Персональные данные. Кто, что и зачем должен о нас знать

В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных оператор обязан прекратить их обработку и уничтожить персональные данные в трехдневный срок с даты поступления указанного отзыва, если иное не предусмотрено соглашением между оператором и субъектом персональных данных. Об уничтожении персональных данных оператор обязан уведомить субъекта персональ-

ных данных (ч. 5 ст. 21 ФЗ «О персональных данных») Образец такого уведомления приведен в главе 11 настоящего пособия.

Важное значение имеет положение, закрепленное в ст. 15 ФЗ «О персональных данных», которое устанавливает запрет на обработку персональных данных в целях

продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях по-

литической агитации. Все названные действия допускаются только при условии предварительного согласия субъекта персональных данных.

Как отмечалось в главе 7 настоящего пособия с письменного согласия субъекта персональных данных его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии могут включаться в общедоступные источники персональных данных, формируемых в целях информационного обеспечения. Однако ФЗ «О персональных данных» разрешает исключить эти сведения в любое время из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов (образец искового заявления об исключении персональных данных из общедоступных источников информации приведен в главе 7 настоящего пособия).

Кроме того, в случае если субъект персональных данных считает, что обработка его персональных данных осуществляется оператором с нарушением требований ФЗ «О персональных данных» или иным образом нарушает его права и свободы, он вправе обжало-

вать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных. Об этом будет подробно рассказано в главе 20 настоящего пособия.

Важное право предоставляет субъекту персональных данных ст. 16 ФЗ «О персональных данных». Теперь запрещается принятие на основании исключительно автома-

тизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

Однако существует ряд исключений, при которых вышеуказанное решение может быть принято на основе исключительно автоматизированной обработки персональных данных гражданина. Это происходит:

1)при наличии гражданина согласия в письменной форме;

2)случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта

персональных данных.

Во всех случаях оператор обязан разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, а также

51

предоставить возможность заявить возражение против такого решения и разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов.

Если гражданин направил оператору возражение против такого решения, оператор обязан его рассмотреть в течение семи рабочих дней со дня его получения и уведомить субъекта персональных данных о результатах рассмотрения такого возражения.

11. Когда вы вправе требовать уничтожения или блокирования ПД?

Понятие «уничтожение» и «блокирование» персональных данных подробно разъяснялись в главе 1 настоящего пособия.

Субъекты персональных данных должны помнить, что существует ряд ситуаций, когда оператор обязан прекратить обработку персональных данных, блокировать или уничтожить их. Оператор обязан это сделать:

1)по требованию субъекта персональных данных, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели (ст. 14 ФЗ «О персональных данных»);

2)по достижении целей обработки или при утрате необходимости в их достижении (ч. 2 ст. 5 ФЗ «О персональных данных»);

3)при невозможности устранить допущенные нарушения в отношении обработки персональных данных. В этом случае в соответствии со ч. 3 ст. 21 ФЗ «О персональных данных» оператор в срок, не превышающий трех рабочих дней с даты выявления нарушений в обработке персональных данных, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган;

4)в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных (ч. 5 ст. 21 ФЗ «О персональных данных»). В этом случае оператор обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий трех рабочих дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между оператором и субъектом персональных данных. Об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных.

В соответствии с действующим законодательством, касающимся защиты персональных данных, "данные могут быть уничтожены двумя способами – обезличены или уничтожены. Данные могут храниться в течение большего срока, чем этого требуют за-

52

явленные цели, если их планируется использовать в исследовательских, научных це-

лях"11.

Однако вышеуказанное требование об уничтожении персональных данных по-

сле достижения цели их обработки не распространяется на определенные категории персональной информации, для которых законодательство устанавливает обязательные сроки хранения. В соответствии с правилам, установленным Федеральной архивной службой, обращения граждан, документы по их рассмотрению должны храниться в течение 5 лет, а журналы регистрации и контроля обращений граждан, приема посетителей – в течение 3 лет.

Гражданам, трудящимся в организациях по найму, нужно помнить, что в отношениях с работниками хранение персональных данных регулируется не только ФЗ «О персональных данных», но Трудовым кодексом Российской Федерации от 30 октября 2001 г. № 197-ФЗ (далее по тексту ТК РФ).

Организация должна хранить данные клиентов до момента истечения срока гарантийных обязательств, либо срока когда возможно предъявить претензии к качеству товара или услуги. Руководителям организаций мы советуем включать в Положение об обработке персональных данных описание процедуры и оснований уничтожения данных и назначить ответственного за уничтожение персональных данных.

