ПРОФЕСІЙНІ КОНСУЛЬТАЦІЇ НАДАННЯ ПЕРСОНАЛЬНИХ ДАНИХ НА ЗАПИТИ ПРАВООХОРОННИХ ОРГАНІВ
Прокуратура району, посилаючись на ст. 8 та 20 Закону України «Про Прокуратуру», надіслала до районної державної адміністрації вимогу щодо надання списку державних службовців РДА із зазначенням їх посад та ідентифікаційних кодів. З огляду на зазначене читачі запитують: чи не є запитувана інформація про персональні дані співробітників РДА конфіденційною та якими у такому випадку мають бути дії керівництва адміністрації? (Донецька обл.) Відповідаючи на запитання читачів, перш за все слід зазначити, що вимоги прокурора, якщо вони не суперечать чинному законодавству, відповідно до ч. 1 ст. 8 Закону України «Про прокуратуру» від 05.11.91 р. № 1789-XII (далі — Закон про прокуратуру) виконуються невідкладно або у передбачені Законом чи визначені прокурором строки. Невиконання вимог прокурора тягне за собою передбачену законом відповідальність. Але доволі часто органи влади та місцевого самоврядування отримують від органів прокуратури вимоги, запити стосовно інформації, що підпадає під дію декількох законодавчих актів і тому надати однозначну відповідь буває важко. Прикладом тому є запитання читачів. Тож метою нашої консультації є аналіз нормативних документів, що регламентують дії усіх зацікавлених сторін та використання інформації про персональні дані. 1. Права та обов’язки зацікавлених сторін. Відповідно до частини другої статті 25 Закону України «Про захист персональних даних» суб'єкти відносин, пов'язаних із персональними даними, здійснюють свої повноваження в межах, установлених Конституцією та законами України. Відповідно до ч. 2 ст. 19 Конституції України органи державної влади та органи місцевого самоврядування, їх посадові особи зобов'язані діяти лише на підставі, в межах повноважень та у спосіб, що передбачені Конституцією і законами України. Не допускається обробка даних про фізичну особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини. Обробка персональних даних має здійснюватися для конкретних і законних цілей, визначених за згодою суб'єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством (частини шоста та п’ята статті 6 Закону України «Про захист персональних даних»). Вимоги стосовно поширення персональних даних визначено статтею 14 Закону України «Про захист персональних даних», відповідно до якої поширення персональних даних передбачає дії щодо передачі відомостей про фізичну особу за згодою суб'єкта персональних даних. Без згоди суб'єкта персональних даних або уповноваженої ним особи поширення персональних даних дозволяється у випадках, визначених законом, і лише (якщо це необхідно) в інтересах національної безпеки, економічного добробуту та прав людини. При цьому, необхідно враховувати, що органи державної влади та органи місцевого самоврядування мають право на безперешкодний і безоплатний доступ
до персональних даних відповідно до їх повноважень (частина четверта статті 19 Закону України «Про захист персональних даних»). Водночас частиною першою статті 16 Закону України «Про захист персональних даних» передбачено, що порядок доступу до персональних даних третіх осіб визначається умовами згоди суб'єкта персональних даних, наданої володільцю персональних даних на обробку цих даних, або відповідно до вимог закону. Тобто, порядок доступу до персональних даних може визначатися умовами згоди фізичної особи, у разі якщо правовою підставою для обробки персональних даних є згода, або такий порядок може бути встановлений законом. Цією ж статтею встановлено вимоги до запиту щодо доступу (далі - запит) до персональних даних, який суб'єкт відносин, пов'язаних з персональними даними, подає володільцю персональних даних. У запиті зазначаються: 1) прізвище, ім'я та по батькові, місце проживання (місце перебування) і реквізити документа, що посвідчує фізичну особу, яка подає запит (для фізичної особи - заявника); 2) найменування, місцезнаходження юридичної особи, яка подає запит, посада, прізвище, ім'я та по батькові особи, яка засвідчує запит; підтвердження того, що зміст запиту відповідає повноваженням юридичної особи (для юридичної особи - заявника); 3) прізвище, ім'я та по батькові, а також інші відомості, що дають змогу ідентифікувати