Персональные данные. Кто, что и зачем должен о нас знать

11.Соглашение представляет собой полное согласие и понимание Сторон в отношении предмета соглашения и отменяет все предшествовавшие его заключению переговоры, обсуждения и договоренности между ними в отношении предмета соглашения. Ни одна из Сторон не связана никакими обязательствами, условиями, гарантиями, заверениями, определениями, иными чем прямо указанные в соглашении.

12.Изменение условий соглашения. Настоящее соглашение может быть изменено только с согласия обеих Сторон.

Подписи сторон.

Как уже упоминалось выше, на обработку общедоступных персональных данных получения согласия не требуется. Кроме того нет необходимости получать согласие субъекта персональных данных, если обработка данных происходит в процессе исполнения договора, одной из сторон которого является данный субъект.

Субъект персональных данных имеет право отозвать свое согласие на обработку персональных данных в любой момент.

Образец заявления о прекращении обработки персональных данных

_________________________________________________

Наименование (Ф.И.О.) оператора

_________________________________________________

Адрес оператора

_________________________________________________

Ф.И.О. субъекта персональных данных

_________________________________________________

Адрес, субъекта персональных данных

_________________________________________________

Номер основного документа, удостоверяющего его личность

_________________________________________________

Дата выдачи указанного документа

_________________________________________________

Наименование органа, выдавшего документ

Заявление о прекращении обработки персональных данных.

Прошу Вас прекратить обработку моих персональных данных в связи с

_____________________________________(указать причину, например, «в связи с непра-

вомерным их использованием.)

«__» __________ 20__ г. _________________ __________________________

(подпись) (расшифровка подписи)

31

5)если обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;

6)если обработка персональных данных осуществляется в целях профессиональ-

ной деятельности журналиста либо в целях научной, литературной или иной твор-

ческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

7)если осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности;

8)если обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;

По мнению авторов, положение закона, предоставляющее право обрабатывать персональные данные журналистам, ученым и представителям иных творческих профессий без согласия субъекта должно быть доработано и конкретизировано законодателями. В противном случае, во многих «хитрых» организациях могут быть введены штатные должности журналиста, который и будет обрабатывать всю информацию.

7. Когда ПД могут стать общедоступными?

Как отмечалось в предыдущих главах пособия, обеспечение конфиденциальности персональных данных и согласия на обработку не требуется в отношении общедоступных персональных данных.

В ст.3 ФЗ «О персональных данных» объясняется понятие общедоступных персо-

нальных данных.

Общедоступные персональные данные — персональные данные, доступ неогра-

ниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.

Для информационного обеспечения могут создаваться общедоступные источники персональных данных, в том числе справочники, адресные книги, в которые с письменного согласия субъектов персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, предоставленные субъектом персональных данных.

Обращаем внимание на то, что сведения о субъекте персональных данных могут быть в любое время исключены из общедоступных источников персональных данных по требованию данного субъекта, либо по решению суда или других уполномоченных государственных органов.

33

Образец искового заявления об исключении персональных данных из телефонного справочника

В _________________районный суд г. ____________

Истец: _______________________

Адрес:____________________

Ответчик: ___________________

Адрес:_______________________

Исковое заявление об исключении персональных данных из телефонного справочника

«___»_______20__г. я обнаружил свои персональные данные, а именно__________________________________(перечислить персональные данные) в телефонном справочнике г._______________________, расположенном в Интернете на сайте__________________________ При этом своего согласия включение моих персональных данных в телефонный справочник я не давал.

«__»______20__г. я обратился к владельцу вышеуказанного веб-сайта, руководителю ООО «___________________» с просьбой исключить мои персональные данные из справочника, но он проигнорировал мою просьбу.

На основании вышеизложенного и руководствуясь ст. 6,8 ФЗ «О персональных данных», ст. 151 ГК РФ, ст. 3 ГПК РФ

прошу:

1.Обязать ООО «_____________________» исключить мои персональные дан-

ные из телефонного справочника. Приложение:

1.Квитанция об оплате государственной пошлины

2.Копия обращение на имя директора ООО «________» от «___»_____20__г.

8. Какие ПД не могут обрабатываться?

Законодательство запрещает обработку некоторых категорий персональных дан-

ных. К таким категориям относятся, например, специальные категории персональных

данных.

К специальным категориям относятся персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни

Пункт 1 ст.10 ФЗ «О персональных данных» гласит, что «обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья,

34

интимной жизни, не допускается», за исключением ряда случаев, которые будут рассмотрены ниже.

Интересно, что вышеуказанное положение ФЗ «О персональных данных» соответствует ст. 8 Директивы 95/46/ЕС Европейского парламента и Совета Европейского Союза о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных в которой говорится, что государства-участники обязаны запретить обработку персональных данных, раскрывающих расовое или этническое происхождение, политические взгляды, вероисповедание или философское воззрение, членство в профессиональном союзе, а также обработку данных, касающихся здоровья или интимной жизни.

