Глава 14. Защита персональных данных работника

Комментарий к главе 14

В международном праве все, что относится к частной жизни личности, называется правами человека и имеет приоритетное значение. Это связано с тем, что в середине XX века многие европейские тоталитарные режимы свою власть над гражданином укрепляли посредством сбора, хранения, использования информации о нем. Историю, например, национал-социализма в Германии можно представить как историю картотек: на основе систематизации персональных данных государство устанавливало арийское или неарийское происхождение людей, вело учет состояния их здоровья и, конечно, их политических взглядов и убеждений, что служило потом обоснованием проведения акций по уничтожению тех, кто казался вредным для "нации".

В принятой Генеральной Ассамблеей ООН 10 декабря 1948 г. Всеобщей декларации прав человека этой проблеме было уделено большое внимание. В ст. 12 говорилось: "Никто не может подвергаться произвольному вмешательству в его личную и семейную жизнь, произвольным посягательствам на неприкосновенность его жилища, тайну его корреспонденции или на его честь и репутацию. Каждый человек имеет право на защиту закона от такого вмешательства или таких посягательств".

С 1970 г. в странах Европы принимаются законы, регулирующие права и обязанности тех, кто запрашивает персональные сведения, и тех, кому эти сведения принадлежат. Актуальность этой проблемы с годами только увеличивалась, так как внедрявшиеся в практику обработки сведений новые информационные технологии, вычислительные машины позволяли обобщать и интерпретировать данные, передавать их или накапливать без ведома граждан или групп граждан. Законы, вступившие в действие в ФРГ, Франции, Испании, Швеции и других странах <1>, привели к формированию целой отрасли права - информационного и побудили экспертное сообщество начать разработку международного рамочного акта, который бы регулировал защиту персональных данных.

--------------------------------

<1> Обзор законодательства европейских государств, США и Канады см.: Мелюхин И.С. Информационное общество: истоки, проблемы, тенденции развития. М.: Изд-во Моск. ун-та, 1999. С. 133 - 137.

В 1985 г. вступила в силу Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, куда вошли принципиальные положения, ставшие законодательным ориентиром для многих стран в развитии национальных систем информационного права. Так, под персональными данными в документе понималась информация, касающаяся конкретного или могущего быть идентифицированным лица ("субъекта данных"). В ст. 5 Конвенции предусматривалось, что персональные данные, проходящие автоматическую обработку, должны:

- быть получены и обработаны добросовестным и законным образом;

- накапливаться для точно определенных и законных целей и не использоваться в противоречии с этими целями;

- быть адекватными, относящимися к делу и не быть избыточными применительно к целям, для которых они накапливаются;

- быть точными и в случае необходимости обновляться;

- храниться в такой форме, которая позволяет идентифицировать субъектов данных не дольше, чем этого требует цель, для которой эти данные накапливаются.

В ст. 6 Конвенции говорилось об особых категориях данных: "Персональные данные о национальной принадлежности, политических взглядах либо религиозных или иных убеждениях, а равно персональные данные, касающиеся здоровья или сексуальной жизни, могут подвергаться автоматической обработке только в тех случаях, когда национальное право предусматривает надлежащие гарантии. Это же правило применяется к персональным данным, касающимся судимости".

А ст. 7 обязывала тех, кто ведет на законных основания сбор персональных данных, принимать надлежащие меры для охраны персональных данных, накопленных в автоматизированных базах данных, от случайного или несанкционированного разрушения или случайной утраты, а равно от несанкционированного доступа, изменения или распространения.

Как известно, в советском законодательстве не было действенных норм, которые обеспечивали бы такую защиту граждан вследствие использования сведений персонального характера без их ведома и желания. Более того, даже при вступлении в трудовые отношения граждане были обязаны сообщать о себе самые разнообразные данные, не имевшие никакого значения для этих отношений: так, длительное время анкеты личных листков по учету кадров содержали в себе графу о родственниках (в том числе и умерших) работника, о том, находились ли они в плену, были ли репрессированы, живут ли за границей. Эти сведения требовались даже при поступлении молодых людей на учебу. По сути дела, законодательство разрешало работодателю (как правило, государственному учреждению, предприятию, вузу) собирать сведения, которые выходили за рамки его компетенции, но позволяли полностью контролировать работника или учащегося (студента), располагая исчерпывающими сведениями о его семейном положении или предыдущей трудовой деятельности. Система обязательной диспансеризации давала, например, полные данные о состоянии здоровья работника, которые могли быть использованы без его ведома, например при кадровом планировании.

