет особый риск для прав и свобод субъектов персональных данных, в течение тридцати рабочих дней со дня начала такой обработки. Виды обработки персональных данных, которая представляет особый риск для прав и свобод субъектов персональных данных, и категории субъектов, на которых распространяется требование об уведомлении, определяются Уполномоченным. 2. Уведомление об обработке персональных данных подаётся по форме и в порядке, определённых Уполномоченным. 3. Владелец персональных данных обязан уведомлять Уполномоченного о каждом изменении сведений, подлежащих уведомлению, в течение десяти рабочих дней со дня наступления такого изменения. 4. Информация, сообщаемая в соответствии с настоящей статьёй, подлежит обнародованию на официальном веб-сайте Уполномоченного в порядке, определённом Уполномоченным. {Статья 9 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; в редакции Закона № 383-VII от 03.07.2013} Статья 10. Использование персональных данных 1. Использование персональных данных предусматривает любые действия владельца по обработке этих данных, действия по их защите, а также действия по предоставлению частичного или полного права обработки персональных данных иным субъектам отношений, связанных с персональными данными, осуществляемые с согласия субъекта персональных данных или в соответствии с законом. {Часть первая статьи 10 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 2. Использование персональных данных владельцем осуществляется в случае создания им условий для защиты этих данных. Владельцу запрещается разглашать сведения о субъектах персональных данных, доступ к персональным данным которых предоставляется иным субъектам отношений, связанных с такими данными. {Часть вторая статьи 10 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 3. Использование персональных данных работниками субъектов отношений, связанных с персональными данными, должно осуществляться лишь в соответствии с их профессиональными или служебными либо трудовыми обязанностями. Эти работники обязаны не допускать разглашения любым способом персональных данных, которые им были доверены или которые стали им известны в связи с исполнением профессиональных или служебных либо трудовых обязанностей, кроме случаев, предусмотренных законом. Такое обязательство действует после прекращения ими деятельности, связанной с персональными данными, кроме случаев, установленных законом. {Часть третья статьи 10 с изменениями, внесёнными в соответствии с Законом № 1170-VII от 27.03.2014} 4. Сведения о личной жизни физического лица не могут использоваться как фактор, подтверждающий либо опровергающий её деловые качества. 5. Если лицо, являющееся резидентом Дія Сіті в соответствии с Законом Украины "О стимулировании развития цифровой экономики в Украине", выступает субъектом отношений, связанных с персональными данными, использование таких персональных данных гиг-специалистами резидента Дія Сіті должно осуществляться лишь в соответствии с их обязанностями по гиг-контрактам. Эти гиг-специалисты обязаны не допускать разглашения любым способом персональных данных, которые им были доверены или которые стали им известны в связи с исполнением обязанностей по гиг-контракту, кроме случаев, предусмотренных законом. Такое обязательство действует после прекращения ими деятельности, связанной с персональными данными, кроме случаев, установленных законом. {Статья 10 дополнена частью пятой в соответствии с Законом № 1667-IX от 15.07.2021} Статья 11. Основания для обработки персональных данных 1. Основаниями для обработки персональных данных являются: 1) согласие субъекта персональных данных на обработку его персональных данных; 2) разрешение на обработку персональных данных, предоставленное владельцу персональных данных в соответствии с законом исключительно для осуществления его полномочий; 3) заключение и исполнение сделки, стороной которой является субъект персональных данных или которая заключена в пользу субъекта персональных данных либо для осуществления мер, предшествующих заключению сделки по требованию субъекта персональных данных; 4) защита жизненно важных интересов субъекта персональных данных; 5) необходимость исполнения обязанности владельца персональных данных, предусмотренной законом; {Часть первая статьи 11 дополнена новым пунктом в соответствии с Законом № 383-VII от 03.07.2013} 6) необходимость защиты законных интересов владельца персональных данных или третьего лица, которому передаются персональные данные, кроме случаев, когда потребности защиты основополагающих прав и свобод субъекта персональных данных в связи с обработкой его данных преобладают над такими интересами. {Пункт 6 части первой статьи 11 в редакции Закона № 383-VII от 03.07.2013} {Статья 11 в редакции Закона № 5491-VI от 20.11.2012} Статья 12. Сбор персональных данных 1. Сбор персональных данных