Комментарий к ФЗ от 27 июля 2006 г. № 152-ФЗ «О персональных данных»

данным Указом предусматривается что, представитель нанимателя или уполномоченное им лицо вправе подвергать обработке, в том числе автоматизированной, персональные данные гражданских служащих при формировании кадрового резерва.

Вличное дело гражданского служащего вносятся его персональные данные и иные сведения, связанные с поступлением на гражданскую службу, ее прохождением и увольнением с гражданской службы и необходимые для обеспечения деятельности государственного органа. Персональные данные, внесенные в личные дела гражданских служащих, другие сведения, содержащиеся в личных делах гражданских служащих, относятся к сведениям конфиденциального характера, за исключением сведений, которые в установленных федеральными законами случаях могут быть опубликованы в средствах массовой информации. А в случаях, установленных федеральными законами и нормативными правовыми актами Российской Федерации, - к сведениям, составляющим государственную тайну.

Оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные, в случае если обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных. При проведении определенных исследований возникает необходимость в статистических данных, например, по возрастной группе населения без идентификации субъектов персональных данных. А также в случае, когда обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно.

Всоответствии со ст. 61 Основ законодательства Российской Федерации об охране здоровья граждан предоставление сведений, составляющих врачебную тайну, без согласия гражданина или его законного представителя допускается:

1) в целях обследования и лечения гражданина, не способного из-за своего состояния выразить свою волю;

2) при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;

3) по запросу органов дознания и следствия, прокурора и суда в связи с проведением расследования или судебным разбирательством;

4) в случае оказания помощи несовершеннолетнему возрасте для информирования его родителей или законных представителей;

5) при наличии оснований, позволяющих полагать, что вред здоровью гражданина причинен в результате противоправных действий;

6) в целях проведения военно-врачебной экспертизы в порядке, установленном положением о военно-врачебной экспертизе, утверждаемым Правительством Российской Федерации.

Также в обязанности Оператора входит разъяснение субъекту персональных данных юридические последствия отказа предоставить свои персональные данные оператор обязан, в случае если обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи. Одной из целей поставленных ФЗ «О связи»

111

является защита интересов пользователей услугами связи и осуществляющих деятельность в области связи хозяйствующих субъектов. Пользователем услугами связи является лицо, заказывающее и (или) использующее услуги связи. Услуги связи – это деятельность по приему, обработке, хранению, передаче, доставке сообщений электросвязи или почтовых отправлений. К таким сведениям относятся — фамилия, имя, отчество или псевдоним абонента-гражданина, наименование (фирменное наименование) абонента - юридического лица, фамилия, имя, отчество руководителя и работников этого юридического лица, адрес абонента или адрес установки оконечного оборудования, абонентские номера и другие данные, позволяющие идентифицировать абонента или его оконечное оборудование, сведения баз данных систем расчета за оказанные услуги связи, в том числе о соединениях, трафике и платежах абонента.

А также если обработка персональных данных осуществляется в целях профессиональной деятельности журналиста или в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных. Здесь примером может служить Федеральный закон «Об информации, информационных технологиях и о защите информации» регулирующий отношения при возникновении права на поиск, получение, передачу, производство, распространение и защиту информации с использованием информационных технологий.

Кроме того, Закон РФ «Об авторском праве и смежных правах» (с изм. от 20 июля 2004 г.) регулирует отношения, возникающие в связи с созданием и использованием произведений науки, литературы и искусства, фонограмм исполнений, постановок, передач организаций эфирного или кабельного вещания.

Еще одной немаловажной обязанностью Оператора является разъяснение субъекту персональных данных юридических последствий отказа предоставить свои персональные данные в случае, если осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Так в соответствии с Указом Президента РФ «Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела» сведения о доходах, имуществе и обязательствах имущественного характера федеральных гражданских служащих, назначение на должность и освобождение от должности которых осуществляются Президентом Российской Федерации или Правительством Российской Федерации, предоставляются для опубликования общероссийским средствам массовой информации по их обращениям с одновременным информированием об этом указанных гражданских служащих. А сведения о доходах, имуществе и обязательствах имущественного характера гражданских служащих субъекта Российской Федерации предоставляются для опубликования общероссийским и региональным средствам массовой информации по их обращениям с одновременным информированием об этом указанных гражданских служащих.

Средствам массовой информации по их обращениям предоставляются следующие сведения о доходах, имуществе и обязательствах имущественного характера выше указанных гражданских служащих — декларированный годовой доход, перечень объектов

112

недвижимости, принадлежащих гражданскому служащему на праве собственности или находящихся в его пользовании, с указанием вида, площади и страны расположения каждого из них, перечень транспортных средств и суммарная декларированная стоимость ценных бумаг, принадлежащих гражданскому служащему на праве собственности.

