Комментарий к ФЗ от 27 июля 2006 г. № 152-ФЗ «О персональных данных»

соответствующим закрытым ключом электронной цифровой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах (подписывать электронные документы);

4)средства электронной цифровой подписи - аппаратные и (или) программные средства, обеспечивающие реализацию хотя бы одной из следующих функций - создание электронной цифровой подписи в электронном документе с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе, создание закрытых и открытых ключей электронных цифровых подписей;

5)сертификат средств электронной цифровой подписи - документ на бумажном носителе, выданный в соответствии с правилами системы сертификации для подтверждения соответствия средств электронной цифровой подписи установленным требованиям;

6)закрытый ключ электронной цифровой подписи - уникальная последовательность символов, известная владельцу сертификата ключа подписи и предназначенная для создания в электронных документах электронной цифровой подписи с использованием средств электронной цифровой подписи;

7)открытый ключ электронной цифровой подписи - уникальная последовательность символов, соответствующая закрытому ключу электронной цифровой подписи, доступная любому пользователю информационной системы и предназначенная для подтверждения с использованием средств электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе;

8)сертификат ключа подписи - документ на бумажном носителе или электронный документ с электронной цифровой подписью уполномоченного лица удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и которые выдаются удостоверяющим центром участнику информационной системы для подтверждения подлинности электронной цифровой подписи и идентификации владельца сертификата ключа подписи. Он содержит следующие сведения:

 уникальный регистрационный номер сертификата ключа подписи, даты начала и окончания срока действия сертификата ключа подписи, находящегося в реестре удостоверяющего центра;

 фамилия, имя и отчество владельца сертификата ключа подписи или псевдоним владельца. В случае использования псевдонима удостоверяющим центром вносится запись об этом в сертификат ключа подписи;

 открытый ключ электронной цифровой подписи;  наименование средств электронной цифровой подписи, с которыми используется

данный открытый ключ электронной цифровой подписи;  наименование и место нахождения удостоверяющего центра, выдавшего

сертификат ключа подписи;  сведения об отношениях, при осуществлении которых электронный документ с

электронной цифровой подписью будет иметь юридическое значение.

В случае необходимости в сертификате ключа подписи на основании подтверждающих документов указываются должность (с указанием наименования и места нахождения организации, в которой установлена эта должность) и квалификация владельца сертификата ключа подписи, а по его заявлению в письменной форме - иные сведения,

101

подтверждаемые соответствующими документами (ст. 6 ФЗ «Об электронной цифровой подписи»).

Всоответствии со ст.7 ФЗ «Об электронной цифровой подписи» срок хранения сертификата ключа подписи в форме электронного документа в удостоверяющем центре определяется договором между удостоверяющим центром и владельцем сертификата ключа подписи. После аннулирования сертификата ключа подписи срок его хранения в форме электронного документа в удостоверяющем центре должен быть не менее установленного федеральным законом срока исковой давности для отношений, указанных в сертификате ключа подписи.

По истечении указанного срока хранения сертификат ключа подписи исключается из реестра сертификатов ключей подписей и переводится в режим архивного хранения. При этом срок архивного хранения составляет не менее чем пять лет.

Уполномоченным федеральным органом исполнительной власти в области использования электронной цифровой подписи является Федеральное агентство по информационным технологиям (Положении о Федеральном агентстве по информационным технологиям (утв. постановлением Правительства РФ от 30 июня 2004 г. № 319)).

Всоответствии со ст. 4 ФЗ «Об электронной цифровой подписи» электронная цифровая подпись в электронном документе соответствует собственноручной подписи в документе на бумажном носителе при одновременном соблюдении следующих условий:

 сертификат ключа подписи, относящийся к этой электронной цифровой подписи,

действует на момент подписания электронного документа при наличии доказательств, определяющих момент подписания;

подтверждена подлинность электронной цифровой подписи в электронном документе;

электронная цифровая подпись используется в соответствии со сведениями,

указанными в сертификате ключа подписи.

Причем участник информационной системы может одновременно владеть любым количеством сертификатов ключей подписей. При этом электронный документ с электронной цифровой подписью имеет юридическое значение при осуществлении отношений, указанных в сертификате ключа подписи.

