НАЦІОНАЛЬНЕ АГЕНТСТВО УКРАЇНИ З ПИТАНЬ ВИЯВЛЕННЯ, РОЗШУКУ ТА УПРАВЛІННЯ АКТИВАМИ, ОДЕРЖАНИМИ ВІД КОРУПЦІЙНИХ ТА ІНШИХ ЗЛОЧИНІВ
НАКАЗ
15.12.2022 № 265
Зареєстровано в Міністерстві
юстиції України
24 січня 2023 р.
за № 152/39208
Про затвердження Порядку обробки персональних даних в АРМА
Відповідно до
статті 6 Закону України "Про захист персональних даних", пункту 6 частини першої
статті 10 Закону України "Про Національне агентство України з питань виявлення, розшуку та управління активами, одержаними від корупційних та інших злочинів", пункту 1.2 розділу 1 Типового порядку обробки персональних даних, затвердженого наказом Уповноваженого Верховної Ради України з прав людини від 08 січня 2014 року
№ 1/02-14, з метою забезпечення дотримання вимог до обробки та захисту персональних даних в АРМА НАКАЗУЮ:
1. Затвердити Порядок обробки персональних даних в АРМА, що додається.
2. Управлінню інформаційних технологій в установленому законодавством порядку забезпечити подання цього наказу на державну реєстрацію до Міністерства юстиції України.
3. Цей наказ набирає чинності з дня його офіційного опублікування.
4. Контроль за виконанням цього наказу залишаю за собою.
Т.в.о. Голови | Д. Жоравович |
ПОГОДЖЕНО: Заступник Міністра цифрової трансформації України Уповноважений Верховної Ради України з прав людини Голова Державної служби спеціального зв’язку та захисту інформації України Заступник Голови Громадської ради при Національному агентстві України з питань виявлення, розшуку та управління активами, одержаними від корупційних та інших злочинів | О. Борняков Д. Лубінець Ю. Щиголь І. Чобітько |
ЗАТВЕРДЖЕНО
Наказ Національного агентства
України з питань виявлення,
розшуку та управління активами,
одержаними від корупційних
та інших злочинів
15 грудня 2022 року № 265
Зареєстровано в Міністерстві
юстиції України
24 січня 2023 р.
за № 152/39208
ПОРЯДОК
обробки персональних даних в АРМА
І. Загальні положення
1. Цей Порядок встановлює загальні вимоги до організаційних і технічних заходів обробки та захисту персональних даних, володільцем яких є АРМА, під час їх обробки в інформаційно-комунікаційних системах АРМА та на паперових носіях.
3. До персональних даних належать будь-які відомості чи сукупність відомостей про особу, за якими вона ідентифікується чи може бути конкретно ідентифікованою.
4. Персональні дані, що обробляються, є інформацією з обмеженим доступом, крім випадків, передбачених
статтею 5 Закону України "Про захист персональних даних".
5. Персональні дані в АРМА обробляються автоматизовано в електронному вигляді за допомогою програмних засобів та у паперовому вигляді (зберігання звернень, запитів на доступ до публічної інформації, які надійшли в паперовому вигляді; документів, що містять персональні дані працівників АРМА або кандидатів на зайняття вакантних посад; осіб, на активи яких може бути накладено або накладено арешт у кримінальному провадженні чи у справі про визнання необґрунтованими активів та їх стягнення в дохід держави, або осіб, активи яких конфісковано за рішенням суду у кримінальному провадженні чи стягнуто за рішенням суду в дохід держави внаслідок визнання їх необґрунтованими (далі - персональні дані, які стали відомі АРМА при реалізації своїх повноважень), осіб, відомості про яких підлягають внесенню до Єдиного державного реєстру активів, на які накладено арешт у кримінальному провадженні, а також осіб, які є суб’єктами оціночної діяльності, що здійснюють надання послуг з проведення оцінки активів (майна) і забезпечення рецензування звіту про оцінку майна (акта оцінки майна) (далі - оцінювачі), осіб, які здійснюють управління активами (далі - управителі), та потенційних управителів).
