Направление 4. Информационные системы и технологии в промышленности, в строительном и транспортном комплексах

УДК 009

ЗАКОНОДАТЕЛЬСТВО И ОТВЕТСТВЕННОСТЬ ОПЕРАТОРА ПРИ НАРУШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ В РОССИИ И СТРАНАХ ЕВРОПЫ

М.И. Глебова, студентка

Федеральное государственное бюджетное образовательное учреждение высшего СибАДИобразования «Омский государственный университет имени Ф.М. Достоевского»,

Омск, Россия

Аннотац я. Статья посвящена актуальной на сегодняшний день теме – защита персональных данных. Провод тся анализ нормативно-правовой базы Российской Федерации и Европейского оюза. Рассматр вается ответственность операторов за нарушение работы с персональными данными. Выполнен сравнительный анализ подходов к защите обработки персональных данных, а также санкций за несо людение основных требований законодательства в разных странах.

Ключевые слова: персональные данные, оператор персональных данных, ответственность, законодательство, защ та ПДн.

LEGISLATION AND OPERATOR'S RESPONSIBILITY IN VIOLATION OF PERSONAL

DATA PROCESSING IN RUSSIA AND EUROPE

M.I. Glebova, student

Federal State Budget Educational Institution of Higher Education

«Dostoevsky Omsk State University», Omsk, Russia

Abstract. This article focuses on the timely theme of today - protection of personal information. The analysis of the legislative framework of the Russian Federation and the European Union is being conducted. The responsibility of operators for violation of work with personal data is being considered. A comparative analysis of approaches to the protection of personal data processing, as well as sanctions for noncompliance with the basic requirements of the legislation in different countries has been done.

Keywords: personal data, personal data operator, liability, legislation, personal data protection.

Введение

Обеспечение сохранности персональных данных (далее – П н) – неотчуждаемое право каждого человека, которое наряду с остальными, должно регулироваться государством.

Актуальность данного тезиса обусловлена развитием современных технологий автоматизацией процесса обработки информации. Ежедневно различным организациям сотрудники, клиенты сообщают свои персональные данные, но далеко не всегда они остаются конфиденциальными. Согласно исследованиям Экспертного центра Электронного государства 67% жителей Евросоюза (далее – ЕС) озабочены тем, что не полностью контролируют информацию, которую они предоставляют. В частности, 7 из 10 европейцев опасаются раскрытия своих данных со стороны компаний, которые их собирают [3]. Такая обеспокоенность европейского населения вполне обоснована: количество случаев краж персональных данных с каждым годом только растет. По оценке аналитического центра компании, InfoWatch за 2018 год было зарегистрировано 1039 случаев утечки конфиденциальной информации, что на 12 % больше, чем годом ранее. В результате нарушений внутри организаций пострадали более 1.5 млрд записей данных, включая персональные и платежные [4].

Проблема грамотного профессионального подхода к процессу сбора, обработки и хранения персональных данных определила цель настоящего исследования – повышение компетенций операторов информационных систем обработки ПДн, основанной на знании законодательной базы, обеспечивающей правомерность получения, обработки и использования персональных данных.

Данная цель была конкретизирована в следующих исследовательских задачах: изучить нормативные правовые документы в области ПДн на примере России и стран Европы, рассмотреть

262

ФУНДАМЕНТАЛЬНЫЕ И ПРИКЛАДНЫЕ ИССЛЕДОВАНИЯ МОЛОДЫХ УЧЕНЫХ

Сборник материалов III Международнойнаучно практической конференции

меры ответственности за нарушения обработки ПДн, на основании проведенного анализа сделать выводы о сходстве и различии российского и европейского подходов к защите персональных данных.

Методологической базой исследования послужили принципы, позволяющие выявить логику развития законодательства в сфере защиты ПДн в разных странах, закономерность повышения ответственности за его нарушение. Использованы общенаучные методы контент-анализа, обобщения, исторический и логический методы, сравнительно-правовой анализ. Информационную базу работы составляют законодательные и нормативные акты Российской Федерации, а также международные документы в области обработки ПДн.

СибАДИНормативно-правовые документы в области ПДн

овет Европы и Европейская комиссия стремятся обеспечить одно из основных прав человека – право на защ ту нформац о гражданах. Евросоюз постоянно модернизирует законодательство в области защ ты персональных данных с целью обеспечения прав граждан, входящих в его состав государств, на сохранен е тайны частной информации.

Впервые, о защ те персональных данных широко заговорили в начале 70-х годов. Ведущие Европейские страны, пр няли законы о персональных данных еще в 70-х годах 20 века: Германия – в 1970 г., Франц я – в 1978 г., Швец я – в 1973 г. [5].

