Конспект лекций

Организационно-правовое обеспечение информационной безопасности сетей и систем

Конспект лекций | назад | содержание | вперед

# 8. ЗАКОНОДАТЕЛЬСТВО О ПЕРСОНАЛЬНЫХ ДАННЫХ

## 8.1. Общие положения

Законодательство в области персональных данных состоит из Федерального закона «О персональных данных» и других федеральных законов, определяющих случаи и особенности обработки персональных данных.

Предметом правового регулирования в области персональных данных являются отношения, связанные с обработкой этих данных с применением средств автоматизации или без их применения.

Исключение составляют отношения, возникающие:

- в связи с обработкой персональных данных физическими лицами для личных и семейных нужд;

- при формировании и использовании Архивного фонда Российской Федерации;

- при формировании и использовании единого государственного реестра индивидуальных предпринимателей;

- в случае, если эти данные составляют государственную тайну.

Под персональными данными понимается любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

К особым категориям персональных данных относится информация о субъекте, касающаяся расы, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также физиологических особенностей, на основании которых можно установить его личность ( биометрические персональные данные).

Цель правового регулирования заключается в обеспечении защиты прав и свобод человека и гражданина при обработке персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайны. Основные угрозы безопасности этих прав и свобод заключаются в неправомерном использовании собираемых персональных данных государственными органами, органами местного самоуправления, юридическими и физическими лицами.

В целях противодействия указанной угрозе законодательно закрепляются:

- принципы и условия обработки персональных данных и их конфиденциальность;

- права субъектов персональных данных;

- обязанности оператора при обработке персональных данных;

- механизм контроля и надзора за соблюдением законодательства.

Под оператором понимается государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки этих данных.

## 8.2. Принципы и условия обработки персональных данных, их конфиденциальность

Обработка персональных данных должна осуществляться на основе следующих принципов:

- законность целей и способов обработки персональных данных и добросовестность;

- соответствие целей обработки заранее объявленным и заявленным при сборе персональных данных, а также полномочиям оператора;

- соответствие объема и характера обрабатываемых персональных данных, способов их обработки заявленным целям;

- достоверность персональных данных, их достаточность для целей обработки и недопустимость их избыточности;

- недопустимость объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных;

- уничтожение персональных данных по достижении целей обработки или в случае утраты необходимости в достижении этих целей.

Основным условием обработки персональных данных является согласие субъекта этих данных, которое он дает своей волей и в своем интересе.

При составлении общедоступных источников персональных данных (в том числе справочников, адресных книг), специальных категорий персональных данных, биометрических персональных данных согласие должно быть дано в письменной форме и включать:

- фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего личность, сведения о дате выдачи документа и выдавшем его органе;

- наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;

- цель обработки персональных данных;

- перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

- перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

- срок, в течение которого действует согласие, а также порядок его отзыва.

Предварительное согласие субъекта персональных данных на их использование является обязательным условием использования этих данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи.

Обязанность доказывать наличие согласия субъекта персональных данных на обработку или отнесение персональных данных к общедоступным лежит на операторе.

Согласие субъекта персональных данных не требуется в таких случаях:

- как обязательное предоставление таких данных в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства;

- обработка биометрических персональных данных в связи с осуществлением правосудия, а также в случаях, предусмотренных законодательством о безопасности, оперативно-розыскной деятельности, государственной службе, уголовно-исполнительным законодательством, законодательством о порядке выезда из Российской Федерации и въезда в нее;

- обработка персональных данных на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;

- обработка персональных данных в целях исполнения договора, одной из сторон которого является субъект персональных данных;

- обработка персональных данных для статистических или иных научных целей при условии обязательного обезличивания персональных данных;

- обработка данных для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получено его согласие;

- обработка персональных данных для доставки почтовых отправлений организациями почтовой связи, осуществления операторами электросвязи расчетов с пользователями услуг связи;

- обработка персональных данных в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что не нарушаются права и свободы субъекта персональных данных;

- обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами.

Государственные и муниципальные органы создают в пределах своих полномочий государственные и муниципальные информационные системы персональных данных. Операторы и третьи лица, получающие доступ к персональным данным, должны обеспечивать их конфиденциальность, за исключением случаев обезличивания данных и обработки общедоступных данных.

## 8.3. Права субъектов персональных данных

Субъект персональных данных обладает правами:

- на доступ к своим персональным данным;

- возражение против принятия решений исключительно на основании автоматизированной обработки персоналом данных,

порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы;

- обжалование действий или бездействий;

- отзыв согласия на обработку персональных данных.