Авторы пособия также рекомендуют организациям подумать о технических возможностях уничтожения персональных данных. Например, можно использовать специальное оборудование по уничтожению информации на бумажных носителях. Также в настоящее время широко применяются специальные компьютерные программы, предназначенные для уничтожения персональных данных.

В серьезной организации должен быть разработан бланк уведомления об уничтожении персональных данных, а также определен способ направления уведомления клиентам (работникам), например, почтой или в электронной форме с помощью специальной программы.

Напоминаем гражданам, что по их запросу либо уполномоченного органа по защите прав субъектов персональных данных в случае выявления недостоверных персональных данных или неправомерных действий с ними оператора оператор обязан осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки.

Образец заявления об уничтожении персональных данных

Руководителю Кадрового агентства «_____________»

Г-ну___________________

От ______________________

проживающего по адресу: ________________________

паспортные данные __________________________

53

«____»________2000_ г.

Заявление об уничтожении персональных данных

«___»______200__г. года я обратился в Ваше агентство с просьбой об оказании мне помощи в поиске работы. При этом мной была предоставлена следующая

______________________________________________, содержащая мои персональные данные. Кроме того в Вашем агентстве производилась видео и фотосъемка меня.

В связи с тем, что «___»_____200_ г. я был принят на работу и больше не нуждаюсь в Ваших услугах прошу

в соответствии со ст. 21 ФЗ «О персональных данных» удалить всю информацию обо мне, включая материалы видео и фотосъемки и вернуть мне оригиналы предоставленных мною сведений.

Подпись

Образец уведомления об уничтожении персональных данных

Уведомление об уничтожении персональных данных

Уважаемый ______________________________!

Сообщаем Вам, что в связи с ________________________________(указать причи-

ны уничтожения персональных данных: достижения цели обработки, недостоверность, отзыв согласия и т.п.) обработка Ваших персональных данных, а имен-

но__________________________________________________(перечислить персональные данные) прекращена, и Ваши персональные данные будут уничтожены

«___»_______200_г.

Дата Подпись должностного лица организации

Настоящее уведомление на руки получил: ____________________________подпись субъекта персональных данных

12. Как защищать свои права при обработке ПД

Российское законодательство возлагает на операторов персональных данных определенные обязанности, о которых подробно рассказывалось в предыдущих главах нашего пособия. Законом предусмотрена гражданская, уголовная, административная, дисциплинарная и иная ответственность за нарушение его требований. Рассмотрим эти виды ответственности подробней

12.1.Дисциплинарная, административная и уголовная ответственность за нарушение законодательства по обработке и использованию ПД

54

сти детективные агентства, ведущие свою деятельность с нарушением требований законодательства.

Если же виновное лицо совершало вышеуказанные неправомерные действия с использованием своего служебного положения, то осужденного накажут штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет, либо обязательными работами на срок от ста двадцати до двухсот сорока часов, либо исправительными работами на срок от одного года до двух лет, либо лишением свободы на срок до пяти лет.

Отказ должностного лица в предоставлении гражданину сведений, непосредственно затрагивающих права и свободы гражданина, либо предоставление граждани-

ну неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан, наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет (ст. 140 УК РФ).

Согласно ст. 272 УК РФ неправомерный доступ к охраняемой законом компь-

ютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет. Если то же деяние совершено группой лиц по предварительному сговору или организованной группой либо лицом с использованием своего служебного положения, а равно имеющим доступ к ЭВМ, системе ЭВМ или их сети, то предусмотрено наказание в виде штрафа в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо исправительными работами на срок от одного года до двух лет, либо арестом на срок от трех до шести месяцев, либо лишением свободы на срок до пяти лет.

Дисциплинарная ответственность предусмотрена ст. 192 ТК РФ. За дисципли-

нарный проступок могут быть применены следующие дисциплинарные взыскания:

1)замечание;

2)выговор;

3)увольнение по соответствующим основаниям.

12.2.Гражданско-правовая ответственность за нарушение законодательства по обработке и использованию ПД

Статья 17 ФЗ «О персональных данных» дает право субъекту персональных дан-

ных обжаловать действия или бездействие оператора, если они нарушают права

56

субъекта персональных данных в уполномоченный орган по защите прав субъектов персональных данных (см. главу 13 пособия) или в судебном порядке.