6. Володільцем персональних даних є АРМА.
7. Організацію роботи, пов’язаної із захистом персональних даних кожної категорії суб’єктів персональних даних, обробку яких здійснює АРМА, забезпечують відповідальні особи з питань захисту персональних даних (далі - відповідальні особи), які визначаються наказом АРМА.
8. Обробка персональних даних, щодо яких встановлено особливі вимоги та/або яка становить особливий ризик для прав і свобод суб’єктів персональних даних, здійснюється відповідно до
статей 7,
9 Закону України "Про захист персональних даних".
9. Цей Порядок є обов’язковим до виконання для працівників АРМА, яким надано доступ до інформації, що містить персональні дані, у ме-жах виконання ними своїх повноважень.
II. Мета та підстави обробки персональних даних
1. Обробка персональних даних, володільцем яких є АРМА, здійснюється з метою:
забезпечення проходження державної служби та трудових відносин, управління персоналом, ведення військового і податкового обліків;
ведення діловодства з питань управління персоналом, адміністративно-правових відносин та відносин з питань бухгалтерського обліку та/або підготовки відповідно до вимог законодавства статистичної, управлінської, іншої інформації з питань, що належать до компетенції АРМА;
забезпечення реалізації вимог трудового законодавства щодо виплати заробітної плати працівникам АРМА через банки; щодо матеріальної відповідальності працівників за шкоду, заподіяну АРМА внаслідок порушення покладених на них трудових обов’язків; щодо відшкодування витрат та одержання інших компенсацій з огляду на службові відрядження працівників; щодо відомостей про оплату праці працівника;
забезпечення реалізації вимог трудового та пенсійного законодавства щодо отримання інформації про заробітну плату за попередні періоди, пенсії з особових рахунків;
забезпечення реалізації вимог податкового законодавства щодо подання Податкового розрахунку сум доходу, нарахованого (сплаченого) на користь платників податків - фізичних осіб, і сум утриманого з них податку, а також сум нарахованого єдиного внеску;
нагородження державними нагородами України та відзначення державними та відомчими заохочувальними відзнаками працівників АРМА;
забезпечення реалізації повноважень АРМА, визначених
Законом України "Про Національне агентство України з питань виявлення, розшуку та управління активами, одержаними від корупційних та інших злочинів" та іншими актами законодавства;
забезпечення реалізації вимог бюджетного та господарського законодавства щодо засвідчення карток зі зразками підписів і відбитком печатки.
2. Підставами для обробки персональних даних, зазначених в пункті 1 цього розділу, є:
згода суб’єкта персональних даних на обробку його персональних даних;
дозвіл на обробку персональних даних, наданий володільцю персональних даних відповідно до закону, виключно для здійснення його повноважень;
необхідність виконання обов’язку володільця персональних даних, що передбачений законом.
Обробка персональних даних фізичних осіб, які надають АРМА послуги за цивільно-правовими договорами, здійснюється на підставі правочину, стороною якого є суб’єкт персональних даних або який укладено на користь суб’єкта персональних даних чи для здійснення заходів, що передують укладенню правочину на вимогу суб’єкта персональних даних.
Персональні дані обробляються у строк не більший ніж це необхідно відповідно до мети їх обробки, якщо інше не передбачено законодавством.
III. Категорії суб’єктів та склад персональних даних
1. АРМА здійснює обробку персональних даних таких категорій суб’єктів:
працівників АРМА;
кандидатів на зайняття вакантних посад в АРМА;
осіб, персональні дані яких стали відомі АРМА при реалізації своїх повноважень;
осіб, відомості про яких підлягають внесенню до Єдиного державного реєстру активів, на які накладено арешт у кримінальному провадженні;
оцінювачів, управителів та потенційних управителів.
2. Склад персональних даних, які обробляються АРМА, залежить від категорії суб’єкта персональних даних.