В Российской Федерации эта проблема была урегулирована только в 1993 г. с принятием Конституции, статьи которой прямо определяли характер взаимоотношений в этой сфере. Так, ст. 24 Конституции гласит:

"1. Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются.

2. Органы государственной власти и органы местного самоуправления, их должностные лица обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом".

Конституция содержит и другие важные гарантии прав и свобод граждан. Они не могут не учитываться при работе с персоналом. Так, ст. 19 провозглашает равенство "человека и гражданина независимо от пола, расы, национальности, языка, происхождения, имущественного и должностного положения, места жительства, отношения к религии, убеждений, принадлежности к общественным объединениям, а также других обстоятельств".

Для работы с людьми это значит, что персональные сведения о социальной, расовой, национальной, языковой или религиозной принадлежности - не кадровая информация. Эти сведения не могут приниматься в расчет при приеме на службу кандидата на замещение должности. Это же относится и к различию по признаку пола. В той же статье Конституции записано, что "мужчина и женщина имеют равные права и свободы и равные возможности для их реализации".

В п. 1 ст. 23 Конституции даются и такие важные гарантии, как неприкосновенность частной жизни, личной и семейной тайны, защита чести и доброго имени.

Эти конституционные положения нашли свое развитие и конкретизацию в законах РФ и указах Президента РФ. Выделим Закон РФ от 21.07.1993 N 5485-1 "О государственной тайне" (в ред. от 22.08.2004) <1>, в котором рассмотрена проблема доступа к сведениям персонального характера, в нем особо оговаривается то, что данные о личности и деятельности высших должностных лиц государства не могут быть засекречены. В соответствии со ст. 5 этого Закона разглашению не подлежат только сведения "о лицах, сотрудничающих или сотрудничавших на конфиденциальной основе с органами, осуществляющими разведывательную, контрразведывательную и оперативно-розыскную деятельность". Не могут быть засекречены данные "о состоянии здоровья высших должностных лиц Российской Федерации; о фактах нарушения законности органами государственной власти и их должностными лицами".

--------------------------------

<1> РГ. 1993. 21 сентября; СЗ РФ. 1996. N 15. Ст. 1769; 1997. N 41. Ст. 4673; 2002. N 52 (ч. 1). Ст. 5288; 2003. N 6. Ст. 549; N 27 (ч. 1). Ст. 2700; N 46 (ч. 2). Ст. 4449; 2004. N 27. Ст. 2711; N 35. Ст. 3607.

Таким образом, сведения о человеке не могут быть, кроме особо оговоренных случаев, государственной тайной. И все-таки они не для открытого пользования. Об этом было сказано в ст. 11 Федерального закона от 20.02.1995 N 24-ФЗ "Об информации, информатизации и защите информации", в соответствии с которой персональные данные относятся к категории конфиденциальных и доступ к ним ограничивается в соответствии с законодательством нашей страны. В 2006 г. на смену этому акту пришли два новых, в которых объекты правового регулирования уже разделены: общие проблемы в сфере информации решает теперь Федеральный закон от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и защите информации" <1>, а режим персональных данных устанавливается в Федеральном законе от 27.07.2006 N 152-ФЗ "О персональных данных" <2>. Последний внес необходимую ясность, в частности, в вопрос о том, что такое персональные данные, к какой категории сведений они относятся. В п. 1 ст. 3 говорится: "Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация". В этой же статье устанавливается, а в последующих детально определяется, что персональные данные могут быть общедоступными, конфиденциальными, обезличенными - все зависит от целей сбора данных о человеке, от правового, общественного статуса самого человека, от его решения, как следует использовать эти данные, а также от положений иных федеральных законов, регулирующих использование персональной информации.