фізичну особу, стосовно якої робиться запит; 4) відомості про базу персональних даних, стосовно якої подається запит, чи відомості про володільця чи розпорядника персональних даних; 5) перелік персональних даних, що запитуються; 6) мета та/або правові підстави для запиту. Так, зауважимо ще раз: відповідно до ст. 8 Закону про прокуратуру законні вимоги прокурора є обов'язковими для всіх органів, підприємств, установ, організацій, посадових осіб та громадян і виконуються невідкладно або у передбачені законом чи визначені прокурором строки. Статистична та інша інформація або їх копії, необхідні для здійснення прокурорського нагляду чи розслідування, видаються на вимогу прокурора або слідчого безкоштовно. Статтею 3 Закону про прокуратуру визначено, що повноваження прокурорів, організація, засади та порядок діяльності прокуратури визначаються Конституцією України, цим Законом, іншими законодавчими актами. Відповідно до ст 19 цього Закону перевірка виконання законів проводиться за заявами та іншими повідомленнями про порушення законності, що вимагають прокурорського реагування, а за наявності приводів - також з власної ініціативи прокурора. Статтею 19 Закону про прокуратуру передбачено, що предметом нагляду за додержанням і застосуванням законів є: 1) відповідність актів, які видаються всіма органами, підприємствами, установами, організаціями та посадовими особами, вимогам Конституції України та чинним законам; 2) додержання законів про недоторканність особи, соціально-економічні, політичні, особисті права і свободи громадян, захист їх честі і гідності, якщо законом не передбачений інший порядок захисту цих прав; 3) додержання законів, що стосуються економічних, міжнаціональних відносин, охорони навколишнього середовища, митниці та зовнішньоекономічної діяльності. Згідно із частиною першою статті 20 Закону про прокуратуру при здійсненні прокурорського нагляду за додержанням і застосуванням законів прокурор має право, зокрема: витребовувати від органів державної влади, органів місцевого самоврядування, військових частин, державних підприємств, установ та організацій рішення,
розпорядження, інструкції, накази та інші акти і документи, одержувати інформацію про стан законності і заходи щодо її забезпечення, мати доступ до відповідних інформаційних баз даних державних органів (пункт 2); мати доступ до документів і матеріалів, необхідних для проведення перевірки, у тому числі за письмовою вимогою, і таких, що містять комерційну таємницю або інформацію з обмеженим доступом. Письмово вимагати подання в прокуратуру у визначений ним розумний строк зазначених документів та матеріалів, видачі необхідних довідок, у тому числі щодо операцій і рахунків юридичних осіб та інших організацій, для вирішення питань, пов’язаних з перевіркою. Отримання від банків інформації, яка містить банківську таємницю, здійснюється у порядку та обсязі, встановлених Законом України «Про банки і банківську діяльність» (пункт 4). Разом з цим, вищезазначена стаття містить певне обмеження, а саме: «дії, передбачені пунктами 3, 4 та 5 частини першої цієї статті, можуть бути вчинені виключно під час проведення перевірки в порядку, передбаченому статтею 21 цього Закону». Згідно з ч.ч. 3,4 ст. 21 цього ж Закону «для здійснення перевірки прокурор приймає постанову, в якій зазначає підстави, що свідчать про можливі порушення законності, та обґрунтовує необхідність вчинення дій, передбачених п.п. 3, 4 та 5 ч.1 ст. 20 статті 20. Не допускається проведення перевірки без надання копії зазначеної постанови представнику підприємства, установи, організації незалежно від форм власності, підпорядкованості чи приналежності, фізичній особі - підприємцю». Зазначене вище свідчить, що порядок доступу до персональних даних органів прокуратури визначається Законом України «Про прокуратуру». Якщо до запиту прокуратури з посиланням на ст. 8 та 20 Закону про прокуратуру не додається копія постанови, в якій зазначено підстави, що свідчать про можливі порушення законності, та обґрунтовано необхідність вчинення дій, передбачених п.п. 3, 4, 5 ч. 1 ст. 20 цього Закону, то володілець персональних даних має всі підстави для відмови у наданні прокуратурі запитуваних відомостей про фізичних осіб.
