Персональные данные. Кто, что и зачем должен о нас знать

конодательства. Вряд ли подобные средства будут доступны небольшому сайту, работающему на виртуальном хостинге»2.

Какой может быть разумный выход из этой ситуации? Чтобы избежать штра-

фов и судебных исков по возможности нужно отказаться от размещения на сайтах анкет, в которые вводятся персональные данные.

Обращаем особое внимание владельцев интернет-магазинов на то, что их деятельность также должна соответствовать требованиям ФЗ «О персональных данных», поскольку для выполнения заказов клиентов им приходится также обрабатывать персональные данные.

Также ФЗ «О персональных данных» затрагивает онлайн-сервисы, требующие указать сведения о пользователе при регистрации (например, сайты знакомств).

Даже популярные сейчас в сети Интернет компании, размещающие рекламные объявления на сайтах должны вести свою деятельность таким образом, что права субъектов персональных данных не были ущемлены. Ведь в ряде в случаев демонстрация объявлений «подстраивается» под персональные данные посетителей сайтов. Авторы полагают, что такое использование персональных данных теперь возможно только с письменного согласия того посетителя, которому эти данные соответствуют. Выходом в данной си-

туации может быть обезличивание персональных данных. То есть, нужно сделать так,

чтобы по этим персональным данным больше нельзя было установить персону владельца. Обращаем внимание владельцев сайтов также на то, что ФЗ «О персональных данных" требует предоставить лицам, владельцам персональных данных, возможность получения информации о том, как данные собираются, обрабатываются и используются. То есть по запросу человека, передавшего свои данные (например, в рамках анкетирования на сайте), собственники сайта будут обязаны предоставить ему полную информацию о том, как будут обрабатываться сведения о нем.

4. Когда, кто и зачем может обрабатывать и использовать ПД?

Советы для граждан.

Ниже будут даны советы гражданам. А именно тем, кому не все равно как используется информация о них, которая находится в тех или иных организациях. Это советы для тех граждан, кто считает незаконным то, что работодатели повсеместно стали устанавливать системы видеонаблюдений в офисах, а банки часто отказывают в выдаче кредита или открытия счета физическим лицам, не объясняя причин.

Как подробно было разъяснено в главе 3 настоящего пособия все организации лю-

бых организационно-правовых форм, начиная от государственных учреждений и заканчивая небольшим обществом с ограниченной ответственностью, являются опе-

раторами персональных данных, так как все они осуществляют сбор, систематизацию, хранение и уточнение сведений о своих сотрудниках в соответствии с российским законо-

11

дательством. Кроме этого большинство организаций также обрабатывают и хранят в своих базах данные клиентов, поставщиков, партнеров. Таким образом, операторами персональных данных можно считать, например, все организации, нанимающие работников по трудовым договорам и договорам гражданско-правового характера, страховые компании, операторы сотовой связи, учебные заведения, интернет-магазины, медицинские учреждения, государственные и муниципальные учреждения, ведомства и службы, перевозчики всех видов транспорта, банки и т.п..

Граждане вынуждены предоставлять свои персональные данные вышеуказанным организациям для заключения различного рода договоров, получения услуг, помощи, кре-

дитов. Однако никто не должен требовать от граждан сведений больше того, чем это нужно для какой-то конкретной цели. Храниться персональные данные могут не дольше, чем этого требуют цели, для которых они накапливались и подлежат уничтожению по достижении целей или утраты необходимости в их достижении.

Вышеуказанные принципы также распространяются и на обработку сведений, характеризующих физиологические особенности организма человека, такие как отпечатки пальцев, результаты анализа ДНК, т.е. на обработку биометрических персональных данных. Более того, в отношении обработки биометрических персональных данных законодательство устанавливает особые требования, о которых рассказано в главе 8 настоящего пособия.

Конечно же, «новые технологии обработки персональных данных позволяют делать взаимодействие граждан и органов власти или коммерческих компаний все более удобным, оперативным и экономным. Но, увеличение масштабов использования персональной информации повышает требования к защите персональных данных»3. Поэтому коммерческие организации и органы власти должны гарантировать конфиденциальность информации и уважение права человека самостоятельно решать какую информацию и в каком объеме он готов раскрывать. Напоминаем, что эти требования к операторам и гарантии защиты прав граждан зафиксированы в ФЗ «О персональных данных».

