Федеральный закон от 27 июля 2006 г. № 152-ФЗ вступил в силу

Принятие № 152-ФЗ направлено на реализацию конституционных положений, закрепляющих право каждого на неприкосновенность частной жизни и свободу информации, а также международных обязательств Российской Федерации по ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных.

Общий обзор

Согласно Закону персональные данные - это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных). К таким данным, в частности, относятся фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы.

Помимо этого законодателем установлены некоторые специальные категории персональных данных, в отношении которых действуют повышенные меры защиты от несанкционированной обработки и распространения. Это информация, касающаяся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни физического лица, а также биометрические персональные данные - сведения, характеризующие физиологические особенности человека (ст. ст. 10 и 11 Закона).

Согласно глоссарию, содержащемуся в ст. 3 Закона, термин "обработка персональных данных" включает в себя весь спектр действий (операций) с персональными данными, в том числе сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (передачу), обезличивание, блокирование и уничтожение. По общему правилу (п. 1 ст. 6 Закона) обработка данных возможна только с согласия субъекта персональных данных (далее - субъект), однако перечень исключений из этого правила достаточно широк. Так, согласие субъекта не требуется, когда обработка данных:
- ведется на основании федерального закона, устанавливающего ее цель, условия получения данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;
- проводится в целях исполнения договора, одной из сторон которого является субъект;
- ведется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
- необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта, если получение его согласия на обработку данных невозможно;
- необходима для доставки почтовых отправлений организациями почтовой связи, для расчетов операторами электросвязи с пользователями за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
- ведется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта.

Также не требуется согласия субъекта на обработку данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных кандидатов на выборные государственные или муниципальные должности, а также лиц, замещающих государственные должности, должности государственной гражданской службы.
Одним из основополагающих принципов обработки персональных данных законодатель декларирует соответствие способа обработки и объема обрабатываемых данных законным целям, определенным оператором до начала обработки. В частности, сбор информации о социальном положении физического лица явно не имеет отношения к доставке почтовых отправлений организациями связи. Также одним из основных принципов является обоснованность срока обработки персональных данных. Например, при смене абонента обслуживаемого телефонного номера оператор телефонной связи, законно и целесообразно обрабатывающий персональные данные своих клиентов, обязан своевременно прекратить обработку и уничтожить (либо уточнить в зависимости от условий обслуживания) все персональные данные предыдущего абонента.
Действие Закона распространяется на все отношения, связанные с обработкой персональных данных с использованием (или без использования) средств автоматизации, если обработка данных без использования таких средств соответствует характеру действий (операций), совершаемых с данными с использованием средств автоматизации. При этом за рамки Закона выведены следующие случаи:
- обработка персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъекта;
- организация хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в РФ;
- обработка подлежащих включению в Единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если она проводится в соответствии с законодательством РФ в связи с деятельностью физического лица в качестве индивидуального предпринимателя;
- обработка персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

Персональные данные являются строго конфиденциальными, любые лица, получившие к ним доступ, обязаны хранить эти данные втайне. Однако и из этого правила существуют два исключения:
- обезличенные персональные данные - данные, в отношении которых невозможно определить их принадлежность конкретному физическому лицу. Такие данные могут собираться, например, для статистического учета;
- общедоступные персональные данные - Закон прямо предусматривает возможность размещать персональные данные в общедоступных источниках (например, в телефонных книгах) исключительно с согласия субъекта.

Для размещения персональных данных в общедоступных источниках необходимо письменное согласие, в котором субъект среди прочего указывает адрес и все сведения об основном документе, удостоверяющем его личность. Письменное согласие необходимо также в случае:
- обработки специальных персональных данных;
- трансграничной передачи персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъекта;
- принятия на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы.

Письменное согласие должно содержать:

- фамилию, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
- наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта;
- цель обработки персональных данных;
- перечень персональных данных, на обработку которых дается согласие субъекта;
- перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
- срок, в течение которого действует согласие, а также порядок его отзыва.
При обработке персональных данных работников в связи с трудовыми отношениями работодателям следует руководствоваться положениями Закона, а также гл. 14 Трудового кодекса Российской Федерации.

Действия оператора при обработке персональных данных

Оператор - государственный, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие ее цели и содержание. При необходимости обработки персональных данных оператор должен выполнять следующие действия.

1. Уведомить по форме, предусмотренной п. 3 ст. 22 Закона, уполномоченный орган по защите прав субъектов персональных данных о намерении осуществлять обработку данных. Согласно п. 2 той же статьи такое уведомление не требуется при обработке персональных данных собственных работников, общедоступных сведений, содержащих только фамилию, имя и отчество, а также в некоторых других случаях.
Отметим, что уполномоченный орган вносит сведения об операторе в специальный реестр операторов. Данные, содержащиеся в этом реестре, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, являются общедоступными.