является составной частью процесса их обработки, предусматривающей действия по подбору или упорядочиванию сведений о физическом лице. {Часть первая статьи 12 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 2. Субъект персональных данных уведомляется о владельце персональных данных, составе и содержании собранных персональных данных, своих правах, определённых настоящим Законом, цели сбора персональных данных и лицах, которым передаются его персональные данные: в момент сбора персональных данных, если персональные данные собираются у субъекта персональных данных; в иных случаях в течение тридцати рабочих дней со дня сбора персональных данных. {Часть вторая статьи 12 в редакции Законов № 5491-VI от 20.11.2012, № 383-VII от 03.07.2013} {Часть третья статьи 12 исключена на основании Закона № 5491-VI от 20.11.2012} {Часть четвёртая статьи 12 исключена на основании Закона № 5491-VI от 20.11.2012} Статья 13. Накопление и хранение персональных данных 1. Накопление персональных данных предусматривает действия по объединению и систематизации сведений о физическом лице или группе физических лиц либо внесению этих данных в базу персональных данных. 2. Хранение персональных данных предусматривает действия по обеспечению их целостности и соответствующего режима доступа к ним. Статья 14. Распространение персональных данных 1. Распространение персональных данных предусматривает действия по передаче сведений о физическом лице с согласия субъекта персональных данных. {Часть первая статьи 14 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 2. Распространение персональных данных без согласия субъекта персональных данных или уполномоченного им лица разрешается в случаях, определённых законом, и лишь (если это необходимо) в интересах национальной безопасности, экономического благосостояния, прав человека и для проведения Всеукраинской переписи населения. {Часть вторая статьи 14 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; в редакции Закона № 2438-IX от 19.07.2022 - относительно вступления в силу см. пункт 2} 3. Выполнение требований установленного режима защиты персональных данных обеспечивает сторона, распространяющая эти данные. 4. Сторона, которой передаются персональные данные, должна предварительно принять меры по обеспечению требований настоящего Закона. Статья 15. Удаление или уничтожение персональных данных {Название статьи 15 в редакции Закона № 5491-VI от 20.11.2012} 1. Персональные данные удаляются или уничтожаются в порядке, установленном в соответствии с требованиями закона. {Часть первая статьи 15 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 2. Персональные данные подлежат удалению или уничтожению в случае: {Абзац первый части второй статьи 15 с изменениями, внесёнными в соответствии с Законом № 383-VII от 03.07.2013} 1) окончания срока хранения данных, определённого согласием субъекта персональных данных на обработку этих данных или законом; 2) прекращения правоотношений между субъектом персональных данных и владельцем или распорядителем, если иное не предусмотрено законом; 3) издания соответствующего предписания Уполномоченного или определённых им должностных лиц секретариата Уполномоченного; {Подпункт 3 части второй статьи 15 в редакции Закона № 383-VII от 03.07.2013} 4) вступления в законную силу решения суда об удалении или уничтожении персональных данных. {Часть вторая статьи 15 дополнена подпунктом 4 в соответствии с Законом № 383-VII от 03.07.2013} 3. Персональные данные, собранные с нарушением требований настоящего Закона, подлежат удалению или уничтожению в установленном законодательством порядке. {Часть третья статьи 15 с изменениями, внесёнными в соответствии с Законом № 383-VII от 03.07.2013} 4. Персональные данные, собранные при выполнении задач оперативно-розыскной или контрразведывательной деятельности, борьбы с терроризмом, удаляются или уничтожаются в соответствии с требованиями закона. {Часть четвёртая статьи 15 с изменениями, внесёнными в соответствии с Законом № 383-VII от 03.07.2013} {Текст статьи 15 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} Статья 16. Порядок доступа к персональным данным 1. Порядок доступа к персональным данным третьих лиц определяется условиями согласия субъекта персональных данных на обработку этих данных, предоставленного владельцу персональных данных, или в соответствии с требованиями закона. Порядок доступа третьих лиц к персональным данным, находящимся во владении распорядителя публичной информации, определяется Законом Украины "О доступе к публичной информации", кроме данных, получаемых от других органов центральным органом исполнительной власти, обеспечивающим формирование и реализующим государственную финансовую и бюджетную политику, при осуществлении верификации и мониторинга государственных выплат. {Часть первая статьи 16 с изменениями, внесёнными в соответствии с Законами № 1170-VII от 27.03.2014, № 1774-VIII от 06.12.2016; в редакции Закона № 324-IX от 03.12.2019} 2. Доступ к персональным данным третьему лицу не предоставляется, если указанное лицо отказывается взять на себя обязательства по обеспечению выполнения требований настоящего Закона или не способно их обеспечить. 