Доступ к персональным данным третьих лиц

Госслужба по вопросам защиты персональных данных в письме ? 137 от 16.03.2012 г. ответила на вопрос относительно доступа к персональным данным третьих лиц и ответственности за нарушения требований законодательства в сфере защиты персональных данных.      
Субъекты отношений, связанных с персональными данными, в том числе владельцы баз персональных данных - лечебные учреждения и третьи лица, которыми являются лица, имеющие целью ознакомиться с материалами, необходимыми для научных работ, должны осуществлять свои полномочия в пределах, установленных Конституцией и законами Украины (требования части второй статьи 25 Закона Украины "О защите персональных данных").
Требования относительно распространения персональных данных, порядка доступа к персональным данным третьих лиц определены статьями 14, 16 Закона Украины "О защите персональных данных" (далее - Закон).  
Как следует из статьи 14 Закона действия относительно распространения персональных данных (передачи сведений о физическом лице из баз персональных данных) осуществляются с согласия субъекта персональных данных.
При этом распространение персональных данных без согласия субъекта персональных данных или уполномоченного им лица допускается в случаях, определенных законом, и только в интересах национальной безопасности, экономического благосостояния и прав человека.
Согласно статье 16 Закона порядок доступа к персональным данным третьих лиц определяется условиями согласия субъекта персональных данных, предоставленными владельцу базы персональных данных на обработку данных, или в соответствии с требованиями закона.            Акцентируем внимание, что часть первая статьи 7 Закона запрещает осуществлять обработку персональных данных, касающихся здоровья или половой жизни.       
Этот запрет не применяется, если обработка персональных данных:
1) осуществляется при условии предоставления субъектом персональных данных однозначного согласия на обработку таких данных;
2) необходима для осуществления прав и исполнения обязанностей в сфере трудовых правоотношений согласно закону;
3) необходима для защиты интересов субъекта персональных данных или другого лица в случае недееспособности или ограничения гражданской дееспособности субъекта персональных данных;
4) осуществляется религиозной организацией, общественной организацией мировоззренческой направленности, политической партией или профессиональным союзом, созданными в соответствии с законом, при условии, что обработка относится исключительно к персональным данным членов этих объединений или лиц, которые поддерживают постоянные контакты с ними в связи с характером их деятельности, и персональные данные не передаются третьим лицам без согласия субъектов персональных данных;
5) необходима для обоснования, удовлетворения или защиты правового требования;
6) необходима в целях охраны здоровья, для обеспечения заботы или лечения при условии, что такие данные обрабатываются медицинским работником или другим лицом учреждения здравоохранения, на которого возложены обязанности по обеспечению защиты персональных данных;
7) касается обвинений в совершении преступлений, приговоров суда, осуществления государственным органом полномочий, определенных законом, относительно выполнения задач оперативно-розыскной или контрразведывательной деятельности, борьбы с терроризмом;
8) касается данных, которые были обнародованы субъектом персональных данных.
Учитывая указанные положения Закона и с целью недопущения незаконного распространения и дальнейшего распространения сведений о физических лицах, которые касаются их здоровья, к обработке которых предъявляются особые требования, доступ к документам, содержащим такие персональные данные, может осуществляться:
1) при условии предоставления субъектом персональных данных однозначного согласия на обработку таких данных;
2) в случае обеспечения субъектов отношений, связанных с персональными данными, - третьих лиц (имеющих целью ознакомиться с материалами, необходимыми для научных трудов), обезличенной информацией о персональных данных.
Важно отметить, что использование персональных данных в исторических, статистических или научных целях может осуществляться только в обезличенном виде (часть девятая статьи 6 Закона).
Учитывая обстоятельства, указанные в письме от 16.03.2012 г., лечебные учреждения являются владельцами баз персональных данных, поскольку осуществляют действия, связанные с обработкой персональных данных своих пациентов. В связи с этим, обеспечение защиты персональных данных в базе персональных данных возлагается на владельца этой базы (требования части третьей статьи 24 Закона).
Выполнение вышеуказанных требований возможно путем заключения договора между кандидатом и лечебным учреждением который, в частности, должен содержать следующие положения:
1. Цель получения доступа к персональным данным.
2. Порядок доступа к персональным данным, в частности, относительно возложения на кандидата обязательства по обеспечению выполнения требований Закона и подтверждения способности их обеспечения (часть вторая статьи 16 Закона).
3. Порядок использования персональных данных полученных в научных целях (часть девятая статьи 6 Закона).