4. Пункт 4 закрепляет право субъекта персональных данных на получение информации, касающейся обработки его персональных данных. К такой информации относится:

подтверждение факта обработки персональных данных оператором, а также цель такой обработки; способы обработки персональных данных, применяемые оператором;

сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;

перечень обрабатываемых персональных данных и источник их получения; сроки обработки персональных данных, в том числе сроки их хранения;

сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

В п. 5 перечислены случаи, ограничивающие право субъекта персональных данных на доступ к своим персональным данным. К ним относятся:

102

1) обработка персональных данных, в том числе персональных данных, полученных в результате оперативно-розыскной деятельности (Федеральный закон от 12 августа 1995 г. № 144-ФЗ «Об оперативно-розыскной деятельности» (с изменениями от 18 июля 1997 г., 21 июля 1998 г., 5 января, 30 декабря 1999 г., 20 марта 2001 г., 10 января, 30 июня 2003 г., 29 июня, 22 августа 2004 г., 2 декабря 2005 г.)), контрразведывательной деятельности (Федеральный закон от 3 апреля 1995 г. № 40-ФЗ «О федеральной службе безопасности» (с изменениями от 30 декабря 1999 г., 7 ноября 2000 г., 30 декабря 2001 г., 7 мая, 25 июля 2002 г., 10 января, 30 июня 2003 г., 22 августа 2004 г., 7 марта 2005 г., 15 апреля, 27 июля 2006 г.)), разведывательной деятельности (Федеральный закон от 10 января 1996 г. № 5-ФЗ «О внешней разведке» (с изменениями от 7 ноября 2000 г., 30 июня 2003 г., 22 августа 2004 г.). А также в целях обороны страны (Федеральный закон от 31 мая 1996 г. № 61-ФЗ «Об обороне» (с изменениями от 30 декабря 1999 г., 30 июня, 11 ноября 2003 г., 29 июня, 22 августа, 29 декабря 2004 г., 7 марта, 4 апреля, 26 декабря 2005 г., 3, 6 июля 2006 г.), безопасности государства (Закон РФ от 5 марта 1992 г. № 2446-I «О безопасности» (с изменениями от 25 декабря 1992 г., 24 декабря 1993 г., 25 июля 2002 г., 7 марта 2005 г., 25 июля 2006 г.); охраны правопорядка.

2)обработка персональных данных проводится органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, предъявившими субъекту персональных данных обвинение по уголовному делу, применившими к субъекту персональных данных меру пресечения до предъявления обвинения.

Исключение составляют случаи, предусмотренные уголовно-процессуальным законодательством Российской Федерации (Уголовно-процессуальный кодекс РФ от 18 декабря 2001 г. № 174-ФЗ (с изм от 27 июля 2006 г.) когда допускается ознакомление подозреваемого или обвиняемого с такими персональными данными;

3)предоставление персональных данных нарушает конституционные права и свободы других лиц.

Статья 15. Права субъектов персональных данных при обработке их

персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации

1.Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено.

2.Оператор обязан немедленно прекратить по требованию субъекта персональных данных

обработку его персональных данных, указанную в части 1 настоящей статьи.

Комментарий к ст. 15

103

1. В п. 1 настоящей статьи определяется порядок обработки персональных данных при продвижении товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации, согласно которого выше названные действия допускаются только при условии предварительного согласия субъекта персональных данных.

В связи с этим стоит отметить, что Федеральный закон от 13 марта 2006 г. № 38-ФЗ «О рекламе» дает следующие определения:

1)средства связи — технические и программные средства, используемые для формирования, приема, обработки, хранения, передачи, доставки сообщений электросвязи или почтовых отправлений, а также иные технические и программные средства, используемые при оказании услуг связи или обеспечении функционирования сетей связи;

2)реклама — информация, распространенная любым способом, в любой форме и с использованием любых средств, адресованная неопределенному кругу лиц и направленная на привлечение внимания к объекту рекламирования, формирование или поддержание интереса к нему и его продвижение на рынке;

3)объект рекламирования — товар, средство его индивидуализации, изготовитель или продавец товара, результаты интеллектуальной деятельности либо мероприятие (в том числе спортивное соревнование, концерт, конкурс, фестиваль, основанные на риске игры, пари), на привлечение внимания к которым направлена реклама;

4)товар — продукт деятельности (в том числе работа, услуга), предназначенный для продажи, обмена или иного введения в оборот.

