Закон РА «О защите персональных данных» (Закон)гарантирует права физических лиц (субъектов данных) и предъявляет обязательные требования к обработчикам персональных данных, уполномоченным лицам и третьим лицам.

В рамках Закона:

«Персональные данные»означает любую информацию, относящуюся к физическому лицу, которая позволяет или может позволить прямо или косвенно идентифицировать личность лица;

«Обработчик персональных данных»– орган государственного управления или местного самоуправления, государственное или муниципальное учреждение или организация, юридическое или физическое лицо, которые организуют и (или) осуществляют обработку персональных данных;

«Субъект данных»означает физическое лицо, к которому относятся персональные данные.

Закон определяет обработку персональных данных. К обработке относится любая операция или совокупность операций независимо от формы и способа осуществления (автоматизированные, с использованием технических средств или без них), связанные с персональными данными, в том числе:

Коллекция.
Вход.
Систематизация.
Организация.
Хранилище.
Использовать.
Изменение.
Реставрация.
Передача.
Исправление.
Блокировка.
Удаление.

Закон также устанавливает основные принципы обработки персональных данных. Это:

1.Принцип законности(Обработчик персональных данных обязан следить и обеспечивать обработку данных с соблюдением требований Закона. Персональные данные обрабатываются в законных и определенных целях и не могут быть использованы для других целей без согласия субъекта данных).

2.Принцип пропорциональности(Обработка данных должна преследовать законную цель, меры для ее достижения должны быть целесообразными, необходимыми и умеренными. Обработчик персональных данных обязан обрабатывать минимальный объем персональных данных, необходимый для достижения законных целей. Запрещается обработка персональных данных, не являющихся необходимыми для цели обработки данных или несовместимыми с ней. Обработка персональных данных запрещается, если цель обработки данных может быть достигнута обезличенным способом. Персональные данные должны храниться таким образом, чтобы исключить их идентификацию с субъект данных на срок более длительный, чем это необходимо для достижения заранее определенных целей).

3.Принцип надежности(Обрабатываемые персональные данные должны быть полными, точными, простыми и, при необходимости, обновляться).

4.Принцип минимального вовлечения субъектов(Обработка персональных данных осуществляется по принципу минимального участия субъектов. В случае, если государственное управление или орган местного самоуправления, нотариус имеют возможность получить персональные данные от другого органа через единую электронную информационную систему, субъект персональных данных не обязан предоставлять персональные данные, необходимые для совершения отдельных операций. При наличии письменного согласия субъекта персональных данных физические или юридические лица, являющиеся обработчиком персональных данных, могут получить от государственного органа или органа местного самоуправления персональные данные, необходимые для совершения определенной операции и прямо указанные в письменной форме. согласие субъекта персональных данных. Порядок передачи персональных данных посредством электронной информационной системы устанавливается Правительством Республики Армения).

В Армении обработка персональных данных считается законной, если: Субъект данных дал согласие на обработку, за исключением случаев, предусмотренных законом, обрабатываемые данные получены из общедоступного источника.

Перед обработкой данных Закон требует согласия субъекта данных на законную обработку, за исключением случаев, когда персональные данные общедоступны. Субъект данных должен дать согласие в письменной или электронной форме, подтвержденное электронной цифровой подписью. Устного согласия может быть достаточно, если оно явно подтверждает согласие субъекта данных на использование его персональных данных.

Чтобы получить письменное согласие субъекта данных перед обработкой персональных данных, обработчик или уполномоченное лицо должно уведомить субъекта данных о своем намерении обрабатывать данные субъекта.

Перед обработкой персональных данных обработчик данных также может уведомить Армянское агентство по защите персональных данных (PDPA) о своем намерении обрабатывать данные. Обработчик должен уведомить PDPA, если:

1. НДПА требует уведомления.

2. Обработчик намеревается обрабатывать биометрические персональные данные или персональные данные особой категории.

Закон не гарантируетобщедоступные персональные данныеподлежащую защите, например, информация, которая:

Становится общедоступной для определенных лиц или общественности либо с согласия субъекта данных, либо в результате сознательных действий субъекта данных по обнародованию информации,
Представляет собой общедоступную информацию по закону (например, имя человека, фамилия, год, месяц и день рождения, а также место рождения).

Закон определяетперсональные данные особой категориикак информация, касающаяся расы человека, национальной принадлежности или этнического происхождения, политических взглядов, религиозных или философских убеждений, членства в профсоюзе, здоровья и сексуальной жизни. Закон также определяетбиометрические персональные данныекак информация, касающаяся физических, физиологических и биологических характеристик человека.

Закон признает право субъекта данных:

Получать информацию о своих персональных данных, обработке данных, основаниях и целях обработки, обработчике данных, его местонахождении, а также о круге лиц, которым могут быть переданы персональные данные.
Ознакомиться со своими персональными данными, потребовать от обработчика исправить, заблокировать или уничтожить свои персональные данные, если персональные данные не являются полными или точными, либо устарели, либо получены незаконно или не являются необходимыми для достижения целей обработки.
В случае возникновения сомнений в отношении исправления, блокирования или уничтожения персональных данных обработчиком обратиться в уполномоченный орган по защите персональных данных для выяснения факта исправления, блокирования или уничтожения его персональных данных и с просьбой предоставить информацию.
Обжаловать действия или бездействие обработчика в уполномоченный государственный орган по защите персональных данных или в судебном порядке.

Закон также определяет обязанности обработчика персональных данных:

Предоставить информацию субъекту данных по запросу субъекта данных.
Разъяснить субъекту данных в письменной форме последствия непредоставления персональных данных, в том числе права субъекта персональных данных.
В случае наличия неполных, неточных, устаревших, незаконно полученных или ненужных для достижения целей обработки персональных данных провести необходимые операции по их дополнению, поддержанию в актуальном состоянии, исправлению или уничтожению.
Уничтожить или заблокировать персональные данные, которые не необходимы для достижения законной цели.
Использовать ключи шифрования для обеспечения защиты информационных систем, содержащих персональные данные, от случайной утраты, несанкционированного доступа к информационным системам, неправомерного использования, записи, уничтожения, изменения, блокирования, копирования, распространения персональных данных и иного вмешательства.
Предотвратить доступ к соответствующим технологиям обработки персональных данных лицам, не имеющим на это права, и обеспечить доступ законному пользователю этих систем только к данным, подлежащим обработке с его стороны, и к данным, использование которых разрешено.
Соблюдать конфиденциальность как при исполнении служебных или трудовых обязанностей по обработке персональных данных, так и после их выполнения.

Закон четко не определяет сферу его юрисдикции. Например, в законе не указано, какие правила применяются к сбору и передаче иностранной компанией персональных данных граждан Армении или иностранных граждан за пределы Армении, а также к армянской компании, использующей технологии сбора и обработки, расположенные за пределами Армении. Однако лицо, которое собирает и обрабатывает персональные данные в Армении, а также передает эти данные за пределы Армении, скорее всего, должно соответствовать требованиям Закона.

Автор:Мери Арташесян, советник

Авторы