--------------------------------

<1> СЗ РФ. 2006. N 31 (ч. 1). Ст. 3448.

<2> СЗ РФ. 2006. N 31 (ч. 1). Ст. 3451.

Таким образом, законодатель выявил и постарался разрешить важную проблему - множественность, ситуативность подходов к сведениям о человеке.

Важным этапом в развитии законодательства о персональных данных стало принятие Федерального закона от 19.12.2005 N 160-ФЗ "О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных" <1>. Закон оговаривает, что Конвенция не будет действовать в России в отношении данных, собираемых для личных и семейных нужд, в отношении государственной тайны, а также к персональным данным, которые не подвергаются автоматизированной обработке.

--------------------------------

<1> СЗ РФ. 2005. N 52 (ч. 1). Ст. 5573.

На этом фоне положения гл. 14 ТК приобретают еще большую определенность: в контексте отношений работника и работодателя персональные данные - необходимый для осуществления этих отношений "материал", без него не может осуществляться трудовая деятельность. Персональные данные работника - те сведения, которые для осуществления этих отношений добровольно передаются работодателю. Цель передачи сведений детерминирует способ хранения, обработки, использования данных.

Главным юридическим императивом гл. 14 стала защита прав человека и его персональной информации. Именно поэтому она называется не "Персональные данные работника", не "Использование персональных данных работника", а "Защита персональных данных работника".

Статья 85. Понятие персональных данных работника. Обработка персональных данных работника

Комментарий к статье 85

Для обеспечения защиты персональных данных в ТК используется сугубо практический, утилитарный подход к относящимся к его сфере применения дефинициям, что делает сам документ действенным, работающим. На это указывает открывающая гл. 14 комментируемая статья, в которой понятие персональных данных работника трактуется не расширительно, а предельно конкретно: это информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника.

И более того, ни запрашивать, ни обрабатывать, ни использовать иные сведения о человеке, которые могли бы характеризовать его как личность, а не только как работника, ТК не предусмотрено.

В комментируемой статье дается понятие "Обработка персональных данных работника". Под ней подразумевается "получение, хранение, комбинирование, передача или любое другое использование персональных данных работника". Это в значительной степени соответствует ст. 24 Конституции, обозначавшей этапы, формы, методы работы с информацией.

Европейская конвенция особым образом выделяет проблему автоматической обработки персональных данных, которая включает в себя "следующие операции, если они полностью или частично осуществляются с применением автоматизированных средств: накопление данных, проведение логических операций или/и арифметических операций с такими данными, их изменение, стирание, восстановление или распространение".

Таким образом, документ международного права содержит указание на дополнительные, важные в связи с обработкой персональных данных операции, такие как их изменение, стирание, восстановление.

Статья 86. Общие требования при обработке персональных данных работника и гарантии их защиты

Комментарий к статье 86

В комментируемой статье подробно рассматривается проблема общих требований при обработке персональных данных работника и гарантий их защиты в целях обеспечения прав и свобод человека и гражданина. В статье предъявляется 10 требований к работодателю или его представителям при обработке персональных данных работника. Первым из требований является то, что обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

При определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией, настоящим ТК и иными федеральными законами.

Стоит указать, что в отношении государственных служащих действуют положения Федерального закона от 27.05.2003 N 58-ФЗ "О системе государственной службы Российской Федерации" (в ред. от 06.07.2006) <1>, в ст. 14 которого в общей форме, а в гл. 7 Федерального закона от 27.07.2004 N 79-ФЗ "О государственной гражданской службе Российской Федерации" (в ред. от 02.02.2006) <2> более детально рассматривается проблема персональных данных тех, кто служит в органах федеральной власти и органах власти субъектов РФ. Эти акты особо выделяют форму работы с информацией о служащих, в частности о порядке ведения личного дела.

--------------------------------

<1> СЗ РФ. 2003. N 22. Ст. 2063; N 46 (ч. 1). Ст. 4437; 2006. N 29. Ст. 3123.

<2> СЗ РФ. 2004. N 31. Ст. 3215; 2006. N 6. Ст. 636.