Иными словами, рекламируя товар нельзя использовать персональные данные субъекта без его предварительного письменного согласия. Причем оператор сам обязан доказать тот факт, что такое согласие было получено.

Согласно Перечня средств связи, подлежащих обязательной сертификации, утвержденного постановлением Правительства РФ от 31 декабря 2004 г. № 896 к средствам связи относятся:

1. Средства связи, выполняющие функции систем коммутации (оборудование транзитных, оконечных и оконечно-транзитных узлов (международные телефонные станции, международные центры коммутации, междугородные телефонные станции, транзитные междугородные узлы автоматической коммутации, комбинированные станции, городские автоматические телефонные станции, сельские автоматические телефонные станции), оборудование абонентского доступа (абонентские цифровые концентраторы, учрежденческо-производственные автоматические телефонные станции). оборудование для предоставления услуг внутризоновой, междугородной и международной телефонной связи с помощью телефонистов, узлы обслуживания вызовов экстренных оперативных и справочно-информационных служб, оборудование центров обслуживания вызовов, оборудование коммутации и маршрутизации пакетов информации, гибкие коммутаторы, телеграфные станции (телеграфные станции и подстанции, системы коммутации телеграфных сообщений), оборудование коммутации систем подвижной радиотелефонной связи, оборудование коммутации систем абонентского радиодоступа, средства связи, выполняющие функции цифровых транспортных систем, цифровые системы передачи синхронной цифровой иерархии, цифровые системы передачи по каналам, трактам аналоговых систем передачи и физическим линиям, цифровые системы передачи

104

плезиохронной цифровой иерархии (каналообразующее оборудование плезиохронной цифровой иерархии, оборудование временного группообразования плезиохронной цифровой иерархии, оборудование кроссовой коммутации плезиохронной цифровой иерархии, оконечные и промежуточные пункты линейного тракта плезиохронной цифровой иерархии), приемо-передающие устройства для волоконно-оптических и атмосферных оптических линий передачи, оборудование с асинхронным режимом переноса информации, цифровые системы передачи телевизионного и звукового вещания, оборудование тактовой сетевой синхронизации, земные станции спутниковой связи и вещания магистральных, внутризоновых и местных сетей единой сети электросвязи Российской Федерации, системы радиорелейной связи (аналогово-цифровые радиорелейные системы связи, цифровые радиорелейные системы связи синхронной цифровой иерархии (цифровые радиорелейные системы связи плезиохронной цифровой иерархии, аналоговые радиорелейные системы связи), базовые станции и ретрансляторы систем подвижной радиотелефонной связи, базовые станции и ретрансляторы систем абонентского радиодоступа, системы радиовещания, системы телевизионного вещания, оборудование радиодоступа, кроме оборудования, предназначенного для доступа в технологические или выделенные сети связи, не имеющие выхода на сеть связи общего пользования.

2. В соответствии п. 2 настоящей статьи, в случае если субъект персональных данных потребовал прекратить обработку его данных, то оператор обязан немедленно выполнить его требование.

Требование должно быть выражено в письменной форме в виде заявления (см. комментарий к ст. 9 настоящего Закона) и доставлено оператору лично или заказным письмом. В противном случае будет достаточно сложно доказать наличие данного заявления.

Статья 16. Права субъектов персональных данных при принятии решений на

основании исключительно автоматизированной обработки их персональных данных

1. Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных частью 2 настоящей статьи.

2.Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.

3.Оператор обязан разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов.

4.Оператор обязан рассмотреть возражение, указанное в части 3 настоящей статьи, в течение семи рабочих дней со дня его получения и уведомить субъекта персональных данных о результатах

105

рассмотрения такого возражения.

Комментарий к ст. 16

В комментируемой статье определены права субъектов персональных данных в случае принятия решений на основании исключительно автоматизированной обработки их персональных данных.

1.Пунктом 1 данной статьи запрещается принимать решения на основании автоматизированной обработки персональных данных, порождающих юридические последствия в отношении субъекта персональных данных или каким другим образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных п. 2 настоящей статьи.

2.В соответствии с п. 2 существуют исключения, когда возможно принятие решения, порождающее юридические последствия в отношении субъекта персональных данных или каким-то другим образом затрагивающее его права и законные интересы. К таким исключениям относятся случаи предусмотренные федеральными законами, устанавливающие меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных, а также наличие письменного согласия субъекта персональных данных.

