БЮРО ЕКОНОМІЧНОЇ БЕЗПЕКИ УКРАЇНИ
НАКАЗ
20.04.2026 № 187
Зареєстровано в Міністерстві
юстиції України
01 червня 2026 року
за № 787/46181
Про затвердження Порядку обробки та захисту персональних даних у Бюро економічної безпеки України
Відповідно до статті 6 Закону України «Про захист персональних даних», частини першої статті 37 Закону України «Про Бюро економічної безпеки України», пункту 1.2 розділу 1 Типового порядку обробки персональних даних, затвердженого наказом Уповноваженого Верховної Ради України з прав людини від 08 січня 2014 року № 1/02-14, з метою забезпечення дотримання вимог до обробки та захисту персональних даних у Бюро економічної безпеки України
НАКАЗУЮ:
1. Затвердити Порядок обробки та захисту персональних даних у Бюро економічної безпеки України, що додається.
2. Управлінню інформаційної безпеки спільно із Юридичним департаментом забезпечити подання цього наказу на державну реєстрацію до Міністерства юстиції України в установленому законодавством порядку.
3. Цей наказ набирає чинності з дня його офіційного опублікування.
4. Контроль за виконанням цього наказу залишаю за собою.
Директор
Олександр ЦИВІНСЬКИЙ
ПОГОДЖЕНО:
Уповноважений Верховної Ради України
з прав людини
Заступник Міністра цифрової трансформації України
з питань європейської інтеграції
Голова Державної служби спеціального зв’язку
та захисту інформації України
Дмитро ЛУБІНЕЦЬ
Олександр БОРНЯКОВ
Олександр ПОТІЙ
ЗАТВЕРДЖЕНО
Наказ Бюро
економічної безпеки України
20 квітня 2026 року № 187
Зареєстровано в Міністерстві
юстиції України
01 червня 2026 року
за № 787/46181
Порядок
обробки та захисту персональних даних у Бюро економічної безпеки України
I. Загальні положення
1. Цей Порядок установлює загальні вимоги до організаційних і технічних заходів обробки та захисту персональних даних, володільцем яких є центральний апарат або територіальні управління БЕБ, під час їх обробки в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах БЕБ (далі - ІКС БЕБ) і на паперових носіях.
2. Цей Порядок є обов’язковим до виконання для працівників центрального апарату та територіальних управлінь БЕБ, які мають доступ до персональних даних та обробляють персональні дані, володільцем яких є БЕБ.
3. У цьому Порядку терміни вживаються в значенні, наведеному в Законах України «Про захист персональних даних», «Про захист інформації в інформаційно-комунікаційних системах».
4. Персональні дані в ІКС БЕБ можуть оброблятися автоматизовано в електронній формі за допомогою програмних засобів та в паперовій формі під час опрацювання інформації щодо:
звернень, запитів на доступ до публічної інформації, які надійшли в паперовій формі, документів, що містять персональні дані працівників БЕБ або кандидатів на зайняття вакантних посад, призначення на які здійснює БЕБ;
документів, що містять персональні дані керівників підприємств, установ та організацій, що належать до сфери управління БЕБ;
матеріалів, що стосуються здійснення досудового розслідування та оперативно-розшукової діяльності;
представництва інтересів БЕБ у судах України;
формування складу Ради громадського контролю при БЕБ;
формування складу кадрових комісій, атестаційних комісій та дисциплінарних комісій;
забезпечення ведення інформаційної системи управління людськими ресурсами в органах державної влади;
проведення зборів представників громадських об’єднань;
заяв, анкет і копій документів, які подають особи, що проходять стажування в БЕБ;
договорів, укладених БЕБ;
протоколів про адміністративні правопорушення, які складають посадові особи БЕБ;
заяв про участь у конкурсі та копій документів осіб, які бажають узяти участь у конкурсі на зайняття вакантних посад БЕБ;
проведення опитування із застосуванням поліграфа кандидатів на зайняття посад у БЕБ, що передбачають спеціальні звання БЕБ, та працівників БЕБ;
проведення психологічного тестування кандидатів на посади, що передбачають спеціальні звання БЕБ.
5. Володільцем персональних даних є БЕБ.
6. Обробка персональних даних, щодо яких установлено особливі вимоги, та/або обробка персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, здійснюється відповідно до статей 7, 9 Закону України «Про захист персональних даних».
