ИНТЕРНЕТ-УСЛУГИ И БАЗЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

Предприятие предоставляет интернет-услуги физическим лицам с возможностью их оплаты через платежные терминалы. Для проведения платежей интернет-провайдер предоставляет учреждению, обслуживающему терминалы, информацию о клиентах (ФИО и паспортные данные) и о заключенных с ними договорах (номер и дату договора). Считается ли такая информация базой персональных данных? Если да, то что нужно сделать интернет-провайдеру, чтобы соблюсти требования Закона о БПД⁽¹⁾?

1

Составление сметной документации согласно требований Настанови

Составим инвесторскую смету, договорную цену контракта; согласно «Настанова з визначення вартості будівництва» (затверджена наказом Мінрегіону № 281 від 01.11.2021)

2

Акт выполненных работ по форме КБ2 и КБ3

Сделаем акт выполненных работ по форме КБ2 и КБ3. Это первичный документ подписывается между Подрядчиком, выполнившим любую часть работ за текущий месяц и Заказчиком

3

Подготовка сметной документации для участия в тендере

Занимаемся разработкой сметной документации для участия в тендере. Выполняется по объемам работ и с учетом требований изложенных в документации конкурсных торгов

Положения ст.1 Закона о БПД определяют персональные данные как сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано. Стоит отметить, что объем данных, определяющий их персональными, законом однозначно не урегулирован, в связи с чем неоднозначным является вопрос, считается ли обработкой персональных данных передача собственнику платежных терминалов информации только о номере контракта и (на выбор) только о номере телефона пользователя, или его фамилии и инициалах либо домашнем адресе. По мнению Государственной службы Украины по вопросам защиты персональных данных, изложенному в письме от 20.08.2012 г. № 10/3905-12, «…персональные данные — это любая информация... в частности фамилия, имя, отчество, адрес проживания, контактный телефон, дата рождения, IP-адрес и т.п.».

Но, исходя из объема информации о том, какие данные обрабатываются интернет-провайдером и передаются им далее, можно сделать вывод, что с их помощью идентифицируется физическое лицо, следовательно, они являются персональными данными, защита которых осуществляется указанным Законом.

В связи с этим, затронутый вопрос следует рассматривать в контексте следующих процедур:

– получение персональных данных интернет-провайдером;

– распоряжение персональными данными путем их передачи учреждению, осуществляющему прием платежей через платежные терминалы.

Отметим, что указанные операции Закон о БПД называет обработкой персональных данных, причем помимо стандартного их хранения⁽²⁾ в данном случае происходит и их распространение (передача). Основания для возникновения права на обработку персональных данных приведены в ст.11 Закона о БПД. Интерес в данной ситуации, в частности, представляют: согласие субъекта персональных данных на их обработку; заключение и выполнение договора, стороной которого является субъект персональных данных или который заключен в его пользу. Однако даже если представить, что право на обработку персональных данных будет основываться на договоре о предоставлении телекоммуникационных услуг, такой договор не может являться основанием для передачи персональных данных третьему лицу (поскольку природа договора прямо не требует этого для выполнения договора).

Исходя из части первой ст.6 Закона о БПД, цель обработки персональных данных должна быть сформулирована в законах, других нормативно-правовых актах, положениях, учредительных или других документах, регулирующих деятельность владельца персональных данных, и соответствовать законодательству об их защите. При этом согласно части шестой ст.6 Закона не допускается обработка персональных данных о физическом лице без его согласия, кроме случаев, определенных законом, и только в интересах национальной безопасности, экономического благосостояния и прав человека. Также ст.8 Закона о БПД установлено, что субъект персональных данных имеет право знать о местонахождении базы, содержащей его персональные данные, ее назначении и наименовании, местонахождении и/или местожительство (пребывании) владельца или распорядителя, а также получать информацию об условиях предоставления доступа к персональным данным, в частности информацию о третьих лицах, которым они передаются. При этом такие третьи лица должны быть четко идентифицированы.

Таким образом, провайдер интернет-услуг обязан получить от пользователей-физлиц согласие на обработку персональных данных, проинформировав их о цели такой обработки, наименовании базы и перечне лиц, которым такие персональные данные будут (могут) передаваться. Это согласие является основанием для регистрации базы ПД провайдером интернет-услуг⁽³⁾.

Название такой базы данных может быть «Клиенты» либо «Клиенты — физические лица», а цель обработки — «предоставление услуг в сфере интернет, соблюдение положений Гражданского кодекса Украины от 16.01.2003 г. № 435-IV, Закона Украины «О телекоммуникациях» от 18.11.2003 г. № 1280-IV». При этом в заявлении о регистрации базы персональных данных должен быть указан распорядитель — учреждение, обслуживающее платежные терминалы, через которые будет осуществляться прием платежей за интернет-услуги.

Конечно же, это не совсем удобно для провайдера интернет-услуг, ведь на момент регистрации базы персональных данных могут быть неизвестны все операторы платежных терминалов, через которые будут приниматься платежи. А «появление» информации о новых распорядителях персональными данными однозначно повлечет за собой необходимость внесения изменений в регистрационные сведения о базе персональных данных, а также получения дополнительного согласия на передачу персональных данных у клиентов, если, конечно, этого требуют условия данного ранее согласия (часть первая ст.21 Закона о БПД).