Защита персональных данных в информационных системах. Учебное пособие

Тема 2

–целью Совета Европы является достижение более тесного объединения его членов на основе уважения принципов правового государства, а равно прав и основных свобод человека;

–существует настоятельная необходимость усиления гарантий прав и основных свобод каждого человека, и в особенности права на неприкосновенность его этичной сферы, вызванная все возрастающим перемещением через границы персональных данных, обработанных с применением автоматизированных средств;

–поддерживается приверженность свободе информации независимо от границ;

–необходимо совмещать фундаментальные ценности уважения неприкосновенности личной сферы и свободный обмен информацией между народами.

Целью Конвенции является обеспечение на территории каждой из Сторон уважения прав и основных свобод каждого человека независимо от его гражданства или места жительства, и в особенности его права на неприкосновенность личной сферы в связи с автоматической обработкой касающихся его персональных данных («защита данных»).

ВКонвенции приведены следующие определения:

–персональные данные означают информацию, касающуюся конкретного или могущего быть идентифицированным лица («субъекта данных»);

–автоматизированная база данных означает любой набор данных, к которым применяется автоматическая обработка;

–автоматическая обработка включает следующие операции, если они полностью или частично осуществляются с применением автоматизированных средств: накопление данных, проведение логических или / и арифметических операций с такими данными, их изменение, стирание, восстановление или распространение;

–контролер базы данных означает физическое или юридическое лицо, государственный орган, ведомство или любую другую организацию, которая в соответствии с национальным правом наделена полномочиями решать, для какой цели создается автоматизированная база данных, какие категории персональных данных будут накапливаться и какие операции с ними будут осуществляться.

15 июня 1999 г. Комитетом министров в Страсбурге в Конвенцию внесены изменения.

Защита персональных данных в информационных системах

Конвенция применяется к автоматизированным базам персональных данных и к автоматической обработке персональных данных в публичном и частном секторах.

Любое Государство или Европейские сообщества в момент подписания или сдаче на хранение их ратификационных грамот или документа о принятии, одобрении или присоединении или впоследствии в любое другое время могут уведомить путем заявления Генерального секретаря Совета Европы о том, что:

–оно не будет применять Конвенцию к определенным категориям автоматизированных файлов персональных данных, перечень которых будет сдан на хранение. Однако такой перечень не должен включать те категории автоматизированных файлов данных, на которые распространяется действие положений национального права

озащите данных. Соответственно, оно должно вносить изменения в этот перечень путем нового заявления всякий раз, когда в соответствии с национальным правом под действие норм о защите данных подпадают дополнительные категории автоматизированных файлов данных;

–оно будет также применять Конвенцию в отношении информации, касающейся групп лиц, ассоциаций, фондов, компаний, корпораций и любых других организаций, состоящим прямо или косвенно из частных лиц, независимо от того, обладают ли такие организации правосубъектностью;

–оно будет применять Конвенцию в отношении файлов персональных данных, которые не подвергаются автоматизированной обработке.

Любое государство или европейские сообщества, расширившие сферу применения Конвенции путем любого из заявлений, могут уведомить с помощью указанного заявления о том, что такое расширение применения касается лишь определенных категорий файлов персональных данных, перечень которых будет сдан на хранение.

Каждая сторона, ратифицировавшая Конвенцию, принимает необходимые меры для того, чтобы основные принципы защиты данных, изложенные в Конвенции, были реализованы в ее национальном праве.

Персональные данные, проходящие автоматическую обработку в соответствии с Конвенцией:

Тема 2

–должны быть получены и обработаны добросовестным и законным образом;

–должны накапливаться для точно определенных и законных целей и не использоваться в противоречии с этими целями;

–должны быть адекватными, относящимися к делу и не быть избыточными применительно к целям, для которых они накапливаются;

–должны быть точными и в случае необходимости обновляться;

–должны храниться в такой форме, которая позволяет идентифицировать субъектов данных не дольше, чем этого требует цель, для которой эти данные накапливаются.

Персональные данные о национальной принадлежности, политических взглядах либо религиозных или иных убеждениях, судимости, а равно персональные данные, касающиеся здоровья или сексуальной жизни, отнесены Конвенцией к особым категориям данных и могут подвергаться автоматической обработке только в тех случаях, когда национальное право предусматривает надлежащие гарантии.