II. Вимоги до обробки персональних даних
1. Метою обробки персональних даних є:
реалізація основних завдань і функцій БЕБ, визначених законом;
необхідність здійснення прав та виконання обов’язків БЕБ у сфері трудових правовідносин та військового обліку;
підготовка відповідно до законодавства статистичної, управлінської та іншої інформації з питань, що належать до компетенції БЕБ;
оформлення документів на допуск до державної таємниці.
2. БЕБ здійснює обробку персональних даних на підставах, визначених частиною першою статті 11 Закону України «Про захист персональних даних».
3. БЕБ здійснює обробку персональних даних таких категорій суб’єктів:
працівників БЕБ, членів сімей працівників БЕБ;
кандидатів на зайняття вакантних посад, призначення на які здійснює БЕБ;
фізичних осіб, які отримують доступ до службових та режимних приміщень (зон, територій) БЕБ, що перебувають у його власності, управлінні, віданні, користуванні (оренді) та використовуються для виконання завдань, покладених на БЕБ відповідно до закону;
осіб, інформація стосовно яких міститься в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах, реєстрах, банках та базах даних, держателем (адміністратором) яких є органи державної влади або органи місцевого самоврядування;
фізичних осіб, відомості стосовно яких підлягають внесенню до Єдиного реєстру досудових розслідувань (далі - ЄРДР);
фізичних осіб, персональні дані стосовно яких містяться в інших документах, що надходять до БЕБ або створюються в БЕБ;
фізичних осіб, у тому числі представників юридичних осіб і громадських організацій без статусу юридичної особи, які звертаються до БЕБ у визначеному законодавством порядку;
осіб з числа членів кадрових комісій, атестаційних комісій, дисциплінарних комісій, які не є працівниками БЕБ.
4. Склад персональних даних, які обробляє БЕБ, залежить від категорії суб’єкта персональних даних.
5. БЕБ опрацьовує персональні дані працівників БЕБ, членів сімей працівників БЕБ, кандидатів на зайняття вакантних посад, призначення на які здійснює БЕБ, а саме:
реквізити паспорта громадянина України (серія (за наявності), номер, дату видачі, найменування уповноваженого суб’єкта, що видав документ, строк дії (за наявності));
реєстраційний номер облікової картки платника податків (за наявності);
військово-облікові дані;
біографічні дані;
відомості про освіту, наявність спеціальних знань або підготовки;
відомості про трудову діяльність;
відомості про ділові та особисті якості, що містяться в характеристиках, рекомендаційних та/або мотиваційних листах;
відомості про сімейний стан та склад сім’ї;
відомості про задеклароване/зареєстроване місце проживання (перебування) та про фактичне місце проживання;
відомості про контактні дані;
відомості про наявність прав на пільги та компенсації;
фотографічні зображення;
інші персональні дані, необхідність обробки яких визначено законодавством.
6. БЕБ опрацьовує такі персональні дані фізичних осіб, які отримують доступ до службових і режимних приміщень (зон, територій) БЕБ, що перебувають у його володінні, користуванні (оренді), розпорядженні та використовуються для виконання завдань, покладених на БЕБ відповідно до закону:
прізвище, ім’я, по батькові (за наявності);
реквізити документа, що посвідчує особу;
дані про час та мету відвідування;
контактні дані (за потреби).
7. БЕБ опрацьовує персональні дані осіб, інформація стосовно яких міститься в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах, реєстрах, банках та базах даних, держателем (адміністратором) яких є органи державної влади або органи місцевого самоврядування, у складі, визначеному відповідними реєстрами та законодавством.
8. Персональні дані фізичних осіб, відомості стосовно яких підлягають внесенню до ЄРДР, обробляються в складі, визначеному Кримінальним процесуальним кодексом України та нормативно-правовими актами, прийнятими відповідно до частини другої статті 214 Кримінального процесуального кодексу України.
9. Персональні дані фізичних осіб, які містяться в інших документах, що надходять до БЕБ або створюються в БЕБ, обробляються в такому складі:
прізвище, ім’я, по батькові (за наявності);
дата і місце народження;
реквізити документа, що посвідчує особу;
реєстраційний номер облікової картки платника податків (за наявності);
відомості про громадянство;
відомості про задеклароване / зареєстроване місце проживання (перебування) та про фактичне місце проживання;
відомості про місце роботи, займану посаду;
відомості про контактні дані;
інші персональні дані, що містяться в таких документах і необхідні для виконання повноважень БЕБ відповідно до закону.