Авторы пособия настоятельно советуют гражданам твердо запомнить, что не должен делать оператор персональных данных. Итак, оператор персональных данных

не вправе:

1) собирать и использовать персональную информацию о человеке без его согласия. Но из этого правила есть ряд исключений. Оператор может собирать информацию без согласия гражданина в следующих случаях:

сбор и обработка персональных данных являются обязательными в соответствии с каким-либо федеральным законом, но только в том объеме и для тех целей и теми органами, которые предусмотрены этим законом. Например, данные по закону могут собираться в интересах расследования преступлений, для ведения реестра предпринимателей, для осуществления пенсионных или страховых выплат и т.п.

персональные данные собираются и используются для заключения и исполнения договора с гражданином;

12

данные используются для статистических или иных научных целей в обезличенном виде;

обработка данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно, например, при оказании медицинской помощи;

обработка персональных данных необходима для оказания услуг связи, доставки почтовых отправлений и т.п. целей;

персональная информация собирается в интересах профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии. Права и свободы граждан, о которых собирается информация, в частности право на неприкосновенность личной жизни, находятся при этом под защитой иных Федеральных законов и Конституции;

могут свободно использоваться персональные данные, подлежащие опубликованию в соответствии с федеральными законами, в том числе персональные данные лиц, замещающих государственные должности, должности государственной гражданской службы, персональные данные кандидатов на выборные государственные или муниципальные должности;

2)собирать и хранить биометрические персональные данные без специального письменного согласия гражданина, кроме ряда случаев, о которых рассказано в главе 8 настоящего пособия;

3)собирать и хранить сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни без специального добровольного письменного согласия;

4)собирать, хранить и использовать информацию о судимости (кроме специ-

ально уполномоченных органов в установленных законом случаях);

5)собирать персональные данные о гражданине от третьих лиц. Исключения составляют случаи, когда информация предоставляется в соответствии с действующим законодательством для исполнения профессиональных обязанностей при условии соблюдения профессиональной тайны;

6)распространять сообщения рекламного характера и политическую агитацию без их согласия получателей;

7)использовать собранную персональную информацию для целей, которые не были согласованы с гражданином;

8)продолжать хранить персональную информацию после требования гражданина прекратить обработку (уничтожить информацию о нем);

9)собирать персональные данные, используя скрытое видеонаблюдение, "шпионское" программное обеспечение, вирусы и т.п.;

10)объединять базы данных, созданные для несовместимых целей;

11)безосновательно отказывать гражданину в блокировании и уточнении неверной информации;

12)отказывать гражданину в доступе к информации о нем, которую хранит оператор, а также в предоставлении сведений о целях, способах и сроках обработки, а также о лицах, которые могут иметь доступ к персональной информации. Доступ к персональным

13

данным может быть ограничен, если при этом могут быть раскрыты персональные данные других лиц;

13) отказывать гражданину в оказании услуг на том основании, что клиент отказался предоставить свои данные для вторичных целей, которые прямо не связаны с оказанием услуг, за которыми клиент обратился. Например, магазин не может отказаться продавать гражданину товары на том основании, что гражданин не желает, чтобы его адрес использовался для рассылки рекламной продукции.

Учитывая вышесказанное, авторы пособия рекомендуют гражданам перед тем как

передать свои персональные данные (банку, магазину, любой другой организации, оказывающей услуги), обязательно уточнить:

1)для чего собирается информация и как она будет использована;

2)как и где информация будет храниться (в электронной базе данных, в Интернет, на бумажных носителях и т.п.);

3)кто сможет получить доступ к информации, кому она может передаваться;

4)как долго будут храниться сведения о Вас.

Не стоит забывать, что с того момента как любое лицо (организация, орган, учреждение) обратилось к гражданину с просьбой о предоставлении информации и на протяжении всего периода, пока оно хранит сведения о гражданине, это лицо обязано соблюдать требования ФЗ «О персональных данных». Организация (оператор персональных дан-

ных) не праве отказывать гражданину в предоставлении указанной информации и обязано сообщать ее предварительно, даже без запроса гражданина.