В предоставляемых средствам массовой информации сведениях запрещается указывать данные о супруге, детях и иных членах семьи гражданского служащего; данные, позволяющие определить место жительства, почтовый адрес, телефон и иные индивидуальные средства коммуникации гражданского служащего, а также его супруги (ее супруга), детей и иных членов его семьи; данные, позволяющие определить местонахождение объектов недвижимости, принадлежащих гражданскому служащему на праве собственности или находящихся в его пользовании; информацию, отнесенную к государственной тайне или являющуюся конфиденциальной.

3. В п. 3 данной статьи определяются условия обработки оператором персональных данных в случае, когда персональные данные были получены не от субъекта персональных данных. Оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных информацию о наименовании (фамилия, имя, отчество) и адресе оператора или его представителя, цель обработки персональных данных и ее правовое основание.

Исключение составляют следующие случаи:

если персональные данные были предоставлены оператору на основании федерального закона. Например, на основании ст.64 ФЗ «О связи» операторы связи обязаны обеспечивать реализацию установленных федеральным органом исполнительной власти в области связи по согласованию с уполномоченными государственными органами, осуществляющими оперативно-розыскную деятельность или обеспечение безопасности Российской Федерации, требований к сетям и средствам связи для проведения этими органами в случаях, установленных федеральными законами, мероприятий в целях реализации возложенных на них задач, а также принимать меры по недопущению раскрытия организационных и тактических приемов проведения указанных мероприятий; предоставлять уполномоченным государственным органам, осуществляющим оперативно-розыскную деятельность или обеспечение безопасности Российской Федерации, информацию о пользователях услугами связи и об оказанных им услугах связи, а также информацию, необходимую для выполнения возложенных на эти органы задач, в случаях, установленных федеральными законами. Порядок взаимодействия операторов связи с уполномоченными государственными органами, осуществляющими оперативно-розыскную деятельность или обеспечение безопасности Российской Федерации, устанавливается Правительством Российской Федерации;

если персональные данные являются общедоступными. Понятие «общедоступная информация» включает в себя общеизвестные сведения и информацию, доступ к которой не ограничен (ФЗ «Об информации, информационных технологиях и о защите информации»). Общедоступная информация может использоваться любыми лицами по их усмотрению при соблюдении установленных федеральными законами ограничений в отношении распространения такой информации.

113

Обладатель информации, ставшей общедоступной по его решению, вправе требовать от лиц, распространяющих такую информацию, указывать себя в качестве источника такой информации.

Статья 19. Меры по обеспечению безопасности персональных данных при их

обработке

1.Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

2.Правительство Российской Федерации устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.

3.Контроль и надзор за выполнением требований, установленных Правительством

Российской Федерации в соответствии с частью 2 настоящей статьи, осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.

4. Использование и хранение биометрических персональных данных вне информационных систем персональных данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения.

Комментарий к ст. 19

В комментируемой статье представлены меры по обеспечению безопасности персональных данных при их обработке.

1. Пункт 1 данной статьи обязывает оператора при обработке персональных данных принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий, вплоть до применения шифровальных (криптографических) средств.

Например, в соответствии со ст. 13 ФЗ «О федеральной службе безопасности» осуществлять шифровальные работы в органах федеральной службы безопасности, а также контроль за соблюдением режима секретности при обращении с шифрованной информацией в шифровальных подразделениях государственных органов, предприятий, учреждений и организаций независимо от форм собственности (за исключением учреждений Российской Федерации, находящихся за ее пределами). Криптография - специальная система изменения обычного письма, используемая с целью сделать текст понятным лишь для ограниченного

114

числа лиц, знающих эту систему. Различные способы криптографии применяются для зашифровки военных, дипломатических, торгово-финансовых, нелегально-политических текстов. Криптография известна с древнейших времѐн на Древнем Востоке, в Древней Греции и Риме, в русских памятниках — с 12—13 вв. В славянских рукописях, кроме основных функций, употреблялась для отделения культового текста от приписок, указаний чтецу и т. д.

Известны следующие основные способы криптографии: употребление иного алфавита; изменение знаков (например, приписывание дополнительных чѐрточек, недописывание букв; условные знаки или цифры; замена одних букв другими по их месту в алфавите (например, т.н. литорея) или их числовому значению; запись текста в виде некоторой фигуры, иногда вкрапленной в др. текст; написание слов в обратном порядке.