10. БЕБ опрацьовує такі персональні дані осіб з числа членів кадрових комісій, атестаційних комісій, дисциплінарних комісій, які не є працівниками БЕБ:
прізвище, ім’я, по батькові (за наявності);
відомості про місце роботи, займану посаду;
відомості про освіту, кваліфікацію;
інші дані, які суб’єкт персональних даних добровільно (за власним бажанням) надає про себе.
11. БЕБ опрацьовує персональні дані, які надали фізичні особи, у тому числі представники юридичних осіб і громадських організацій без статусу юридичної особи, які звертаються до БЕБ у визначеному законодавством порядку, а саме:
прізвище, ім’я, по батькові (за наявності);
реквізити документа, що посвідчує особу;
відомості про задеклароване / зареєстроване місце проживання (перебування) та про фактичне місце проживання;
відомості про наявність пільг, які є підставою для першочергового розгляду звернення;
відомості про контактні дані;
дані про час та мету відвідування;
інші дані, які суб’єкт персональних даних добровільно (за власним бажанням) надає про себе;
персональні дані осіб, які необхідні БЕБ для виконання правоохоронної, аналітичної, економічної, інформаційної та інших функцій, передбачених Законом України «Про Бюро економічної безпеки України»;
дані, які фізична особа надала з метою участі в конкурсі на зайняття вакантних посад у БЕБ.
12. Збирання та накопичення персональних даних працівників БЕБ і кандидатів на зайняття вакантних посад, призначення на які здійснює БЕБ, проводиться шляхом отримання від них відповідних документів, визначених законодавством, зокрема Кодексом законів про працю України, Законами України «Про Бюро економічної безпеки України», «Про державну службу», «Про запобігання корупції» та іншими нормативно-правовими актами, прийнятими на їх виконання.
Такі персональні дані накопичуються у паперовій та/або електронній формах.
13. Персональні дані фізичних осіб, у тому числі представників юридичних осіб і громадських організацій без статусу юридичної особи, які звертаються до БЕБ у встановленому законодавством порядку, збираються шляхом використання відомостей про таких осіб, зазначених у їхніх зверненнях та запитах на інформацію.
14. Персональні дані обробляються в строк, що не перевищує строку, необхідного відповідно до мети їх обробки, якщо інше не передбачено законодавством.
15. Персональні дані зберігаються не довше ніж це необхідно для досягнення мети їх обробки, якщо інше не встановлено законом, зокрема:
персональні дані працівників БЕБ і кандидатів на зайняття вакантних посад, призначення на які здійснює БЕБ, зберігаються протягом строку, визначеного законодавством про державну службу, працю;
персональні дані фізичних осіб, які отримують доступ до службових та режимних приміщень (зон, територій) БЕБ, що перебувають у його володінні, користуванні (оренді), розпорядженні та використовуються для виконання завдань, покладених на БЕБ відповідно до закону, зберігаються протягом строку, визначеного внутрішніми організаційно-розпорядчими документами БЕБ з питань режиму, охорони та контролю доступу, але не більш як протягом трьох років;
персональні дані осіб, інформація стосовно яких міститься в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах, реєстрах, банках та базах даних, держателем (адміністратором) яких є органи державної влади або органи місцевого самоврядування, зберігаються протягом строку, необхідного для досягнення мети їх обробки, але не більш як протягом строків, визначених законодавством, що регулює функціонування відповідних реєстрів та систем;
персональні дані фізичних осіб, відомості стосовно яких підлягають внесенню до ЄРДР, зберігаються протягом строків, визначених Кримінальним процесуальним кодексом України, Законом України «Про оперативно-розшукову діяльність» та іншими нормативно-правовими актами, прийнятими на їх виконання;
фізичні особи, персональні дані стосовно яких містяться в інших документах, що надходять до БЕБ або створюються в БЕБ, зберігаються протягом строків, установлених для відповідних видів документів згідно із законодавством у сфері діловодства та архівної справи;
персональні дані осіб, які звертаються до БЕБ у порядку, визначеному Законами України «Про звернення громадян» та «Про доступ до публічної інформації», зберігаються протягом п’яти років з дати звернення;
персональні дані осіб з числа членів кадрових комісій, атестаційних комісій, дисциплінарних комісій, які не є працівниками БЕБ, зберігаються протягом строку діяльності відповідної комісії та після її завершення - протягом строків зберігання документів, до складу яких включено такі персональні дані, відповідно до законодавства у сфері діловодства та архівної справи.