Конвенция обязывает Стороны принимать надлежащие меры для охраны персональных данных, накопленных в автоматизированных базах данных, от случайного или несанкционированного разрушения или случайной утраты, а равно от несанкционированного доступа, изменения или распространения.

Любому лицу должно быть предоставлено право:

–быть осведомленным о существовании автоматизированной базы персональных данных, о ее главных целях, а также о контролере базы данных, его месте жительства либо юридическом адресе;

–периодически и без излишних затрат времени или средств обращаться с запросом о том, накапливаются ли в автоматизированной базе данных касающиеся его персональные данные, и получать информацию о таких данных в доступной форме;

–требовать уточнения или уничтожения таких данных, если они были обработаны с нарушением положений национального права, реализующих основные принципы, изложенные в Конвенции;

–прибегнуть к судебной защите нарушенного права, если его запрос либо требование о предоставлении информации, уточнении или уничтожении данных, не были удовлетворены.

Защита персональных данных в информационных системах

Указанные права могут быть ограничены:

–для охраны государственной и общественной безопасности, денежных интересов Государства или для пресечения преступлений;

–для защиты субъекта данных или прав и свобод других лиц. Применительно к автоматизированным базам персональных

данных, используемым для статистических и исследовательских целей, законом могут быть установлены ограничения в осуществлении указанных правомочий при условии исключения риска нарушения неприкосновенности личной сферы субъектов данных.

Участники Конвенции не должны запрещать или ставить под специальный контроль информационные потоки персональных данных, идущие на территорию стран-участников, исходя исключительно из соображений защиты неприкосновенности личной сферы, независимо от способа такой передачи.

Тем не менее участники Конвенции вправе отступить от основных положений трансграничной передачи персональных данных:

–если законодательство участника Конвенции устанавливает специальные правила в отношении определенных категорий персональных данных или автоматизированных баз персональных данных – кроме случаев, когда правилами другого участника предусмотрена равноценная защита;

–когда передача осуществляется с территории участника на территорию государства, не являющегося участником Конвенции.

Участники Конвенции должны оказывать друг другу взаимную помощь, направленную на выполнение Конвенции. При этом участники:

–назначают один или несколько органов, наименование и адрес каждого из которых сообщаются Генеральному Секретарю Совета Европы;

–определяют компетенцию каждого органа.

Орган назначенный одним участником, по ходатайству органа, назначенным другим участником:

–административной практике участника в сфере защиты информации;

–в соответствии со своим национальным правом и исключительно в целях защиты неприкосновенности личной сферы принимает все надлежащие меры для предоставления фактической

Тема 2

информации, касающейся отдельных случаев автоматической обработки, осуществляемой на ее территории, за исключением самих персональных данных, проходящих такую обработку.

Каждый участник Конвенции должен оказывать помощь любому лицу, проживающему за рубежом, в предусмотренном его национальным правом осуществлении правомочий. Такая помощь осуществляется на основании подачи ходатайства о помощи, которое должно содержать все необходимые реквизиты, в том числе касающиеся:

–имени, адреса и других относящихся к делу характеристик, позволяющих идентифицировать лицо, подавшее ходатайство;

–автоматизированной базы персональных данных, к которой относится ходатайство, и ее контролера;

–цели ходатайства.

Отказ в удовлетворении ходатайства о помощи назначенным органом, которому адресовано ходатайство о помощи, может произойти в тех случаях, когда:

–уполномоченный орган не обладает полномочиями в сфере защиты данных, необходимых для удовлетворения ходатайства;

–ходатайство не соответствует положениям Конвенции;

–удовлетворение ходатайства было бы несовместимо с требованиями, касающимися соблюдения суверенитета, государственной тайны или общественного порядка государства, которым он был назначен, или с правами и основными свободами лиц, находящихся под юрисдикцией этого государства.

После вступления Конвенции в силу создается Консультативный комитет. Каждый участник Конвенции назначает в комитет своего представителя и его помощника. Любое Государство – член Совета Европы, не являющееся участником Конвенции, имеет право быть представленным в комитете в качестве наблюдателя. Консультативный комитет может по единогласному решению пригласить для участия в заседании любое государство, не входящее в Совет Европы и не являющееся участником Конвенции.

Консультативный комитет имеет следующие функции:

–может вносить предложения, направленные на облегчение и улучшение применения Конвенции;

–может вносить предложения о внесении поправок в Конвенцию;

–должен давать заключение по поводу любой предложенной поправки к Конвенции;

Защита персональных данных в информационных системах

– по просьбе участника может высказывать свое мнение по любому вопросу, касающемуся применения Конвенции.