Так, в Федеральном законе "О системе государственной службы Российской Федерации" говорится, что "персональные данные государственных служащих, сведения об их профессиональной служебной деятельности и о стаже (об общей продолжительности) государственной службы вносятся в личные дела и документы учета государственных служащих. Ведение и хранение указанных дел и документов осуществляются в соответствии с федеральными законами и иными нормативными правовыми актами Российской Федерации, законами и иными нормативными правовыми актами субъектов Российской Федерации". Персональные данные, внесенные в личные дела и документы учета государственных служащих, являются персонифицированными и в случаях, установленных федеральными законами и иными нормативными правовыми актами РФ, относятся к сведениям, составляющим государственную тайну, а в иных случаях к сведениям конфиденциального характера.

В соответствии со ст. 42 Федерального закона "О государственной гражданской службе Российской Федерации" обработка персональных данных гражданского служащего осуществляется в целях обеспечения соблюдения Конституции, настоящего Закона, других законов и иных нормативных правовых актов, содействия гражданскому служащему в прохождении гражданской службы, обучении и должностном росте, обеспечения личной безопасности гражданского служащего и членов его семьи, а также в целях обеспечения сохранности принадлежащего ему имущества, учета результатов исполнения им должностных обязанностей и обеспечения сохранности имущества государственного органа.

Крайне важным является положение п. 3 комментируемой статьи, что все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.

Это положение исключает сбор сведений о человеке без его ведома, не допускает формирования досье на работника, запрещает использование незаконно добытых сведений против работника, если иное не предусмотрено другими правовыми актами.

Статья 9 Федерального закона "О персональных данных" предусматривает, что субъект персональных данных принимает решение о предоставлении своих персональных данных и дает письменное согласие на их обработку своей волей и в своем интересе. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных.

В п. 4 комментируемой статьи указывается на то, что работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.

Данное положение деполитизирует сферу трудовых отношений, отказывая работодателю в праве оценивать качества работника в связи с его убеждениями. В развитие этого положения комментируемая статья содержит п. 5, в котором сказано, что работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законом.

Важным является положение п. 6 комментируемой статьи, что при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения. Это корреспондирует с тем разъяснением, что дано в комментарии к положениям Европейской конвенции о защите личности в связи с автоматической обработкой персональных данных: существуют случаи, "когда сам факт обработки данных может привести к ущемлению прав и интересов личности, поскольку возможность наступления вреда связана не с содержанием данных, а с тем контекстом, в котором они используются" <1>.

--------------------------------

<1> Конвенция о защите личности в связи с автоматической обработкой персональных данных. СПб.: Манускрипт, 1996. С. 23.

В п. 7 комментируемой статьи содержится положение о защите персональных данных работника от неправомерного их использования или утраты. Она должна быть обеспечена работодателем за счет его средств в порядке, установленном ТК или федеральными законами.

В ст. 16 Федерального закона "Об информации, информационных технологиях и защите информации" указывается, что защита информации обеспечивается принятием правовых, организационных и технических мер, направленных на предотвращение "неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации". А в ст. 19 Федерального закона "О персональных данных" речь идет о мерах по обеспечению безопасности персональных данных при их обработке. Причем теперь определено, кто именно устанавливает требования по такой безопасности - это Правительство РФ. Законом предусмотрено также создание уполномоченного органа по защите прав субъектов персональных данных (ст. 23).

Положение, содержащееся в п. 8 ст. 86 ТК, означает, что при установлении трудовых отношений работодатель обязан поставить нанимаемого работника в известность о том, как именно будут использованы, обработаны его персональные данные. При этом установлено, что работники не должны отказываться от своих прав на сохранение и защиту тайны (п. 9 комментируемой статьи). Кроме того, "работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников" (п. 10 комментируемой статьи).

Статья 87. Хранение и использование персональных данных работников

Комментарий к статье 87

Порядок хранения и использования персональных данных работников в организации должен вестись с учетом как конституционных принципов, так и положений информационного законодательства. При этом важно иметь в виду дефиницию Федерального закона "О персональных данных": в нем под использованием персональных данных понимаются действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц.