3. АРМА обробляються персональні дані:
1) працівників АРМА:
прізвище, ім’я, по батькові (за наявності);
паспортні, військово-облікові, біографічні;
унікальний номер запису в Єдиному державному демографічному реєстрі (за наявності);
реєстраційний номер облікової картки платника податків (за наявності);
про освіту, наявність спеціальних знань або підготовки;
про трудову діяльність;
про стан здоров’я (в обсязі, необхідному для реалізації трудових відносин і для забезпечення вимог законодавства у сфері охорони праці);
про сімейний стан та склад сім’ї;
про фактичне та задеклароване/зареєстроване місце проживання (перебування);
про засоби зв’язку, наявність прав на пільги та компенсації;
фотографічні зображення;
інші персональні дані, необхідність обробки яких визначена законодавством;
2) кандидатів на зайняття вакантних посад в АРМА:
прізвище, ім’я, по батькові (за наявності);
паспортні, військово-облікові, біографічні;
унікальний номер запису в Єдиному державному демографічному реєстрі (за наявності);
реєстраційний номер облікової картки платника податків (за наявності);
про освіту, наявність спеціальних знань або підготовки;
про трудову діяльність;
про стан здоров’я (в обсязі, необхідному для реалізації трудових відносин і для забезпечення вимог законодавства у сфері охорони праці);
про ділові та особисті якості;
про сімейний стан та склад сім’ї;
про фактичне та задеклароване/зареєстроване місце проживання (перебування);
про засоби зв’язку, наявність прав на пільги та компенсації;
фотографічні зображення;
інші персональні дані, необхідність обробки яких визначено законодавством;
прізвище, ім’я, по батькові (за наявності);
задеклароване/зареєстроване місце проживання (перебування);
відомості про наявність пільг, які є підставою для першочергового розгляду звернення;
засоби зв’язку;
інші дані, які особа добровільно за власним бажанням надає про себе;
4) осіб, персональні дані яких стали відомі АРМА при реалізації своїх повноважень:
прізвище, ім’я, по батькові (за наявності);
паспортні дані;
реєстраційний номер облікової картки платника податків (за наявності);
унікальний номер запису в Єдиному державному демографічному реєстрі (за наявності);
фактичне та задеклароване/зареєстроване місце проживання (перебування);
дата та місце народження особи;
5) осіб, відомості про яких підлягають внесенню до Єдиного державного реєстру активів, на які накладено арешт у кримінальному провадженні:
прізвище, ім’я, по батькові (за наявності);
реєстраційний номер облікової картки платника податків (за наявності);
дата та місце народження особи;
задеклароване/зареєстроване місце проживання (перебування);
унікальний номер запису в Єдиному державному демографічному реєстрі (за наявності);
6) оцінювачів, управителів та потенційних управителів:
прізвище, ім’я, по батькові (за наявності);
реєстраційний номер облікової картки платника податків (за наявності);
серія (за наявності) та номер паспорта (для фізичних осіб, які через свої релігійні переконання відмовились від прийняття реєстраційного номера облікової картки платника податків відповідно до закону);
задеклароване/зареєстроване місце проживання (перебування);
засоби зв’язку;
інші персональні дані, необхідність обробки яких визначено законодавством або які особа добровільно за власним бажанням надає про себе.
IV. Порядок обробки персональних даних
1. Спосіб збирання, накопичення персональних даних
1. Збирання персональних даних працівників АРМА здійснюється шляхом надання ними відповідних документів, визначених законодавством, зокрема, про державну службу та працю.
Накопичення персональних даних працівників здійснюється за допомогою комп’ютерної програми "Автоматизована інформаційно-аналітична система "КАДРИ-WEB": державні органи": комп’ютерна програма, яка генерує схему бази даних "КАДРИ-WEB", програмного забезпечення Комплексна система автоматизації підприємства "IS-pro" та в особових справах працівників.
2. Збирання персональних даних кандидатів на зайняття вакантних посад в АРМА здійснюється шляхом надання ними відповідних документів, визначених законодавством, зокрема, про державну службу та працю. Такі персональні дані накопичуються в паперовій та електронній формах.
Накопичення персональних даних зазначеної категорії суб’єктів здійснюється за допомогою системи електронного документообігу "Megapolis.DocNet".