Обработка специальной категории персональных данных допускается только в следующих случаях, если:

1)субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;

2)персональные данные являются общедоступными;

3)персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия субъекта персональных данных невозможно;

4)обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медикосоциальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;

5)обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;

6)обработка персональных данных необходима в связи с осуществлением правосу-

дия;

7)обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством Российской Федерации;

8)обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;

Напоминаем, что реадмиссия — это— согласие государства на прием обратно на свою территорию своих граждан (а также, в некоторых случаях, иностранцев, прежде находившихся или проживавших в этом государстве), которые подлежат депортации из другого государства.

35

Если вышеперечисленные причины, из-за которых обрабатывались персональные данные устранены, обработка специальной категории персональных данных должна быть немедленно прекращена.

Однако, в соответствии со ст. 61 Основ законодательства Российской Федерации об охране здоровья граждан от 22 июля 1193 г. № 33 № 5487-I (далее по тексту Основы законодательства РФ об охране здоровья граждан) предоставление сведений, составляющих врачебную тайну, без согласия гражданина или его законного представителя все же допускается, но только следующих случаях:

1)в целях обследования и лечения гражданина, не способного из-за своего состояния выразить свою волю;

2)при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;

3)по запросу органов дознания и следствия, прокурора и суда в связи с проведением расследования или судебным разбирательством;

4)в случае оказания помощи несовершеннолетнему возрасте, установленном ч. 2 ст. 24 Основ законодательства РФ об охране здоровья граждан (больные наркоманией в возрасте старше 16 лет, иные несовершеннолетние в возрасте старше 15 лет), для информирования его родителей или законных представителей;

5)при наличии оснований, позволяющих полагать, что вред здоровью гражданина причинен в результате противоправных действий;

6)в целях проведения военно-врачебной экспертизы в порядке, установленном положением о военно-врачебной экспертизе, утверждаемым Правительством РФ.

Образец согласия на обработку специальной категории персональных данных.

_________________________________________________

Наименование (Ф.И.О.) оператора

_________________________________________________

Адрес оператора

_________________________________________________

Ф.И.О. субъекта персональных данных

_________________________________________________

Адрес, где зарегистрирован субъект персональных данных

_________________________________________________

Номер основного документа, удостоверяющего его личность

_________________________________________________

Дата выдачи указанного документа

_________________________________________________

Наименование органа, выдавшего документ

Согласие на обработку специальной категории персональных данных

36

Я._________________________________(Ф.И.О.) даю свое добровольное согласие на включение в анкету данных о моем состоянии здоровья для

__________________________ ____________________________________(указать цель об-

работки персональных данных).

В случае неправомерного использования предоставленных данных соглашение отзывается письменным заявлением субъекта персональных данных.

Предоставляю Оператору право осуществлять все действия (операции) с моими персональными данными, включая сбор, систематизацию, накопление, хранение, обновление, изменение, использование, обезличивание, блокирование, уничтожение.

Данное соглашение действует с «__» ___________________ 20__ г. по

«__»_______________ 20__ г. Дата _________________

Подпись

Важно знать и помнить, что обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами. Например, согласно ст. 37 Федерального закона от 12 июня 2002 г.№ 67-ФЗ «Об основных гарантиях избирательных прав и права на участие в референдуме граждан Российской Федерации» от 12 июня 2002 г., если у кандидата имеется судимость, эти сведения должны указываться в подписном листе.

Кроме того, законодательство Российской Федерации также запрещает обработку без специального согласия такой категории персональных данных, как биометрические

персональные данные.

Биометрические персональные данные – это сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность. Как уже было сказано выше, они могут обрабатываться только при наличии согла-

сия в письменной форме субъекта персональных данных. Обработка биометрических персональных данных без согласия субъекта персональных данных может осуществляться в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия, а также в случаях, предусмотренных законодательством Российской Федерации о безопасности, об оперативно-розыскной деятельности, о государственной службе, о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, уголовно-исполнительным законодательством.

К биометрическим персональным данным можно отнести отпечатки пальцев, отпечатки ладони, результаты анализа ДНК, цифровой образ лица, сетчатки глаза, фотографии и видеоизображения субъектов персональных данных. Фотографии субъектов персональных данных могут обрабатываться в пропускных системах и системах контроля доступа, видеоизображения – в системах видеонаблюдения и т.п.

37

9. Обработка ПД с использованием средств автоматизации и без использования средств автоматизации: в чем разница?

Эта глава будет интересна прежде всего руководителям организаций, обрабатывающим персональные данные и специалистам по работе с персональными данными.

Информационные системы персональных данных могут быть обработаны с ис-

пользованием средств автоматизации и без таковых. Для раскрытия этой темы необ-

ходимо определиться в понятии информационной системы персональных данных.