2. Убедиться, что персональные данные получены с соблюдением требований действующего законодательства и соответствуют заявленным целям обработки, т.е. либо данные получены из открытого источника, либо во исполнение федерального закона, либо с соответствующим согласием субъекта (в необходимых случаях письменным). Если эти условия не соблюдаются, оператор до начала обработки таких данных обязан предоставить субъекту информацию о себе и предполагаемой обработке.
Например, Закон ограничил возможность обработки персональных данных в целях продвижения товаров, работ, услуг на рынке путем прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации, установив, что обработка информации с такой целью допускается только при условии предварительного согласия субъекта. На оператора возложено бремя доказывания наличия такого согласия. Представляется, что указанное условие является исключением из общего правила о том, что общедоступные персональные данные могут обрабатываться без согласия субъекта. Таким образом, любая рассылка "спама" (массовая незапрошенная рассылка), как бумажного, так и электронного, является явным признаком нарушения порядка обработки персональных данных.

3. Предпринять предусмотренные Законом и подзаконными актами меры для защиты конфиденциальности полученных персональных данных (подробные требования к обеспечению безопасности персональных данных при их обработке устанавливает Правительство РФ).

4. Предоставлять соответствующую информацию по требованию субъекта или его законного представителя, а также уполномоченного органа по защите прав субъектов персональных данных.
В предусмотренных Законом случаях оператор вправе уточнять (изменять, дополнять), блокировать и уничтожать персональные данные.
Существует ряд ситуаций, когда оператор обязан прекратить обработку и уничтожить собранные персональные данные:
- по достижении целей обработки или при утрате необходимости в их достижении (п. 2 ст. 5 Закона);
- требованию субъекта или уполномоченного органа по защите прав субъектов персональных данных - если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки (п. 1 ст. 14 Закона);
- при невозможности устранить допущенные нарушения в отношении обработки персональных данных оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными (п. 3 ст. 21 Закона);
- отзыве субъектом согласия на обработку своих персональных данных (п. 4 ст. 21 Закона).
Оператор обязан уведомлять уполномоченный орган по защите прав субъектов персональных данных об изменениях сведений об операторе, предусмотренных п. 3 ст. 22 Закона.

Ответственность за нарушение порядка обработки персональных данных

Согласно ст. 24 Закона на лиц, виновных в нарушении его требований, возлагается гражданская, уголовная, административная, дисциплинарная и иная предусмотренная законодательством РФ ответственность. На настоящий момент административная ответственность для операторов (за исключением лиц, для которых обработка персональных данных является профессиональной деятельностью и подлежит лицензированию) предусмотрена только
- за отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, непосредственно затрагивающих права и свободы гражданина, либо несвоевременное предоставление таких документов и материалов, непредоставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации (ст. 5.39 КоАП РФ);
- нарушение установленного законом порядка сбора, хранения, использования или распространения персональных данных (ст. 13.11 КоАП РФ);
- разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, когда разглашение такой информации влечет за собой уголовную ответственность) лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей (ст. 13.14 КоАП РФ).
Преступлениями, влекущими за собой уголовную ответственность, являются:
- незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации (ст. 137 УК РФ);
- неправомерный отказ должностного лица в предоставлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан (ст. 140 УК РФ);
- неправомерный доступ к охраняемой законом компьютерной информации, т.е. информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло за собой уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети (ст. 272 УК РФ).

Помимо административной и уголовной на оператора возлагается и гражданско-правовая ответственность. Статьей 17 Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" предусмотрено, что лица, права и законные интересы которых были нарушены в связи с разглашением информации ограниченного доступа или иным неправомерным использованием такой информации, могут обратиться в установленном порядке за судебной защитой своих прав, в том числе с исками о возмещении убытков, компенсации морального вреда, защите чести, достоинства и деловой репутации.

Однако не может быть удовлетворено требование о возмещении убытков, предъявляемое лицом, которое не принялообязательных для него мер по соблюдению конфиденциальности информации или нарушило установленные законодательством РФ требования о защите информации.

Порядок сбора, хранения и использования информации личного характера установлен также рядом специальных законов, среди которых Федеральные законы от 22 октября 2004 г. N 125-ФЗ "Об архивном деле в Российской Федерации" и от 12 августа 2005 г. N 150-ФЗ "Об оперативно-розыскной деятельности", Законы РФ от 21 июля 1993 г. N 5485-1 "О государственной тайне", от 27 декабря 1991 г. N 2124-1 "О средствах массовой информации", от 18 апреля 1991 г. N 1026-1 "О милиции" и др.
После вступления в силу Закона обработка персональных данных, включенных в информационные системы до этого момента, ведется в соответствии с новым Законом. Ранее созданные информационные системы персональных данных должны быть приведены в соответствие с требованиями Закона не позднее 1 января 2010 г. Ранее созданные операторы, которые продолжат деятельность после вступления в силу Закона, обязаны не позднее 1 января 2008 г. направить в уполномоченный орган по защите прав субъектов персональных данных уведомление о своем намерении вести обработку персональных данных.