Защита персональных данных в организации. Монография

51

нарушение требований по составу предоставляемых сведений;

нарушение права граждан на бесплатное получение информации;

сокрытие (непредставление) сведений об обстоятельствах, создающих опасность для жизни или здоровья людей;

несвоевременное предоставление сведений;

сокрытие информации; сообщение ложных (недостоверных) сведений;

ограничение права на предоставление информации;

искажение сведений; нарушение свободного международного информационного обмена.

Защита права на доступ к информации может осуществляться:

•в форме, находящейся за пределами юрисдикции (самозащита своих прав и законных интересов законными способами);

•в юрисдикционной форме (в административном или судебном порядке).

В административном порядке — через подачу жалобы лицом, чьи права нарушены, на должностное лицо (орган) в вышестоящую инстанцию, специальный орган — Судебную палату по информационным спорам при президенте.

В судебном порядке — лицо может выбрать любой способ защиты нарушенных прав через подачу иска (жалобы) для рассмотрения в гражданском, административном или уголовном судопроизводстве [26].

При рассмотрении иска в гражданском судопроизвод стве потерпевший вправе использовать основные способы защиты гражданских прав, предусмотренных в ст. 12 Гражданского кодекса Российской Федерации, введенного в действие 30.11.1996 года, в том числе требовать:

признания права;

прекращения действий, нарушающих право или создающих угрозу его нарушения;

признания недействительным акта государственного органа или органа местного самоуправления;

восстановления права;

52

возмещения убытков;

компенсации морального ущерба [7].

Так, в Федеральном законе №195-ФЗ от 30.12.01 г. (с изменениями) «Кодекс Российской Федерации об административных правонарушениях» предусматривается административная ответственность за следующие нарушения:

умышленное уничтожение, повреждение печатных материалов (ст. 5.14) влечет наложение административного штрафа в размере от пятисот до одной тысячи рублей;

несообщение сведений о гражданах, состоящих или обязанных состоять на воинском учете (ст. 21.4), влечет наложение административного штрафа в размере от трехсот до одной тысячи рублей;

нарушение порядка и сроков предоставления сведений о несовершеннолетних, нуждающихся в передаче на воспитание и др. (ст. 5.36), влечет наложение административного штрафа в размере от одной тысячи до одной тысячи пятисот рублей;

отказ в предоставлении гражданину информации (ст. 5.39) влечет наложение административного штрафа на должностных лиц в размере от пятисот до одной тысячи рублей;

злоупотребление свободой массовой информации (ст. 13.15) влечет наложение административного штрафа на граждан в размере от двух тысяч до двух тысяч пятисот рублей с конфискацией предмета административного правонарушения; на должностных лиц - от четырех тысяч до пяти тысяч рублей с конфискацией предмета административного правонарушения; на юридических лиц - от сорока тысяч до пятидесяти тысяч рублей с конфискацией предмета административного правонарушения;

нарушение правил распространения обязательных сообщений (ст. 13.17) влечет наложение административного штрафа на граждан в размере от ста до трехсот рублей; на должностных лиц - от трехсот до пятисот рублей; на юридических лиц - от трех тысяч до пяти тысяч рублей.

нарушение установленного законом порядка сбора, хранения, использования или распространения информации о персональных

53

данных граждан (ст. 13.11) влечет предупреждение или наложение административного штрафа на граждан в размере от трех до пяти минимальных размеров оплаты труда; на должностных лиц - от пяти до десяти минимальных размеров оплаты труда; на юридических лиц - от пятидесяти до ста минимальных размеров оплаты труда;

нарушение правил защиты информации предусмотренных лицензией на осуществление деятельности в области защиты информации (ст. 13.12) влечет наложение административного штрафа на граждан в размере от трех до пяти минимальных размеров оплаты труда; на должностных лиц - от пяти до десяти минимальных размеров оплаты труда; на юридических лиц - от пятидесяти до ста минимальных размеров оплаты труда;

разглашение информации с ограниченным доступом (ст. 13.14) лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, - влечет наложение административного штрафа на граждан в размере от пяти до десяти минимальных размеров оплаты труда; на должностных лиц - от сорока до пятидесяти минимальных размеров оплаты труда [28].

Поскольку защита персональных данных человека является составной частью института гарантий неприкосновенности частной жизни человека, нормы особенной части Федерального закона № 63-ФЗ от 13.06.1996 г. (с изменениями) ‖Уголовный кодекс Российской Федерации‖ относительно уголовной ответственности за нарушение неприкосновенности частной жизни человека распространяются, в том числе, и на порядок защиты персональных данных.