появлен ем автомат з рованных систем, использующих телекоммуникационные сети и способных, так м образом, передавать информацию через национальные границы, возникла необходимость в разработке межгосударственных нормативных актов. Так, в 1980 году Организация по эконом ческому сотрудн честву и развитию (ОЭСР) приняла Директиву о защите неприкосновенности частной ж зни и международных обменов персональными данными.

В 90-х годах нач нается разра отка и, в последствии, принятие Директивы 95/46/ЕС Европейского Парламента Совета Европейского Союза от 24 октября 1995 года о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных или EU Data Protection Directive (далее – Д ректива) [7]. Директива является базовым законодательным механизмом защ ты ПДн, который выполняет следующие функции:

декларирует право гражданина на защиту его приватной сферы в области ПДн и обязанность государств ЕС защищать это право;

описывает общие стандарты процедур с ора обработки и хранения П н;определяет права граждан на доступ и внесение изменений в информацию, обрабатываемую в

информационных системах ЕС, а также о язанность информирования гражданина о фактах передачи его персональных данных третьей стороне;

устанавливает порядок регистрации операторов персональных данных и ответственность контролирующего органа за ведение регистра операторов персональных данных и неограниченного доступа граждан к нему;

закрепляет порядок передачи ПДн странам, не входящим в ЕС.

В настоящее время, Директиву сменил Общий регламент по защите данных или General Data Protection Regulation (далее – Регламент) [6], принятый европейским Парламентом 27 апреля 2016 года. Регламент вступил в силу с 2018 года.

Данное требование стало обязательным для исполнения не только для членов ЕС, но также для других стран, которые работают с европейскими пользователями и имеют выход на европейский рынок, например, это могут быть различные онлайн-сервисы или дата-центры, хранящие персональные данные жителей Евросоюза. В этом документе, можно выделить три основные категории субъектов, на которые распространяется Регламент:

1) Организации, осуществляющие обработку ПДн учрежденные непосредственно в ЕС.

2) Иные организации, осуществляющие обработку ПДн европейских граждан в связи с реализацией товаров или услуг. Например, это могут быть интернет-магазины, которые принимают платежи в европейской валюте или же используют язык одной из стран ЕС при оформлении заказа.

3) Иные организации, осуществляющие мониторинг поведения европейских граждан. Здесь имеется в виду «отслеживание» информации о пользователях в сети Интернет. Эта информация, как правило используется, для анализа поведения, а также предпочтений субъекта.

Большинство положений Регламента были заимствованы из Директивы 95/46/ЕС, однако, помимо этого, появились совершенно новые правила Регламента, которые затрагивают деятельность российских организаций. К таким правилам относятся:

1) Назначение представителя в ЕС. По общему правилу, когда организация не находится на территории ЕС, но подпадает под действие Регламента, такая организация должна назначить своего представителя на территории ЕС. Такой представитель должен иметь прямой мандат действовать от имени организации и представлять ее интересы во взаимодействии с местными регуляторами.

263

Направление 4. Информационные системы и технологии в промышленности, в строительном и транспортном комплексах

2) Согласие на обработку ПДн. Изменились условия получения согласия на обработку ПД. Вопервых, субъекты ПДн всегда должны иметь возможность отозвать свое согласие. Во-вторых, отдельное согласие должно быть дано в отношении каждой отдельной цели обработки таких ПДн.

3) огласие детей. Регламент содержит особые правила для получения согласия детей на обработку их ПДн. Согласие детей до 16 лет должно быть сопровождено согласием их родителей. Государства-члены ЕС могут снизить этот потолок до 13 лет.

4) Уведомление о взломе/компрометации ПДн. Организации обязаны раскрывать информацию

об имевших место случаях взлома или компрометации ПДн. Организации, контролирующие ПДн, должны уведомлять регулятора о таких случаях, а также самих субъектов ПДн при определенных условиях. Такое уведомление должно быть сделано без промедлений, но в любом случае не позднее 72 часов с того момента, когда стало известно о взломе.

СибАДИпостоянного систематического видеонаблюдения за затрагиваемыми лицами, а также к предприятиям, занимающимся обработкой особо конфиденциальных данных. В Германии остается действовать прежнее правило, согласно которому предприятие обязано назначить уполномоченное лицо по защите персональных данных, в случае, если количество лиц, чьи персональные данные подвергаются постоянной автоматизированной обработке, составляет, как минимум, десять человек.