Всоответствии с Федеральными законами «Об информации, информатизации и защите информации» и «О федеральных органах правительственной связи и информации», а также Положением о порядке разработки, производства, реализации и использования средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну (Положение ПКЗ-99), утвержденным приказом ФАПСИ от 23 сентября 1999 г. № 158 разработана Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну.

Вданной Инструкции используются следующие понятия и определения:

криптографический ключ (криптоключ) - совокупность данных, обеспечивающая выбор одного конкретного криптографического преобразования из числа всех возможных в данной криптографической системе;

ключевая информация - специальным образом организованная совокупность криптоключей, предназначенная для осуществления криптографической защиты информации в течение определенного срока;

исходная ключевая информация - совокупность данных, предназначенных для выработки по определенным правилам криптоключей;

ключевой документ - физический носитель определенной структуры, содержащий ключевую информацию (исходную ключевую информацию), а при необходимости - контрольную, служебную и технологическую информацию;

ключевой носитель - физический носитель определенной структуры, предназначенный для размещения на нем ключевой информации (исходной ключевой информации). Различают разовый ключевой носитель (таблица, перфолента, перфокарта и т.п.) и ключевой носитель многократного использования (магнитная лента, дискета, компакт-диск, Data Key, Smart Card, Touch Memory и т.п.);

ключевой блокнот - набор бумажных ключевых документов одного вида (таблиц, перфолент, перфокарт и т.п.), сброшюрованных и упакованных по установленным

правилам.

Безопасность хранения, обработки и передачи по каналам связи с использованием СКЗИ конфиденциальной информации в сетях конфиденциальной связи организуют и обеспечивают операторы конфиденциальной связи.

115

Безопасность хранения и обработки с использованием СКЗИ конфиденциальной информации, передаваемой вне сетей конфиденциальной связи, организуют и обеспечивают лица, имеющие лицензию ФАПСИ.

Лица, оказывающие возмездные услуги по организации и обеспечению безопасности хранения и обработки с использованием СКЗИ конфиденциальной информации, передаваемой вне сетей конфиденциальной связи, должны иметь лицензию ФАПСИ на деятельность по предоставлению услуг в области шифрования информации.

Безопасность хранения, обработки и передачи по каналам связи с использованием СКЗИ конфиденциальной информации, обладатели которой не имеют лицензий ФАПСИ, лицензиаты ФАПСИ организуют и обеспечивают либо по указанию вышестоящей организации, либо на основании договоров на оказание услуг по криптографической защите конфиденциальной информации.

2.Пункт 2 настоящей статьи обязывает Правительство Российской Федерации разработать и установить требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.

3.В пункте 3 данной статьи контроль и надзор за выполнением требований, установленных Правительством Российской Федерации в соответствии с п. 2 настоящей статьи, возлагается на федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности и федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных. В соответствии со ст. 11.2 ФЗ «О федеральной службе безопасности» обязанности по обеспечению информационной безопасности возлагается на органы федеральной службы безопасности в пределах их полномочий, то есть:

1) при формировании и реализации государственной и научно-технической политики

вобласти обеспечения информационной безопасности, в том числе с использованием инженерно-технических и криптографических средств;

2)при обеспечении криптографическими и инженерно-техническими методами безопасности информационно-телекоммуникационных систем, а также систем шифрованной, засекреченной и иных видов специальной связи в Российской Федерации и ее учреждениях, находящихся за пределами Российской Федерации.

3)таким органом в Российской Федерации является Федеральная служба безопасности (ФСБ).

4. Пункт 4 устанавливает условия использования и хранения биометрических персональных данных вне информационных систем персональных данных. Хранение и использование этих данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения.

В соответствии с Государственным стандартом РФ ГОСТ Р 51141-98 «Делопроизводство и архивное дело. Термины и определения» (утв. постановлением

116

Госстандарта РФ от 27 февраля 1998 г. № 28) носителем документированной информации

является материальный объект, используемый для закрепления и хранения на нем речевой, звуковой или изобразительной информации, в том числе в преобразованном виде. Документы подразделяются на следующие виды:

изобразительный документ: Документ, содержащий информацию, выраженную посредством изображения какого-либо объекта;

графический документ: Изобразительный документ, в котором изображение объекта получено посредством линий, штрихов, светотени;

аудиовизуальный документ: Документ, содержащий изобразительную и звуковую информацию;

кинодокумент: Изобразительный или аудиовизуальный документ, созданный кинематорафическим способом;

фотодокумент: Изобразительный документ, созданный фотографическим способом;

иконографический документ: Документ, содержащий преимущественно изображение произведения искусства, специальной или художественной фотографии;

фонодокумент: Документ, содержащий звуковую информацию, зафиксированную любой системой звукозаписи;

текстовой документ: Документ, содержащий речевую информацию, зафиксированную любым типом письма или любой системой звукозаписи;

письменный документ: Текстовой документ, информация которого зафиксирована любым типом письма;

рукописный документ: Письменный документ, при создании которого знаки письма наносят от руки;

машинописный документ: Письменный документ, при создании которого знаки письма наносят техническими средствами.