Если гражданином выяснено, что информация может быть использована не только для получения услуг, которые он желает получить, но и для целей, которые его не устраивают, или что информация о нем может быть передана (продана) другим организациям — гражданин вправе ограничить свое согласие на обработку данных только в четко опреде-

ленных целях. В соответствии со ст. 9 ФЗ «О персональных данных» гражданин име-

ет право самостоятельно определять для чего и в каком объеме может быть использована информация о нем, может ли она раскрываться. Если его не устраивает характер обработки данных — гражданин может в любой момент отозвать свое согласие на обработку и требовать уничтожения информации. Например, устраиваясь на работу и проходя собеседование, гражданин может категорически возражать против проведения видео или аудиозаписи собеседования. При этом работодатель на этом основании не вправе отказать ему в приеме на работу. В настоящее время почти все банки проводят фотосъемку своих клиентов, заключая договоры с ними. Однако, гражданин имеет полное право отказаться от фотосъемки, а банк не вправе отказать ему в заключении договора на этом основании.

Так, например, для защиты своих персональных данных можно написать заявление следующего образца:

Директору

ООО «________» Г-ну ____________

От _____________

проживающей по адресу :

___________________

14

«___»_________200__г.

Заявление

Я, ____________________________(Ф.И.О.), предоставил (а) свои персональные данные (почтовый адрес, телефон, ФИО) при получении дисконтной карты Вашей орга-

низации «______________», которая была передана мне «___»________200_ г.

Уведомляю Вас, что я возражаю против использования моих персональных данных для распространения любой рекламной продукции

В соответствии со ст. 14 ФЗ «О персональных данных» прошу прекратить использование всех моих персональных данных для этих целей.

Подпись

Важно помнить, что операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных. Напомним, что под конфиденциальностью персональных данных понимается обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.

В соответствии с ч. 2 ст. 7 ФЗ «О персональных данных» обеспечения конфиденциальности персональных данных не требуется только в двух случаях:

1) в случае обезличивания персональных данных;

2) в отношении общедоступных персональных данных.

Гражданам также необходимо хорошо разбираться в своих правах, когда речь идет о трансграничной передачи персональных данных.

Для начала определимся с понятиями. Трансграничная передача персональных данных — это передача персональных данных оператором через государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства.

Когда начался процесс объединения Европы вопрос о трансграничной передачи персональных данных стал очень актуальным. Ведь ранее персональные данные гражданина охранялись только в его стране. А за пределами своего государства защитить собственные персональные данные было очень трудно.

Как же должна грамотно осуществляться трансграничная передача персональных данных?

До начала осуществления трансграничной передачи персональных данных оператор обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных. Трансграничная передача персональных данных на территории иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется в соответствии с ФЗ «О персональных данных» и может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства.

15

При этом трансграничная передача персональных данных на территории ино-

странных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться только в случаях:

1)наличия согласия в письменной форме субъекта персональных данных;

2)предусмотренных международными договорами Российской Федерации по вопросам выдачи виз, международными договорами Российской Федерации об оказании правовой помощи по гражданским, семейным и уголовным делам, а также международными договорами Российской Федерации о реадмиссии;

3)предусмотренных федеральными законами, если это необходимо в целях защиты основ конституционного строя Российской Федерации, обеспечения обороны страны и безопасности государства;

4)исполнения договора, стороной которого является субъект персональных дан-

ных;

5)защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц при невозможности получения согласия в письменной форме субъекта персональных данных.

Авторы считают важным указать на то, что ФЗ «О персональных данных» (ст. 13) разрешает государственным и муниципальным органам создавать в пределах их полномо-

чий государственные или муниципальные информационные системы персональных данных. Однако гражданам следует помнить, что права и свободы человека и гражданина не могут быть ограничены по мотивам, связанным с использованием различных способов обработки персональных данных или обозначения принадлежности персональных данных, содержащихся в государственных или муниципальных информационных системах персональных данных, конкретному субъекту персональных данных. Так, например, не допускается использование оскорбляющих чувства граждан или унижающих человеческое достоинство способов обозначения принадлежности персональных данных, содержащихся в вышеупомянутых информационных системах персональных данных, конкретному субъекту персональных данных.

Советы для организаций.

