Стаття 22. Контроль за додержанням законодавства про захист персональних даних
1. Контроль за додержанням законодавства про захист персональних даних у межах повноважень, передбачених законом, здійснюють такі органи:
1) Уповноважений;
2) суди.
( Стаття 22 із змінами, внесеними згідно із Законом № 5491-VI від 20.11.2012; текст статті 22 в редакції Закону № 383-VII від 03.07.2013 )
Стаття 23. Повноваження Уповноваженого Верховної Ради України з прав людини у сфері захисту персональних даних
1. Уповноважений має такі повноваження у сфері захисту персональних даних:
1) отримувати пропозиції, скарги та інші звернення фізичних і юридичних осіб з питань захисту персональних даних та приймати рішення за результатами їх розгляду;
2) проводити на підставі звернень або за власною ініціативою виїзні та безвиїзні, планові, позапланові перевірки володільців або розпорядників персональних даних в порядку, визначеному Уповноваженим, із забезпеченням відповідно до закону доступу до приміщень, де здійснюється обробка персональних даних;
3) отримувати на свою вимогу та мати доступ до будь-якої інформації (документів) володільців або розпорядників персональних даних, які необхідні для здійснення контролю за забезпеченням захисту персональних даних, у тому числі доступ до персональних даних, відповідних баз даних чи картотек, інформації з обмеженим доступом;
4) затверджувати нормативно-правові акти у сфері захисту персональних даних у випадках, передбачених цим Законом;
5) за підсумками перевірки, розгляду звернення видавати обов’язкові для виконання вимоги (приписи) про запобігання або усунення порушень законодавства про захист персональних даних, у тому числі щодо зміни, видалення або знищення персональних даних, забезпечення доступу до них, надання чи заборони їх надання третій особі, зупинення або припинення обробки персональних даних;
6) надавати рекомендації щодо практичного застосування законодавства про захист персональних даних, роз’яснювати права і обов’язки відповідних осіб за зверненням суб’єктів персональних даних, володільців або розпорядників персональних даних, структурних підрозділів або відповідальних осіб з організації роботи із захисту персональних даних, інших осіб;
7) взаємодіяти із структурними підрозділами або відповідальними особами, які відповідно до цього Закону організовують роботу, пов’язану із захистом персональних даних при їх обробці; оприлюднювати інформацію про такі структурні підрозділи та відповідальних осіб;
8) звертатися з пропозиціями до Верховної Ради України, Президента України, Кабінету Міністрів України, інших державних органів, органів місцевого самоврядування, їх посадових осіб щодо прийняття або внесення змін до нормативно-правових актів з питань захисту персональних даних;
9) надавати за зверненням професійних, самоврядних та інших громадських об’єднань чи юридичних осіб висновки щодо проектів кодексів поведінки у сфері захисту персональних даних та змін до них;
10) складати протоколи про притягнення до адміністративної відповідальності та направляти їх до суду у випадках, передбачених законом;
11) інформувати про законодавство з питань захисту персональних даних, проблеми його практичного застосування, права і обов’язки суб’єктів відносин, пов’язаних із персональними даними;
12) здійснювати моніторинг нових практик, тенденцій та технологій захисту персональних даних;
13) організовувати та забезпечувати взаємодію з іноземними суб’єктами відносин, пов’язаних із персональними даними, у тому числі у зв’язку з виконанням Конвенції про захист осіб у зв’язку з автоматизованою обробкою персональних даних та Додаткового протоколу до неї, інших міжнародних договорів України у сфері захисту персональних даних;
14) брати участь у роботі міжнародних організацій з питань захисту персональних даних.
2. Уповноважений Верховної Ради України з прав людини включає до своєї щорічної доповіді про стан додержання та захисту прав і свобод людини і громадянина в Україні звіт про стан додержання законодавства у сфері захисту персональних даних.