Персональні дані обробляються за допомогою автоматизованої системи та зберігаються на серверах АРМА.
4. Персональні дані, які стали відомі АРМА при реалізації своїх повноважень, збираються шляхом використання відомостей про таких осіб, зазначених у відповідних зверненнях (запитах) суб’єктів, визначених
Законом України "Про Національне агентство України з питань виявлення, розшуку та управління активами, одержаними від корупційних та інших злочинів" та іншими актами законодавства.
Персональні дані, які стали відомі АРМА при реалізації своїх повноважень, обробляються за допомогою автоматизованої системи "Розшук активів" АРМА та зберігаються на електронних носіях і в паперовому вигляді.
5. Збирання персональних даних осіб, відомості про яких підлягають внесенню до Єдиного державного реєстру активів, на які накладено арешт у кримінальному провадженні, здійснюється шляхом отримання інформації в паперовій та/або електронній формах відповідно до
Закону України "Про Національне агентство України з питань виявлення, розшуку та управління активами, одержаними від корупційних та інших злочинів" та інших актів законодавства.
Персональні дані обробляються за допомогою автоматизованої системи Єдиного державного реєстру активів, на які накладено арешт у кримінальному провадженні, та зберігаються на серверах.
6. Збирання персональних даних оцінювачів, управителів та потенційних управителів здійснюється шляхом використання відомостей про таких осіб, наданих ними у відповідних документах.
Персональні дані зазначених категорій суб’єктів накопичуються на паперових носіях інформації та зберігаються в паперовому вигляді.
2. Строки та умови зберігання персональних даних
1. Персональні дані обробляються у формі, що допускає ідентифікацію фізичної особи, якої вони стосуються, у строк не більший ніж це необхідно відповідно до мети їх обробки, якщо інше не передбачено законодавством.
2. Персональні дані працівників АРМА та кандидатів на зайняття вакантних посад зберігаються у строк, визначений законодавством, зокрема про державну службу та працю.
4. Персональні дані, які стали відомі АРМА при реалізації своїх повноважень, зберігаються протягом трьох років з дати відповідного звернення (запиту) суб’єктів, визначених
Законом України "Про Національне агентство України з питань виявлення, розшуку та управління активами, одержаними від корупційних та інших злочинів" та іншими актами законодавства.
6. Персональні дані оцінювачів, управителів та потенційних управителів зберігаються протягом трьох років з дати звернення.
7. Забезпечення збереженості та цілісності персональних даних здійснюється відповідно до вимог розділу V цього Порядку.
3. Внесення змін, видалення або знищення персональних даних
1. Працівники структурних підрозділів АРМА, які здійснюють обробку персональних даних в обсягах, визначених їх посадовими інструкціями, переглядають персональні дані на предмет їх актуальності та достовірності відповідно до законодавства.
2. Зміни до персональних даних вносяться на підставі:
вмотивованої письмової вимоги суб’єкта персональних даних;
припису Уповноваженого Верховної Ради України з прав людини або визначених ним посадових осіб Секретаріату Уповноваженого Верховної Ради України з прав людини;
рішення суду, що набрало законної сили;
звернення інших суб’єктів відносин, пов’язаних із персональними даними, якщо на це є згода суб’єкта персональних даних.
3. Персональні дані видаляються або знищуються у спосіб, що виключає подальшу можливість поновлення таких персональних даних.
4. У разі виявлення відомостей про особу, які не відповідають дійсності, такі відомості мають бути невідкладно змінені або знищені.
5. Персональні дані підлягають видаленню або знищенню у разі:
закінчення строку зберігання даних, визначеного законом;
припинення правовідносин між суб’єктом персональних даних та АРМА, якщо інше непередбачено законом;
видання відповідного припису Уповноваженого Верховної Ради України з прав людини або визначених ним посадових осіб Секретаріату Уповноваженого Верховної Ради України з прав людини;
набрання законної сили рішенням суду щодо видалення або знищення персональних даних.