Кроме того, комментируемая статья опирается и на нормы законодательства об архивах. Так, в ст. 17 Федерального закона от 22.10.2004 N 125-ФЗ "Об архивном деле в Российской Федерации" <1> установлен порядок хранения и учета архивных документов: "Государственные органы, органы местного самоуправления, организации и граждане, занимающиеся предпринимательской деятельностью без образования юридического лица, обязаны обеспечивать сохранность архивных документов, в том числе документов по личному составу, в течение сроков их хранения, установленных федеральными законами, иными нормативными правовыми актами Российской Федерации".

--------------------------------

<1> СЗ РФ. 2004. N 43. Ст. 4169.

Статья 88. Передача персональных данных работника

Комментарий к статье 88

Принципиальной является комментируемая статья "Передача персональных данных работника". Она рассматривает совершенно новую для отечественного законодательства проблему и обязывает работодателя прежде всего не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом.

Это значит, что персональные данные собираются только для внутриорганизационного сведения, для осуществления трудовых отношений и, за исключением особо оговоренных в федеральных законах случаев, не могут быть переданы кому бы то ни было.

Таким образом, "личное дело" в его советском понимании - набор документов и содержащихся в них сведений - не только не может "следовать" за человеком с одного места его работы на другое, но и в устной, неофициальной форме персональные данные запрещены к передаче сторонним организациям и лицам. Эта статья ТК приравнивает персональные данные к сведениям служебного характера.

Отметим, что в Федеральном законе "О персональных данных" всякое действие с персональными данными, в том числе и их передача другим лицам, трактуется как обработка данных, для которой следует получить разрешение у субъекта данных, если речь не идет об общедоступных или обезличенных сведениях. В акте особо выделяется проблема трансграничной передачи персональных данных (ст. 12 Закона), для нее требуется письменное согласие субъекта персональных данных.

В других абзацах комментируемой статьи конкретизируются положения, которые были обозначены выше, а именно то, что работодатель не может сообщать персональные данные работника в коммерческих целях без его письменного согласия; а также то, что он обязан предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном федеральными законами.

Ссылка в комментируемой статье на федеральные законы дается с учетом действия ст. 6 Федерального закона от 05.07.1995 N 144-ФЗ "Об оперативно-розыскной деятельности" (в ред. от 10.01.2003) <1>, которой определено, что в понятие оперативно-розыскных мероприятий входят наряду с прочими и наведение справок, отождествление личности, контроль почтовых отправлений, телеграфных и иных сообщений, прослушивание телефонных переговоров, снятие информации с технических каналов связи.

--------------------------------

<1> СЗ РФ. 1995. N 33. Ст. 3349; 2000. N 1 (ч. 1). Ст. 8; 2003. N 27 (ч. 1). Ст. 2700.

Помимо этого в УК есть ст. 287 "Отказ в предоставлении информации Федеральному Собранию Российской Федерации или Счетной палате Российской Федерации", речь в которой идет об информации как таковой, без исключения персональных данных, что предполагает возможность в случае запроса указанными органами государственной власти необходимых сведений их непременного получения.

ТК в комментируемой статье прямо определено, что возможно осуществлять передачу персональных данных работника в пределах одной организации в соответствии с локальным нормативным актом организации, с которым работник должен быть ознакомлен под расписку.

Кроме того, в соответствии с ТК доступ к персональным данным работников разрешен только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций. В Федеральном законе "О персональных данных" это уполномоченное лицо приобрело статус "оператора", который на законном основании совершает любые действия при использовании сведений.

Комментируемая статья обязывает работодателя не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции.

В то же время КоАП в ст. 6.1 предусматривает за сокрытие источника заражения ВИЧ-инфекцией, венерической болезнью и контактов, создающих опасность заражения, наложение административного штрафа в размере от 5 до 10 МРОТ.