3. Субъект отношений, связанных с персональными данными, подаёт запрос о доступе (далее - запрос) к персональным данным владельцу персональных данных. 4. В запросе указываются: 1) фамилия, имя и отчество, место жительства (место пребывания) и реквизиты документа, удостоверяющего физическое лицо, подающее запрос (для физического лица - заявителя); 2) наименование, местонахождение юридического лица, подающего запрос, должность, фамилия, имя и отчество лица, заверяющего запрос; подтверждение того, что содержание запроса соответствует полномочиям юридического лица (для юридического лица - заявителя); 3) фамилия, имя и отчество, а также иные сведения, позволяющие идентифицировать физическое лицо, в отношении которого делается запрос; 4) сведения о базе персональных данных, в отношении которой подаётся запрос, или сведения о владельце или распорядителе персональных данных; {Пункт 4 части четвёртой статьи 16 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 5) перечень запрашиваемых персональных данных; 6) цель и/или правовые основания для запроса. {Пункт 6 части четвёртой статьи 16 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} 5. Срок изучения запроса на предмет его удовлетворения не может превышать десяти рабочих дней со дня его поступления. В течение этого срока владелец персональных данных доводит до сведения лица, подающего запрос, что запрос будет удовлетворён либо соответствующие персональные данные не подлежат предоставлению, с указанием основания, определённого в соответствующем нормативно-правовом акте. Запрос удовлетворяется в течение тридцати календарных дней со дня его поступления, если иное не предусмотрено законом. 6. Субъект персональных данных имеет право на получение любых сведений о себе у любого субъекта отношений, связанных с персональными данными, при условии предоставления информации, определённой в пункте 1 части четвёртой настоящей статьи, кроме случаев, установленных законом. {Часть шестая статьи 16 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} Статья 17. Отсрочка или отказ в доступе к персональным данным 1. Отсрочка доступа субъекта персональных данных к своим персональным данным не допускается. 2. Отсрочка доступа к персональным данным третьих лиц допускается в случае, если необходимые данные не могут быть предоставлены в течение тридцати календарных дней со дня поступления запроса. При этом общий срок разрешения вопросов, поставленных в запросе, не может превышать сорока пяти календарных дней. Уведомление об отсрочке доводится до сведения третьего лица, подавшего запрос, в письменной форме с разъяснением порядка обжалования такого решения. В уведомлении об отсрочке указываются: 1) фамилия, имя и отчество должностного лица; 2) дата отправления уведомления; 3) причина отсрочки; 4) срок, в течение которого будет удовлетворён запрос. 3. Отказ в доступе к персональным данным допускается, если доступ к ним запрещён в соответствии с законом. В уведомлении об отказе указываются: 1) фамилия, имя, отчество должностного лица, отказывающего в доступе; 2) дата отправления уведомления; 3) причина отказа. Статья 18. Обжалование решения об отсрочке или отказе в доступе к персональным данным 1. Решение об отсрочке или отказе в доступе к персональным данным может быть обжаловано Уполномоченному Верховной Рады Украины по правам человека или в суд. {Часть первая статьи 18 в редакции Закона № 5491-VI от 20.11.2012; с изменениями, внесёнными в соответствии с Законом № 383-VII от 03.07.2013} 2. Если запрос сделан субъектом персональных данных относительно данных о себе, обязанность доказывания в суде законности отказа в доступе возлагается на владельца персональных данных, которому подан запрос. {Часть вторая статьи 18 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012} Статья 19. Оплата доступа к персональным данным 1. Доступ субъекта персональных данных к данным о себе осуществляется безвозмездно. 2. Доступ иных субъектов отношений, связанных с персональными данными, к персональным данным определённого физического лица или группы физических лиц может быть платным при соблюдении условий, определённых настоящим Законом. Оплате подлежит работа, связанная с обработкой персональных данных, а также работа по консультированию и организации доступа к соответствующим данным. 3. Размер платы за услуги по предоставлению доступа к персональным данным органами государственной власти определяется Кабинетом Министров Украины. 