6. Персональні дані, зібрані з порушенням вимог
Закону України "Про захист персональних даних", підлягають видаленню або знищенню у встановленому законодавством порядку.
7. Персональні дані осіб, відомості про яких підлягають внесенню до Єдиного державного реєстру активів, на які накладено арешт у кримінальному провадженні, видаляються з Єдиного державного реєстру активів, на які накладено арешт у кримінальному провадженні, у порядку, визначеному
Положенням про Єдиний державний реєстр активів, на які накладено арешт у кримінальному провадженні, затвердженим наказом АРМА від 01 жовтня 2020 року № 418, зареєстрованим в Міністерстві юстиції України 04 грудня 2020 року за № 1217/35500.
8. Суб’єкт персональних даних має право пред’являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних володільцем та розпорядником персональних даних, якщо ці дані обробляються незаконно чи є недостовірними.
9. Якщо за результатами розгляду такої вимоги виявлено, що персональні дані суб’єктів обробляються незаконно або є недостовірними, працівники АРМА припиняють обробку персональних даних суб’єкта та протягом десяти робочих днів з дня отримання такої вимоги письмово інформують про це суб’єкта персональних даних.
10. Про зміну, видалення чи знищення персональних даних або обмеження доступу до них АРМА протягом десяти робочих днів повідомляє суб’єкта персональних даних, а також суб’єкта відносин, пов’язаних із персональними даними, яким ці дані було передано.
4. Доступ до персональних даних
1. Працівники АРМА, які обробляють персональні дані, мають бути ознайомлені з вимогами
Закону України "Про захист персональних даних" та інших нормативно-правових актів у сфері захисту персональних даних.
2. Працівники, які обробляють персональні дані, зобов’язані:
запобігати втраті персональних даних та їх неправомірному використанню;
не розголошувати персональні дані, які їм було довірено або які стали відомі у зв’язку з виконанням посадових обов’язків (таке зобов’язання залишається чинним після припинення ними діяльності, пов’язаної з персональними даними, крім випадків, установлених
Законом України "Про захист персональних даних").
3. Керівники структурних підрозділів АРМА, у межах своїх повноважень, забезпечують контроль за виконанням встановлених законодавством вимог із забезпечення захисту персональних даних.
4. Відповідальні особи ведуть облік працівників відповідних структурних підрозділів, які мають доступ до персональних даних, обробку яких здійснює АРМА. Кожен із цих працівників користується доступом лише до тих персональних даних (їх частин) суб’єктів, які необхідні у зв’язку з виконанням ними своїх службових обов’язків.
Такі працівники надають письмове зобов’язання про нерозголошення персональних даних, яке зберігається в особовій справі за формою наведеною у додатку до цього Порядку.
5. Загальна організація та координація діяльності, пов’язаної з порядком обробки та захистом персональних даних в інформаційно-комунікаційних системах АРМА, покладається на посадову особу Служби захисту інформації АРМА, визначену наказом.
6. Датою надання права доступу до персональних даних вважається дата надання зобов’я-зання відповідним працівником.
7. Датою позбавлення права доступу до персональних даних вважається дата звільнення працівника, дата переведення на посаду, виконання обов’язків на якій не пов’язане з обробкою персональних даних.
8. Суб’єкт персональних даних має право на одержання від АРМА будь-яких відомостей про себе без зазначення мети запиту, крім випадків, установлених законом.
9. Поширення персональних даних без згоди суб’єкта персональних даних або уповноваженої ним особи дозволяється у випадках, визначених законом, і лише (якщо це необхідно) в інтересах національної безпеки, економічного добробуту та прав людини.
5. Умови передачі персональних даних третім особам
1. Передача персональних даних третім особам здійснюється відповідно до вимог законодавства.
Про передачу персональних даних третій особі володілець персональних даних протягом десяти робочих днів повідомляє суб’єкта персональних даних, якщо цього вимагають умови його згоди або інше не передбачено законом.
