Правовое обеспечение национальных интересов Российской Федерации в информационной сфере

вателей36. В данном параграфе дается попытка обобщить и системаJ тизировать знания о методах и технологиях работы с персональными данными, так как соблюдение правил работы с персональными данJ ными является основой защиты информации, обеспечивающей личJ ную безопасность.

Защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах, является одной из основных целей защиJ ты информации и прав субъектов в области информационных процесJ сов и информатизации. Поэтому сферой действия принятого 27 июля 2006 года Федерального закона «Об информации, информационных технологиях и о защите информации» являются отношения, возниJ кающие при осуществлении субъектом права на поиск, получение, передачу, производство и распространение информации, применение информационных технологий и защиту информации37.

В соответствии с Федеральным законом «О персональных данJ ных» «персональные данные – это любая информация, относящаяся к определенному или определяемому на основании такой информаJ ции физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адJ рес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация».

Федеральный закон установил критерии законности действий, связанных с обработкой персональных данных, а также пределы огJ раничения прав физических лиц – субъектов персональных данных, в связи с обеспечением общественных интересов, безопасности госуJ дарства и общества.

36См., например: Арешев А.Г., Бачило И.Л., Сергиенко Л.А. Персональные данJ ные в структуре информационных ресурсов. Основы правового регулирования / Отв. ред. И.Л. Бачило. М, 2006; Демушкин А.С. Персональные данные госслужащего // Служба кадров и персонал. 2010. № 2. С. 89–90; Говорухин О.Э. Когда персональные данные – коммерческая тайна // Служба кадров и персонал. 2006. № 7. С. 92–96; Он же. Персональные данные: сбор, обработка, защита // Служба кадров и персоJ нал. М., 2007. № 2. С. 86–91.

37См.: Постановление Правительства Российской Федерации от 15 августа 2006

№504 «О лицензировании деятельности по технической защите конфиденциальной информации» // Российская газета. 2006. 29 авг.; Постановление Правительства РосJ сийской Федерации от 31 августа 2006 г. № 532 «О лицензировании деятельности по разработке и (или) производству средств защиты конфиденциальной информации» // Российская газета. 2006. 6 сент.

Следует отметить, что действие федерального закона не распростJ раняется на отношения, возникающие при организации хранения, комJ плектования, учета и использования, содержащих персональные данJ ные документов Архивного фонда Российской Федерации и других архивных документов, а также при обработке персональных данных, отнесенных к сведениям, составляющим государственную тайну.

Существуют специальные категории персональных данных, каJ сающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоJ ровья, интимной жизни и т.д.

Персональные данные, обеспечивая личную безопасность, являJ ются объектом защиты. В соответствии с этим существуют технолоJ гии обработки персональных данных, которые необходимо соблюдать при работе с персональными данными.

Обработка персональных данных – это действия (операции или технологии) с ними, в том числе сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распроJ странение (в том числе передача), обезличивание, блокирование и их уничтожение.

Использование персональных данных – действия с ними, соверJ шаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы этого субъекта или других физичесJ ких лиц.

Распространение персональных данных – действия, направленные на их передачу определенному кругу лиц или на ознакомление с ними неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информаJ ционноJтелекоммуникационных сетях или предоставление доступа к ним какимJлибо иным способом.

Обезличивание персональных данных – действия, в результате которых невозможно определить их принадлежность конкретному физическому лицу.

Блокирование персональных данных – временное прекращение их сбора, систематизации, накопления, использования, распространеJ ния, в том числе их передачи.

Уничтожение персональных данных – действия, в результате коJ торых невозможно восстановить их содержание в автоматизированJ

ной информационной системе или в результате которых уничтожаются материальные носители персональных данных.

Организация обработки персональных данных осуществляется оператором. Помимо организации и непосредственно обработки перJ сональных данных операторы определяют цели и содержание обработJ ки. Оператор – это государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществJ ляющие обработку персональных данных, а также определяющие цели и содержание их обработки.

