Комментарий к ФЗ от 27 июля 2006 г. № 152-ФЗ «О персональных данных»

представителю о наличии персональных данных, относящихся к соответствующему субъекту персональных данных.

Оператор обязан дать в течение семи рабочих дней со дня обращения субъекта персональных данных или его законного представителя, в письменной форме мотивированный ответ, содержащий ссылку на положение п. 5 ст. 14 настоящего Федерального закона или иного федерального закона, являющееся основанием для такого отказа.

________________________________________________

Ф.И.О. субъекта персональных данных

__________________________________________________

Адрес, где зарегистрирован субъект персональных данных

На Ваш запрос о предоставлении имеющейся информации о Ваших персональных данных сообщаем, что на основании п. 5 ст. 14 ФЗ «О персональных данных» и ФЗ «Об оперативно-розыскной деятельности» Вам отказывается в предоставлении такой информации.

3.В соответствии с п. 3 настоящей статьи оператор обязан безвозмездно предоставить субъекту персональных данных или его законному представителю возможность ознакомления с персональными данными, относящимися к соответствующему субъекту персональных данных. А случае необходимости внести в них необходимые изменения, уничтожить или блокировать соответствующие персональные данные в случае предоставления субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту и обработку которых осуществляет оператор, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

Оператор должен уведомить субъекта персональных данных или его законного представителя и третьих лиц, которым персональные данные этого субъекта были переданы,

овнесенных изменениях и предпринятых мерах.

4.Пункт 4 комментируемой статьи обязывает оператора в течение семи рабочих дней со дня получения такого запроса сообщить в уполномоченный орган по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи) по его запросу информацию, необходимую для осуществления деятельности указанного органа.

121

Статья 21. Обязанности оператора по устранению нарушений законодательства,

допущенных при обработке персональных данных, а также по уточнению, блокированию и уничтожению персональных данных

1.В случае выявления недостоверных персональных данных или неправомерных действий с ними оператора при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки.

2.В случае подтверждения факта недостоверности персональных данных оператор на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные и снять их блокирование.

3.В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

4.В случае достижения цели обработки персональных данных оператор обязан незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий трех рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено федеральными законами, и уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

5.В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных оператор обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий трех рабочих дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между оператором и субъектом персональных данных. Об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных.

Комментарий к ст. 21

В комментируемой статье определены обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, а также по уточнению, блокированию и уничтожению персональных данных.

1. Пункт 1 данной статьи регламентирует действия в случае выявления недостоверных персональных данных или неправомерных действий с ними оператора при обращении или по запросу субъекта персональных данных или его законного представителя, а также уполномоченного органа по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи).

122

В этом случае оператор обязан с момента обращения или получения такого запроса на весь период проверки блокировать персональные данные, относящихся к соответствующему субъекту персональных данных.

2.В п. 2 комментируемой статьи рассматривается случай, когда оператор обязан разблокировать персональные данные. Это происходит когда оператор на основании документов, представленных субъектом персональных данных, его законным представителем или уполномоченным органом по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи), а также других документов вносит необходимые изменения в персональные данные субъекта.

3.В п. 3 данной статьи регламентированы действия в случае выявления неправомерных действий с персональными данными. Оператор в данном случае обязан в срок не превышающий трех рабочих дней со дня обнаружения, обязан устранить допущенные нарушения. В случае если выявленные нарушения устранить невозможно оператор в срок, не превышающий трех рабочих дней со дня выявления нарушения, обязан уничтожить персональные данные.

Оператор обязан уведомить субъекта персональных данных, его законного представителя или уполномоченный орган по защите прав субъектов персональных данных об устранении допущенных нарушений или об уничтожении персональных данных.

4.Пункт 4 настоящей статьи предусматривает срок хранения персональных данных после их обработки. Оператор обязан незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий трех рабочих дней со дня достижения цели обработки персональных данных, если иное не предусмотрено федеральными законами. При этом оператор обязан уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи), также указанный орган.