Повідомлення, зазначені вище, не здійснюються у разі:
передачі персональних даних за запитами при виконанні завдань оперативно-розшукової чи контррозвідувальної діяльності, боротьби з тероризмом;
реалізації АРМА своїх повноважень, передбачених
Законом України "Про Національне агентство України з питань виявлення, розшуку та управління активами, одержаними від корупційних та інших злочинів" та іншими актами законодавства;
здійснення обробки персональних даних в історичних, статистичних чи наукових цілях;
повідомлення суб’єкта персональних даних відповідно до вимог частини другої
статті 12 Закону України "Про захист персональних даних".
2. Передача персональних даних іноземним суб’єктам відносин, пов’язаних із персональними даними, здійснюється відповідальною особою лише за умови забезпечення відповідною державою належного захисту персональних даних у випадках, встановлених законом або міжнародними договорами України.
Суб’єкт персональних даних завчасно інформується про передачу його персональних даних іноземним суб’єктам відносин, пов’язаних із персональними даними.
3. Не є конфіденційною інформацією передбачені законом персональні дані, що стосуються здійснення особою, яка займає посаду, пов’язану з виконанням функцій держави або органів місцевого самоврядування, посадових чи службових повноважень.
4. Не належать до інформації з обмеженим доступом:
відомості, зазначені у деклараціях осіб, уповноважених на виконання функцій держави або місцевого самоврядування, оформлених за формою і в порядку, що встановлені
Законом України "Про запобігання корупції", крім відомостей, визначених абзацом четвертим частини першої
статті 47 цього Закону;
інформація про отримання у будь-якій формі фізичною особою бюджетних коштів, державного чи комунального майна, крім випадків, передбачених
статтею 6 Закону України "Про доступ до публічної інформації";
інші відомості, доступ до яких не може бути обмежено відповідно до законів та міжнародних договорів України, згода на обов’язковість яких надана Верховною Радою України.
V. Заходи забезпечення захисту персональних даних
1. Обробка персональних даних у структурних підрозділах АРМА здійснюється відповідно до законодавства у сфері захисту персональних даних.
2. Обробка персональних даних здійснюється у спосіб, що унеможливлює доступ до них сторонніх осіб.
Працівники, які відповідно до посадових обов’язків здійснюють обробку персональних даних, допускаються до обробки лише після їх авторизації.
3. Обробка персональних даних в інформаційних системах АРМА здійснюється відповідно до законодавства у сфері захисту інформації в інформаційно-комунікаційних системах.
З метою забезпечення безпеки обробки персональних даних вживаються спеціальні технічні заходи захисту, у тому числі щодо виключення несанкціонованого доступу до персональних даних, що обробляються, та до роботи технічного і програмного комплексів, за допомогою яких здійснюється обробка персональних даних.
4. Облік операцій, пов’язаних із обробкою персональних даних суб’єкта та доступом до них, здійснюється АРМА відповідно до законодавства.
5. Під час обробки персональних даних повинен забезпечуватись їхній захист від несанкціонованого та неконтрольованого ознайомлення, модифікації, знищення, копіювання, поширення.
6. Факти порушень процесу обробки та захисту персональних даних підлягають документальній фіксації відповідальною особою.
Така документальна фіксація, а також опис дій працівників на випадок несанкціонованого доступу до персональних даних, пошкодження технічного обладнання, надзвичайних ситуацій здійснюється АРМА відповідно до законодавства.
7. Посадова особа Служби захисту інформації АРМА, що організовує роботу, пов’язану із захистом персональних даних при їх обробці:
інформує та консультує відповідальних осіб володільця персональних даних з питань додержання законодавства про захист персональних даних;
взаємодіє з Уповноваженим Верховної Ради України з прав людини та визначеними ним посадовими особами його секретаріату з питань запобігання та усунення порушень законодавства про захист персональних даних;
здійснює заходи, спрямовані на підвищення обізнаності працівників із законодавством у сфері захисту персональних даних, зокрема проводить систематичні навчання.
Начальник Управління інформаційних технологій | І. Гладких |
Додаток
до Порядку обробки
персональних даних в АРМА
(пункт 4 глави 4 розділу IV)
ЗОБОВ’ЯЗАННЯ
про нерозголошення персональних даних