Не допускаются обработка персональных данных, избыточных по отношению к целям, заявленным при их сборе, а также объединение созданных для несовместимых между собой целей баз данных автомаJ тизированных информационных систем. Автоматизированная инфорJ мационная система персональных данных, представляющая собой их совокупность, содержащуюся в базе данных, а также информационJ ных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств авJ томатизации или без использования.

Обработка персональных данных может осуществляться оператоJ ром только с согласия субъектов персональных данных. Однако в отдельных случаях согласия субъекта на обработку не требуется. Например, при обработке кадровой документации в организации, где работает субъект персональных данных.

Технологии хранения персональных данных должны осуществJ ляться в форме, позволяющей определять физическое лицо, не дольJ ше, чем этого требуют цели обработки персональных данных, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей.

Технологии (операции) обработки персональных данных возможJ ны при двух условиях.

Первое условие – выполняется оператором с согласия субъектов персональных данных за исключением случаев, если обработка:

yосуществляется в целях исполнения договора, одной из сторон коJ торого является субъект персональных данных (например, трудового договора или служебного контракта – для государственных служащих); yосуществляется для статистических или иных научных целей при условии обязательного их обезличивания – действия, в результате которых невозможно определить их принадлежность к конкретному

субъекту персональных данных;

y необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта невозможно;

y необходима для доставки почтовых отправлений организацияJ ми почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги, а также для рассмотрения претензий пользователей услугами связи;

y осуществляется в целях профессиональной деятельности журJ налиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и своJ боды субъекта персональных данных;

y осуществляется в целях опубликования в соответствии с закоJ нодательством о государственной службе, в том числе персональных данных замещающих государственные должности, должности госуJ дарственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Втрое условие – в случае, если оператор на основании договора поручает обработку персональных данных другому лицу, существенJ ным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности при их обработке.

Обработка персональных данных, содержащихся в автоматизироJ ванной информационной системе персональных данных либо извлеJ ченных из такой системы, считается осуществленной без использоJ вания средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как их использование, уточнеJ ние, распространение, уничтожение в отношении каждого из физиJ ческих лиц – субъектов персональных данных, осуществляются при непосредственном участии человека38.

Правила работы (обработки) с документированными персональныJ ми данными, осуществляемой без использования средств автоматизаJ ции, должны быть установлены нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными правоJ выми актами организаций (далее – государственных и негосударственJ ных структур) и применяться с учетом изложенных требований ПостаJ

38Постановление Правительства Российской Федерации от 15 сентября 2008 г.

№687 «Об утверждении Положения об особенностях обработки персональных данJ ных, осуществляемой без использования средств автоматизации».

новления Правительства Российской Федерации «Об утверждении Положения об особенностях обработки персональных данных, осущеJ ствляемой без использования средств автоматизации»39.

Персональные данные при их обработке должны обособляться от иной документированной информации, в частности, путем фиксации их на отдельных материальных носителях (далее – материальные ноJ сители), в специальных разделах или на полях форм (бланков) докуJ ментов.

При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональJ ных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, для каждой категории должен использоваться отдельный материальный носитель.

Лица, осуществляющие обработку персональных данных (в том числе сотрудники организацииJоператора или лица, осуществляющие такую обработку по договору с оператором), должны быть проинJ формированы о факте обработки ими персональных данных, категоJ риях обрабатываемых персональных данных, а также об особенносJ тях и правилах осуществления такой обработки, установленных нормативными правовыми актами государственных и негосударJ ственных структур и локальными правовыми актами организации (при их наличии).

При использовании типовых форм документов, характер инфорJ мации в которых предполагает или допускает включение в них перJ сональных данных (далее – типовая форма), должны соблюдаться следующие условия:

y типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать свеJ дения о цели обработки, имя (наименование) и адрес оператора, фаJ милию, имя, отчество и адрес физического лица – субъекта персоJ нальных данных, источник их получения, сроки их обработки, перечень действий с персональными данными, которые будут соверJ шаться в процессе их обработки, общее описание используемых опеJ ратором способов их обработки;

y типовая форма должна предусматривать поле, в котором физиJ ческое лицо может поставить отметку о своем согласии на обработку

39Постановление Правительства Российской Федерации от 15 сентября 2008 г.