5.В п. 5 определена обязанность оператора в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных прекратить обработку персональных данных и уничтожить их в срок, не превышающий трех рабочих дней со дня поступления указанного отзыва, если иное не предусмотрено соглашением между оператором и субъектом персональных данных. Об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных.

Статья 22. Уведомление об обработке персональных данных

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:

1)относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;

2)полученных оператором в связи с заключением договора, стороной которого является

123

субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

3)относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;

4)являющихся общедоступными персональными данными;

5)включающих в себя только фамилии, имена и отчества субъектов персональных данных;

6)необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;

7)включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также

вгосударственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;

8)обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.

3.Уведомление, предусмотренное частью 1 настоящей статьи, должно быть направлено в письменной форме и подписано уполномоченным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации. Уведомление должно содержать следующие сведения:

1) наименование (фамилия, имя, отчество), адрес оператора; 2) цель обработки персональных данных; 3) категории персональных данных;

4) категории субъектов, персональные данные которых обрабатываются;

5) правовое основание обработки персональных данных; 6) перечень действий с персональными данными, общее описание используемых оператором

способов обработки персональных данных; 7) описание мер, которые оператор обязуется осуществлять при обработке персональных

данных, по обеспечению безопасности персональных данных при их обработке; 8) дата начала обработки персональных данных; 9) срок или условие прекращения обработки персональных данных.

4.Уполномоченный орган по защите прав субъектов персональных данных в течение тридцати дней с даты поступления уведомления об обработке персональных данных вносит сведения,

указанные в части 3 настоящей статьи, а также сведения о дате направления указанного уведомления в реестр операторов. Сведения, содержащиеся в реестре операторов, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, являются общедоступными.

5.На оператора не могут возлагаться расходы в связи с рассмотрением уведомления об обработке персональных данных уполномоченным органом по защите прав субъектов персональных данных, а также в связи с внесением сведений в реестр операторов.

6.В случае предоставления неполных или недостоверных сведений, указанных в части 3

124

настоящей статьи, уполномоченный орган по защите прав субъектов персональных данных вправе требовать от оператора уточнения предоставленных сведений до их внесения в реестр операторов.

7. В случае изменения сведений, указанных в части 3 настоящей статьи, оператор обязан уведомить об изменениях уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений.

Комментарий к ст. 22

В комментируемой статье устанавливается порядок уведомления уполномоченного органа по защите прав субъектов персональных данных об обработке персональных данных. А так же определяются случаи, в которых оператор вправе осуществлять обработку персональных данных без уведомления уполномоченного органа по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи).

1.Пункт 1 данной статьи обязывает оператора до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи) о своем намерении осуществлять обработку персональных данных. При этом исключение составляют случаи, предусмотренные п. 2 комментируемой статьи.

2.Пункт 2 устанавливает случаи, при которых оператор вправе осуществлять обработку персональных данных без уведомления уполномоченного органа по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи). Таким случаем, например, является обработка персональных данных относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения. При поступлении на работу, человек сообщает о себе много различной информации. И для того, чтобы эта информация не использовалась против него, ТК РФ обязывает предприятие разработать специальное положение защите персональных данных. Так, согласно ст. 87 ТК РФ порядок хранения и использования персональных данных работников в организации устанавливается работодателем с соблюдением требований кодекса.

Если у Вас возникла потребность в получении определенной информации о работнике

сместа прежней работы, то для этого необходимо, во избежание судебного разбирательства, послать письменный запрос, к которому должно быть приложено заявление этого работника.

На основании ст. 90 ТК РФ лица виновные в нарушении норм, регулирующих получение обработку и защиту персональных данных работника, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

125

ЗАЯВЛЕНИЕ

Прошу Вас сообщить обо мне следующие сведения:________________________________

________________________________________________________________________________

_______________________________________________________________________________

________________________________________________________________________________

________________________________________________________________________________

_______________________________________________________________________________

в ОАО «Вымпел», где в настоящее время я работаю.

