Обязанности оператора

Одной из важнейших норм Закона от 27.07.06 является обязанность оператора по обеспечению конфиденциальности персональных данных, полученных от субъекта, что подразумевает недопущение распространения такой информации без согласия на это субъекта, к которому они относятся. Есть и исключения: например, на обработку общедоступных персональных данных (т. е. уже содержащихся в открытых для общественности справочниках, адресных книгах) получения такого согласия не требуется. Также не требуется согласия субъекта и в том случае, если обработка его персональных данных осуществляется в целях исполнения договора, одной из сторон которого является данный субъект, в частности трудового договора. Что же касается хранения работодателем данных о лицах, с которыми его не связывают договорные отношения, то получение согласия на их обработку обязательно.

Итак, на обработку своих персональных данных субъект должен дать согласие, причем он имеет право его отозвать в любой момент. Согласие может быть выражено в устной или письменной форме – в зависимости от категории персональных данных, а также характера их обработки.

Согласие субъекта персональных данных в письменной форме требуется в следующих случаях:

• при обработке специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни. Обрабатывать такие сведения без письменного согласия субъекта категорически запрещено (за исключением случаев, когда они являются общедоступными). Письменное согласие на подобные действия необходимо, даже если субъекта персональных данных и оператора связывают договорные отношения. В общественных объединениях или религиозных организациях обработка специальных категорий персональных данных членов (участников) осуществляется при условии, что персональные данные не будут распространяться без согласия субъектов, данного в письменной форме;

• при обработке биометрических персональных данных – сведений, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность (сведения об особенностях строения папиллярных узоров пальцев рук человека, сетчатки глаз, о коде ДНК и т.д.). Это требование также должно соблюдаться независимо от наличия договорных отношений между субъектом персональных данных и оператором, кроме отношений, связанных с прохождением государственной гражданской службы;

• при передаче персональных данных субъекта оператором через Государственную границу РФ органу власти иностранного государства, физическому или юридическому лицу иностранного государства, не обеспечивающему адекватную защиту прав субъекта персональных данных.

В соответствии с законом письменное согласие субъекта на обработку его персональных данных должно включать:

• фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

• наименование (фамилия, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;

• цель обработки персональных данных;

• перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

• перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

• срок, в течение которого действует согласие, а также порядок его отзыва.

Интересно, что независимо от того, в письменной или устной форме получено согласие субъекта на обработку его персональных данных, на оператора возлагается обязанность по доказыванию факта получения такого согласия.

Пунктом 2 статьи 18 устанавливается обязанность оператора разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные, в случае если предоставление персональных данных субъектом установлена федеральным законом. К таким случаям относится обработка персональных данных, проводимая на основании федерального закона определяющего цели и условия получения персональных данных, а также круг субъектов, персональные данные которых подлежат обработке и полномочия оператора.

В отдельных случаях для субъекта может предусматриваться необходимость предъявления дополнительных документов оператору.

Кроме того, Положение о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела (утв. Указом Президента РФ от 30 мая 2005 г. N 609) предусматривает порядок получения, обработки, хранения, передачи и любого другого использования персональных данных государственного гражданского служащего Российской Федерации, а также ведение его личного дела. Так же данным Указом предусматривается что, представитель нанимателя или уполномоченное им лицо вправе подвергать обработке, в том числе автоматизированной, персональные данные гражданских служащих при формировании кадрового резерва.

В личное дело гражданского служащего вносятся его персональные данные и иные сведения, связанные с поступлением на гражданскую службу, ее прохождением и увольнением с гражданской службы и необходимые для обеспечения деятельности государственного органа. Персональные данные, внесенные в личные дела гражданских служащих, другие сведения, содержащиеся в личных делах гражданских служащих, относятся к сведениям конфиденциального характера, за исключением сведений, которые в установленных федеральными законами случаях могут быть опубликованы в средствах массовой информации. А в случаях, установленных федеральными законами и нормативными правовыми актами Российской Федерации - к сведениям, составляющим государственную тайну.

Оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные, в случае если обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных. При проведении определенных исследований возникает необходимость в статистических данных, например, по возрастной группе населения без идентификации субъектов персональных данных. А также в случае, когда обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно.

В соответствии со ст. 61 Основ законодательства Российской Федерации об охране здоровья граждан предоставление сведений, составляющих врачебную тайну, без согласия гражданина или его законного представителя допускается:

1) в целях обследования и лечения гражданина, не способного из-за своего состояния выразить свою волю;

2) при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;

3) по запросу органов дознания и следствия, прокурора и суда в связи с проведением расследования или судебным разбирательством;

4) в случае оказания помощи несовершеннолетнему возрасте для информирования его родителей или законных представителей;

5) при наличии оснований, позволяющих полагать, что вред здоровью гражданина причинен в результате противоправных действий;

6) в целях проведения военно-врачебной экспертизы в порядке, установленном положением о военно-врачебной экспертизе, утверждаемым Правительством Российской Федерации.

