Ochrona danych osobowych

+38 098 219 4119 +38 097 141 1777 +38 095 155 0525 [email protected]

Ochrona danych osobowych

Przepisy dotyczące przetwarzania i ochrony danych osobowych w bazach danych osobowych będących własnością sprzedawcy

Spis treści

Ogólne pojęcia i zakres
Lista baz danych osobowych
Cel przetwarzania danych osobowych
Procedura przetwarzania danych osobowych: uzyskiwanie zgody, powiadomienie o prawach i działaniach z danymi osobowymi osoby, której dane dotyczą
Lokalizacja bazy danych osobowych
Warunki udostępniania informacji o danych osobowych osobom trzecim
Ochrona danych osobowych: metody ochrony, osoba odpowiedzialna, pracownicy, którzy bezpośrednio przetwarzają i/lub mają dostęp do danych osobowych w związku z wykonywaniem obowiązków służbowych, okres przechowywania danych osobowych
Prawa osób, których dane dotyczą podmiot
Procedura obsługi wniosków od podmiotu danych osobowych
Państwowa rejestracja bazy danych osobowych

Pojęcia ogólne i zakres

1.1. Definicja terminów:

baza danych osobowych — nazwany zbiór zorganizowanych danych osobowych w formie elektronicznej i/lub w formie systemów zbiorów danych osobowych;

osoba odpowiedzialna — wyznaczona osoba, która organizuje prace związane z ochroną danych osobowych podczas ich przetwarzania, zgodnie z prawem;

właściciel bazy danych osobowych — osoba fizyczna lub prawna, której przyznano prawo do przetwarzania tych danych na mocy prawa lub za zgodą podmiotu danych osobowych, który zatwierdza cel przetwarzania danych osobowych w tej bazie danych, ustala skład tych danych i procedury ich przetwarzania, chyba że prawo stanowi inaczej;

Państwowy Rejestr Baz Danych Osobowych — jednolity państwowy system informacyjny do zbierania, gromadzenia i przetwarzania informacji o zarejestrowanych bazach danych osobowych;

publicznie dostępne źródła danych osobowych — katalogi, książki adresowe, rejestry, listy, katalogi, inne usystematyzowane zbiory otwartych informacji zawierających dane osobowe, zamieszczane i publikowane przez znany podmiot danych osobowych. Sieci społecznościowe i zasoby internetowe, w których podmiot danych osobowych pozostawia swoje dane osobowe, nie są uważane za publicznie dostępne źródła danych osobowych (z wyjątkiem przypadków, w których podmiot danych osobowych wyraźnie oświadcza, że dane osobowe są zamieszczane w celu ich bezpłatnej dystrybucji i wykorzystania);

zgoda podmiotu danych osobowych — każde udokumentowane, dobrowolne wyrażenie woli osoby fizycznej w celu udzielenia zgody na przetwarzanie jej danych osobowych zgodnie ze sformułowanym celem ich przetwarzania;

depersonalizacja danych osobowych ekstrakcja informacji umożliwiających identyfikację osoby;

przetwarzanie danych osobowych — jakakolwiek czynność lub zestaw czynności wykonywanych w całości lub w części w systemie informacyjnym (zautomatyzowanym) i/lub w systemach zbiorów danych osobowych, które są związane ze zbieraniem, rejestrowaniem, gromadzeniem, przechowywaniem, adaptacją, modyfikacją, aktualizacją, wykorzystywaniem i rozpowszechnianiem (dystrybucją, sprzedażą, przekazywaniem), depersonalizacją, niszczeniem informacji o osobie;

dane osobowe — informacje lub zestaw informacji o osobie, która jest zidentyfikowana lub może być konkretnie zidentyfikowana;

administrator bazy danych osobowych podmiot danych — osoba fizyczna lub prawna, której właściciel bazy danych osobowych lub przepisy prawa przyznają prawo do przetwarzania tych danych. Osoba, której właściciel i/lub zarządca bazy danych osobowych powierzył wykonywanie prac technicznych z bazą danych osobowych bez dostępu do treści danych osobowych, nie jest zarządcą bazy danych osobowych;