4. Органы государственной власти и органы местного самоуправления имеют право на беспрепятственный и безвозмездный доступ к персональным данным в соответствии с их полномочиями. Статья 20. Изменения и дополнения в персональные данные 1. Владельцы или распорядители персональных данных обязаны вносить изменения в персональные данные на основании мотивированного письменного требования субъекта персональных данных. {Часть первая статьи 20 с изменениями, внесёнными в соответствии с Законом № 383-VII от 03.07.2013} 2. Владельцы или распорядители персональных данных обязаны вносить изменения в персональные данные также по обращению иных субъектов отношений, связанных с персональными данными, если на это есть согласие субъекта персональных данных либо соответствующее изменение осуществляется в соответствии с предписанием Уполномоченного или определённых им должностных лиц секретариата Уполномоченного либо по решению суда, вступившему в законную силу. {Часть вторая статьи 20 в редакции Закона № 383-VII от 03.07.2013} 3. Изменение персональных данных, не соответствующих действительности, проводится незамедлительно с момента установления несоответствия. Статья 21. Уведомление о действиях с персональными данными 1. О передаче персональных данных третьему лицу владелец персональных данных в течение десяти рабочих дней уведомляет субъекта персональных данных, если этого требуют условия его согласия или иное не предусмотрено законом. 2. Уведомления, указанные в части первой настоящей статьи, не осуществляются в случае: 1) передачи персональных данных по запросам при выполнении задач оперативно-розыскной или контрразведывательной деятельности, борьбы с терроризмом; 2) выполнения органами государственной власти и органами местного самоуправления своих полномочий, предусмотренных законом; 3) осуществления обработки персональных данных в исторических, статистических или научных целях; 4) уведомления субъекта персональных данных в соответствии с требованиями части второй статьи 12 настоящего Закона. {Часть вторая статьи 21 дополнена пунктом 4 в соответствии с Законом № 5491-VI от 20.11.2012} 3. Об изменении, удалении или уничтожении персональных данных либо ограничении доступа к ним владелец персональных данных в течение десяти рабочих дней уведомляет субъекта персональных данных, а также субъектов отношений, связанных с персональными данными, которым эти данные были переданы. {Часть третья статьи 21 с изменениями, внесёнными в соответствии с Законом № 383-VII от 03.07.2013} Статья 22. Контроль за соблюдением законодательства о защите персональных данных 1. Контроль за соблюдением законодательства о защите персональных данных в пределах полномочий, предусмотренных законом, осуществляют следующие органы: 1) Уполномоченный; 2) суды. {Статья 22 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; текст статьи 22 в редакции Закона № 383-VII от 03.07.2013} Статья 23. Полномочия Уполномоченного Верховной Рады Украины по правам человека в сфере защиты персональных данных 1. Уполномоченный имеет следующие полномочия в сфере защиты персональных данных: 1) получать предложения, жалобы и иные обращения физических и юридических лиц по вопросам защиты персональных данных и принимать решения по результатам их рассмотрения; 2) проводить на основании обращений или по собственной инициативе выездные и безвыездные, плановые, внеплановые проверки владельцев или распорядителей персональных данных в порядке, определённом Уполномоченным, с обеспечением в соответствии с законом доступа в помещения, где осуществляется обработка персональных данных; 3) получать по своему требованию и иметь доступ к любой информации (документам) владельцев или распорядителей персональных данных, необходимой для осуществления контроля за обеспечением защиты персональных данных, в том числе доступ к персональным данным, соответствующим базам данных или картотекам, информации с ограниченным доступом; 4) утверждать нормативно-правовые акты в сфере защиты персональных данных в случаях, предусмотренных настоящим Законом; 5) по итогам проверки, рассмотрения обращения выдавать обязательные для выполнения требования (предписания) о предупреждении или устранении нарушений законодательства о защите персональных данных, в том числе об изменении, удалении или уничтожении персональных данных, обеспечении доступа к ним, предоставлении или запрете их предоставления третьему лицу, приостановлении или прекращении обработки персональных данных; 6) предоставлять рекомендации по практическому применению законодательства о защите персональных данных, разъяснять права и обязанности соответствующих лиц по обращению субъектов персональных данных, владельцев или распорядителей персональных данных, структурных подразделений или ответственных лиц по организации работы по защите персональных данных, иных лиц; 7) взаимодействовать со структурными подразделениями или ответственными