3.В п. 3 определены обязательные действия оператора перед началом обработки персональных данных. Оператор обязан разъяснить субъекту персональных данных порядок принятия решения на основании автоматизированной обработки его персональных данных и возможные юридические последствия этого решения, предоставить возможность заявить возражение против такого решения, разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов.

4.Пунктом 4 комментируемой статьи возлагается на оператора обязанность рассмотреть возражение, указанное в п. 3 данной статьи, в течение семи рабочих дней со дня его получения, после чего уведомить субъекта персональных данных о результатах рассмотрения такого возражения.

Статья 17. Право на обжалование действий или бездействия оператора

1.Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или

всудебном порядке.

2.Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Комментарий к ст. 17

В комментируемой статье закрепляется право субъекта персональных данных на обжалование действий или бездействия оператора как в уполномоченном органе по защите

106

прав субъектов персональных данных (Федеральная служба по надзору в сфере связи), так и в судебном порядке. При этом субъект персональных данных имеет право на возмещение убытков и (или) компенсацию морального вреда.

1.В пункте 1 данной статьи отмечается, что в случае если субъект персональных данных считает, что обработка его персональных данных осуществляется оператором с нарушением требований ФЗ «О персональных данных» или другим образом нарушаются его права и свободы, то он вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи) или в судебном порядке.

2.Пункт 2 настоящей статьи определяет право субъекта персональных данных на защиту своих прав и законных интересов. При чем он может требовать возмещение убытков

и(или) компенсацию морального вреда в судебном порядке.

В соответствии со ст. 131 ГПК РФ исковое заявление подается в суд в письменной форме. Причем исковое заявление должно иметь письменную форму. В исковом заявлении должны быть указаны:

наименование суда, в который подается заявление должно быть полным, с указанием места нахождения;

наименование истца, его место жительства или, если истцом является организация, ее место нахождения, а также наименование представителя и его адрес, если заявление подается представителем;

наименование ответчика, его место жительства или, если ответчиком является организация, ее место нахождения;

в чем заключается нарушение либо угроза нарушения прав, свобод или законных интересов истца и его требования;

обстоятельства, на которых истец основывает свои требования, и доказательства, подтверждающие эти обстоятельства. Кроме того, в исковом заявлении необходимо изложить доказательства, которые подтверждают перечисленные истцом обстоятельства;

цена иска, если он подлежит оценке, а также расчет взыскиваемых или оспариваемых денежных сумм. В заявлении должно быть изложено, чего истец добивается от ответчика, например, компенсация за моральный ущерб;

сведения о соблюдении досудебного порядка обращения к ответчику, если это установлено федеральным законом или предусмотрено договором сторон;

перечень прилагаемых к заявлению документов.

Взаявлении могут быть указаны номера телефонов, факсов, адреса электронной почты истца, его представителя, ответчика, иные сведения, имеющие значение для рассмотрения и разрешения дела, а также изложены ходатайства истца. Исковое заявление подписывается истцом или его представителем при наличии у него полномочий на подписание заявления и предъявление его в суд.

Всоответствии со ст. 132 ГПК РФ к исковому заявлению прилагаются следующие документы:

 его копии в соответствии с количеством ответчиков и третьих лиц;  документ, подтверждающий уплату государственной пошлины;

 доверенность или иной документ, удостоверяющие полномочия представителя

107

истца;

документы, подтверждающие обстоятельства, на которых истец основывает свои требования, копии этих документов для ответчиков и третьих лиц, если копии у них отсутствуют;

текст опубликованного нормативного правового акта в случае его оспаривания;

доказательство, подтверждающее выполнение обязательного досудебного порядка урегулирования спора, если такой порядок предусмотрен федеральным законом или договором;

расчет взыскиваемой или оспариваемой денежной суммы, подписанный истцом, его представителем, с копиями в соответствии с количеством ответчиков и третьих лиц.

В течение пяти дней со дня поступления искового заявления в суд судья обязан рассмотреть вопрос о его принятии к производству суда. О принятии заявления к производству суда судья выносит определение, на основании которого возбуждается гражданское дело в суде первой инстанции (ст.133 ГПК РФ).

ГЛАВА 4. ОБЯЗАННОСТИ ОПЕРАТОРА

Статья 18. Обязанности оператора при сборе персональных данных

1.При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 4 статьи 14 настоящего Федерального закона.