2. Стосовно належності відомостей до персональних даних. Згідно зі статтею 2 Закону України “Про захист персональних даних» персональними даними є відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована. Тобто, персональні дані – це будь-яка інформація, за якою фізична особа може бути ідентифікована безпосередньо або опосередковано, зокрема, прізвище, ім’я, по батькові, ідентифікаційний код (реєстраційний номер облікової картки платника податків), посада, адреса проживання, контактний номер телефону тощо. Частиною 2 ст. 32 Конституції України передбачено, що не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини. Визначення конфіденційної інформації наводиться у законах України “Про інформацію” від 02.11.92 р. № 2657-XІІ (ст.21) та “Про доступ до публічної інформації” від 13.01.2011 р. № 2939-VІ (ст.7). Так, конфіденційною є інформація про фізичну особу, а також інформація, доступ до якої обмежено фізичною або юридичною особою, крім суб'єктів владних повноважень. Конфіденційна інформація може поширюватися за бажанням (згодою) відповідної особи у визначеному нею порядку відповідно до передбачених нею умов, а також в інших випадках, визначених законом. Склад конфіденційної інформації про особу визначив Конституційний Суд України (далі - КСУ). Так, відповідно до його Рішення від 20.01.2012 р. № 2-рп/2012
до конфіденційної інформації про фізичну особу належать, зокрема, дані про її національність, освіту, сімейний стан, релігійні переконання, стан здоров'я, а також адреса, дата і місце народження. А раніше у своєму рішенні від 30.10.97 р. № 5-зп (абз. 1 п. 1 резолютивної частини) КСУ зазначив, що до конфіденційної інформації про фізичну особу, крім вказаної вище, належать ще й відомості про її майновий стан та інші персональні дані. Таким чином, КСУ вважає, що перелік даних про особу, які визнаються як конфіденційна інформація, не є вичерпним. КСУ, даючи у рішенні № 5-зп офіційне тлумачення ч. 1, 2 ст. 32 Конституції України, визначив, що інформація про особисте та сімейне життя особи (персональні дані про неї) - це будь-які відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована, а саме: національність, освіта, сімейний стан, релігійні переконання, стан здоров'я, матеріальний стан, адреса, дата і місце народження, місце проживання та перебування тощо, дані про особисті майнові та немайнові відносини цієї особи з іншими особами, зокрема членами сім'ї, а також відомості про події та явища, що відбувалися або відбуваються у побутовому, інтимному, товариському, професійному, діловому та інших сферах життя особи, за винятком даних стосовно виконання повноважень особою, яка займає посаду, пов'язану зі здійсненням функцій держави або органів місцевого самоврядування. Така інформація про фізичну особу та членів її сім'ї є конфіденційною і може бути поширена тільки за їх згодою, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини. У цьому ж рішенні КСУ дійшов висновку, що збирання, зберігання, використання та поширення державою, органами місцевого самоврядування, юридичними або фізичними особами конфіденційної інформації про особу без її згоди є втручанням в її особисте та сімейне життя, яке допускається винятково у визначених законом випадках і лише в інтересах національної безпеки, економічного добробуту та прав людини. Частина 2 ст. 14 Закону про персональні дані вносить уточнення стосовно поширення персональних даних, а саме: поширення персональних даних без згоди суб'єкта персональних даних або уповноваженої ним особи дозволяється у випадках, визначених законом, і лише (якщо це необхідно) в інтересах національної безпеки, економічного добробуту та прав людини. Отже, виходячи з наведених вище законодавчих вимог щодо роботи з персональними даними та з урахуванням норм і повноважень, що регламентують обговорюваний нами участок дій органів влади, місцевого самоврядування та прокуратури, можна зробити такий висновок. У разі надходження вимоги, запиту щодо надання конфіденційної інформації, яка стосується персональних даних працівників, перш за все слід визначитися з метою такого запиту та підставою для надання таких відомостей. Копія постанови, в якій органами прокуратури зазначаються підстави, що свідчать про можливі порушення законності, та обґрунтовується необхідність вчинення саме таких дій може міститися у додатках до запиту. Якщо ж мета у запиті або вимозі, чи додатках не зазначена, а правові підстави, що підтверджують повноваження органів прокуратури на отримання персональних даних, відсутні, володілець персональних даних має законне право відмовити у наданні запитуваної інформації! Водночас звертаємо увагу, що відповідно до норм Закону України «Про інформацію» інформація стосовно посад працівників не є конфіденційною, а тому володілець персональних даних може її надати органам прокуратури.