podmiot danych osobowych— osoba fizyczna, w odniesieniu do której zgodnie z prawem przetwarzane są jej dane osobowe;

strona trzecia— każda osoba, z wyjątkiem podmiotu danych osobowych, właściciela lub zarządcy bazy danych osobowych oraz upoważnionego organu państwowego do ochrony danych osobowych, któremu właściciel lub zarządca bazy danych osobowych przekazuje dane osobowe zgodnie z prawem;

szczególne kategorie danych — dane osobowe dotyczące rasy lubpochodzenie etniczne, przekonania polityczne, religijne lub filozoficzne, przynależność do partii politycznych i związków zawodowych, a także dane dotyczące zdrowia lub życia seksualnego.

1.2. Niniejsze rozporządzenie jest obowiązkowe do stosowania przez osobę odpowiedzialną oraz pracowników sprzedawcy, którzy bezpośrednio przetwarzają i/lub mają dostęp do danych osobowych w związku z wykonywaniem swoich obowiązków służbowych.

Wykaz baz danych osobowych

2.1. Sprzedawca jest właścicielem następujących baz danych osobowych:

baza danych osobowych kontrahentów.

Cel przetwarzania danych osobowych

3.1. Celem przetwarzania danych osobowych w systemie jest zapewnienie realizacji stosunków cywilnoprawnych, dostarczenia, otrzymania i zapłaty za zakupione towary i usługi zgodnie z Kodeksem podatkowym Ukrainy, Ustawą Ukrainy „O rachunkowości i sprawozdawczości finansowej na Ukrainie”.

Procedura przetwarzania danych osobowych: uzyskanie zgody, powiadomienie o prawach i działaniach z danymi osobowymi osoby, której dane dotyczą

4.1. Zgoda osoby, której dane dotyczą, musi być dobrowolnym wyrażeniem woli osoby fizycznej w celu udzielenia zgody na przetwarzanie jej danych osobowych zgodnie ze sformułowanym celem ich przetwarzania.

4.2. Zgoda osoby, której dane dotyczą, może być udzielona w następujących formach:

dokument na papierze ze szczegółami umożliwiającymi identyfikację tego dokumentu i osoby fizycznej;
dokument elektroniczny, który musi zawierać obowiązkowe szczegóły umożliwiające identyfikację tego dokumentu i osoby fizycznej. Dobrowolne wyrażenie woli osoby fizycznej w celu udzielenia zgody na przetwarzanie jej danych osobowych powinno być poświadczone podpisem elektronicznym podmiotu danych osobowych;
znakiem na stronie elektronicznej dokumentu lub w pliku elektronicznym, który jest przetwarzany w systemie informatycznym w oparciu o udokumentowane rozwiązania programowe i techniczne.

4.3. Zgoda podmiotu danych osobowych jest udzielana podczas rejestracji stosunków cywilnoprawnych zgodnie z obowiązującymi przepisami.

4.4. Powiadomienie podmiotu danych osobowych o umieszczeniu jego danych osobowych w bazie danych osobowych, prawach określonych przez Ustawę Ukrainy „O ochronie danych osobowych”, celu gromadzenia danych i osobach, którym przekazywane są jego dane osobowe, odbywa się podczas rejestracji stosunków cywilnoprawnych zgodnie z obowiązującymi przepisami.

4.5. Przetwarzanie danych osobowych ujawniających pochodzenie rasowe lub etniczne, przekonania polityczne, religijne lub filozoficzne, przynależność do partii politycznych i związków zawodowych, a także danych dotyczących zdrowia lub życia seksualnego (szczególne kategorie danych) jest zabronione.

Lokalizacja bazy danych osobowych

5.1. Bazy danych osobowych określone w punkcie 2 niniejszego Regulaminu znajdują się pod adresem Sprzedawcy.

Warunki udostępniania danych osobowych osobom trzecim

6.1. Procedura dostępu do danych osobowych osób trzecich jest określana na warunkach zgody osoby, której dane dotyczą, udzielonej administratorowi danych osobowych na przetwarzanie tych danych lub zgodnie z wymogami prawa.