Также в обязанности оператора входит разъяснение субъекту персональных данных юридические последствия отказа предоставить свои персональные данные оператор обязан, в случае если обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи. Одной из целей поставленных ФЗ "О связи" является защита интересов пользователей услугами связи и осуществляющих деятельность в области связи хозяйствующих субъектов. Пользователем услугами связи является лицо, заказывающее и (или) использующее услуги связи. Услуги связи - это деятельность по приему, обработке, хранению, передаче, доставке сообщений электросвязи или почтовых отправлений. К таким сведениям относятся - фамилия, имя, отчество или псевдоним абонента-гражданина, наименование (фирменное наименование) абонента - юридического лица, фамилия, имя, отчество руководителя и работников этого юридического лица, адрес абонента или адрес установки оконечного оборудования, абонентские номера и другие данные, позволяющие идентифицировать абонента или его оконечное оборудование, сведения баз данных систем расчета за оказанные услуги связи, в том числе о соединениях, трафике и платежах абонента.

А также если обработка персональных данных осуществляется в целях профессиональной деятельности журналиста или в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных. Здесь примером может служить Федеральный закон "Об информации, информационных технологиях и о защите информации" регулирующий отношения при возникновении права на поиск, получение, передачу, производство, распространение и защиту информации с использованием информационных технологий.

Кроме того, Закон РФ "Об авторском праве и смежных правах" регулирует отношения, возникающие в связи с созданием и использованием произведений науки, литературы и искусства, фонограмм исполнений, постановок, передач организаций эфирного или кабельного вещания.

Еще одной немаловажной обязанностью оператора является разъяснение субъекту персональных данных юридических последствий отказа предоставить свои персональные данные в случае, если осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Так в соответствии с Указом Президента РФ "Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела" сведения о доходах, имуществе и обязательствах имущественного характера федеральных гражданских служащих, назначение на должность и освобождение от должности которых осуществляются Президентом Российской Федерации или Правительством Российской Федерации, предоставляются для опубликования общероссийским средствам массовой информации по их обращениям с одновременным информированием об этом указанных гражданских служащих. А сведения о доходах, имуществе и обязательствах имущественного характера гражданских служащих субъекта Российской Федерации предоставляются для опубликования общероссийским и региональным средствам массовой информации по их обращениям с одновременным информированием об этом указанных гражданских служащих.

Средствам массовой информации по их обращениям предоставляются следующие сведения о доходах, имуществе и обязательствах имущественного характера выше указанных гражданских служащих - декларированный годовой доход, перечень объектов недвижимости, принадлежащих гражданскому служащему на праве собственности или находящихся в его пользовании, с указанием вида, площади и страны расположения каждого из них, перечень транспортных средств и суммарная декларированная стоимость ценных бумаг, принадлежащих гражданскому служащему на праве собственности.

В предоставляемых средствам массовой информации сведениях запрещается указывать данные о супруге, детях и иных членах семьи гражданского служащего; данные, позволяющие определить место жительства, почтовый адрес, телефон и иные индивидуальные средства коммуникации гражданского служащего, а также его супруги (ее супруга), детей и иных членов его семьи; данные, позволяющие определить местонахождение объектов недвижимости, принадлежащих гражданскому служащему на праве собственности или находящихся в его пользовании; информацию, отнесенную к государственной тайне или являющуюся конфиденциальной.

В статье 19 представлены меры по обеспечению безопасности персональных данных при их обработке.

Пункт 1 данной статьи обязывает оператора при обработке персональных данных принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий, вплоть до применения шифровальных (криптографических) средств.

Например, в соответствии со ст. 13 ФЗ "О федеральной службе безопасности" осуществлять шифровальные работы в органах федеральной службы безопасности, а также контроль за соблюдением режима секретности при обращении с шифрованной информацией в шифровальных подразделениях государственных органов, предприятий, учреждений и организаций независимо от форм собственности (за исключением учреждений Российской Федерации, находящихся за ее пределами). Криптография - специальная система изменения обычного письма, используемая с целью сделать текст понятным лишь для ограниченного числа лиц, знающих эту систему. Различные способы криптографии применяются для зашифровки военных, дипломатических, торгово-финансовых, нелегально-политических текстов. Криптография известна с древнейших времен на Древнем Востоке, в Древней Греции и Риме, в русских памятниках - с 12-13 вв. В славянских рукописях, кроме основных функций, употреблялась для отделения культового текста от приписок, указаний чтецу и т. д.