Ниже приводится образец «Положения о работе с персональными данными работников».

УТВЕРЖДАЮ

Генеральный директор ОАО «Вымпел»

__________А. А. Петров «__»____________20__г

ПОЛОЖЕНИЕ

оработе с персональными данными работников

1.Общие положения

Положение о работе с персональными данными работников Открытого Акционерного Общество «Вымпел» разработано в соответствии с ТК РФ, действующим законодательством и нормативными актами.

Настоящее Положение определяет порядок работы (получения, обработки, использования, хранения и т.д.) с персональными данными работников и гарантии конфиденциальности сведений о работнике предоставленных работником работодателю.

2. Получение и обработка персональных данных работников

Персональные данные работника работодатель получает непосредственно от работника. Работодатель вправе получать персональные данные работника от третьих лиц только при наличии письменного согласия работника.

При поступлении на работу работник заполняет анкету, в которой указывает следующие сведения о себе — пол, дату рождения, семейное положение, отношение к воинской обязанности, место жительства и домашний телефон, образование, специальность, предыдущее место работы, заболевания, затрудняющие выполнение работником трудовых

126

функций, иные сведения, с которыми работник считает нужным ознакомить работодателя. В анкету вклеивается фотография работника.

Работодатель не вправе требовать от работника предоставления информации о политических и религиозных убеждениях и о частной жизни работника.

Работник предоставляет работодателю достоверные сведения о себе. Работодатель проверяет достоверность сведений, сверяя данные, предоставленные работником, с имеющимися у работника документами.

При изменении персональных данных работник письменно уведомляет работодателя о таких изменениях в разумный срок, не превышающий 14 дней.

3. Доступ к персональным данным работников

Доступ к персональным данным работника имеют генеральный директор, заместитель генерального директора, главный бухгалтер, а также непосредственный руководитель работника, специалисты службы управления персоналом и бухгалтерии — к тем данным, которые необходимы для выполнения конкретных функций.

Доступ специалистов других отделов к персональным данным осуществляется на основании письменного разрешения генерального директора.

Копировать и делать выписки персональных данных работника разрешается исключительно в служебных целях с письменного разрешения начальника службы управления персоналом.

4. Использование персональных данных работников

Персональные данные работника используются для целей, связанных с выполнением работником трудовых функций.

Работодатель использует персональные данные, в частности, для решения вопросов продвижения работника по службе, очередности предоставления ежегодного отпуска, установления размера заработной платы. На основании персональных данных работника решается вопрос о допуске работника к информации, составляющей служебную или коммерческую тайну.

5. Передача персональных данных работников

Информация, относящаяся к персональным данным работника, может быть предоставлена государственным органам в порядке, установленном федеральным законом.

Работодатель не вправе предоставлять персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом.

В случае если лицо, обратившееся с запросом, не уполномочено федеральным законом на получение персональных данных работника, либо отсутствует письменное согласие работника на предоставление его персональных сведений, работодатель обязан отказать в предоставлении персональных данных. Лицу, обратившемуся с запросом, выдается

127

письменное уведомление об отказе в предоставлении персональных данных.

Персональные данные работника могут быть переданы представителям работников в порядке, установленном ТК РФ, в том объеме, в каком это необходимо для выполнения указанными представителями их функций.

Работодатель обеспечивает ведение журнала учета выданных персональных данных работников, в котором регистрируются запросы, фиксируются сведения о лице, направившем запрос, дата передачи персональных данных или дата уведомления об отказе в предоставлении персональных данных, а также отмечается, какая именно информация была передана.

В случае если лицо, обратившееся с запросом, не уполномочено федеральным законом или настоящим положением на получение информации, относящейся к персональным данным работника, работодатель обязан отказать лицу в выдаче информации. Лицу, обратившемуся с запросом, выдается уведомление об отказе в выдаче информации, копия уведомления подшивается в личное дело работника.

