14. Правовое регулирование информационных отношений в области персональных данных
История правового регулирования персональных данных. Правовые основы работы с персональными данными. Права субъектов персональных данных. Права и обязанности оператора по сбору и обработке персональных данных. Государственное регулирование работы с персональными данными. Уполномоченный орган по защите прав субъектов персональных данных.
14.1. История регулирования персональных данных
Отношения, связанные с обращением персональных данных, регулируются давно. Вопросы защиты данных персонального характера поднимались еще в начале века. Для защиты персональных данных в странах Европы создавались соответствующие Комиссии. Первая Комиссия была создана в 1919 г. в Швеции. Подобные органы являются независимыми от органов центральной исполнительной власти. На настоящий момент они существуют в Австралии, Австрии, Англии, Бельгии, Болгарии, Венгрии, Греции, Израиле, Испании, Канаде, Кипре, Гайане, Маврикии, Нидерландах, Филиппинах, Финляндии, Франции, ФРГ, Швеции, Швейцарии, Японии и в других странах. Во всех вышеперечисленных странах существуют соответствующие законодательные акты, защищающие персональные данные. Например, в Великобритании подобный закон принят в 1984 году, а ФРГ в 1990 году.
Акты о защите персональных данных существуют не только в отдельных странах, но и в объединениях государств. Так, принята Директива Европарламента от 1995 года «О защите прав частных лиц применительно к обработке личных данных и о свободном движении таких данных»1и Конвенция Совета Европы от 1981 года (ETS N 108) «О защите частных лиц в отношении автоматизированной обработки данных личного характера»2. Этими двумя документами установлены основные понятия, определения и принципы обработки персональных данных, на основе которых страны Европы модифицировали свое законодательство.
Данные личного характера– это любая информация, относящаяся к физическому лицу, идентифицированному или которое может быть идентифицировано.
Особые категории данных – это данные личного характера, отражающие расовое происхождение, политические убеждения, религиозные верования или другие принципы, а также относящиеся к здоровью или сексуальной жизни.
Автоматизированная обработка данныхподразумевает операции, выполняемые с помощью автоматизированных процессов: запись данных, применение к этим данным логических и/или арифметических операций, их идентификация, извлечение или распространение.
Автоматизированная картотека– любая совокупность информации, являющейся объектом автоматизированной обработки.
Владелец картотеки– это физическое или юридическое лицо, публичная власть, служба или другой орган, которые компетентны в соответствии с национальным законодательством решать вопрос о конечной цели картотеки, какие категории данных личного характера должны регистрироваться и какие операции должны производиться.
Автоматически обрабатываемые персональные данные должны:
приобретаться и обрабатываться честным и законным образом;
храниться в конкретно установленных и законных целях и не использоваться каким-либо образом, не совместимым с этими целями;
быть полными, иметь прямое отношение к цели их сбора и не превышать по объему тех потребностей, для которых они хранятся;
быть точными и там, где это необходимо, поддерживаться на уровне современности;
храниться в форме, которая позволяет идентифицировать субъекта информации в течение времени, не превышающего потребности, для которых хранится информация.
Любой гражданин должен иметь возможность:
узнать о существовании автоматизированной картотеки данных личного характера, ее цели, а также личность, местонахождение и принцип назначения владельца картотеки;
получить в подходящее время, через любой срок и без особых затрат подтверждение наличия или отсутствия в автоматизированной картотеке данных личного характера, к нему относящихся, а также получить эти данные в надлежащей форме;
требовать в случае необходимости исправления или стирания данных, если они были обработаны с нарушением положений внутреннего законодательства и принципов данной Конвенции;
обратиться к следующей инстанции, если не было получено ответа на запрос о подтверждении, выдаче, исправлении или стирании.
Принципы обработки персональных данных:
персональные данные должны быть получены и обработаны добросовестным и законным образом;
персональные данные должны собираться для точно определенных объявленных и законных целей, не использоваться в противоречии с этими целями и в дальнейшем не обрабатываться каким-либо образом, не совместимым с данными целями;
персональные данные должны соответствовать целям, для которых они собираются и обрабатываются, и не быть избыточными в отношении этих целей;
персональные данные должны быть точными и в случае необходимости обновляться;
персональные данные должны храниться не дольше, чем этого требуют цели, для которых они накапливались, и подлежат уничтожению по достижении целей или минованию надобности в них;
для персональных данных, сохраняемых более длительные сроки в исторических или иных целях, должны быть установлены необходимые гарантии обеспечения их защиты;
не допускается объединение массивов персональных данных, собранных держателями (обладателями) в разных целях, для автоматизированной обработки информации.
В России органов по защите данных личного характера не существует. Вообще до принятия Конституции РФ в 1993 году и федерального закона «Об информации, информатизации и защите информации» в 1995 году понятия персональных данных в Российской Федерации не существовало.