6.2. Dostęp do danych osobowych nie jest udzielany osobie trzeciej, jeżeli wskazana osoba odmawia podjęcia zobowiązań w celu zapewnienia zgodności z wymogami Ustawy Ukrainy „O ochronie danych osobowych” lub nie jest w stanie ich zapewnić.

6.3. Podmiot relacji związanych z danymi osobowymi składa wniosek o dostęp (zwany dalej wnioskiem) do danych osobowych do administratora danych osobowych.

6.4. Wniosek powinien zawierać:

nazwisko, imię i nazwisko rodowe, miejsce zamieszkania (miejsce pobytu) oraz dane dokumentu potwierdzającego osobę składającą wniosek (dla osoby fizycznej — wnioskodawcy);
nazwę, lokalizację osoby prawnej składającej wniosek, stanowisko, nazwisko, imię i nazwisko rodowe osoby potwierdzającej wniosek; potwierdzenie, że treść wniosku odpowiada uprawnieniom osoby prawnej (w przypadku osoby prawnej — wnioskodawcy);
nazwisko, imię i nazwisko rodowe, a także inne informacje pozwalające na zidentyfikowanie osoby, w odniesieniu do której wniosek jest składany;
informacje o bazie danych osobowych, w odniesieniu do której wniosek jest składany, czy informacjetych dotyczących właściciela lub zarządcy tej bazy danych osobowych;
lista żądanych danych osobowych;
cel i/lub podstawa prawna żądania.

6.5. Termin rozpatrzenia żądania w celu jego realizacji nie może przekroczyć dziesięciu dni roboczych od daty jego otrzymania. W tym terminie właściciel bazy danych osobowych poinformuje osobę składającą żądanie, że żądanie zostanie zrealizowane lub odpowiednie dane osobowe nie zostaną udostępnione, wskazując powody określone w odpowiednim akcie prawnym. Żądanie zostanie zrealizowane w ciągu trzydziestu dni kalendarzowych od daty jego otrzymania, chyba że prawo stanowi inaczej.

6.6. Odroczenie dostępu do danych osobowych osób trzecich jest dozwolone, jeśli wymagane dane nie mogą zostać dostarczone w ciągu trzydziestu dni kalendarzowych od daty otrzymania żądania. W takim przypadku łączny okres na rozwiązanie kwestii podniesionych we wniosku nie może przekroczyć czterdziestu pięciu dni kalendarzowych.

6.7. Powiadomienie o odroczeniu zostanie przekazane osobie trzeciej, która złożyła wniosek, na piśmie, wraz z wyjaśnieniem procedury odwołania się od takiej decyzji.

6.8. Powiadomienie o odroczeniu powinno zawierać:

nazwisko, imię i nazwisko patronimiczne urzędnika;
datę wysłania powiadomienia;
powód odroczenia;
terminy, w których wniosek zostanie spełniony.

6.9. Odmowa dostępu do danych osobowych jest dozwolona, jeśli dostęp do nich jest zabroniony przez prawo.

6.10. Powiadomienie o odmowie powinno zawierać:

nazwisko, imię, patronim urzędnika, który odmawia dostępu;
datę wysłania powiadomienia;
powód odmowy.

6.11. Decyzję o odroczeniu lub odmowie dostępu do danych osobowych można zaskarżyć do sądu.

Ochrona danych osobowych: metody ochrony, osoba odpowiedzialna, pracownicy, którzy bezpośrednio przetwarzają i/lub mają dostęp do danych osobowych w związku z wykonywaniem obowiązków służbowych, okres przechowywania danych osobowych

7.1. Właściciel bazy danych osobowych jest wyposażony w środki systemowe i programowe oraz sprzętowe i środki komunikacji, które zapobiegają utracie, kradzieży, nieautoryzowanemu zniszczeniu, zniekształceniu, fałszerstwu, kopiowaniu informacji i spełniają wymagania norm międzynarodowych i krajowych.

7.2. Osoba odpowiedzialna organizuje prace związane z ochroną danych osobowych podczas ich przetwarzania, zgodnie z prawem. Osoba odpowiedzialna jest ustalana na mocy zarządzenia Właściciela bazy danych osobowych.