Далее ТК в комментируемой статье обязывает работодателя передавать персональные данные работника представителям работников в порядке, установленном ТК, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

Статья 89. Права работников в целях обеспечения защиты персональных данных, хранящихся у работодателя

Комментарий к статье 89

Проблема обеспечения работника полной информацией о его персональных данных и обработке этих данных в Конвенции Совета Европы о защите личности в связи с автоматической обработкой персональных данных в ст. 8 "Дополнительные гарантии для субъекта данных" была разрешена следующим образом:

"Любому лицу должно быть предоставлено право:

a) быть осведомленным о существовании автоматизированной базы персональных данных, о ее главных целях, а также о контроле базы данных, его месте жительства либо юридическом адресе;

b) периодически и без лишних затрат времени или средств обращаться с запросом о том, накапливаются ли в автоматизированной базе данных касающиеся его персональные данные, и получать информацию о таких данных в доступной форме;

c) требовать уточнения или уничтожения таких данных, если они были обработаны с нарушением положений национального права, реализующих основные принципы, изложенные в статьях 5 и 6 настоящей Конвенции;

d) прибегнуть к судебной защите нарушенного права, если его запрос либо требование о предоставлении информации, уточнении или уничтожении данных, упомянутые в пунктах "b" и "c" настоящей статьи, не были удовлетворены".

В соответствии со ст. 5.39 КоАП неправомерный отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, непосредственно затрагивающих права и свободы гражданина, либо несвоевременное предоставление таких документов и материалов, непредоставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации влечет наложение административного штрафа на должностных лиц в размере от 5 до 10 МРОТ.

Эта проблема урегулирована также и в ст. 140 УК, согласно которой неправомерный отказ должностного лица в предоставлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы граждан, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан, наказываются штрафом в размере от 200 до 500 МРОТ или в размере заработной платы или иного дохода осужденного за период от 2 до 5 месяцев либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от 2 до 5 лет.

Статья 90. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника

Комментарий к статье 90

Ответственность за правонарушения и преступления при обработке персональных данных устанавливается в соответствии с КоАП.

КоАП, помимо уже упомянутых выше (см. коммент. к ст. 89 ТК), определяет ответственность за нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных). Так, согласно ст. 13.11 подобное нарушение влечет предупреждение или наложение административного штрафа на граждан в размере от 3 до 5 МРОТ; на должностных лиц - от 5 до 10 МРОТ; на юридических лиц - от 50 до 100 МРОТ.

В ст. 13.12 предусмотрены меры в случае:

- нарушения условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (за исключением информации, составляющей государственную тайну) (влечет наложение административного штрафа на граждан в размере от 3 до 5 МРОТ; на должностных лиц - от 5 до 10 МРОТ; на юридических лиц - от 50 до 100 МРОТ);

- использования несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (за исключением средств защиты информации, составляющей государственную тайну) (влечет наложение административного штрафа на граждан в размере от 5 до 10 МРОТ с конфискацией несертифицированных средств защиты информации или без таковой; на должностных лиц - от 10 до 20 МРОТ; на юридических лиц - от 100 до 200 МРОТ с конфискацией несертифицированных средств защиты информации или без таковой);

- нарушения условий, предусмотренных лицензией на проведение работ, связанных с использованием и защитой информации, составляющей государственную тайну, созданием средств, предназначенных для защиты информации, составляющей государственную тайну, осуществлением мероприятий и (или) оказанием услуг по защите информации, составляющей государственную тайну (влечет наложение административного штрафа на должностных лиц в размере от 20 до 30 МРОТ; на юридических лиц - от 150 до 200 МРОТ);

- использования несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну (влечет наложение административного штрафа на должностных лиц в размере от 30 до 40 МРОТ; на юридических лиц - от 200 до 300 МРОТ с конфискацией несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну, или без таковой).

УК рассматривает преступления в сфере использования персональных данных как посягательства на конституционные права и свободы человека и гражданина. Так, согласно ст. 137 незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации наказываются штрафом в размере до 200 тыс. руб. или в размере заработной платы или иного дохода осужденного за период до 18 месяцев, либо обязательными работами на срок от 120 до 180 часов, либо исправительными работами на срок до 1 года, либо арестом на срок до 4 месяцев.

Кроме того, согласно ст. 272 неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, наказывается штрафом в размере до 200 тыс. руб. или в размере заработной платы или иного дохода осужденного за период до 18 месяцев, либо исправительными работами на срок от 6 месяцев до 1 года, либо лишением свободы на срок до 2 лет.