5.3. Государственный контроль и надзор за обработкой персональных данных

В соответствии с законом Российской Федерации «О персональных данных» уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.

Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение.

Уполномоченный орган по защите прав субъектов персональных данных имеет право:

1)запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию;

2)осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий;

3)требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путём персональных данных;

4)принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований закона «О персональных данных»;

5)обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных, в том числе в защиту прав неопределённого круга лиц, и представлять интересы субъектов персональных данных в суде;

6)направлять заявление в орган, осуществляющий лицензирование деятельности оператора, для рассмотрения вопроса о принятии мер по приостановлению действия или аннулированию соответствующей лицензии в установленном законодательством Российской Федерации порядке, если условием лицензии на осуществление такой деятельности является запрет на передачу персональных данных третьим лицам без согласия в письменной форме субъекта персональных данных;

7)направлять в органы прокуратуры, другие правоохранительные органы материалы для решения вопроса о возбуждении уголовных дел по признакам преступлений, связанных с нарушением прав субъектов персональных данных, в соответствии с подведомственностью;

53

8)вносить в Правительство Российской Федерации предложения

осовершенствовании нормативного правового регулирования защиты прав субъектов персональных данных;

9)привлекать к административной ответственности лиц, виновных

внарушении настоящего Федерального закона.

В отношении персональных данных, ставших известными уполномоченному органу по защите прав субъектов персональных данных в ходе осуществления им своей деятельности, должна обеспечиваться конфиденциальность персональных данных.

Уполномоченный орган по защите прав субъектов персональных данных обязан:

1)организовывать в соответствии с требованиями законов защиту прав субъектов персональных данных;

2)рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений;

3)вести реестр операторов;

4)осуществлять меры, направленные на совершенствование защиты прав субъектов персональных данных;

5)принимать в установленном законодательством Российской Федерации порядке по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, или федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, меры по приостановлению или прекращению обработки персональных данных;

6)информировать государственные органы, а также субъектов персональных данных по их обращениям или запросам о положении дел

вобласти защиты прав субъектов персональных данных;

7)выполнять иные предусмотренные законодательством Российской Федерации обязанности.

Уполномоченный орган по защите прав субъектов персональных данных осуществляет сотрудничество с органами, уполномоченными по защите прав субъектов персональных данных в иностранных государствах, в частности международный обмен информацией о защите прав субъектов персональных данных, утверждает перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных.

Приказом Минкомсвязи Российской Федерации от 14.11.2011 № 312 утверждён «Административный регламент исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению госу-

54

дарственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных». Он пришёл на смену старому регламенту, утверждённому приказом Роскомнадзора от 01.12.2009 № 630.

Предметом государственного контроля за соответствием обработки персональныхданных требованиям законодательстватеперьявляются(п. 5):

1)документы, характер информации в которых предполагает или допускает включение в них персональных данных;

2)информационные системы персональных данных;

3)деятельность по обработке персональных данных.

Вновом административном регламенте помимо прав установлены и обязанности сотрудников Роскомнадзора (в предыдущей версии регламента их не было).

Срок проведения как плановой, так и внеплановой проверки не может превышать 20 рабочих дней (п. 20).

Количество оснований проведения внеплановой проверки сокращено до двух:

1)истечение срока исполнения оператором ранее выданного предписания об устранении выявленного нарушения;

2)поступление в Роскомнадзор или его территориальные органы обращений и заявлений.

Если в результате деятельности оператора причиняется вред жизни, здоровью граждан, его предварительное уведомление о начале проведения внеплановой выездной проверки не требуется (п. 41).

Помимо Закона «О персональных данных» нормы о персональных данных содержатся в гражданском, трудовом, налоговом, семейном законодательстве. При этом такие данные могут охраняться и охраняются

внастоящее время различными режимами ограниченного доступа, такими как государственная, коммерческая, профессиональная, врачебная, нотариальная, адвокатская, банковская, семейная тайна, тайна усыновления и т.д.

Множество нормативных актов Российской Федерации содержат весьма обширные, а иногда и противоречивые требования к обработке персональных данных и вызывают у большинства операторов сложности при реализации. Однако нарушение этих требований в области персональных данных влечет за собой гражданскую, уголовную, административную, дисциплинарную и иную ответственность.

Законодательством Российской Федерации предусмотрены различные санкции, которые могут быть наложены на организацию-оператора, её руководителей и должностных лиц:

−административное приостановление деятельности;

−арест;

−дисциплинарная и материальная ответственность;

55

−исправительные работы;

−конфискация (несертифицированных средств защиты информации, в том числе основного оборудования и программного обеспечения информационных систем, используемых средств шифрования);

−лишение права занимать определённые должности или заниматься определённой деятельностью;

−лишение свободы на определённый срок;

−меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований законодательства;

−направление в органы прокуратуры, другие правоохранительные органы материалов для решения вопроса о возбуждении дел по признакам преступлений, связанных с нарушением прав субъектов персональных данных;

−обязательные работы;

−приостановка действия или лишение лицензий, без которых деятельность по обработке персональных данных становится незаконной;

−штрафные санкции;

−привлечение к административной, гражданской и уголовной ответственности.

Преступлениями, влекущими за собой уголовную ответственность, являются:

−незаконный сбор или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации (ст. 137 УК РФ);

−неправомерный отказ должностного лица в предоставлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан (ст. 140 УК РФ);

−неправомерный доступ к охраняемым законом компьютерным данным, т.е. информации на машинном носителе, в электронновычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло за собой уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети (ст. 272 УК РФ).

В статье 17 Федерального закона «Об информации, информационных технологиях и о защите информации» предусмотрено, что лица, права и законные интересы которых были нарушены в связи с разглашением информации ограниченного доступа или иным неправомерным использова-

56

нием такой информации, могут обратиться в установленном порядке за судебной защитой своих прав, в том числе с исками о возмещении убытков, компенсации морального вреда, защите чести, достоинства и деловой репутации.

Статья 90 ТК РФ предусматривает ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных работника в виде дисциплинарной, материальной, административной, гражданско-правовой и уголовной ответственности.

Однако, как показывает практика, чаще всего операторы, нарушающие законодательство, привлекаются к административной ответственности.

На настоящий момент административная ответственность для операторов предусмотрена за следующие виды нарушений:

−нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) (ст. 13.11 КоАП РФ);

−нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (ст. 13.12 КоАП РФ);

−использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (ст. 13.12 КоАП РФ);

−грубое нарушение условий, предусмотренных лицензией на осуществлениедеятельностивобластизащиты информации(ст. 13.12 КоАПРФ);

−занятие видами деятельности в области защиты информации без получения в установленном порядке специального разрешения (лицензии), если такое разрешение (такая лицензия), в соответствии с законом, обязательно (обязательна) (ст. 13.13 КоАП РФ).

Согласно ст. 5.27 КоАП РФ нарушение законодательства о труде и об охране труда влечет наложение административного штрафа на должностных лиц или административное приостановление деятельности на срок до девяноста суток.

Согласно ст. 5.39 КоАП РФ неправомерный отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, непосредственно затрагивающих права и свободы гражданина, либо несвоевременное предоставление таких документов и материалов, непредоставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации влечёт наложение административного штрафа.

Пунктом 3 ст. 19 Закона № 152-ФЗ контроль и надзор за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационных системах ПДн, требований к материальным носителям биометрических персональных данных и технологиям хране-

57