Для того чтобы у организаций не возникало проблем с законодательством, авторы пособия рекомендуют им соблюдать основные принципы обработки персональных

данных:

1)оператор должен обеспечивать конфиденциальность персональных данных. Персональные данные не должны передаваться третьим лицам без согласия субъекта данных. Персональные данные должны быть защищены от несанкционированного доступа и распространения;

2)персональные данные должны использоваться только для тех целей, для которых они были собраны и храниться не дольше, чем это требуется для достижения целей обработки. Оператор должен уничтожать данные после достижения целей обработки;

3)обработка данных возможна только при условии согласия субъекта. Субъект имеет право отозвать свое согласие на обработку данных о себе. Обработка

16

биометрических персональных данных и специальных категорий персональных данных возможно только при условии письменного согласия;

4)оператор должен направить уведомление об обработке данных в Уполномоченный орган (см. Главу 13 пособия), а также иметь краткий документ, в котором отражена политика обработки данных;

5)любой гражданин должен иметь возможность знакомиться с данными о себе;

6)оператор должен информировать граждан о факте обработки данных, предоставлять сведения о целях и способах обработки. Субъект данных должен иметь возможность получать любую информацию, касающуюся обработки его данных;

7)передача данных за рубеж возможна только если иностранное государство обеспечивает адекватную защиту прав субъектов данных, или при условии письменного согласия;

8)персональные данные должны быть актуальны и достоверны. Граждане имеют право требовать уточнения информации, а также блокирования и уничтожения неточных данных;

9)обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни допускается только в исключительных случаях и при соблюдении определенных условий;

10)граждане и Уполномоченный орган имеет право обжаловать неправомерные действия оператора и требовать соответствующей компенсации в суде.

Ниже приведены практические рекомендации по обработке персональных данных, применимые любой организацией:

1)необходимо составить документ, который будет отражать политику организации

вотношении обработки персональных данных (Положение об обработке персональных

данных). Использование этого документа упростит процедуру информирования клиентов;4

2)в документе необходимо указать следующую информацию:

цели и способы обработки персональных данных;

категории, типы обрабатываемых данных;

категории субъектов, персональные данные которых обрабатываются;

правовое основание обработки персональных данных;

перечень действий с персональными данными;

условия прекращения обработки персональных данных;

как получить доступ к персональным данным;

условия раскрытия и объем данных доступных партнерам и третьим

лицам;

контактную информацию лиц, ответственных за рассмотрение жалоб и запросов;

4 http://privacy.hro.org/node/32

17

3)в обязательном порядке этот документ должен быть доступен клиентам организации. Правильней всего знакомить каждого субъекта персональных данных с этим документом под расписку;

4)во всех случаях любые персональные данные должны использоваться только для тех целей, для которых они были собраны;

5)авторы советуют оценить, какая персональная информация действительно нужна организации, а какие данные могут быть обезличены или уничтожены без ущерба для деятельности организации;

6)важно провести инвентаризацию целей использования персональных данных ваших клиентов. Определить какую персональную информацию получает организация и из каких источников, каким образом и на каких основаниях. Как используется личную информацию в пределах организации. В каких случаях представляется доступ к персональным данным для третьих лиц;

7)нужно избегать сбора и хранения избыточной информации без определенной це-

ли;

8)не нужно собирать и использовать персональные данные для целей, которые не относятся к сфере компетенции организации;

9)очень важно для осуществления разных целей обработки использовать разные базы данных (например, продвижение новых продуктов, информация о новых услугах, информационные рассылки). Можно также установить правила целевого использования баз данных и своевременно вносить изменения в случае отзыва согласия на использование баз данных в оговоренных целях. Следует избегать объединения баз данных, созданных для несовместимых целей;

10)после достижения цели обработки персональные данные нужно сразу уничто-

жать.

Как упоминалось выше, обработка данных возможна только при условии согла-

сия субъекта.

Специальное согласие дается в устной и письменной форме. Подразумеваемое согласие следует из поведения человека и обстоятельств предоставления данных оператору.

Специальное согласие на обработку данных необходимо, если:

планируется использование данных для неочевидных для субъекта

целей;

предполагается раскрытие или передача информации третьим лицам;

при сборе данных используются скрытые, негласные, косвенные средства и способы;

информация собирается от третьих лиц.

Например, при сборе контактной информации граждан, которые согласились принять участие в опросе, не требуется специального согласия на использование их данных для более корректной обработки результатов опроса, проверки работы маркетологов, возможности сделать уточнение, высказать благодарность или провести контрольный опрос через определенный промежуток времени. Но при этом нужно запрашивать согласие респондентов на использование данных для распространения рекламных материалов или на передачу их контактной информации партнерам.