( Стаття 23 із змінами, внесеними згідно із Законом № 5491-VI від 20.11.2012; в редакції Закону № 383-VII від 03.07.2013 )
Стаття 24. Забезпечення захисту персональних даних
1. Володільці, розпорядники персональних даних та треті особи зобов’язані забезпечити захист цих даних від випадкових втрати або знищення, від незаконної обробки, у тому числі незаконного знищення чи доступу до персональних даних.
2. В органах державної влади, органах місцевого самоврядування, а також у володільцях чи розпорядниках персональних даних, що здійснюють обробку персональних даних, яка підлягає повідомленню відповідно до цього Закону, створюється (визначається) структурний підрозділ або відповідальна особа, що організовує роботу, пов’язану із захистом персональних даних при їх обробці.
Інформація про зазначений структурний підрозділ або відповідальну особу повідомляється Уповноваженому Верховної Ради України з прав людини, який забезпечує її оприлюднення.
3. Структурний підрозділ або відповідальна особа, що організовує роботу, пов’язану із захистом персональних даних при їх обробці:
1) інформує та консультує володільця або розпорядника персональних даних з питань додержання законодавства про захист персональних даних;
2) взаємодіє з Уповноваженим Верховної Ради України з прав людини та визначеними ним посадовими особами його секретаріату з питань запобігання та усунення порушень законодавства про захист персональних даних.
4. Фізичні особи - підприємці, у тому числі лікарі, які мають відповідну ліцензію, адвокати, нотаріуси особисто забезпечують захист персональних даних, якими вони володіють, згідно з вимогами закону.
( Стаття 24 із змінами, внесеними згідно із Законом № 5491-VI від 20.11.2012; в редакції Закону № 383-VII від 03.07.2013 )
Стаття 25. Обмеження дії цього Закону
1. Обмеження дії статей 6, 7 і 8 цього Закону може здійснюватися у випадках, передбачених законом, наскільки це необхідно у демократичному суспільстві в інтересах національної безпеки, економічного добробуту або захисту прав і свобод суб’єктів персональних даних чи інших осіб.
2. Дозволяється обробка персональних даних без застосування положень цього Закону, якщо така обробка здійснюється:
1) фізичною особою виключно для особистих чи побутових потреб;
2) виключно для журналістських та творчих цілей, за умови забезпечення балансу між правом на повагу до особистого життя та правом на свободу вираження поглядів.
3. Дія цього Закону не поширюється на відносини щодо отримання архівної інформації репресивних органів.
( Статтю 25 доповнено частиною третьою згідно із Законом № 316-VIII від 09.04.2015 )( Стаття 25 в редакції Закону № 383-VII від 03.07.2013 )
Стаття 26. Фінансування робіт із захисту персональних даних
Фінансування робіт та заходів щодо забезпечення захисту персональних даних здійснюється за рахунок коштів Державного бюджету України та місцевих бюджетів, коштів суб'єктів відносин, пов'язаних із персональними даними.
Стаття 27. Застосування положень цього Закону
1. Положення щодо захисту персональних даних, викладені в цьому Законі, можуть доповнюватися чи уточнюватися іншими законами, за умови, що вони встановлюють вимоги щодо захисту персональних даних, що не суперечать вимогам цього Закону.
2. Професійні, самоврядні та інші громадські об’єднання чи юридичні особи можуть розробляти кодекси поведінки з метою забезпечення ефективного захисту прав суб’єктів персональних даних, додержання законодавства про захист персональних даних з урахуванням специфіки обробки персональних даних у різних сферах. При розробленні такого кодексу поведінки або внесенні змін до нього відповідне об’єднання чи юридична особа може звернутися за висновком до Уповноваженого.
( Частина друга статті 27 із змінами, внесеними згідно із Законом № 5491-VI від 20.11.2012; в редакції Закону № 383-VII від 03.07.2013 )
Стаття 28. Відповідальність за порушення законодавства про захист персональних даних
Порушення законодавства про захист персональних даних тягне за собою відповідальність, встановлену законом.