лицами, которые в соответствии с настоящим Законом организуют работу, связанную с защитой персональных данных при их обработке; обнародовать информацию о таких структурных подразделениях и ответственных лицах; 8) обращаться с предложениями в Верховную Раду Украины, к Президенту Украины, в Кабинет Министров Украины, другие государственные органы, органы местного самоуправления, к их должностным лицам относительно принятия или внесения изменений в нормативно-правовые акты по вопросам защиты персональных данных; 9) предоставлять по обращению профессиональных, самоуправляющихся и иных общественных объединений или юридических лиц заключения относительно проектов кодексов поведения в сфере защиты персональных данных и изменений к ним; 10) составлять протоколы о привлечении к административной ответственности и направлять их в суд в случаях, предусмотренных законом; 11) информировать о законодательстве по вопросам защиты персональных данных, проблемах его практического применения, правах и обязанностях субъектов отношений, связанных с персональными данными; 12) осуществлять мониторинг новых практик, тенденций и технологий защиты персональных данных; 13) организовывать и обеспечивать взаимодействие с иностранными субъектами отношений, связанных с персональными данными, в том числе в связи с выполнением Конвенции о защите физических лиц в связи с автоматизированной обработкой персональных данных и Дополнительного протокола к ней, других международных договоров Украины в сфере защиты персональных данных; 14) принимать участие в работе международных организаций по вопросам защиты персональных данных. 2. Уполномоченный Верховной Рады Украины по правам человека включает в свой ежегодный доклад о состоянии соблюдения и защиты прав и свобод человека и гражданина в Украине отчёт о состоянии соблюдения законодательства в сфере защиты персональных данных. {Статья 23 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; в редакции Закона № 383-VII от 03.07.2013} Статья 24. Обеспечение защиты персональных данных 1. Владельцы, распорядители персональных данных и третьи лица обязаны обеспечить защиту этих данных от случайной потери или уничтожения, от незаконной обработки, в том числе незаконного уничтожения или доступа к персональным данным. 2. В органах государственной власти, органах местного самоуправления, а также у владельцев или распорядителей персональных данных, осуществляющих обработку персональных данных, подлежащую уведомлению в соответствии с настоящим Законом, создаётся (определяется) структурное подразделение или ответственное лицо, организующее работу, связанную с защитой персональных данных при их обработке. Информация об указанном структурном подразделении или ответственном лице сообщается Уполномоченному Верховной Рады Украины по правам человека, который обеспечивает её обнародование. 3. Структурное подразделение или ответственное лицо, организующее работу, связанную с защитой персональных данных при их обработке: 1) информирует и консультирует владельца или распорядителя персональных данных по вопросам соблюдения законодательства о защите персональных данных; 2) взаимодействует с Уполномоченным Верховной Рады Украины по правам человека и определёнными им должностными лицами его секретариата по вопросам предупреждения и устранения нарушений законодательства о защите персональных данных. 4. Физические лица - предприниматели, в том числе врачи, имеющие соответствующую лицензию, адвокаты, нотариусы лично обеспечивают защиту персональных данных, которыми они владеют, в соответствии с требованиями закона. {Статья 24 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; в редакции Закона № 383-VII от 03.07.2013} Статья 25. Ограничение действия настоящего Закона 1. Ограничение действия статей 6, 7 и 8 настоящего Закона может осуществляться в случаях, предусмотренных законом, насколько это необходимо в демократическом обществе в интересах национальной безопасности, экономического благосостояния или защиты прав и свобод субъектов персональных данных либо иных лиц. 2. Разрешается обработка персональных данных без применения положений настоящего Закона, если такая обработка осуществляется: 1) физическим лицом исключительно для личных или бытовых нужд; 2) исключительно для журналистских и творческих целей, при условии обеспечения баланса между правом на уважение к личной жизни и правом на свободу выражения мнений. 3. Действие настоящего Закона не распространяется на отношения по получению архивной информации репрессивных органов. {Статья 25 дополнена частью третьей в соответствии с Законом № 316-VIII от 09.04.2015} {Статья 25 в редакции Закона № 383-VII от 03.07.2013} Статья 26. Финансирование работ по защите персональных данных Финансирование работ и мероприятий по обеспечению защиты персональных данных осуществляется за счёт средств Государственного бюджета Украины и местных бюджетов, средств субъектов отношений, связанных с персональными данными. Статья 27. Применение положений настоящего Закона 1. Положения о защите персональных данных, изложенные в настоящем Законе, могут дополняться или уточняться другими законами, при условии, что они устанавливают требования по защите персональных данных, не противоречащие требованиям настоящего Закона. 