Так, уголовная ответственность статьей 137 Уголовного кодекса Российской Федерации, введенного в действие 13.06.1996 года, устанавливается за незаконное собирание или распространение сведений о частной жизни лица, составляющих личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации. Указанные деяния наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати

54

месяцев, либо обязательными работами на срок до одного года, либо арестом на срок до четырех месяцев. Те же деяния, совершенные лицом с использованием своего служебного положения, наказываются штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет, либо арестом на срок от четырех до шести месяцев.

Кроме того, в уголовном судопроизводстве рассматриваются иски, предусмотренные в Уголовном кодексе Российской Федерации, за следующие нарушения:

неправомерный отказ в предоставлении гражданину информации, непосредственно затрагивающий ео права и свободы (ст. 140), влечѐт наложение штрафа в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев либо лишение права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет;

сокрытие информации об обстоятельствах, создающих опасность для жизни или здоровья людей (ст. 237), влечѐт наложение штрафа в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до двух лет либо лишение свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового;

отказ в предоставлении информации Федеральному собранию Российской Федерации или Счетной палате Российской Федерации (ст. 287) влечѐт наложение штрафа в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо лишение права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет, либо арестом на срок от четырех до шести месяцев, либо лишением свободы на срок до трех лет

[20].

55

3. Формирование требований по защите персональных данных

Целью ФЗ ФЗ-№152 «О персональных данных» является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну. Данный нормативно-правовой документ является основой для формирования требований по защите персональных данных в организации. Однако в сферах применения закона сделано исключение для сбора и обработки персональных данных исключительно для личных нужд граждан, деятельности Архивного фонда Российской Федерации и других архивных организаций в соответствии с законодательством об архивном деле в Российской Федерации и для защиты государственной тайны и ряда других случаев, определенных в ст.3 ФЗ ФЗ-№152 [21].

3.1. Принципы обработки персональных данных

Шесть принципов обработки персональных данных,

защищающих персональную информацию человека, установлены в ст. 5 ФЗ-№152 «О персональных данных» (рис.3.1.). Данные принципы схожи с принципами, содержащимися во многих европейских правовых актах. Во-первых, персональные данные должны собираться и использоваться законно и добросовестно. Эта норма говорит о том, что персональные данные должны быть собраны и использованы в соответствии с законодательством Российской Федерации и только с согласия субъекта персональных данных, но за исключением случаев, четко оговоренных в части 2 ст. ФЗ-№152 «О персональных данных», когда такое согласие не требуется. Согласие на обработку своих персональных данных субъект персональных данных должен дать в письменной форме, содержание этого документа четко установлено в п. 4 ст. 9 ФЗ-№152. В письменном согласии субъекта должна быть обязательно указана цель обработки персональных данных и их перечень, а также срок, в течение которого действует согласие и порядок его отзыва.

56

Во-вторых, в соответствии со ст. 5 ФЗ-№152 заранее четко определенные цели использования персональных данных не должны изменяться. Персональные данные не могут собираться и использоваться для иных целей, о которых субъект, давший письменное согласие на обработку своих данных, не был заранее информирован.

Принципы обработки персональных данных

Рис.3.1. Принципы обработки персональных данных

В-третьих, объем, характер и способы обрабатываемых персональных данных должны соответствовать целям обработки персональных данных. Эта норма направлена на исключение ситуаций, когда при сборе персональных данных пытаются получить иную персональную информацию, выходящую за рамки объявленных целей

[21].

В-четвертых, персональные данные должны быть достоверными, а объем собираемой персональной информации должен быть оправдан целями ее сбора. Объем собираемых персональных данных не должен быть избыточным, если это не соответствует определенным и законным целям. При этом, в соответствии со ст. 20 ФЗ-№152, если обнаружено, что были допущены ошибки и персональные данные неточны, субъекту персональных данных принадлежит право внести необходимые изменения.

57

В-пятых, ФЗ-№152 «О персональных данных» запрещает объединение персональных данных в единую информационную систему персональных данных, которые были собраны операторами персональных данных для разных целей. Эта норма направлена на то, чтобы избежать ситуации, когда оператор связи содержит базу персональных данных человека, и в случае утечки такой базы, человек будет уязвим перед несанкционированным и недобросовестным использованием этих сведений.

И, наконец, в-шестых, персональные данные должны храниться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.

3.2.Требования к организации работ по защите персональных данных работников

Как уже упоминалось, ФЗ-№152 «О персональных данных» содержит основные общие требования к деятельности операторов, касающейся обработки персональных данных. Так, субъект персональных данных должен давать свое письменное согласие на их обработку, которое может быть отозвано субъектом персональных данных. Однако ФЗ-№152 «О персональных данных» не содержит норм относительно причин, по которым согласие может быть отозвано, а приводит лишь оговорку, что порядок отзыва определяется в письменном согласии субъекта персональных данных на обработку своих персональных данных. Предположительно, это может быть при выявлении недостоверных персональных данных или неправомерных действий с ними оператора. Однако в этом случае в соответствии со ст. 21 ФЗ-№152 по запросу субъекта персональных данных или его законного представителя, либо уполномоченного органа по защите прав субъектов персональных данных, оператор обязан блокировать персональные данные с момента такого обращения или получения такого запроса на период проверки. Оператор в соответствии со ст. 20 ФЗ-№152 также должен уничтожить такие персональные данные, если

58

они оказались неполными, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели, если субъектом данных это было подтверждено.