Кроме того, существует документ на машинном носителе. Это документ, созданный с использованием носителей и способов записи, обеспечивающих обработку его информации электронно-вычислительной машиной.

Статья 20. Обязанности оператора при обращении либо при получении запроса

субъекта персональных данных или его законного представителя, а также уполномоченного органа по защите прав субъектов персональных данных

1.Оператор обязан в порядке, предусмотренном статьей 14 настоящего Федерального закона, сообщить субъекту персональных данных или его законному представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с ними при обращении субъекта персональных данных или его законного представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его законного представителя.

2.В случае отказа в предоставлении субъекту персональных данных или его законному представителю при обращении либо при получении запроса субъекта персональных данных или его

117

законного представителя информации о наличии персональных данных о соответствующем субъекте персональных данных, а также таких персональных данных оператор обязан дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 5 статьи 14 настоящего Федерального закона или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий семи рабочих дней со дня обращения субъекта персональных данных или его законного представителя либо с даты получения запроса субъекта персональных данных или его законного представителя.

3.Оператор обязан безвозмездно предоставить субъекту персональных данных или его законному представителю возможность ознакомления с персональными данными, относящимися к соответствующему субъекту персональных данных, а также внести в них необходимые изменения, уничтожить или блокировать соответствующие персональные данные по предоставлении субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту и обработку которых осуществляет оператор, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки. О внесенных изменениях и предпринятых мерах оператор обязан уведомить субъекта персональных данных или его законного представителя и третьих лиц, которым персональные данные этого субъекта были переданы.

4.Оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по его запросу информацию, необходимую для осуществления деятельности указанного органа, в течение семи рабочих дней с даты получения такого запроса.

Комментарий к ст. 20

В комментируемой статье определены обязанности оператора при обращении субъекта персональных данных или при получении запроса субъекта персональных данных, а также его законного представителя или уполномоченного органа по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи).

1. Пункт 1 данной статьи обязывает оператора в порядке, предусмотренном ст. 14 комментируемого Закона, сообщить субъекту персональных данных или его законному представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных.

118

____________________________________________

Наименование (Ф.И.О.) оператора

____________________________________________

Адрес оператора

________________________________________________

Ф.И.О. субъекта персональных данных

__________________________________________________

Адрес, где зарегистрирован субъект персональных данных

____________________________________________________

Номер основного документа, удостоверяющего его личность

___________________________________________________

Дата выдачи указанного документа

___________________________________________________

Наименование органа, выдавшего документ.

Запрос

Прошу Вас сообщить информацию о наличии у Вас моих персональных данных.

Кроме того, предоставить возможность ознакомления с ними при обращении субъекта персональных данных или его законного представителя. Запрос должен содержать следующие данные — номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе, собственноручную подпись субъекта персональных данных или его законного представителя.

119

____________________________________________

Наименование (Ф.И.О.) оператора

____________________________________________

Адрес оператора

________________________________________________

Ф.И.О. субъекта персональных данных

__________________________________________________

Адрес, где зарегистрирован субъект персональных данных

____________________________________________________

Номер основного документа, удостоверяющего его личность

___________________________________________________

Дата выдачи указанного документа

___________________________________________________

Наименование органа, выдавшего документ.

Запрос

Прошу Вас ознакомить моего адвоката с имеющимися у Вас моими персональными данными.

Запрос также может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации. Электронный документ — документ, в котором информация представлена в электронноцифровой форме. Электронная цифровая подпись предназначена для защиты данного электронного документа от подделки. Данная подпись получена в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи. Электронная цифровая подпись позволяет идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе. Уполномоченным федеральным органом исполнительной власти в области использования электронной цифровой подписи в соответствии с п. 1 ст. 23 ФЗ «О персональных данных» и Положением о Федеральном агентстве по информационным технологиям (утв. постановлением Правительства РФ от 30 июня 2004 г. № 319) является Федеральное агентство по информационным технологиям.

В комментируемом пункте определен срок, в течение которого оператор обязан выполнить данные требования. Этот срок составляет десять рабочих дней со дня получения запроса субъекта персональных данных или его законного представителя.

2. В пункте 2 комментируемой статьи определяется порядок дачи оператором отказа в предоставлении информации субъекту персональных данных или его законному

120