2.Если обязанность предоставления персональных данных установлена федеральным законом, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные.

3.Если персональные данные были получены не от субъекта персональных данных, за исключением случаев, если персональные данные были предоставлены оператору на основании федерального закона или если персональные данные являются общедоступными, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:

1) наименование (фамилия, имя, отчество) и адрес оператора или его представителя; 2) цель обработки персональных данных и ее правовое основание; 3) предполагаемые пользователи персональных данных;

4) установленные настоящим Федеральным законом права субъекта персональных данных.

Комментарий к ст. 18

Комментируемая статья определяет обязанности оператора при сборе персональных данных.

1. Пункт 1 данной статьи обязывает оператора предоставлять субъекту персональных данных по его просьбе следующую информацию:

1) подтверждение факта обработки персональных данных оператором, а также цель такой обработки.

108

____________________________________________

Наименование (Ф.И.О.) оператора

____________________________________________

Адрес оператора

________________________________________________

Ф.И.О. субъекта персональных данных

__________________________________________________

Адрес, где зарегистрирован субъект персональных данных

____________________________________________________

Номер основного документа, удостоверяющего его личность

___________________________________________________

Дата выдачи указанного документа

___________________________________________________

Наименование органа, выдавшего документ.

Запрос

Прошу Вас сообщить информацию о наличии у Вас моих персональных данных, которые должны быть включены в адресную книгу.

________________________________________________

Ф.И.О. субъекта персональных данных

__________________________________________________

Адрес, где зарегистрирован субъект персональных данных

В адресную книгу будут включены Ваши следующие данные:

1.Фамилия, имя, отчество;

2.Адрес.

2)способы обработки персональных данных, применяемые оператором;

3)сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;

4)перечень обрабатываемых персональных данных и источник их получения;

109

5)сроки обработки персональных данных, в том числе сроки их хранения;

6)сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

2. Пунктом 2 комментируемой статьи устанавливается обязанность оператора разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные, в случае если предоставление персональных данных субъектом установлена федеральным законом. К таким случаям относится обработка персональных данных, проводимая на основании федерального закона определяющего цели и условия получения персональных данных, а также круг субъектов, персональные данные которых подлежат обработке и полномочия оператора.

Например, в ст. 9 ФЗ «О федеральной службе безопасности» говорится, что контрразведывательная деятельность - деятельность, осуществляемая органами федеральной службы безопасности и (или) их подразделениями (далее в настоящей статье - органы контрразведки), а также должностными лицами указанных органов и подразделений посредством проведения контрразведывательных мероприятий в целях выявления, предупреждения, пресечения разведывательной и иной деятельности специальных служб и организаций иностранных государств, а также отдельных лиц, направленной на нанесение ущерба безопасности Российской Федерации. В процессе контрразведывательной деятельности проводятся гласные и негласные мероприятия, особый характер которых определяется условиями этой деятельности. Порядок проведения контрразведывательных мероприятий устанавливается нормативными правовыми актами федерального органа исполнительной власти в области обеспечения безопасности.

Проведение контрразведывательных мероприятий, ограничивающих права граждан на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, передаваемых по сетям электрической и почтовой связи, допускается только на основании постановления судьи и в порядке, предусмотренном законодательством Российской Федерации. Рассмотрение ходатайства о проведении контрразведывательных мероприятий, ограничивающих конституционные права граждан, должно осуществляться судьей единолично и незамедлительно по месту проведения таких мероприятий или по месту нахождения органа, ходатайствующего об их проведении, а также в случае если обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных. В данном случае примером может служить трудовое законодательство. В ст. 65 ТК РФ отмечается, что при заключении трудового договора, лицо, поступающее на работу, обязано предъявить работодателю паспорт или иной документ, удостоверяющий личность; трудовую книжку; страховое свидетельство государственного пенсионного страхования; документы воинского учета; документ об образовании, квалификации или наличии специальных знаний.

В отдельных случаях может предусматриваться необходимость предъявления дополнительных документов.

Кроме того, Положение о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела (утв. Указом Президента РФ от 30 мая 2005 г. № 609) предусматривает порядок получения, обработки, хранения, передачи и любого другого использования персональных данных государственного гражданского служащего Российской Федерации, а также ведение его личного дела. Так же

110