Obowiązki osoby odpowiedzialnej dotyczące organizacji prac związanych z ochroną danych osobowych podczas ich przetwarzania są określone w opisie stanowiska.

7.3. Osoba odpowiedzialna jest zobowiązana do:

znać ustawodawstwo Ukrainy w zakresie ochrony danych osobowych;
opracować procedury dostępu do danych osobowych pracowników zgodnie z ich obowiązkami zawodowymi, urzędowymi lub pracowniczymi;
zapewnić, że pracownicy Właściciela bazy danych osobowych przestrzegają wymogów ustawodawstwa Ukrainy w zakresie ochrony danych osobowych i wewnętrznych dokumentów regulujących działalność Właściciela bazy danych osobowych dotyczących przetwarzania i ochrony danych osobowych w bazach danych osobowych;
opracować procedurę (procedurę) kontroli wewnętrznej przestrzegania wymogów ustawodawstwa Ukrainy w zakresie ochrony danych osobowych i wewnętrznych dokumentów regulujących działalność Właściciela bazy danych osobowych dotyczących przetwarzania i ochrony danych osobowych w bazach danych osobowych, która w szczególności musi zawierać normy dotyczące częstotliwości takiej kontroli;
powiadomić Właściciela bazy danych osobowych o faktach naruszenia przez pracowników wymogów ustawodawstwa Ukrainy w zakresie ochrony danych osobowych i wewnętrznych dokumentów regulujących działalność Właściciela bazy danych osobowych w zakresie przetwarzania i ochrony danych osobowych w bazach danych osobowych w terminie nie dłuższym niż jeden dzień roboczy od momentu wykrycia takich naruszeń;
zapewnić przechowywanie dokumentów potwierdzających udzielenie przez podmiot danych osobowych zgody na przetwarzanie jego danych osobowych i powiadomienie wskazanego podmiotu o jego prawach.

7.4. W celu wypełnienia swoich obowiązków osoba odpowiedzialna ma prawo:

otrzymać niezbędne dokumenty, w tym rozkazy i inne dokumenty administracyjne wydane przez Właściciela bazy danych osobowych, w związku zzwiązanych z przetwarzaniem danych osobowych;
wykonywać kopie otrzymanych dokumentów, w tym kopie plików, wszelkich zapisów przechowywanych w lokalnych sieciach komputerowych i autonomicznych systemach komputerowych;
uczestniczyć w dyskusji na temat obowiązków wykonywanych przez niego/nią w celu organizacji pracy związanej z ochroną danych osobowych podczas ich przetwarzania;
składać propozycje usprawnienia działań i udoskonalenia metod pracy, składać uwagi i propozycje wyeliminowania zidentyfikowanych niedociągnięć w procesie przetwarzania danych osobowych;
przyjmować wyjaśnienia w kwestiach związanych z przetwarzaniem danych osobowych;
podpisywać i potwierdzać dokumenty w granicach swoich kompetencji.

7.5. Pracownicy, którzy bezpośrednio przetwarzają i/lub mają dostęp do danych osobowych w związku z wykonywaniem swoich obowiązków służbowych (pracowniczych), są zobowiązani do przestrzegania wymogów ustawodawstwa Ukrainy w zakresie ochrony danych osobowych i dokumentów wewnętrznych dotyczących przetwarzania i ochrony danych osobowych w bazach danych osobowych.

7.6. Pracownicy, którzy mają dostęp do danych osobowych, w tym ci, którzy je przetwarzają, są zobowiązani do zapobiegania ujawnianiu w jakikolwiek sposób powierzonych im danych osobowych lub danych, które stały się znane w związku z wykonywaniem obowiązków zawodowych, urzędowych lub pracowniczych. Taki obowiązek obowiązuje po zakończeniu ich działalności związanej z danymi osobowymi, z wyjątkiem przypadków określonych przez prawo.

7.7. Osoby, które mają dostęp do danych osobowych, w tym te, które je przetwarzają, w przypadku naruszenia wymogów Ustawy Ukrainy „O ochronie danych osobowych” ponoszą odpowiedzialność zgodnie z ustawodawstwem Ukrainy.