16. Збирання персональних даних є складовою процесу їх обробки, що передбачає дії з підбору чи впорядкування відомостей про суб’єкта персональних даних.
У разі виявлення відомостей про суб’єкта персональних даних, які не відповідають дійсності, такі відомості мають бути невідкладно змінені.
17. Зміни до персональних даних вносяться на підставі:
вмотивованої письмової вимоги суб’єкта персональних даних;
припису Уповноваженого Верховної Ради України з прав людини (далі - Уповноважений) або визначених ним посадових осіб секретаріату Уповноваженого;
рішення суду, що набрало законної сили;
звернення інших суб’єктів відносин, пов’язаних із персональними даними, якщо на це є згода суб’єкта персональних даних.
18. Персональні дані видаляються або знищуються відповідно до закону у спосіб, що виключає подальшу можливість поновлення таких персональних даних.
19. Персональні дані підлягають видаленню або знищенню у разі:
закінчення строку зберігання персональних даних, визначеного згодою суб’єкта персональних даних на обробку цих даних або законом;
припинення правовідносин між суб’єктом персональних даних і БЕБ, якщо інше не передбачено законом;
видання відповідного припису Уповноваженого або визначених ним посадових осіб секретаріату Уповноваженого;
набрання законної сили рішенням суду щодо видалення або знищення персональних даних.
20. Персональні дані, зібрані з порушенням вимог Закону України «Про захист персональних даних», підлягають видаленню або знищенню в установленому законодавством порядку.
21. Суб’єкт персональних даних має право пред’являти вмотивовану вимогу щодо зміни або знищення його персональних даних володільцем і розпорядником персональних даних, якщо ці дані обробляються незаконно чи є недостовірними.
22. Якщо за результатами розгляду вмотивованої вимоги суб’єкта персональних даних щодо зміни або знищення його персональних даних виявлено, що персональні дані суб’єкта обробляються незаконно або є недостовірними, БЕБ припиняє обробку персональних даних такого суб’єкта та інформує про це суб’єкта персональних даних.
23. Організація роботи, пов’язаної з обробкою та захистом персональних даних у самостійних структурних підрозділах БЕБ, покладається на керівників таких структурних підрозділів БЕБ.
24. Керівники самостійних структурних підрозділів БЕБ у межах своїх повноважень забезпечують:
контроль за виконанням установлених законом вимог щодо забезпечення захисту персональних даних;
збереженість персональних даних, обмеження доступу до них інших осіб;
організацію обробки персональних даних працівниками відповідного самостійного структурного підрозділу БЕБ у межах службових обов’язків та в обсязі, необхідному для виконання таких обов’язків і доручень керівництва БЕБ.
25. Про здійснення будь-яких видів обробки персональних даних, які становлять особливий ризик для прав і свобод суб’єктів персональних даних, БЕБ повідомляє Уповноваженого в порядку, визначеному законодавством.
26. Особисті немайнові права на персональні дані, які має кожен суб’єкт персональних даних, є невід’ємними і непорушними.
27. Працівники БЕБ, які обробляють персональні дані, зобов’язані:
запобігати втраті персональних даних та їх неправомірному використанню;
не розголошувати персональні дані, які їм було довірено або які стали їм відомі у зв’язку з виконанням посадових обов’язків (таке зобов’язання залишається чинним після припинення ними діяльності, пов’язаної з персональними даними, крім випадків, установлених Законом України «Про захист персональних даних»).
28. БЕБ визначає рівень доступу працівників БЕБ до персональних даних.
29. Кожен працівник БЕБ користується доступом лише до тих персональних даних (їх частини) суб’єкта персональних даних, які необхідні йому для виконання своїх професійних, службових обов’язків. Усі інші працівники БЕБ мають право на повну інформацію лише стосовно власних персональних даних.
30. Під час призначення на посаду працівника БЕБ особа, яка призначається, дає письмове зобов’язання про нерозголошення персональних даних за формою, згідно з додатком до цього Порядку.
Зобов’язання про нерозголошення персональних даних зберігається в особовій справі працівника БЕБ.
31. Датою надання права доступу до персональних даних працівника БЕБ вважається дата підписання ним зобов’язання про нерозголошення персональних даних.
32. Датою позбавлення права доступу до персональних даних вважається дата звільнення працівника БЕБ або дата призначення на посаду, виконання обов’язків на якій не пов’язане з обробкою персональних даних.
