Что такое персональные данные и кто их должен защищать
Закон понимает под персональными данными любую информацию, относящуюся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилию, имя, отчество, год, месяц, дату и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы, другую информацию. Оператором при этом признаются государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных (ст. 3 Закона о персональных данных).
Государственный контроль и надзор за соблюдением законодательства о персональных данных осуществляют Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), Федеральная служба по труду и занятости (Роструд), Федеральная служба по техническому и экспортному контролю (ФСТЭК России), Федеральная служба безопасности (ФСБ России) в рамках своих полномочий <2>.
--------------------------------
<2> Отношения в области организации и осуществления государственного контроля и надзора регулируются Федеральным законом от 26.12.2008 N 294-ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля", а также административными регламентами надзорных органов, которые разрабатываются на основании этого Закона и в соответствии с ним.
Уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям законодательства, является Роскомнадзор <1>.
--------------------------------
<1> Пункт 1 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (утв. Постановлением Правительства РФ от 16.03.2009 N 228) // СЗ РФ. 2009. N 12. Ст. 1431.
Из приведенных определений следует, что под действие Закона о персональных данных подпадают практически все организации - коммерческие, государственные, общественные, которые имеют кадровые службы и владеют персональными данными своих клиентов и сотрудников.
Согласно ст. 25 Закона о персональных данных все такие организации до 1 января 2008 г. должны были направить в Роскомнадзор уведомление и быть включены в реестр операторов персональных данных. Однако многие банки не спешат выполнять Закон о персональных данных и подавать уведомления об их обработке.
Ведь, как видим, четкий перечень персональных данных отсутствует. Более половины банков в такой ситуации уверены, что данный перечень должен разрабатываться в каждой кредитной организации самостоятельно.
Из-за возникающих вопросов кредитные организации не хотят признавать себя операторами персональных данных. Они опасаются расширения числа контролирующих их органов и, как следствие, увеличения числа проверок.
Банкиры указывают, что они имеют полное право не регистрироваться в реестре операторов персональных данных при соблюдении ряда условий, основным из которых является наличие договорных отношений с субъектом персональных данных, в этом случае Закон предусматривает обработку таких данных без уведомления. Действительно, согласно ч. 2 ст. 22 Закона о персональных данных, если организация осуществляет сбор персональных данных только по своим работникам и контрагентам, уведомлять органы Роскомнадзора не нужно.
Однако в Роскомнадзоре с этой точкой зрения не согласны. Аргументы регулятора прямо противоположны: помимо данных, которые банки обрабатывают в рамках договорных отношений, любой банк работает с персональными данными физических лиц в отсутствие договора (при оформлении получения денежных переводов, отборе кандидатов на замещение вакантных должностей и др.) и поэтому обязан подавать уведомление.
Множество нормативных актов РФ содержат весьма обширные, а иногда и противоречивые требования к обработке персональных данных и вызывают у большинства операторов, включая кредитные организации, сложности при реализации. Ведь помимо самого анализируемого Закона положения о персональных данных содержатся в ряде подзаконных актов, а также в гражданском, трудовом, налоговом и семейном законодательстве.
Так, вызывает вопросы банков рассмотрение защиты персональных данных как самостоятельного защитного режима. Ведь, к примеру, персональные данные защищаются в том числе и в режиме банковской тайны. Непонятно, какие требования соблюдать при "пересечении" данных режимов, как нормы Закона о персональных данных будут согласовываться с положениями действующего законодательства о банковской тайне.
Между тем нельзя забывать, что нарушение законодательных требований в области персональных данных влечет за собой гражданскую, уголовную, административную, дисциплинарную и иную ответственность.
Так, предусмотрена административная ответственность для операторов за следующие виды нарушений:
- нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) (ст. 13.11 КоАП РФ);
- нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (ст. 13.12 КоАП РФ);
- использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (ст. 13.12 КоАП РФ);
- грубое нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (ст. 13.12 КоАП РФ);
- занятие видами деятельности в области защиты информации без получения в установленном порядке специального разрешения (лицензии), если такое разрешение (такая лицензия) в соответствии с законом обязательно (обязательна) (ст. 13.13 КоАП РФ) <1>.
--------------------------------
<1> Согласно ст. 13.11 КоАП РФ нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа на граждан в размере от 300 до 500 руб., на должностных лиц - от 500 до 1000 руб., на юридических лиц - от 5000 до 10 000 руб.
Приказом Роскомнадзора от 01.12.2009 N 630 утвержден Административный регламент проведения проверок Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций при осуществлении федерального государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства РФ в области персональных данных. Он определяет сроки и последовательность административных процедур, а также порядок взаимодействия с операторами персональных данных в рамках проведения проверок при осуществлении федерального государственного контроля за соответствием обработки персональных данных требованиям законодательства РФ в области персональных данных.
Таким образом, игнорировать положения Закона о персональных данных не представляется возможным.