Политика конфиденциальности

Статья 8.Законность обработки личных данных

1. Обработка личных данных является законной, если:

1) данные обработаны с соблюдением требований закона и субъект данных дал свое согласие на это, за исключением случаев, непосредственно предусмотренных настоящим Законом либо иными законами, или

2) обрабатываемые данные получены из общедоступных источников личных данных.

Статья 9.Согласие субъекта личных данных

1. Субъект данных может дать свое согласие лично или через представителя, если подобное полномочие специально предусмотрено доверенностью.

2. Данные, обрабатываемые на основании согласия, сохраняются на срок, объективно необходимый для осуществления целей обработки данных, или на установленный согласием срок.

3. Субъект данных вправе отозвать свое согласие в случаях и порядке, предусмотренных настоящим Законом, а также иными законами.

4. Согласие субъекта данных считается полученным и оператор имеет право на их обработку, когда:

1) личные данные указаны в документе, адресованном оператору и подписанном субъектом данных, за исключением случаев, когда документ по своему содержанию является возражением против обработки личных данных;

2) оператор получил данные на основании договора, заключенного с субъектом данных, и использует их в целях действий, установленных этим договором;

3) субъект данных добровольно передает в устной форме сведения о своих личных данных оператору в целях использования.

5. Личные данные могут быть обработаны без согласия субъекта данных, если обработка данных непосредственно предусмотрена законом.

6. Оператор личных данных или уполномоченное лицо в целях получения письменного согласия субъекта данных уведомляет субъекта данных о намерении осуществить обработку данных.

7. Согласие субъекта данных дается в письменной или электронной форме с подтвержденной электронной цифровой подписью, а при устном согласии - посредством таких достоверных действий, которые явно будут свидетельствовать о согласии субъекта данных на использование личных данных.

8. Обязанность по доказыванию факта получения согласия субъекта данных, а в случае обработки общедоступных личных данных - факта их общедоступности несет оператор.

9. В случае недееспособности или ограниченной дееспособности, или несовершеннолетия до 16 лет субъекта данных согласие на обработку его личных данных дает законный представитель субъекта данных.

10. В случае смерти субъекта данных или признания его умершим по решению суда согласие на обработку его личных данных дают все законные наследники субъекта данных, а в случае отсутствия наследников – руководитель муниципалитета по месту открытия наследства, а в случае признания безвестно отсутствующим – доверительный управляющий имуществом лица, признанного безвестно отсутствующим, если до этого подобное согласие субъектом этих данных не было дано.

11. В случае смерти субъекта данных его личные данные могут быть обработаны без согласия, если обрабатываемыми данными должны стать имя, пол, день, месяц, год рождения и смерти умершего лица. В случае смерти деятеля в области культуры, искусства, науки, образования, спорта, религиии, других публичных областей данные его личной жизни могут быть обработаны без согласия, если со дня смерти прошло пятьдесят лет.

Статья 10.Уведомление, представляемое субъекту данных для получения согласия на обработку личных данных

1. Оператор личных данных или уполномоченное лицо, предусмотренное статьей 14 настоящего Закона, уведомляет субъекта данных о намерении обработки данных для получения его согласия.

2. В уведомлении указываются:

1) фамилия, имя, отчество субъекта данных;

2) правовые основания и цель обработки личных данных;

3) перечень личных данных, подлежащих обработке;

4) перечень действий, подлежащих совершению с личными данными, для которых испрашивается согласие субъекта данных;

5) круг лиц, которым могут быть переданы личные данные;

6) наименование (фамилия, имя, отчество, должность) и место нахождения или учета (фактического проживания) оператора или его представителя, испрашивающего согласие субъекта личных данных;

7) сведения о требовании субъекта данных по исправлению, уничтожению личных данных, прекращению обработки данных или совершению другого действия, связанного с обработкой;

8) срок действия испрашиваемого согласия, а также порядок отзыва согласия и его последствия.

Статья 11.Общедоступные личные данные

1. С согласия субъекта данных или в предусмотренных законом случаях может быть установлен режим информационной общедоступности личных данных (телефонные справочники, адресные книги, биографические справочники, частные объявления, декларирование доходов и прочее). Общедоступными считаются имя, фамилия, день, месяц и год, место рождения лица; место, день, месяц и год смерти лица, а также личные данные, которые при совершении субъектом данных сознательных действий, направленных на их общедоступность, становятся доступными для определенного или неопределенного круга лиц.

2. Сведения о субъекте данных могут быть исключены из общедоступных источников личных данных по требованию субъекта данных или в судебном порядке, за исключением сведений, предусмотренных частью 1 настоящей статьи.

3. Данные, обрабатываемые на основании договора, могут быть исключены из общедоступных источников личных данных по взаимному согласию или в судебном порядке.