Всоответствии со ст. 3 ФЗ «О персональных данных» информационная система персональных данных — это информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств, основными из которых являются:

1)информационные технологии, как совокупность приемов, способов и методов применения средств вычислительной техники при обработке персональных данных;

2)персональные данные, содержащиеся в базах данных, как совокупность информации и ее источников, используемых в информационных системах;

3)средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео и буквенно-цифровой информации;

4)операционные системы, системы управления базами данных, прикладное программное обеспечение и т.п.;

5)средства защиты информации;

6)различного рода телефонные средства и системы, средства вычислительной техники, средства и системы передачи данных в системе радиосвязи, средства

исистемы охранной и пожарной сигнализации, оповещения и сигнализации, контрольно-измерительная аппаратура, средства и системы кондиционирования, проводной радиотрансляционной сети и приема программ радиовещания

ителевидения, средства электронной.

Ворганизациях к информационным системам персональных данных можно от-

нести:

1)автоматизированные банковские системы, содержащие данные о сотрудниках банка, о клиентах, партнерах и т.п.;

2)биллинговые системы, содержащие данные о клиентах, осуществляющих оплату услуг;

3)call-центры, содержащие данные о клиентах и сотрудниках в зависимости от предназначения call-центра;

4)автоматизированные медицинские системы, содержащие данные о пациентах

ит.п.;

5)кадровые системы, содержащие данные о соискателях работы;

38

6)бухгалтерские системы, содержащие данные о сотрудниках и клиентах организации;

7)почтовые системы, содержащие данные о сотрудниках организации, клиентах, партнерах, заполненные карточки в адресных книгах почтовых систем и т.п.;

8)системы документооборота, содержащие данные о сотрудниках организации, клиентах, партнерах;

9)автоматизированные системы бюро пропусков, содержащие данные о посети-

телях.

Также информационные системы можно классифицировать по принадлежности:

1)информационные системы государственных органов;

2)информационные системы муниципальных органов;

3)информационные системы юридических лиц;

4)информационные системы физических лиц, организующих или осуществляющих обработку персональных данных, а также определяющих цели и со-

держание обработки персональных данных (за исключением случаев, когда последние используют указанные системы исключительно для личных и семейных нужд).

Совместный приказ ФСТЭК, ФСБ и Министерства информационных техноло-

гий и связи РФ от 13 февраля 2008 г. № 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных» определяет сле-

дующие категории персональных данных, которые обрабатываются в информационных системах персональных данных:

категория 1 — это персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;

категория 2 — это персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;

категория 3 — это персональные данные, позволяющие идентифицировать субъекта персональных данных;

категория 4 — это обезличенные и (или) общедоступные персональные данные.

Кроме того, информационные системы персональных данных подразделяются на

типовые и специальные. К типовым системам относятся системы, в которых требуется обеспечить только конфиденциальность персональных данных. Все остальные системы относятся к специальным.

Обращаем внимание руководителей организаций также на то, что в зависимости

от последствий нарушений заданной характеристики безопасности персональных данных типовой информационной системе присваивается один из классов:

класс 1 (К1) — это информационные системы, для которых нарушения могут привести к значительным негативным последствиям для субъектов персональных данных;

39

класс 2 (К2) — это информационные системы, для которых нарушения могут привести к негативным последствиям для субъектов персональных данных;

класс 3 (К3) — это информационные системы, для которых нарушения могут привести к незначительным негативным последствиям для субъектов персональных данных;

класс 4 (К4) — это информационные системы, для которых нарушения не приводят к негативным последствиям для субъектов персональных данных.

При этом класс типовой информационной системы определяется оператором в

соответствии с таблицей, приведенной в Приказе ФСТЭК России, ФСБ России, Мининформсвязи России от 13.февраля 2008 № 55/86/20.

Как можно предположить, у многих организаций возникнут трудности в проведении классификации информационных систем персональных данных. Ведь для осуществления этой непростой задачи требуются специальные знания и умения. В этих случаях ав-

торы пособия рекомендуют обращаться в специализированные агентства, которых

сейчас достаточно много во всех городах России.

В случае выделения в составе информационной системы подсистем, каждая из которых является информационной системой, информационной системе в целом присваивается класс, соответствующий наиболее высокому классу входящих в нее подсистем. Вследствие этого интегрированные информационные системы, как правило, подпадают под классы К1 и К2 и требуют больших затрат на защиту персональных данных. Защита систем упрощается, если сложная система сегментирована на несколько отдельных, не связанных друг с другом систем, различных по целям и регламентам обработки персональных данных.

Результаты классификации информационных систем оформляются соответствующим актом оператора. Обращаем внимание, что класс информационной системы может быть пересмотрен:

1)по решению оператора на основе проведенных им анализа и оценки угроз безопасности персональных данных с учетом особенностей и (или) изменений конкретной информационной системы;

2)по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационной системе.

Таким образом, в настоящее время законодательством установлен следующий по-

рядок оценки соответствия степени защищенности информационных систем требованиям безопасности:

1)для информационных систем 1 и 2 класса соответствие степени защищенности требованиям безопасности устанавливается путем обязательной сертификации (аттестации);

2)для информационных систем 3 класса соответствие требованиям безопасности подтверждается путем сертификации (аттестации) или (по выбору оператора) декларированием соответствия, проводимым оператором персональных данных;

3)для информационных систем 4 класса оценка соответствия не регламентируется и осуществляется по решению оператора персональных данных.

40