Письменное согласие необходимо:

18

при раскрытии, разглашении или распространении личной информации конфиденциального характера;

при сборе специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни;

при сборе биометрических персональных данных ( сведений, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность).

Отом, что должно включать в себя письменное согласие на обработку персональных данных будет подробно рассказано в главе 5 настоящего пособия;

11) авторы пособия считают очень важным включить информацию о целях и способах обработки персональных данных в текст анкеты, бланка, запроса на получение информации, текст договора. Рекомендуется также давать устные разъяснения клиентам. Необходимо в любой организации разработать текст письменного уведомления или соглашения об обработке данных;

12) если организация собирает данные для передачи третьим лицам — необходимо получить специальное согласие на это у субъекта персональных данных до того, как персональные данные будут переданы. Обращаем внимание на то, что если организация получила персональные данные субъекта не от него самого или возникла необходимость использовать данные субъекта для целей, которые не были согласованы заранее, необходи-

мо направить субъекту данных уведомление об обработке персональных данные, кото-

рое будет включать следующие моменты:

наименование и адрес вашей организации;

цель обработки персональных данных;

предполагаемые пользователи персональных данных;

права субъекта персональных данных;

13)Напоминает, что гражданин (субъект персональных данных) имеет право запросить у организации дополнительную информацию, например, о перечне обраба-

тываемых персональных данных и источнике их получения, о сроках обработки персональных данных и т.п.;

14)также следует помнить, что в случае конфликта обязанность доказать нали-

чие согласия субъекта на обработку данных возлагается на организацию;

15)очень важно обратить внимание на то, что если организация планирует использовать персональные данные сразу для нескольких целей, то в этом случае нужно запрашивать согласие на каждый случай отдельно;

16)само собой разумеется, что согласие не должно быть вынужденным. Клиент должен иметь возможность отказаться от использования его данных во вторичных целях, не отказываясь при этом от получения услуг.

Разумным решением для организации будет включения в анкету или уведомление о порядке обработки и использования данных пункта, где у гражданина берется согласие на использование данных во вторичных целях, например: «я хочу получать рекламную информацию», «не возражаю, против получения новых предложений об участии в опросах компании» и т.п.;

19

17)авторы пособия рекомендуют организациям информировать субъектов дан-

ных о формах доступа к их персональным данным. Для этого необходимо организовать предоставление доступа к данным и информации об их обработке по запросам. Напоминаем, что субъект персональных данных имеет право уточнять, какая именно информация о нем храниться и кому она передавалась. Запрос на получение информации должен содержать данные паспорта и личную подпись. При этом организация обязана ответить на подобный запрос в течение 10 дней. Ответ на запрос должен предоставляться субъекту в доступной форме — письменно, по электронной почте, при возможности устно или по телефону;5

18)также не стоит забывать, что субъект персональных данных имеет право на получение следующей информации:

подтверждение факта обработки персональных данных оператором, а также цель такой обработки;

способы обработки персональных данных, применяемые оператором;

сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;

перечень обрабатываемых персональных данных и источник их получения;

сроки обработки персональных данных, в том числе сроки их хране-

ния;

сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных;

19)однако в ответе на запрос не должно содержаться персональной информации, которая относится к другим субъектам. Если нет возможности предоставить кли-

енту сведения о том, кому передавались его персональные данные, мы рекомендуем предоставить список лиц и организаций, которым данные могли быть раскрыты. Во всех случаях, отказ в предоставлении доступа к своим данным, сведений об обработке или уточнении персональных данных должен быть обоснован;

20)в организации необходимо определить сотрудника, ответственного за выполнение требований законодательства о персональных данных и предоставление ин-

формации по запросам. Контактную информацию сотрудника можно также разместить для удобства клиентов в открытом доступе (на информационных стендах, на Интернетсайте, в информационных материалах и т.п.);6

21)авторы рекомендуют организациям определить процедуру оперативного уточнения данных, например, адреса, на который должна приходить информация. Если кроме основной базы данных существует несколько используемых и резервных копий — соответствующие уточнения должны вноситься во все из них. Если это возможно и целесообразно, обязанность уточнения информации может распространяться и на сведения, которые были переданы третьим лицам.

20