Стаття 29. Міжнародне співробітництво та передача персональних даних
( Назва статті 29 в редакції Закону № 5491-VI від 20.11.2012 )
1. Співробітництво з іноземними суб'єктами відносин, пов'язаних із персональними даними, регулюється Конституцією України, цим Законом, іншими нормативно-правовими актами та міжнародними договорами України.
2. Якщо міжнародним договором України, згода на обов'язковість якого надана Верховною Радою України, встановлено інші правила, ніж ті, що передбачені законодавством України, то застосовуються правила міжнародного договору України.
3. Передача персональних даних іноземним суб’єктам відносин, пов’язаних із персональними даними, здійснюється лише за умови забезпечення відповідною державою належного захисту персональних даних у випадках, встановлених законом або міжнародним договором України.
Держави - учасниці Європейського економічного простору, а також держави, які підписали Конвенцію Ради Європи про захист осіб у зв’язку з автоматизованою обробкою персональних даних, визнаються такими, що забезпечують належний рівень захисту персональних даних.
Держави, регулятори ринків капіталу яких є підписантами Багатостороннього меморандуму про взаєморозуміння щодо консультування та співробітництва і обміну інформацією Міжнародної організації комісій з цінних паперів (International Organization of Securities Commissions - IOSCO), визнаються такими, що забезпечують належний рівень захисту персональних даних.
( Частину третю статті 29 доповнено новим абзацом згідно із Законом № 3585-IX від 22.02.2024 )
Кабінет Міністрів України визначає перелік держав, які забезпечують належний захист персональних даних.
Персональні дані не можуть поширюватися з іншою метою, ніж та, з якою вони були зібрані.
( Частина третя статті 29 в редакції Закону № 5491-VI від 20.11.2012 )
4. Персональні дані можуть передаватися іноземним суб’єктам відносин, пов’язаних з персональними даними, також у разі:
1) надання суб’єктом персональних даних однозначної згоди на таку передачу;
2) необхідності укладення чи виконання правочину між володільцем персональних даних та третьою особою - суб’єктом персональних даних на користь суб’єкта персональних даних;
3) необхідності захисту життєво важливих інтересів суб’єктів персональних даних;
4) необхідності захисту суспільного інтересу, встановлення, виконання та забезпечення правової вимоги;
5) надання володільцем персональних даних відповідних гарантій щодо невтручання в особисте і сімейне життя суб’єкта персональних даних.
( Статтю 29 доповнено частиною четвертою згідно із Законом № 5491-VI від 20.11.2012 )
Стаття 30. Прикінцеві положення
1. Цей Закон набирає чинності з 1 січня 2011 року.
2. Установити, що в період дії воєнного стану в Україні та протягом шести місяців після його припинення чи скасування, як виняток з положень абзаців першого - третього частини третьої статті 29 цього Закону, передача персональних даних іноземним суб’єктам відносин, пов’язаних із персональними даними, що необхідні для надання медичної допомоги та/або реабілітаційної допомоги із застосуванням телемедицини, може здійснюватися із забезпеченням захисту персональних даних відповідно до законодавства тієї країни, в якій медичному працівнику, фахівцю з реабілітації чи закладу охорони здоров’я, що надає медичну та/або реабілітаційну допомогу, надано право на провадження медичної практики (крім громадян Російської Федерації та Республіки Білорусь).
( Статтю 30 доповнено новим пунктом згідно із Законом № 2494-IX від 29.07.2022 )
3. Кабінету Міністрів України протягом шести місяців з дня набрання чинності цим Законом:
забезпечити прийняття нормативно-правових актів, передбачених цим Законом;
забезпечити приведення своїх нормативно-правових актів у відповідність із цим Законом.
| Президент України | В.ЯНУКОВИЧ |
| м. Київ 1 червня 2010 року № 2297-VI | |