Статья 12.Особенности обработки личных данных специальной категории

1. Запрещается обработка личных данных специальной категории без согласия лица, за исключением обработки данных, непосредственно предусмотренной законом.

2. Обработка личных данных, предусмотренная частью 1 настоящей статьи, незамедлительно прекращается, если отпали основания и цель обработки данных.

Статья 13.Особенности обработки биометрических личных данных

1. Биометрические личные данные обрабатываются только с согласия субъекта данных, за исключением случаев, предусмотренных законом, и если осуществление преследуемой законом цели возможно только путем обработки этих биометрических данных.

 Статья 14.Обработка уполномоченным лицом личных данных по заданию оператора данных

1. Личные данные может обрабатывать также уполномоченное лицо по заданию оператора данных.

2. Задание дается в письменной форме, в нем должны быть изложены правовые основания и условия, цель обработки личных данных, перечень личных данных, подлежащих обработке, круг субъектов данных, круг лиц, которым могут передаваться личные данные, технические и организационные мероприятия по защите личных данных и другие необходимые сведения.

3. Личные данные обрабатываются только в пределах задания. Ответственным за обработку личных данных в пределах задания является оператор данных. Если задание не соответствует требованиям закона, то уполномоченное лицо должно в письменной форме проинформировать об этом оператора и отказаться от обработки.

4. Личные данные обрабатываются по заданию органов государственного управления или местного самоуправления, государственных или муниципальных учреждений или организаций с соблюдением требований настоящего Закона.

5. Иными законами и договорами, заключенными между оператором данных и уполномоченным лицом, могут устанавливаться особенности обработки уполномоченным лицом личных данных, которые не могут относиться к правам и обязанностям других лиц.

Статья 18.Обязанности оператора личных данных в ходе сбора личных данных

 1. Оператор в ходе обработки личных данных обязан предоставить по требованию субъекта данных информацию, предусмотренную статьей 15 настоящего Закона.

2. Оператор личных данных в случае неполных, неточных, устаревших, полученных незаконным путем или не являющихся необходимыми для достижения целей обработки личных данных обязан осуществить необходимые действия по их дополнению, обновлению, исправлению или уничтожению.

3. Оператор обязан в письменной форме разъяснить субъекту данных последствия непредставления личных данных, в том числе права субъекта личных данных.

4. Если личные данные получены не от субъекта данных, за исключением предусмотренных законом случаев, а также общедоступных личных данных, то оператор до обработки таких личных данных обязан предоставить субъекту данных следующую информацию:

1) наименование (фамилию, имя, отчество) и место нахождения или учета (фактического проживания) оператора или уполномоченного им лица (при наличии);

2) цель и правовое основание обработки личных данных, перечень обрабатываемых данных;

3) круг возможных пользователей личных данных;

4) права субъекта данных, установленные настоящим Законом.

 Статья 19.Меры по обеспечению безопасности обработки личных данных и обязанности оператора

 1. Оператор обязан уничтожать или блокировать личные данные, не являющиеся необходимыми для достижения законной цели.

2. Оператор при обработке личных данных обязан использовать шифровальные средства для обеспечения защиты информационных систем, содержащих личные данные, от случайной потери, незаконного проникновения в информационные системы, незаконных использования, записи, уничтожения, преобразования, блокирования, копирования, распространения личных данных и другого вмешательства.

3. Оператор обязан предотвращать доступ к соответствующим технологиям обработки личных данных лиц, не имеющих на это право, и обеспечивать, чтобы законному пользователю этих систем были доступны только обрабатываемые им данные и те данные, которыми разрешается пользоваться.

4. Требования, предъявляемые к обеспечению безопасности обработки личных данных в информационных системах, требования, предъявляемые к материальным носителям биометрических личных данных и технологиям хранения таких личных данных вне информационных систем, устанавливаются постановлением Правительства Республики Армения.

5. В случае установления законом другого осуществляющего надзор органа этот орган в пределах отведенных ему полномочий может устанавливать более высокие требования, чем предусмотренные частью 4 настоящей статьи требования, установленные постановлением Правительства Республики Армения.

6. Использование и хранение биометрических личных данных вне информационных систем могут осуществляться только на таких материальных носителях, с применением таких технологий или такими способами, которые обеспечивают защиту этих данных от незаконного в них проникновения, незаконного использования, уничтожения, преобразования, блокирования, копирования, распространения личных данных и прочего.

7. Операторы личных данных или другие предусмотренные настоящим Законом лица обязаны обеспечивать конфиденциальность личных данных как в процессе исполнения служебных или трудовых обязанностей, связанных с обработкой личных данных, так и после его завершения.

8. Надзор за выполнением требований настоящей статьи осуществляет уполномоченный орган по защите личных данных – без права на обработку личных данных, обрабатываемых в информационных системах.