33. Суб’єкт персональних даних має право на отримання від БЕБ будь-яких відомостей про себе без зазначення мети запиту, крім випадків, установлених законом.
34. Доступ до персональних даних третіх осіб здійснюється відповідно до вимог закону.
35. Відповідальні особи БЕБ можуть передавати персональні дані іноземним суб’єктам відносин, пов’язаних із персональними даними, у випадках, установлених законом або міжнародними договорами України, лише за умови, якщо відповідна держава забезпечить належний захист персональних даних.
36. Суб’єкт персональних даних повідомляється протягом 10 робочих днів з дня передачі про передачу його персональних даних третім особам.
Повідомлення суб’єкта персональних даних про передачу його персональних даних третім особам не здійснюються у разі:
передачі персональних даних на запити у межах виконання завдань оперативно-розшукової чи контррозвідувальної діяльності, боротьби з тероризмом;
виконання органами державної влади та органами місцевого самоврядування своїх повноважень, передбачених законом;
здійснення обробки персональних даних в історичних, статистичних чи наукових цілях.
Суб’єкт персональних даних повідомляється про володільця персональних даних, склад та зміст зібраних персональних даних, свої права, визначені Законом України «Про захист персональних даних», мету збирання персональних даних та осіб, яким передаються його персональні дані:
у момент збору персональних даних, якщо персональні дані збираються в суб’єкта персональних даних;
в інших випадках протягом 30 робочих днів з дня збору персональних даних, крім випадків, встановлених законом.
Про зміну, видалення чи знищення персональних даних або обмеження доступу до них володілець персональних даних повідомляє протягом 10 робочих днів з дня зміни, видалення, знищення або обмеження доступу до персональних даних, крім випадків, встановлених законом, суб’єкта персональних даних, а також суб’єктів відносин, пов’язаних із персональними даними, яким ці дані було передано.
37. Не є конфіденційною інформацією передбачені Законом України «Про захист персональних даних» персональні дані, що стосуються здійснення особою, яка займає посаду, пов’язану з виконанням функцій держави або органів місцевого самоврядування, посадових або службових повноважень.
38. Структурний підрозділ або відповідальна особа БЕБ, яка організовує роботу, пов’язану із захистом персональних даних під час їх обробки, визначаються окремим наказом БЕБ.
39. Інформація про структурний підрозділ або відповідальну особу БЕБ, яка організовує роботу, пов’язану із захистом персональних даних під час їх обробки, надається Уповноваженому відповідно до закону.
40. Структурний підрозділ або відповідальна особа БЕБ, яка організовує роботу, пов’язану із захистом персональних даних під час їх обробки, виконує такі завдання:
інформує та консультує володільця або розпорядника персональних даних з питань дотримання законодавства про захист персональних даних;
взаємодіє з Уповноваженим і визначеними ним посадовими особами секретаріату Уповноваженого з питань запобігання виникненню та усунення порушень законодавства про захист персональних даних.
41. Вимоги структурного підрозділу або відповідальної особи БЕБ, яка організовує роботу, пов’язану із захистом персональних даних під час їх обробки, до заходів щодо забезпечення безпеки обробки персональних даних є обов’язковими для всіх працівників БЕБ, які здійснюють обробку персональних даних.
III. Захист персональних даних
1. БЕБ вживає заходів щодо забезпечення захисту персональних даних на всіх етапах їх обробки, зокрема за допомогою організаційних і технічних заходів, спрямованих на запобігання їх випадковій втраті або знищенню, незаконній обробці, у тому числі незаконному знищенню чи доступу до персональних даних.
2. Персональні дані обробляються в спосіб, що унеможливлює доступ до них сторонніх осіб.
3. В ІКС БЕБ, де обробляються персональні дані, забезпечується відповідність вимогам законодавства щодо захисту інформації, антивірусний захист і використання технічних засобів безперебійного живлення.
4. БЕБ веде облік операцій, пов’язаних із обробкою персональних даних і доступом до них, відповідно до законодавства.
5. Під час обробки персональних даних має забезпечуватися їх захист від несанкціонованого та неконтрольованого ознайомлення, модифікації, знищення, копіювання, поширення.
6. Факти порушення процесу обробки та захисту персональних даних підлягають документальній фіксації, яку здійснює структурний підрозділ БЕБ, що виявив такий факт.
Додаток
до Порядку обробки
персональних даних
у Бюро економічної безпеки України
(пункт 30 розділу II)
Зобов’язання
про нерозголошення персональних даних