Право на доступ к своим персональным данным включает:

- получение сведений об операторе, месте его нахождения, наличии у оператора соответствующих персональных данных, а также ознакомление с ними;

- получение сведений, касающихся обработки персональных данных;

- уточнение своих персональных данных, их блокирование или уничтожение в случае, если эти данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

Доступ должен быть предоставлен как лично субъекту персональных данных, так и его законному представителю по обращению или запросу этих лиц. Обращение и запрос могут быть отправлены в электронной форме и подписаны электронной цифровой подписью.

Правомочие получения информации, касающейся обработки персональных данных, реализуется субъектом этих данных посредством обращения или запроса. В рамках ответа на обращение или запрос субъект имеет право на ответ, содержащий следующую информацию:

- подтверждение факта обработки персональных данных, применяемых оператором;

- способы обработки персональных данных, применяемые оператором;

- сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;

- перечень обрабатываемых персональных данных и источник их получения;

- срок обработки персональных данных, в том числе сроки их хранения;

- сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

Пользование этим правомочием ограничивается, если:

- обработка персональных данных, полученных в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;

- обработка проводится органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления либо предъявившими субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством случаев, когда допускается ознакомление подозреваемого или обвиняемого с такими персональными данными;

- представление персональных данных нарушает конституционные права и свободы других лиц.

Право на возражение против принятия решений исключительно на основании автоматизированной обработки персональных данных, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, заключается в следующем:

- получение у оператора разъяснений о порядке принятия таких решений и о их возможных юридических последствиях;

- подача заявления о возражении против такого решения;

- получение у оператора разъяснений о порядке защиты субъектом своих прав и законных интересов;

- получение уведомления от оператора о результатах рассмотрения возражения.

Право на обжалование действий или бездействий включает:

- обжалование действия или бездействия оператора, нарушающие права и свободы субъекта персональных данных, в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;

- возмещение убытков и компенсации морального вреда в судебном порядке.

Право на отзыв согласия на обработку персональных данных заключается в возможности запретить соответствующие действия оператора в отношении своих персональных данных. В этом случае оператор обязан прекратить обработку персональных данных и уничтожить их в срок, не превышающий трех рабочих дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между оператором и субъектом персональных данных.

Об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных.

## 8.4. Обязанности оператора при обработке персональных данных

При обработке персональных данных на оператора возлагаются следующие обязанности: по соблюдению установленного порядка сбора персональных данных; по обеспечению безопасности; по реагированию на обращения и запросы; по устранению нарушений законодательства; по уведомлению об обработке персональных данных.

Обязанности по соблюдению установленного порядка сбора персональных данных заключаются в следующем:

- предоставление по просьбе субъекта персональных данных информации, касающейся обработки его персональных данных;

- представление в случае получения персональных данных не от субъекта этих данных (за исключением случаев их представления на основании федерального закона или когда они являются общедоступными) субъекту персональных данных до начала их обработки следующей информации, наименование (фамилия, имя, отчество) и адрес оператора или его представителя; цель обработки персональных данных и ее правовое основание; предполагаемые пользователи персональных данных; установленные законом права субъекта персональных данных.

Обязанности по обеспечению безопасности персональных данных включают:

- принятие необходимых организационных и технических мер, в том числе связанных с использованием шифровальных (криптографических) средств, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий;

- использование и хранение биометрических персональных данных вне информационных систем персональных данных только на материальных носителях информации и с применением таких технологий ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения.

Обязанности по реагированию на обращения и запросы заключаются в следующем:

- сообщение субъекту персональных данных или его законному представителю информации о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставление возможности ознакомления с этими данными при обращении или запросе субъекта персональных данных или его законного представителя;

- предоставление в письменной форме мотивированного ответа, содержащего ссылку на положения федеральных законов, являющиеся основанием для отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных;

- безвозмездное предоставление субъекту персональных данных или его законному представителю возможности ознакомления с персональными данными, относящимися к субъекту персональных данных;

- внесение в персональные данные необходимых изменений, уничтожение или блокирование соответствующих персональных данных по представлению субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные, обработку которых осуществляет оператор, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

- уведомление субъекта персональных данных или его законного представителя и третьих лиц, которым персональные данные этого субъекта были переданы, о внесенных изменениях и предпринятых мерах;

- сообщение в уполномоченный орган по защите прав субъектов персональных данных по его запросу информации, необходимой для осуществления деятельности указанного органа.