В настоящее время Уполномоченным органом по защите прав субъектов персо-

нальных данных является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). С жалобами о наруше-

нии прав граждан в отношении их персональных данных можно обратиться по адресу: 109074, г. Москва, Китайгородский проезд, д. 7, стр. 2 или по факсу (495) 987-6801. В Роскомнадзор можно направить жалобу заказным письмом или заполнить соответствующую форму на сайте организации, расположенной в Интернете по адресу: http://www.rsoc.ru/treatments/ask-question/. В обращении должны быть указаны фамилия,

имя, отчество, почтовый и электронный адрес заявителя, а также подробно изложена ситуация, при которой были нарушены права заявителя. Ответ на обращение (запрос) направляется заявителю на указанный им адрес — почтовый или электронный. Срок рассмотрения обращения – 1 месяц. В случаях, когда для рассмотрения обращения гражданина требуется больше времени, то срок может быть продлен, но не более чем на 1 месяц. Вместе с жалобой нужно предоставить максимальный объем имеющейся информации в отношении сложившейся ситуации:

1)контактная информация нарушителя;

2)время и дата получения сообщения;

3)копия сообщения;

4)информация о наличии и характере предыдущих контактов с отправителем, копии Ваших обращений в организацию с требованием прекратить информационные рассылки.

Контактную информацию территориального отделения Роскомнадзора в своем ре-

гионе можно найти в Интернете по адресу: http://www.rsoc.ru/about/territorial/.

Также субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда

в судебном порядке.

Ниже приведены образцы документов, которые могут использовать граждане для защиты прав в отношении обработки своих персональных данных при обращении в суд, прокуратуру и к должностным лицам.

Образец жалобы на действия сотрудника паспортного стола

Прокурору г._______________

_____________ (Ф.И.О. прокурора)

_______________________________(Ф.И.О. заявителя) Проживающего по адресу: _____________________

«___»________20__г.

ЖАЛОБА

57

на действия сотрудников паспортного стола ______________ района

«___»_______20__г. я обратился в паспортный стол с просьбой предоставить мне справку о составе семьи, проживающей в моей квартире. Данная справка мне была необходима для получения кредита в банке.

В выдаче данной справки мне отказали.

Руководствуясь ст. 14 ФЗ «О персональных данных», ст. 26–28 ФЗ от 17 января 1992 г. № 2202-I «О прокуратуре РФ» прошу:

обязать паспортный стол ___________ района выдать мне справку о составе семьи, проживающей в моей квартире.

Приложение:

Копия отказа в выдаче справки Подпись

Образец заявления о выдаче истории болезни.

Заведующему поликлиникой №__

________________

(Ф.И.О. заведующего) От _______________________(Ф.И.О. заявителя)

проживающего по адресу:

________________________

паспортные данные _________________________

«___»_________20__г.

Заявления о выдаче истории болезни

В соответствии со ст. 14 ФЗ «О персональных данных» и ст. 31 «Основ законодательства Российской Федерации об охране здоровья граждан» прошу выдать копию моей истории болезни.

Подпись

Образец жалобы на действия заведующего поликлиникой

Прокурору г._______________

_____________ (Ф.И.О. прокурора)

_______________________________(Ф.И.О. заявителя) Проживающего по адресу: _____________________

«___»________20__г.

58

Примечание: медицинское учреждение не только не может ограничивать доступ пациентов к истории болезни, но и обязано по требованию пациента бесплатно предоставить копию истории болезни и других медицинских документов.

Образец запроса в бюро кредитных историй

Руководителю

______________________________________________

адрес__________________________________________

_______________________________(Ф.И.О. заявителя)

проживающего по адресу:

_______________________________________________

паспортные данные ______________________________

«___»_______20__г.

Запрос о предоставлении отчета по кредитной истории

Прошу в соответствии с ч. 2 ст. 8 ФЗ «О кредитных историях» предоставить полный кредитный отчет по моей кредитной истории, в том числе сведения об ее источниках формирования и о пользователях кредитной истории, которым выдавались кредитные отчеты.

Подпись

Примечание: «субъект кредитной истории вправе в каждом бюро кредитных историй, в котором хранится кредитная история о нем, один раз в год бесплатно и любое ко-

личество раз за плату без указания причин получить кредитный отчет по своей кре-

дитной истории, в том числе с накопленной информацией об источниках формирования кредитной истории и о пользователях кредитной истории, которым выдавались кредитные отчеты»12. Узнать о том, в каком бюро кредитных историй находится Ваша кредитная ис-

тория можно в Интернете на сайте: http://ckki.www.cbr.ru/ckki.aspx.

Образец заявления в бюро кредитных историй об исправлении персональных данных

Руководителю

_______________________________________________

адрес:__________________________________________

_______________________________(Ф.И.О. заявителя)

проживающего по адресу:

_______________________

паспортные данные _________________________

60