№687 «Об утверждении Положения об особенностях обработки персональных данJ ных, осуществляемой без использования средств автоматизации».

своих персональных данных, осуществляемую без использования средств автоматизации, – при необходимости получения письменноJ го согласия на обработку персональных данных (подраздел 4.4.1);

y типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в докуJ менте, имел возможность ознакомиться со своими данными, содерJ жащимися в документе, не нарушая прав и законных интересов друJ гих субъектов персональных данных – физических лиц;

y типовая форма должна исключать объединение полей, предназJ наченных для внесения персональных данных, цели обработки котоJ рых заведомо не совместимы.

При ведении журналов (реестров, книг), содержащих персональJ ные данные, необходимые для однократного пропуска физического лица на территорию, на которой находится оператор, или в иных анаJ логичных целях, существуют следующие обязательные условия:

y необходимость ведения такого журнала (реестра, книги) должна быть предусмотрена актом оператора, содержащим сведения о цели обработки персональных данных, способы фиксации и состав инфорJ мации, запрашиваемой у физических лиц, перечень лиц (поименно или по должностям), имеющих доступ к материальным носителям и ответJ ственных за ведение и сохранность журнала (реестра, книги), сроки обработки персональных данных, а также сведения о порядке пропусJ ка на территорию, на которой находится оператор, без подтверждения подлинности персональных данных, сообщенных физическим лицом;

y копирование содержащейся в таких журналах (реестрах, книJ гах) информации не допускается;

y персональные данные каждого физического лица могут заноJ ситься в такой журнал (книгу, реестр) не более одного раза в каждом случае пропуска его на территорию, на которой находится оператор.

При несовместимости целей обработки персональных данных, заJ фиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять их обработку отдельно от других зафиксированных на том же носителе персональных данных, должны быть приняты меры по обеспечению раздельной обработки, в частности:

y при необходимости использования или распространения опреJ деленных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных, подлежащих распространению или использованию, осуществляется их копироваJ ние способом, исключающим одновременное копирование персональJ

либо по решению суда или иных уполномоченных государственных органов.

Конфиденциальность персональных данных – это обязательное для соблюдения оператором или иным получившим доступ к ним лиJ цом требование не допускать их распространения без согласия физиJ ческого лица или наличия иного законного основания.

Вслучае если оператор на основании договора поручает обработJ ку персональных данных другому лицу, существенным требованием договора является обязанность обеспечения указанным лицом реглаJ ментированного доступа к персональным данным и их конфиденциJ альности и защиты при обработке.

Федеральным законом «О персональных данных» установлен запJ рет на обработку персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с поJ тенциальным потребителем с помощью средств связи, а также в цеJ лях политической агитации без получения предварительного соглаJ сия физического лица – субъекта персональных данных.

Вслучае выявления неправомерных действий с персональными данJ ными в обязанности оператора входит устранение допущенных нарушеJ ний в срок, не превышающий трех рабочих дней с даты такого выявлеJ ния. Если нарушения устранить невозможно, то оператор в указанный срок обязан уничтожить персональные данные. Если цель обработки персональных данных была достигнута, оператор обязан незамедлительJ но прекратить их обработку и уничтожить в срок, не превышающий трех рабочих дней с даты достижения цели их обработки.

О своем намерении осуществить обработку персональных данных оператор обязан уведомлять уполномоченный орган по защите прав субъектов персональных данных (согласно Закону таким органом является федеральный орган исполнительной власти, осуществляюJ щий функции по контролю и надзору в сфере информационных техJ нологий и связи42).

ВУголовном кодексе Российской Федерации43 (далее – УК РФ) предусмотрена ответственность за незаконное собирание и распростJ ранение сведений о частной жизни лица, составляющих его личную

исемейную тайну (ст. 137); тайну переписки, телефонных переговоJ

42Федеральная служба по надзору в сфере связи, информационных технологий

имассовых коммуникаций.

43Уголовный кодекс Российской Федерации от 13 июля 1996 г. № 63JФЗ (ред. от 27 июля 2009 г.).