Консультативный комитет созывается Генеральным Секретарем Совета Европы не реже одного раза в два года. Любое государство имеет право голоса при голосовании. Каждое государство – участник Конвенции имеет один голос. После каждого заседания консультативный комитет направляет Комитету министров Совета Европы доклад о своей работе и о состоянии дел с выполнением Конвенции. Консультативный комитет самостоятельно принимает свой регламент, руководствуясь положениями Конвенции.

Российская Федерация ратифицировала Конвенцию Совета Европы Федеральным законом от 19 декабря 2005 г. № 160-ФЗ.

2.1.2. Директива о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных

Директива 95/46/ЕС Европейского парламента и Совета Европейского Союза о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных от 24 октября 1995 года (далее Директива 95/46/EC) была принята с целью выработки общих подходов к обработке персональных данных с учетом европейского сотрудничества.

Предметом Директивы 95/46/EC является защита государства- ми-участниками фундаментальных прав и свобод физических лиц, и в частности их право на неприкосновенность частной жизни, применительно к обработке персональных данных. Директива 95/46/ EC не ограничивает и не запрещает свободный поток персональных данных между государствами-участниками по причинам, связанным

сзащитой фундаментальных прав и свобод физических лиц.

ВДирективе 95/46/EC приняты следующие определения:

– персональные данные – любая информация, связанная с идентифицированным или идентифицируемым физическим лицом («субъектом данных»); идентифицируемым лицом является лицо, которое может быть идентифицировано прямо или косвенно, в частности, посредством ссылки на идентификационный номер или на один или несколько факторов, специфичных для его физической, психологической, ментальной, экономической, культурной или социальной идентичности;

Тема 2

–обработка персональных данных («обработка») – любая операция или набор операций, выполняемых над персональными данными как автоматическими средствами, так и без таковых, такие как: сбор, запись, организация, хранение, актуализация или изменение, извлечение, консультирование, использование, раскрытие посредством передачи, распространения или предоставления иного доступа, группировка, блокирование, стирание или разрушение;

–картотека персональных данных («картотека») – любой структурированный набор личных данных, являющийся доступным в соответствии с определенными критериями, централизованный, децентрализованный или распределенный на функциональной или географической основе;

–контролер – физическое или юридическое лицо, официальный орган, агентство или иной орган, который самостоятельно или совместно с другими определяет цели и средства обработки персональных данных; в случае когда цели или средства обработки определяются национальным законодательством или законами, или нормами Сообщества, контролер или особые критерии его назначения могут устанавливаться национальным законом или законом Сообщества;

–обработчик – физическое или юридическое лицо, официальный орган, агентство или иной орган, который обрабатывает персональные данные по поручению контролера;

–третья сторона – любое физическое или юридическое лицо, официальный орган, агентство или иной орган, кроме субъекта данных, контролера, обработчика и лиц, которые уполномочены обрабатывать данные с прямой санкции контролера или обработчика;

–получатель означает физическое или юридическое лицо, официальный орган, агентство или иной орган, которому раскрываются данные, являющееся или не являющееся третьей стороной; однако власти, могущие получать данные в рамках частного запроса, не должны считаться получателями;

–согласие субъекта данных – любое свободно данное конкретное и сознательное указание о своей воле, которым субъект данных оповещает о своем согласии на обработку касающихся его персональных данных.

Директива 95/46/EC применяется к обработке персональных данных полностью или частично автоматическими средствами и

Защита персональных данных в информационных системах

обработке средствами, отличными от автоматических; персональных данных, составляющих часть картотеки или предназначенных составлять часть картотеки.

Директива 95/46/EC не применяется к обработке персональных данных:

–к операциям по обработке, касающимся общественной безопасности, обороны, государственной безопасности (включая экономическое благосостояние государства, если операции по обработке относятся к вопросам государственной безопасности) и деятельности государства в сферах уголовного права;

–физическим лицом в ходе чисто личной или бытовой деятельности.

Обработка персональных данных является законной при выполнении следующих условий государствами-участниками.