7.8. Dane osobowe nie będą przechowywane dłużej niż jest to konieczne do celu, w jakim są przechowywane, ale w każdym przypadku nie dłużej niż okres przechowywania danych określony w zgodzie podmiotu danych osobowych na przetwarzanie takich danych.

Prawa podmiotu danych osobowych

8.1. Podmiot danych osobowych ma prawo:

do poznania lokalizacji bazy danych osobowych zawierającej jego/jej dane osobowe, jej celu oraz nazwy, lokalizacji i/lub miejsca zamieszkania (pobytu) właściciela lub zarządcy tej bazy lub do wydania stosownego polecenia uzyskania tych informacji osobom upoważnionym przez niego/nią, z wyjątkiem przypadków przewidzianych prawem;
do otrzymania informacji o warunkach udostępniania danych osobowych, w szczególności informacji o osobach trzecich, którym przekazywane są jego/jej dane osobowe zawarte w odpowiedniej bazie danych osobowych;
do dostępu do jego/jej danych osobowych zawartych w odpowiedniej bazie danych osobowych;
do otrzymania nie później niż w ciągu trzydziestu dni kalendarzowych od daty otrzymania żądania, z wyjątkiem przypadków przewidzianych prawem, odpowiedzi, czy jego/jej dane osobowe są przechowywane w odpowiedniej bazie danych osobowych, a także do otrzymania treści jego/jej danych osobowych, które są przechowywane;
do złożenia uzasadnionego wniosku ze sprzeciwem wobec przetwarzania jego/jej danych osobowych przez organy państwowe, organy samorządu terytorialnego w wykonywaniu uprawnień przewidzianych prawem;
do złożenia uzasadnionego wniosku o zmianę lub zniszczenie jego danych osobowych przez każdego właściciela i administratora tej bazy, jeżeli dane te są przetwarzane niezgodnie z prawem lub są niewiarygodne;
do ochrony jego danych osobowych przed bezprawnym przetwarzaniem oraz przypadkową utratą, zniszczeniem, uszkodzeniem z powodu umyślnego ukrycia, nieudostępnienia lub nieterminowego udostępnienia, a także do ochrony przed udostępnieniem informacji, które są niewiarygodne lub zniesławiają cześć, godność i renomę biznesową osoby fizycznej;
do stosowania się do organów państwowych, organów samorządu terytorialnego, których uprawnienia obejmują ochronę danych osobowych;
do stosowania środków prawnych w przypadku naruszenia przepisów o ochronie danych osobowych ochrona.

Procedura postępowania z wnioskami od podmiotów danych osobowych

9.1. Podmiot danych osobowych ma prawo do otrzymywania wszelkich informacji o sobie od podmiotu relacji związanych z danymi osobowymi, bez określania celu wniosku, z wyjątkiem przypadków określonych przez prawo.

9.2. Dostęp podmiotu danych osobowych do dane osobowe udostępniane są bezpłatnie.

9.3. Podmiot danych osobowych składa wniosek o dostęp (zwany dalej wnioskiem) do właściciela danych osobowych.

Wniosek powinien określać:

nazwisko, imię i nazwisko rodowe, miejsce zamieszkania (miejsce pobytu) oraz dane dokumentu potwierdzającego tożsamość podmiotu danych osobowych;
inne informacje umożliwiające identyfikację podmiotu danych osobowych;
informacje o bazie danych osobowych, w odniesieniu do której składany jest wniosek, lub informacje o właścicielu lub administratorze tej bazy danych;
listę żądanych danych osobowych.

9.4. Termin rozpatrzenia wniosku pod kątem jego spełnienia nie może przekroczyć dziesięciu dni roboczych od daty jego otrzymania. W tym okresie właściciel bazy danych osobowych informuje podmiot danych osobowych, że żądanie zostanie spełnione lub odpowiednie dane osobowe nie zostaną udostępnione, wskazując powody określone w odpowiednim akcie prawnym.

9.5. Żądanie zostanie spełnione w ciągu trzydziestu dni kalendarzowych od daty jego otrzymania, chyba że prawo stanowi inaczej.