ДЕРЖАВНА СЛУЖБА УКРАЇНИ З ПИТАНЬ ЗАХИСТУ ПЕРСОНАЛЬНИХ ДАНИХ

ЛИСТ

від 16 березня 2012 р. № 137

Щодо доступу до персональних даних третіх осіб

Шановний Георгію Васильовичу!

На Ваш лист, з проханням надати рекомендації щодо організації роботи працівників ДУ «ІТО НАМНУ» з архівами інших лікувальних установ, Державна служба України з питань захисту персональних даних (далі — Служба) повідомляє наступне.

Суб’єкти відносин, пов’язані із персональними даними, в тому числі володільці баз персональних даних — лікувальні установи і треті особи, якими є особи, що мають на меті ознайомлюватися з матеріалами, необхідними для наукових праць, повинні здійснювати свої повноваження в межах, установлених Конституцією та законами України (вимоги частини другої статті 25 Закону України «Про захист персональних даних»).

Вимоги стосовно поширення персональних даних, порядку доступу до персональних даних третіх осіб визначені статтями 14, 16 Закону України «Про захист персональних даних» (далі — Закон).

Як вбачається зі статті 14 Закону дії щодо поширення персональних даних (передачі відомостей про фізичну особу з баз персональних даних) здійснюються за згодою суб’єкта персональних даних.

При цьому поширення персональних даних без згоди суб’єкта персональних даних або уповноваженої ним особи дозволяється у випадках, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.

Відповідно до статті 16 Закону порядок доступу до персональних даних третіх осіб визначається умовами згоди суб’єкта персональних даних, наданої володільцю бази персональних даних на обробку цих даних, або відповідно до вимог закону.

Акцентуємо увагу, що частина перша статті 7 Закону забороняє здійснювати обробку персональних даних, що стосуються здоров’я чи статевого життя.

Ця заборона не застосовується, якщо обробка персональних даних:

1) здійснюється за умови надання суб’єктом персональних даних однозначної згоди на обробку таких даних;

2) необхідна для здійснення прав та виконання обов’язків у сфері трудових правовідносин відповідно до закону;

3) необхідна для захисту інтересів суб’єкта персональних даних або іншої особи у разі недієздатності або обмеження цивільної дієздатності суб’єкта персональних даних;

4) здійснюється релігійною організацією, громадською організацією світоглядної спрямованості, політичною партією або професійною спілкою, що створені відповідно до закону, за умови, що обробка стосується виключно персональних даних членів цих об’єднань або осіб, які підтримують постійні контакти з ними у зв’язку з характером їх діяльності, та персональні дані не передаються третій особі без згоди суб’єктів персональних даних;

5) необхідна для обґрунтування, задоволення або захисту правової вимоги;

6) необхідна в цілях охорони здоров’я, для забезпечення піклування чи лікування за умови, що такі дані обробляються медичним працівником або іншою особою закладу охорони здоров’я, на якого покладено обов’язки щодо забезпечення захисту персональних даних;

7) стосується обвинувачень у вчиненні злочинів, вироків суду, здійснення державним органом повноважень, визначених законом, щодо виконання завдань оперативно-розшукової чи контррозвідувальної діяльності, боротьби з тероризмом;

8) стосується даних, які були оприлюднені суб’єктом персональних даних.

З огляду на зазначені положення Закону та з метою недопущення незаконного поширення і подальшого розповсюдження відомостей про фізичних осіб, які стосуються їх здоров’я, до обробки яких ставляться особливі вимоги, доступ до документів, що містять такі персональні дані, може здійснюватися:

1) за умови надання суб’єктом персональних даних однозначної згоди на обробку таких даних;

2) у разі забезпечення суб’єктів відносин, пов’язаних із персональними даними, — третіх осіб (що мають на меті ознайомлюватися з матеріалами, необхідними для наукових праць), знеособленою інформацією щодо персональних даних.

Важливо зазначити, що використання персональних даних в історичних, статистичних чи наукових цілях може здійснюватися лише в знеособленому вигляді (частина дев’ята статті 6 Закону).

З огляду на обставини, що зазначені у листі від 16.03.2012, лікувальні установи є володільцями баз персональних даних, оскільки здійснюють дії, пов’язані з обробкою персональних даних своїх пацієнтів. У зв’язку з цим, забезпечення захисту персональних даних у базі персональних даних покладається на володільця цієї бази (вимоги частини третьої статті 24 Закону).

Виконання зазначених вище вимог можливе шляхом укладення договору між кандидатом та лікувальною установою який, зокрема, повинен містити наступні положення:

1. Мета отримання доступу до персональних даних.

2. Порядок доступу до персональних даних, зокрема, щодо покладення на кандидата зобов’язання стосовно забезпечення виконання вимог Закону та підтвердження спроможності їх забезпечення (частина друга статті 16 Закону).

3. Порядок використання персональних даних отриманих в наукових цілях (частина дев’ята статті 6 Закону).

З повагою,