5) Обязательства по управлению ПДн. Регламент предусматривает целый ряд обязательств организационного характера в отношении управления ПДн. Так, в зависимости от конкретных

регламенты ЕС становятся непосредственно действующими на всей территории государств-членов ЕС с момента их утверждения, в то время как директивы вводятся через национальное законодательство каждого европейского государства. На практике это означает, что одна и та же

директива ЕС может ыть по-разному введена в государствах-членах ЕС, что создавало дополнительную нагрузку на изнес. Поэтому принятие новых правил в форме регламента способствует развитию единообразной практики на всей территории ЕС.

Таким образом, европейских подход к защите персональных данных является совокупностью национальных и общеевропейских правовых норм.

В каждой из 28 стран – членов ЕС созданы свои государственные органы по контролю за обработкой персональных данных:

Великобритания – Комиссариат по защите информации;Франция – Национальная комиссия по информатике и свободам;

Германия – Федеральная комиссия по защите данных.

Эти организации наделены необходимыми полномочиями, включая экспертно-консультационные,

по контролю за национальным законодательством и выполнением ирективы (в последствие

регламента).

Обязанность назначения уполномоченного лица по защите персональных данных на производстве распространяется на все государства, являющиеся членами Европейского Союза. Особенно это относится к предприятиям, в которых происходит процесс обработки данных, полученных путем

Если в Европе первые положения в области защиты персональных данных появились в 70-х годах, то в России это случилось практически на 20 лет позже. Конституция Российской Федерации 1993 года включала статьи 23 и 24, которые предусматривали положения, согласно которым «каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени» и «сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются» [1].

Однако, само понятие персональные данные и отдельные положения о защите конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся

264

ФУНДАМЕНТАЛЬНЫЕ И ПРИКЛАДНЫЕ ИССЛЕДОВАНИЯ МОЛОДЫХ УЧЕНЫХ

Сборник материалов III Международнойнаучно практической конференции

в информационных системах, впервые нашли отражение только в Федеральном законе от 20 февраля 1995 г. N 24-ФЗ «Об информации, информатизации и защите информации».

Близость с Евросоюзом, экономическая составляющая этих отношений, стали одним из главных факторов выбора правовой системы, на которую ориентировалась Российская Федерация при разработке национального законодательства в области персональных данных и потребовала принятия новых федеральных законов:

1) Федеральный закон от 27 июля 2006 N 149-ФЗ «Об информации, информационных технологиях

Лица, в новные в нарушении установленных требований несут предусмотренную законодательством ответственность, в том числе гражданскую, уголовную, административную и дисциплинарную [2].

Существует три основных органа государственной власти, осуществляющих контроль соблюдения требований в области защиты персональных данных:

Федеральная служ а по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) осуществляет функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы.

Федеральная служба по техническому и экспортному контролю (ФСТЭК) осуществляет реализацию государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам использования технических средств защиты информации.

Федеральная служба безопасности (ФСБ) осуществляет решение задач по обеспечению безопасности контроль за методами и способами защиты информации в информационных системах персональных данных с использованием криптографических средств защиты.

Все из перечисленных органов обеспечивают защиту информации на территории Российской Федерации в рамках своих полномочий.

На российских предприятиях в организациях ответственный за обработку персональных данных назначается приказом. Но следует отметить, что несмотря на обновление национальной системы квалификаций работников, затрагивающее практически все отрасли российской экономики и социальной сферы, профессиональный стандарт такого специалиста не разработан.

Таким образом, стоит отметить, что правовой опыт регулирования персональных данных в ЕС намного больше, чем в России.

Ответственность за нарушение обработки ПДн

Защита прав человека, его персональных данных относится к области административного, а также уголовного законодательства. Главной задачей законодательства об административных правонарушениях является защита личности, охрана прав и свобод человека и гражданина, а также предупреждение административных правонарушений [2]. Рассмотрим, какие наказания предусмотрены за административные правонарушения в области персональных данных в ЕС и России.

В европейском законодательстве Регламент устанавливает максимальные размеры штрафов, однако, полномочия по определению конкретных сумм штрафов предоставлены национальным органам власти государств – членов ЕС.

Предусматривается две категории штрафов в зависимости от состава нарушения:

265

Направление 4. Информационные системы и технологии в промышленности, в строительном и транспортном комплексах

20 млн. евро или 4% от оборота (большее из указанного) за нарушение: основных принципов, прав субъектов ПДн, положений о международной передаче ПДн, приказов национальных регуляторов и некоторых обязательств по национальному законодательству;

10 млн. евро или 2% от оборота (большее из указанного) за нарушения следующих обязательств: получение согласия на обработку ПДн детей, принятие технических и организационных мер для защиты ПДн, назначение представителя в ЕС – в отношении организаций, находящихся вне территории ЕС, уведомление о взломах/компрометации ПДн и целый ряд других обязательств.