9. Юридические лица, обрабатывающие личные данные, могут обращаться в уполномоченный орган по защите личных данных в целях признания наличия достаточного уровня защиты и включения в реестр электронной системы обработки личных данных, находящейся в их распоряжении.

 Статья 20.Обязанности оператора личных данных в случаях письменного запроса, ознакомления субъектаданных или уполномоченного органа с личными данными,выявления оператором или уполномоченныморганом нарушений

 1. Оператор обязан в порядке, установленном статьей 15 настоящего Закона, предоставить субъекту данных и уполномоченному органу информацию о наличии личных данных, относящихся к субъекту данных, или предоставить возможность ознакомления с ними в течение пяти дней после получения их письменного запроса.

2. Оператор обязан безвозмездно предоставить субъекту данных возможность ознакомления с личными данными, относящимися к субъекту данных. Если личные данные субъекта данных являются неполными или неточными, или устаревшими, или получены незаконным путем, или не являются необходимыми для достижения цели обработки, то при выявлении этого оператором или уполномоченным органом либо после получения заявления от субъекта данных или его законного представителя (или уполномоченного лица) оператор обязан осуществить необходимые действия по их дополнению, обновлению, внесению изменений, блокированию или уничтожению незамедлительно либо, при отсутствии такой возможности, в течение трех рабочих дней.

3. Оператор обязан на основании запроса уполномоченного органа по защите личных данных предоставить ему информацию, необходимую для осуществления его деятельности, в течении пяти дней со дня получения запроса.

4. В случае отказа в предоставлении, исправлении, блокировании или уничтожении личных данных субъекта данных на основании письменного требования субъекта данных оператор обязан в течение пяти дней со дня получения запроса предоставить субъекту данных и уполномоченному органу мотивированное письменное решение со ссылкой на положения закона, послужившие основанием для принятия решения.

5. В случае признания уполномоченным органом оснований отказа в предоставлении, исправлении, блокировании или уничтожении личных данных немотивированными оператор обязан незамедлительно предоставить, исправить, блокировать или уничтожить личные данные субъекта данных или обжаловать решение уполномоченного органа в судебном порядке.

 Статья 21.Обязанности оператора при устранении нарушений законодательства, допущенных в ходе обработки личных данных, исправлении, блокировании или уничтожении личных данных

 1. В случае оспаривания достоверности или законности обработки личных данных на основании запроса субъекта данных или уполномоченного органа по защите личных данных оператор обязан заблокировать личные данные, относящиеся к субъекту данных, с момента получения запроса до окончания действий по проверке.

2. В случае подтверждения факта неточности личных данных оператор обязан внести исправления в личные данные и разблокировать их на основании документов, представленных субъектом данных или уполномоченным органом по защите личных данных, или других необходимых документов.

3. В случае выявления незаконных действий, совершаемых с личными данными, оператор незамедлительно, но не позднее чем в течение трех рабочих дней, обязан устранить допущенные нарушения. При невозможности устранения нарушений оператор обязан незамедлительно уничтожить личные данные. Оператор обязан в течение трех рабочих дней уведомить субъекта данных или его представителя, а в случае, если запрос получен от уполномоченного органа по защите личных данных, также этот орган об устранении нарушений или уничтожении личных данных.

4. В случае утечки личных данных из электронных систем оператор обязан незамедлительно опубликовать объявление об этом, одновременно заявив об утечке в Полицию Республики Армения и уполномоченный орган по защите личных данных.

5. При достижении цели обработки личных данных оператор обязан незамедлительно прекратить обработку данных, если законом не предусмотрено иное.

6. В случае отзыва письменного согласия субъекта данных, подтвержденного подписью, или его согласия в электронной форме с подтвержденной электронной цифровой подписью, оператор обязан прекратить обработку личных данных и уничтожить данные в течение десяти рабочих дней, следующих за днем получения отзыва, если взаимным согласием субъекта данных и оператора или законом не предусмотрено иное. Оператор обязан уведомить субъекта данных об уничтожении личных данных в течение трех рабочих дней с момента уничтожения.

 Статья 22.Порядок осуществления полномочий уполномоченного органа посредством другого органа, осуществляющего надзор

 1. Если законом установлен другой орган, осуществляющий надзор, то этот орган, осуществляющий надзор, предоставляет уполномоченному органу заключение о признании наличия достаточного уровня защиты электронных систем обработки личных данных юридических лиц.

2. Если законом установлен другой орган, осуществляющий надзор, то уполномоченный орган передает заявления о защите личных данных, а также сведения о защите личных данных этому органу, осуществляющему надзор.

3. Другой орган, осуществляющий надзор, направляет решения, вынесенные им в сфере защиты личных данных, или сведения о действиях по защите личных данных в уполномоченный орган в сжатые сроки.