Государства-участники должны принимать меры, чтобы персональные данные:

–обрабатывались корректно и законно;

–собирались для объявленных явных и законных целей и в дальнейшем не обрабатывались каким-либо образом, несовместимым с этими целями. Дальнейшая обработка данных для исторических, статистических или научных целей не считается несовместимой

сданными принципами при условии, что государства-участники обеспечат соответствующие гарантии;

–были адекватными, относящимися к делу и неизбыточными в отношении целей, для которых они собираются и / или в дальнейшем обрабатываются;

–были точными и, если необходимо, актуальными; должны быть предприняты любые обоснованные шаги, чтобы неточные или неполные данные применительно к целям, для которых они собирались или для которых они впоследствии обрабатывались, удалялись или уточнялись;

–хранились в форме, позволяющей идентификацию субъектов данных не долее, чем это необходимо для целей, с которыми данные собирались или впоследствии обрабатывались. Государства-участ- ники установят необходимые гарантии для персональных данных, хранимых более длительные сроки в исторических, статистических или научных целях.

Тема 2

Государства-участники должны обеспечить условия, при которых личные данные обрабатывались бы только в том случае, если:

–субъект данных недвусмысленно дал свое согласие;

–обработка необходима для исполнения контракта, в котором субъект данных является стороной или для принятия мер до заключения контракта по просьбе субъекта данных;

–обработка необходима для выполнения юридического обязательства, субъектом которого является контролер;

–обработка необходима для защиты жизненных интересов субъекта данных;

–обработка необходима в целях обеспечения законных интересов контролера или третьей стороны (сторон), которым раскрыты данные, кроме случаев, когда такие интересы нарушают интересы фундаментальных прав и свобод субъекта данных.

К особой категории данных в Директиве относятся персональные данные, раскрывающие расовое или этническое происхождение, политические взгляды, вероисповедание или философское воззрение, членство в профессиональном союзе, и персональные данные, касающиеся здоровья или интимной жизни.

Особые категории персональных данных могут обрабатываться

вслучаях, если:

–субъект данных дал свое явное согласие на обработку таких данных, кроме случаев, когда законами государства-участника установлено, что запрет не может быть отменен на основании согласия субъекта данных;

–обработка необходима в целях исполнения обязательств и особых прав контролера в сфере законодательства о труде в той мере, в какой это допускается национальным законодательством, предусматривающим адекватные гарантии;

–обработка необходима для защиты жизненных интересов субъекта данных или иного лица, если субъект данных физически или юридически неспособен дать свое согласие;

–обработка осуществляется в ходе законной деятельности с надлежащими гарантиями фондом, ассоциацией или любой иной некоммерческой организацией в политических, философских, религиозных или профсоюзных целях и при условии, что обработка относится исключительно к членам организации или лицам, имею-

Защита персональных данных в информационных системах

щим регулярный контакт с нею в связи с ее целями, и что данные не раскрываются третьим лицам без согласия субъекта данных;

–обработка относится к данным, которые явно сделаны общедоступными субъектом данных или являются необходимыми для внесения, поддержания или защиты судебных исков.

Обработка особых категорий персональных данных также может быть осуществлена, когда она требуется в целях превентивной медицины, медицинского диагноза, предоставления медицинского обслуживания, лечения или управления услугами здравоохранения, а также если такие данные находятся во владении лица, профессионально занимающегося медицинской деятельностью в соответствии с национальным законодательством или правилами, установленными компетентными национальными органами, устанавливающими обязательства сохранения профессиональной тайны, или иного лица, также имеющего эквивалентные обязательства по сохранению тайны.

Обработка данных, касающихся правонарушений, уголовного наказания или мер безопасности, может осуществляться только под контролем официального органа или если в соответствии с национальным законодательством предусмотрены надлежащие особые гарантии – с учетом частичных исключений, установленных государством-участником в соответствии с национальными нормами, предусматривающими надлежащие особые гарантии. Однако полный реестр уголовных приговоров может вестись только под контролем официального органа.

Государства-участники могут установить, что данные, касающиеся административных санкций или судебных решений по гражданским делам, также могут обрабатываться под контролем официального органа.

Субъекту персональных данных контролер или его представитель предоставляют по меньшей мере следующую информацию:

–личность контролера или его представителя, если таковой имеется;

–цели обработки, для которых предназначены данные;

–получатели или категории получателей данных;

–является ли ответ на вопрос обязательным или добровольным, а также возможные последствия отказа от ответа;

–наличие права доступа и права уточнять касающиеся его данные.