Закон України «Про захист персональних даних» (далі – Закон) регулює правові відносини, пов’язані із захистом і обробкою персональних даних, і спрямований на захист основоположних прав і свобод людини і громадянина, зокрема права на невтручання в особисте життя, у зв’язку з обробкою персональних даних.
Відповідно до статті 2 Закону, персональні дані – це відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована; обробка персональних даних – це будь-яка дія або сукупність дій, таких як збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання і поширення (розповсюдження, реалізація, передача), знеособлення, знищення персональних даних, у тому числі з використанням інформаційних (автоматизованих) систем.
Обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб’єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством. Не допускається обробка даних про фізичну особу, які є конфіденційною інформацією, без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.
Водночас що стосується обробки персональних даних приватними організаціями, які здійснюють гуманітарну, благодійну, волонтерську та іншу допомогу населенню, то таким організаціям цілком прийнятно, за відсутності інших правових підстав, здійснювати обробку персональних даних на підставі пункту 1 частини першої статті 11 Закону, а саме згоди суб’єкта персональних даних на обробку його персональних даних.
Разом із тим, необхідно врахувати, що має бути визначена легітимна мета для обробки персональних даних, склад та зміст персональних даних мають бути відповідними, адекватними та ненадмірними стосовно визначеної мети їх обробки, а також згода має бути добровільною та поінформованою.
Так, згода суб’єкта персональних даних – це добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, висловлене у письмовій формі або у формі, що дає змогу зробити висновок про надання згоди. У сфері електронної комерції згода суб’єкта персональних даних може бути надана під час реєстрації в інформаційно-комунікаційній системі суб’єкта електронної комерції шляхом проставлення відмітки про надання дозволу на обробку своїх персональних даних відповідно до сформульованої мети їх обробки, за умови, що така система не створює можливостей для обробки персональних даних до моменту проставлення відмітки.
Враховуючи викладене, згода на обробку персональних даних має відповідати таким вимогам:
добровільність – означає відсутність прямого або опосередкованого примусу при її наданні;
поінформованість – означає, що перед наданням згоди суб’єкт повинен отримати достовірну інформацію про те, ким, з якою метою будуть оброблятися його персональні дані, кому будуть передаватися, які саме дані, а також про права, визначені Законом;
належна форма надання згоди – означає, що умови згоди на обробку персональних даних можуть бути у формі єдиного письмового документа, викладеного доступною для суб’єкта персональних даних мовою, що підписується ним особисто або його законним представником або у електронній формі шляхом проставлення відмітки про надання згоди. Водночас надана згода не повинна викликати сумнівів в її однозначності і володілець повинен мати змогу підтвердити її наявність упродовж усього часу здійснення обробки персональних даних.
Разом з тим необхідно враховувати пропорційність обсягу персональних даних суб’єкта. Оброблятися повинні лише ті дані, обробка яких необхідна для досягнення мети. Все залежить від критеріїв, за якими відбувається надання матеріальної чи іншої благодійної/гуманітарної допомоги (стану здоров’я, матеріального забезпечення, сімейного статусу, кількості дітей тощо).
Отже, якщо для надання адресної благодійної допомоги необхідно здійснювати обробку персональних даних, то варто відповідально підійти до питання оформлення правовідносин та забезпечити захист персональних даних.
Перед початком збору персональних даних необхідно надати особі вичерпну інформацію про те, хто буде обробляти її персональні дані (зазначити відомості про володільця, розпорядника персональних даних, третіх осіб), повідомити про правові підстави, мету обробки, склад і зміст персональних даних, права особи, які визначені статтею 8 Закону.
Також необхідно визначити порядок обробки персональних даних, враховуючи специфіку обробки персональних даних у різних сферах, відповідно до вимог Закону та Типового порядку обробки персональних даних, затвердженого наказом Уповноваженого Верховної Ради України з прав людини від 08.01.2014 № 1/02-14 «Про затвердження документів у сфері захисту персональних даних.