6. Гарантии конфиденциальности персональных данных работников

Информация, относящаяся к персональным данным работника, является служебной тайной и охраняется законом.

Работник вправе требовать полную информацию о своих персональных данных, их обработке, использовании и хранении.

В случае разглашения персональных данных работника без его согласия работник вправе требовать от работодателя разъяснений.

● полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных.

Так, например, при осуществлении купли-продажи заключается договор следующего характера:

128

Договор купли-продажи имущества

(общий)

______________________________________________________,

именуемый в дальнейшем «Покупатель», с другой стороны, заключили настоящий Договор о нижеследующем.

1. Предмет Договора

1.1.Продавец обязуется передать в собственность Покупателю следующее имущество:

______________________________________________________, соответствующее следующим условиям ____________________________ (далее — Имущество), а Покупатель обязуется принять это Имущество и уплатить за него покупную цену в порядке, предусмотренном условиями настоящего Договора.

1.2.Имущество принадлежит Продавцу на праве собственности, свободно от любых прав третьих лиц, не обременено залогом, под арестом не состоит.

2. Права и обязанности сторон

2.1. Продавец обязуется:

2.1.1) в течение ___________________ с даты подписания настоящего Договора передать Покупателю Имущество и право собственности на согласованных условиях. Передача Имущества оформляется Актом приема-передачи.

Место передачи Имущества: _________________________________________; 2.1.2) одновременно с передачей Имущества передать Покупателю всю необходимую

документацию на Имущество.

2.2. Покупатель обязуется принять Имущество и уплатить покупную цену на согласованных условиях.

129

3. Цена Договора и порядок оплаты

3.1. Цена Имущества составляет __________, в том числе НДС ____________. Оплата производится в рублях по курсу ЦБ РФ на день осуществления платежа.

Оплата производится путем перечисления денежных средств на счет Продавца или иной счет, указанный Продавцом.

3.2. Стороны устанавливают следующий порядок оплаты:

3.2.1) в течение _____ банковских дней с даты вступления в силу настоящего Договора Покупатель перечисляет Продавцу __________ % цены Имущества, указанной в п. 3.1. настоящего Договора, НДС включен;

3.2.2) в течение _______ банковских дней с даты вступления в силу настоящего Договора (передачи Имущества) Покупатель перечисляет Продавцу оставшиеся ___________

% цены Имущества, указанной в п. 3.1. настоящего Договора, НДС включен.

4. Переход права собственности

4.1. Право собственности на имущество, а также риск случайной гибели и повреждения Имущества переходит от Продавца на Покупателя с момента подписания уполномоченными представителями Сторон Акта приема-передачи Имущества.

5. Качество. Гарантии качества

5.1. Качество Имущества, передаваемого по настоящему Договору, соответствует

_____________________________________________________.

6. Ответственность сторон

6.1.В случае просрочки Продавца в исполнении обязательств по передаче Имущества последний уплачивает пеню в размере ______ % от стоимости имущества за каждый день просрочки.

6.2.В случае просрочки платежей, указанных в п. 3.2. настоящего Договора, Покупатель уплачивает пеню в размере ______ % от суммы, подлежащей уплате, за каждый день просрочки.

7. Обстоятельства непреодолимой силы

7.1.Стороны освобождаются от ответственности за неисполнение или ненадлежащее исполнение своих обязательств по настоящему Договору в случае действия обстоятельств непреодолимой силы, прямо или косвенно препятствующих исполнению настоящего Договора, т. е. таких обстоятельств, которые независимы от воли Сторон, не могли быть ими предвидены в момент заключения Договора и предотвращены разумными средствами при их наступлении.

7.2.К обстоятельствам, указанным в п. 7.1. Договора, относятся: война и военные

действия, восстание, эпидемии, землетрясения, наводнения, акты органов власти,

130