Оператор и третьи лица, получившие доступ к персональным данным, должны обеспечивать их конфиденциальность (статья 7), за исключением случая обезличивания персональных данных, когда невозможно по ним идентифицировать конкретного человека и относительно общедоступных персональных данных, которые в соответствии со ст. 8 ФЗ-№152 могут содержаться в адресных книгах, справочниках и иных общедоступных источниках персональных данных с согласия их субъекта.

За некоторыми исключениями, предусмотренными ч.2 статьи 10, ФЗ-№152 не допускает автоматизированную обработку так называемых специальных категорий персональных данных граждан, т.е. «чувствительной информации» к которой относится информация, касающаяся расовой, национальной принадлежности человека, его политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни. Что касается сведений о судимости, они также относятся к специальной категории персональных данных человека и могут обрабатываться государственными и муниципальными органами только в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации.

При трансграничной передаче персональных данных оператор должен убедиться в обеспечении адекватной защиты иностранным государством прав субъектов персональных данных. Частью 3 ст.12 ФЗ- №152 устанавливаются условия, при которых трансграничная передача персональных данных может осуществляться без должного обеспечения защиты прав субъектов этих персональных данных. Закон также содержит требования о недопущении использования оскорбляющих чувства граждан или унижающих человеческое достоинство способов обозначения принадлежности персональных данных, содержащихся в государственных или муниципальных информационных системах персональных данных, конкретному субъекту. Права и свободы человека и гражданина не могут ограничиваться по мотивам, связанным

59

сиспользованием различных способов обработки персональных данных или обозначения принадлежности персональных данных, содержащихся в государственных или муниципальных информационных системах персональных данных, конкретному субъекту персональных данных [19].

Итак, на основе анализа требований Федерального закона №152 от 27.07.2006 года «О персональных данных», а также положениями по защите персональных данных, определѐнными в Трудовом кодексе Российской Федерации сформулируем требования, которые необходимо выполнять организациям на территории Российской Федерации для законного использования персональных данных:

1.Наличие в организации структурного подразделения, выполняющего функции, связанные с защитой персональных данных (отдел кадров, структурное подразделение по защите информации).

2.Персональные данные должны храниться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.

3.Персональные данные могут обрабатываться оператором только

ссогласия субъектов персональных данных.

4. Если оператор на основании договора поручает обработку персональных данных другому лицу, существенным требованием является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности данных при их обработке путѐм создания комплексной системы защиты информации.

6.Сведения о субъекте персональных данных могут быть в любое время исключены из всех общедоступных источников персональных данных по первому требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.

7.Оператор обязан утвердить по организации перечень персональных данных, на обработку которых даѐтся согласие субъекта персональных данных (образец перечня приведѐн в прил. 1). Все исполнители должны быть ознакомлены с перечнем под роспись.

60

8. Оператор обязан утвердить по организации перечень действий с персональными данными, на совершение которых даѐтся согласие, а также предоставить общее описание используемых оператором способов обработки персональных данных (образец перечня приведѐн в прил. 2). Все исполнители должны быть ознакомлены с перечнем под роспись в части их касающейся.

9. Доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю только при письменном обращении или при получении запроса субъекта персональных данных или его законного представителя (образец запроса приведѐн в прил. 3).

10. Оператор обязан немедленно прекратить по письменному требованию субъекта персональных данных обработку его персональных данных.

11. Оператор обязан утвердить список лиц по организации, имеющих доступ к персональным данным или которым может быть предоставлен такой доступ (образец списка приведѐн в прил. 4). Все исполнители должны быть ознакомлены со списком под роспись. Доступ к информации о персональных данных исполнителей должен осуществляться оператором в соответствии с разрешительной системой допуска исполнителей к документам и сведениям конфиденциального характера, действующей в организации.

12. Оператор обязан разработать положение (инструкцию) по защите персональных данных (примерный текст положения представлен в прил. 5). Строгой формы этого документа не установлено. Но он должен соответствовать требованиям, которые предъявляет к защите персональных данных работника Трудовой кодекс Российской Федерации и ФЗ-№152. В положении должны быть указаны (рис.3.2.):

цель и задачи организации в области защиты персональных данных;

понятие и состав персональных данных; перечень обрабатываемых персональных данных и источник их

получения;