Чергове питання, яке турбує володільців баз персональних даних, -- що робити з персональними даними у разі ліквідації юрособи?
Відповідаючи на нього, Держслужба звертає увагу на низку моментів.
1. При ліквідації госпсуб’єкта (на нашу думку, якщо фізособа-підприємець має зареєстровані бази персональних даних, -- це також стосується і його) необхідним є дотримання вимог законодавства України у сфері захисту персональних даних, зокрема в частині виконання обов’язків перед державою, дотримання прав суб’єктів персональних даних, а також дотримання усіх необхідних процедур обробки персональних даних.
Відповідно до ч. 6 ст. 9 Закону «Про захист персональних даних» володілець бази персональних даних зобов’язаний повідомляти Державну службу України з питань захисту персональних даних (ДСЗПД) про кожну зміну відомостей, необхідних для реєстрації відповідної бази, не пізніш як протягом 10 робочих днів з дня настання такої зміни.
Під час процедури ліквідації госпсуб’єкта та у разі припинення ним всіх дій з обробки персональних даних у базах персональних даних володільцю бази персональних даних необхідно повідомити ДСЗПД про припинення функціонування бази персональних даних шляхом надсилання Заяви про внесення змін до відомостей Держреєстру баз персональних даних, форма якої затверджена наказом Мін’юсту від 08.07.2011 №1824/5.
Але тут не все так просто. По-перше, заяви на реєстрацію баз персональних даних надсилаються фактично останніх півроку, і лише невеличка частина володільців баз персональних даних отримали безпосередньо саме Свідоцтво про державну реєстрацію баз персональних даних на фірмовому бланку. Більшість з отриманих Держслужбою заяв ще обробляються. По-друге, внести зміни можна лише в зареєстровані бази персональних даних. А оскільки більшість ще обробляються, то яким чином можна вносити зміни до них у разі ліквідації володільця, -- незрозуміло. Тож на сьогодні це питання залишається ще відкритим.
2. Після закінчення процесів обробки персональних даних персональні дані підлягають знищенню або передачі в архів. У разі знищення персональних даних у зв’язку з припиненням володільця потрібно повідомити самих суб’єктів протягом десяти робочих днів. Порядок такого повідомлення та безпосередньо знищення персональних даних має бути прописано у відповідному Положенні (порядку тощо) про обробку персональних даних володільця.
У разі передання даних в архів у випадку ліквідації володільця бази персональних даних його база персональних даних стає частиною загальної бази персональних даних архівної установи. Тобто нова база персональних даних суб’єкта господарювання не утворюється.
У випадку передачі персональних даних в архівні установи суб’єкти персональних даних, на думку Держслужби, також мають бути повідомлені про факт такої передачі та про зміну мети обробки їх персональних даних.