Обязанности по устранению нарушений законодательства включают:

- блокирование персональных данных, относящихся к соответствующему субъекту при обращении или по запросу субъекта персональных данных или его законного представителя в случае выявления недостоверных персональных данных или неправомерных действий с ними оператора;

- уточнение персональных данных и снятие с них блокирования на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных;

- устранение выявленных нарушений в срок, не превышающий трех дней с даты выявления неправомерных действий с персональными данными, либо уничтожение этих данных;

- уведомление субъекта персональных данных или его законного представителя об устранении допущенных нарушений или об уничтожении соответствующих персональных данных;

- прекращение обработки персональных данных и уничтожение их в случае достижения цели обработки, а также в случае отзыва субъектом персональных данных согласия на их обработку.

Обязанности по уведомлению об обработке персональных данных заключаются в уведомлении уполномоченного органа по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных до начала их обработки.

Обработка персональных данных может осуществляться без уведомления уполномоченного органа по защите персональных данных, если эти данные:

- относятся к субъектам персональных данных, связанным с оператором трудовыми отношениями;

- получены оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

- относятся к членам общественного объединения или религиозной организации и обрабатываются соответствующими общественными объединениями или религиозными организациями, действующими в соответствии с законодательством, для достижения целей, предусмотренных их учредительными документами;

- являются общедоступными;

- включают только фамилии, имена, отчества субъектов персональных данных;

- необходимы для однократного пропуска субъекта персональных данных на территорию, на которой находится оператор;

- включены в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные для защиты безопасности государства и общественного порядка;

- обрабатываются без использования средств автоматизации в соответствии с федеральными законами или иными нормативными актами, устанавливающими требования к обеспечению безопасности персональных данных при их обработке.

## 8.5. Контроль и надзор

Контроль и надзор за соответствием обработки персональных данных требованиям законодательства осуществляются уполномоченным органом по защите прав субъектов персональных данных.

Таковым является федеральный орган исполнительной власти, выполняющий функции по контролю и надзору в сфере информационных технологий и связи.

Субъекты персональных данных, полагающие, что их права и законные интересы нарушены оператором в связи с нарушением требований законодательства по содержанию персональных данных, способам и целям их обработки, имеют право направить обращение в уполномоченный орган по защите персональных данных. Уполномоченный орган по результатам рассмотрения обращений принимает соответствующее решение, которое может быть обжаловано в судебном порядке.

В целях выполнения возложенных функций уполномоченный орган по защите прав субъектов персональных данных имеет право:

- запрашивать у физических и юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать ее;

- осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий;

- требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

- принимать в установленном законодательством порядке меры по приостановлению или прекращению обработки персональных данных, если такая обработка осуществляется с нарушением требований законодательства;

- обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных и представлять интересы субъектов персональных данных в суде;

- направлять заявления в орган, осуществляющий лицензирование деятельности оператора, для рассмотрения вопроса о принятии мер по приостановлению действия или аннулированию соответствующей лицензии;

- направлять в органы прокуратуры, другие правоохранительные органы материалы для решения вопроса о возбуждении уголовных дел по признакам преступлений, связанных с нарушением прав субъектов персональных данных;

- привлекать к административной ответственности лиц, виновных в нарушении законодательства в области персональных данных.

При выполнении своих функций уполномоченный орган по защите прав субъектов персональных данных обязан:

- организовывать в соответствии с требованиями законодательства защиту прав субъектов персональных данных;

- рассматривать жалобы и обращения граждан и юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам их рассмотрения;

- вести реестр операторов;

- осуществлять меры, направленные на совершенствование защиты прав субъектов персональных данных;

- принимать в установленном порядке по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, или федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, меры по приостановлению или прекращению обработки персональных данных;

- информировать государственные органы, а также субъектов персональных данных по результатам их обращений или запросов о положении дел в области защиты прав субъектов персональных данных.

Отчет о своей деятельности уполномоченный орган по защите прав субъектов персональных данных ежегодно направляет Президенту Российской Федерации, в Правительство Российской Федерации и Федеральное Собрание Российской Федерации. Отчет подлежит опубликованию в средствах массовой информации.

При уполномоченном органе по защите прав субъектов персональных данных создается на общественных началах консультативный совет.

наверх

назад | содержание | вперед