Известны следующие основные способы криптографии: употребление иного алфавита; изменение знаков (например, приписывание дополнительных черточек, недописывание букв; условные знаки или цифры; замена одних букв другими по их месту в алфавите (например, т.н. литорея) или их числовому значению; запись текста в виде некоторой фигуры, иногда вкрапленной в др. текст; написание слов в обратном порядке.⁶

Разработана Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну.

В данной Инструкции используются следующие понятия и определения:

- криптографический ключ (криптоключ) - совокупность данных, обеспечивающая выбор одного конкретного криптографического преобразования из числа всех возможных в данной криптографической системе;

- ключевая информация - специальным образом организованная совокупность криптоключей, предназначенная для осуществления криптографической защиты информации в течение определенного срока;

- исходная ключевая информация - совокупность данных, предназначенных для выработки по определенным правилам криптоключей;

- ключевой документ - физический носитель определенной структуры, содержащий ключевую информацию (исходную ключевую информацию), а при необходимости - контрольную, служебную и технологическую информацию;

- ключевой носитель - физический носитель определенной структуры, предназначенный для размещения на нем ключевой информации (исходной ключевой информации). Различают разовый ключевой носитель (таблица, перфолента, перфокарта и т.п.) и ключевой носитель многократного использования (магнитная лента, дискета, компакт-диск, Data Key, Smart Card, Touch Memory и т.п.);

- ключевой блокнот - набор бумажных ключевых документов одного вида (таблиц, перфолент, перфокарт и т.п.), сброшюрованных и упакованных по установленным правилам.

Статья 20 устанавливает для операторов очень жесткие сроки исполнения запросов от субъектов персональных данных (они гораздо жестче, например, тех, что предусмотрены в недавно вышедшем законе «О порядке ­рассмотрения обращений граждан Российской Федерации»):

• предоставление данных — в течение 10-ти рабочих дней с даты ­получения запроса;

• мотивированный отказ — в течение 7-ми рабочих дней.

Еще больше вопросов возникнет у оператора при необходимости устранения нарушений законодательства в сроки, предусмотренные статьей 21 закона. Блокировка данных должна быть осуществлена с момента обращения или с момента получения запроса, а устранение нарушений — в течение 3-х рабочих дней.

В ряде случаев оператор обязан в течение 3-х рабочих дней уничтожить персональные данные, а именно:

• в случае невозможности устранения допущенных нарушений,

• в случае достижения цели обработки персональных данных,

• в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных.

И блокировку, и уничтожение персональных данных может быть непросто (а иногда и невозможно) реализовать в эксплуатируемых в настоящее время информационных системах и базах данных, в которых прежде не предусматривалась такая возможность.

Еще тяжелее придется оператору, если он получил персональные данные не от самого гражданина, а от третьего лица.

Если персональные данные были получены не от субъекта персональных данных, за исключением случаев, если персональные данные были предоставлены оператору на основании федерального закона или если персональные данные являются общедоступными, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:

• наименование (фамилия, имя, отчество) и адрес оператора или его представителя;

• цель обработки персональных данных и ее правовое основание;

• предполагаемые пользователи персональных данных;

• установленные настоящим Федеральным законом права субъекта ­персональных данных.

За этими словами стоит дополнительная трудоемкая работа. Например, может встать вопрос, каким способом нужно предоставить данную информацию субъекту? Можно ли направлять ее по почте и будет ли информация считаться предоставленной, если субъект соответствующее письмо не получил?

Обязанностью оператора, согласно статье 19, является также обеспечение безопасности персональных данных при их обработке. Чтобы не было неприятностей, организации-оператору желательно заранее разработать и закрепить в нормативных документах все организационные и технические меры информационной безопасности, которые она готова предпринять для защиты персональных данных, содержащихся в ее информационных системах.⁷

Государственная регистрация систем обработки персональных данных

Законом предусматривается, что все операторы, ведущие обработку персональных данных, должны заранее уведомлять об этом уполномоченный орган.

Разрешается вести обработку персональных данных, не уведомляя уполномоченный орган, в следующих случаях:

1. при наличии трудовых отношений;

2. при заключении договора, стороной которого является субъект персональных данных;

3. если персональные данные относятся к членам (участникам) общественного объединения или религиозной организации и обрабатываются соответствующими общественным объединением или религиозной организацией;

4. если персональные данные являются общедоступными;

5. если персональные данные включают в себя только фамилии, имена и отчества субъектов;

6. при оформлении пропусков;

7. если персональные данные включены в информационные системы, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и ­общественного порядка;

8. если персональные данные обрабатываются без использования средств автоматизации.