В комментариях к Регламенту пояснено, однако, что вместо штрафа может быть сделан выговор в случаях, когда совершенное правонарушение является незначительным, или наложенный штраф

СибАДИштрафов. Теперь в зав с мости от вида совершенного правонарушения они составляют: для граждан

будет чрезмерен (несопоставим с нарушением).

В Российском законодательством ответственность за нарушения в области обработки и использован я ПДн предусматр вается в Кодексе об Административных правонарушениях

Российской Федерац (далее – КоАП РФ). Список нарушений, представленный в КоАП РФ

достаточно обш рен. В соответствии с законодательными нормами, субъектом правонарушения могут быть ф з ческ е л ца (граждане или должностные лица) юридические лица, а также лица, осуществляющ е предпр н мательскую деятельность.

силу с 1 июля 2017 г, введена новая редакция статьи 13.11 КоАП РФ, в которой вместо одного состава правонарушен й в о ласти персональных данных предложено семь.

В новой редакц ст. 13.11 КоАП РФ существенно увеличены размеры административных

– от 3 000 до 5 000 рублей, для должностных лиц – от 10 000 до 20 000 рублей, для юридических лиц

– от 15 000 до 75 000 рублей.

Заключен е

В статье была выполнен анализ основных положениях по обработке ПДн в странах Евросоюза и России. На основании этого сделаны выводы, что система защиты персональных данных стремительно развивается во всем мире, что связано, прежде всего, с появлением новых информационных технологий.

Изложенное выше дает основание полагать, что, несмотря на общность подходов в регулировании персональных данных в России и странах ЕС, некоторые механизмы имеют различия. В России институт персональных данных возник относительно недавно и находится на этапе становления. Законодательство о персональных данных в Евросоюзе имеет более длинную историю, возможно именно этот фактор влияет на процесс правового регулирования и законодательную технику. В частности, в законодательстве Германии механизм передачи персональных данных за рубеж является более совершенным ввиду более детальной проработки положений об адекватной защите персональных данных. Что касается принципов, на которых базируется законодательство о персональных данных, то они также допускают больший контроль за использованием информации о персональных данных.

Говоря о различиях уровня ответственности, видно, что в России наказание за нарушения значительно уступают европейским штрафам. Нельзя не отметить, что европейское законодательство оказывает большое влияние как на Россию, так на другие страны.

Защита личной информации должна приравниваться к защите реальной личности. Поэтому операторы информационных систем должны обладать необходимыми знаниями и ответственностью для обеспечения требуемого уровня сохранности персональных данных.

Библиографический список

1.Конституция Российской Федерации [Электронный ресурс]: принята всенародным голосованием 12.12.1993 (с учетом поправок, внесенных Законами РФ о поправках к Конституции РФ от 30.12.2008 N 6-ФКЗ, от

30.12.2008 N 7-ФКЗ, от 05.02.2014 N 2-ФКЗ, от 21.07.2014 N 11-ФКЗ) – Режим доступа: http://www.consultant.ru (дата обращения: 10.01.2019).

2.Кодекс Российской Федерации об административных правонарушениях [Электронный ресурс]: федеральный закон от 30.12.2001 N 195-ФЗ (ред. от 27.12.2018) – Режим доступа: http://www.consultant.ru (дата обращения: 10.01.2019).

3.Евросоюз договорился о новых правилах защиты персональных данных [Электронный ресурс]. – Режим

https://www.infowatch.ru/presscenter/news/20726 (дата обращения: 11.01.2019).

266

ФУНДАМЕНТАЛЬНЫЕ И ПРИКЛАДНЫЕ ИССЛЕДОВАНИЯ МОЛОДЫХ УЧЕНЫХ

Сборник материалов III Международнойнаучно практической конференции

5.Портал персональных данных Уполномоченного органа по защите персональных данных [Электронный ресурс]. – Режим доступа: https://pd.rkn.gov.ru/5let/role/?print=1&print=1 (дата обращения: 11.01.2019).

6.GDPR: Getting Ready for the New EU General Data Protection Regulation [Электронный ресурс]. – Режим доступа: http://www.infolawgroup.com (дата обращения: 12.01.2019).

7.Protection of personal data [Электронный ресурс]. – Режим доступа: URL: http://eur-lex.europa.eu (дата обращения: 12.01.2019).

Научный руководитель – Завальников В.П., кандидат филологических наук, доцент кафедры СибАДИтеоретической прикладной лингвистики

267