4. Уполномоченный орган может обжаловать решения, действия и бездействие осуществляющего надзор другого органа в судебном порядке.

 Статья 23.Уведомление уполномоченного органа об обработке личных данных

 1. Оператор до обработки личных данных имеет право уведомить уполномоченный орган по защите личных данных о своем намерении осуществить обработку данных.

2. Оператор по требованию уполномоченного органа обязан направить уведомление уполномоченному органу.

3. Оператор до обработки биометрических личных данных или личных данных специальной категории обязан уведомить уполномоченный орган по защите личных данных о намерении осуществить обработку данных.

4. В уведомлении указываются следующие сведения:

1) наименование (фамилия, имя, отчество), место нахождения или учета оператора или уполномоченного лица (при наличии);

2) цель и правовые основания обработки личных данных;

3) круг личных данных;

4) круг субъектов данных;

5) перечень действий, совершаемых с личными данными, общее описание способов обработки оператором личных данных;

6) описание мер, которые оператор обязуется осуществить по обеспечению безопасности обработки личных данных;

7) дата начала обработки личных данных;

8) сроки и условия завершения обработки личных данных.

5. Уполномоченный орган по защите личных данных в течение 30-ти дней после получения уведомления вносит в реестр операторов сведения, предусмотренные частью 2 настоящей статьи, а также сведения о дате направления данного уведомления.

6. На оператора не могут возлагаться расходы, связанные с рассмотрением уведомления об обработке личных данных уполномоченным органом по защите личных данных, а также с внесением сведений в реестр операторов.

7. В случае, когда представленные оператором сведения, предусмотренные частью 2 настоящей статьи, являются неполными или неточными, уполномоченный орган по защите личных данных вправе потребовать от оператора уточнения представленных сведений до их внесения в реестр операторов.

8. В случае изменения сведений, предусмотренных частью 2 настоящей статьи, оператор обязан уведомить уполномоченный орган по защите личных данных об изменениях в течение десяти рабочих дней со дня возникновения изменений.

 Статья 15.Право субъекта данных на получение сведений о своих личных данных

 1. Субъект данных вправе получать сведения о своих личных данных, об обработке данных, основаниях и целях обработки, операторе данных, о месте его нахождения, а также круге лиц, которым могут быть переданы личные данные.

2. Субъект данных вправе ознакомляться со своими личными данными, требовать от оператора исправления, блокирования или уничтожения своих личных данных, если личные данные являются неполными или неточными, или устаревшими, или получены незаконным путем, или не являются необходимыми для достижения целей обработки.

3. В случае сомнений относительно исправления, блокирования или уничтожения оператором личных данных субъект данных вправе обратиться в уполномоченный орган по защите личных данных с требованием о выяснении факта исправления, блокирования или уничтожения своих личных данных и о предоставлении ему сведений.

4. Сведения о личных данных должны быть предоставлены оператором субъекту данных в доступной форме и не должны содержать личные сведения о другом субъекте данных.

5. Личные данные предоставляются субъекту данных на основании письменного запроса субъекта данных или его представителя, выступающего по доверенности, или законного представителя. Запрос может быть направлен в электронной форме с подтвержденной электронной цифровой подписью.

6. Субъект данных вправе получать информацию об обработке своих личных данных, в том числе:

1) о подтверждении факта обработки и цели обработки личных данных;

2) о способах обработки личных данных;

3) о субъектах, которым предоставлены или могут предоставляться личные данные;

4) о перечне обрабатываемых личных данных и об источниках их получения;

5) о сроках обработки личных данных;

6) о возможных правовых последствиях, возникающих для субъекта данных вследствие обработки личных данных.

7. Сведения предоставляются субъекту данных бесплатно, если законом не предусмотрено иное.

Статья 16.Права субъекта данных при принятии решений на основании обработки личных данных

 1. Запрещается принятие таких не следующих из целей обработки личных данных решений, которые влекут для субъекта данных правовые последствия или иным образом соотносятся с его правами и законными интересами, за исключением случаев, предусмотренных частью 2 настоящей статьи.

2. Решения, влекущие для субъекта данных правовые последствия, или иным образом соотносящиеся с его правами и законными интересами на основании обработки личных данных, принимаются с согласия субъекта данных или в предусмотренных законом случаях.

 Статья 17.Право на обжалование действий или бездействия оператора

 1. Если субъект данных сочтет, что обработка его личных данных осуществляется с нарушением требований настоящего Закона или иным образом нарушает его права и свободы, то он вправе обжаловать в уполномоченный орган по защите личных данных или в судебном порядке действия или бездействие, или решения оператора.

2. Субъект данных имеет право на возмещение вреда в установленном законом порядке.