2. Профессиональные, самоуправляющиеся и иные общественные объединения или юридические лица могут разрабатывать кодексы поведения с целью обеспечения эффективной защиты прав субъектов персональных данных, соблюдения законодательства о защите персональных данных с учётом специфики обработки персональных данных в различных сферах. При разработке такого кодекса поведения или внесении изменений в него соответствующее объединение или юридическое лицо может обратиться за заключением к Уполномоченному. {Часть вторая статьи 27 с изменениями, внесёнными в соответствии с Законом № 5491-VI от 20.11.2012; в редакции Закона № 383-VII от 03.07.2013} Статья 28. Ответственность за нарушение законодательства о защите персональных данных Нарушение законодательства о защите персональных данных влечёт за собой ответственность, установленную законом. Статья 29. Международное сотрудничество и передача персональных данных {Название статьи 29 в редакции Закона № 5491-VI от 20.11.2012} 1. Сотрудничество с иностранными субъектами отношений, связанных с персональными данными, регулируется Конституцией Украины, настоящим Законом, иными нормативно-правовыми актами и международными договорами Украины. 2. Если международным договором Украины, согласие на обязательность которого предоставлено Верховной Радой Украины, установлены иные правила, чем те, которые предусмотрены законодательством Украины, то применяются правила международного договора Украины. 3. Передача персональных данных иностранным субъектам отношений, связанных с персональными данными, осуществляется только при условии обеспечения соответствующим государством надлежащей защиты персональных данных в случаях, установленных законом или международным договором Украины. Государства - участники Европейского экономического пространства, а также государства, подписавшие Конвенцию Совета Европы о защите физических лиц в связи с автоматизированной обработкой персональных данных, признаются обеспечивающими надлежащий уровень защиты персональных данных. Кабинет Министров Украины определяет перечень государств, обеспечивающих надлежащую защиту персональных данных. Персональные данные не могут распространяться с иной целью, чем та, с которой они были собраны. {Часть третья статьи 29 в редакции Закона № 5491-VI от 20.11.2012} 4. Персональные данные могут передаваться иностранным субъектам отношений, связанных с персональными данными, также в случае: 1) предоставления субъектом персональных данных однозначного согласия на такую передачу; 2) необходимости заключения или выполнения сделки между владельцем персональных данных и третьим лицом - субъектом персональных данных в пользу субъекта персональных данных; 3) необходимости защиты жизненно важных интересов субъектов персональных данных; 4) необходимости защиты общественного интереса, установления, выполнения и обеспечения правового требования; 5) предоставления владельцем персональных данных соответствующих гарантий невмешательства в личную и семейную жизнь субъекта персональных данных. {Статья 29 дополнена частью четвёртой в соответствии с Законом № 5491-VI от 20.11.2012} Статья 30. Заключительные положения 1. Настоящий Закон вступает в силу с 1 января 2011 года. 2. Установить, что в период действия военного положения в Украине и в течение шести месяцев после его прекращения или отмены, в качестве исключения из положений абзацев первого - третьего части третьей статьи 29 настоящего Закона, передача персональных данных иностранным субъектам отношений, связанных с персональными данными, необходимых для оказания медицинской помощи и/или реабилитационной помощи с применением телемедицины, может осуществляться с обеспечением защиты персональных данных в соответствии с законодательством той страны, в которой медицинскому работнику, специалисту по реабилитации или учреждению здравоохранения, оказывающему медицинскую и/или реабилитационную помощь, предоставлено право на осуществление медицинской практики (кроме граждан Российской Федерации и Республики Беларусь). {Статья 30 дополнена новым пунктом в соответствии с Законом № 2494-IX от 29.07.2022} 3. Кабинету Министров Украины в течение шести месяцев со дня вступления в силу настоящего Закона: обеспечить принятие нормативно-правовых актов, предусмотренных настоящим Законом; обеспечить приведение своих нормативно-правовых актов в соответствие с настоящим Законом. Президент Украины В.ЯНУКОВИЧ г. Киев 1 июня 2010 года № 2297-VI