На страже персональных данных

Сегодня в нашей стране защита персональных данных граждан становится одной из острых общественных  проблем. Как эта проблема решается в нашем крае и в нашем городе? Об этом интервью с  руководителем Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Хабаровскому краю Костылевым Сергеем Владиленовичем.  

Сергей Владеленович, насколько сегодня тема защиты персональных данных является актуальной для нашей страны, для наших граждан?

Защита персональных данных – одна из наиболее острых проблем в информационных отношениях между гражданами, государством, корпорациями (компаниями).  Почему? До недавнего времени в Российской Федерации не было нормативной базы, четко определяющей механизм регулирования деятельности в сфере обработки таких данных.

В Конституции РФ закреплено право человека на неприкосновенность частной жизни. Также определено, что сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускается.

Между тем, практика вторжения в частную жизнь приобретает угрожающие масштабы. Базы данных на граждан собирают не только государственные, муниципальные органы, но и самые различные организации. Информация о нас используется во всех направлениях деятельности человека: образование, медицинское обслуживание, страхование, сфера услуг, общественные организации и так далее. Известны факты, когда даже государственные базы данных оказывались на «черном» рынке. И как следствие, в последнее время нередкими становятся случаи незаконного использования персональных данных.

Как наше государство ответило на данную угрозу?

Для того чтобы обеспечить защиту прав и свобод наших граждан законодателями был  разработан и принят закон “О персональных данных»,  

который регулирует отношения, связанные с обработкой персональных данных.  

Законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами, юридическими лицами, физическими лицами.

В тоже время стоит обратить внимание, что действие закона не распространяются  на отношения, возникающие при: 1) обработке персональных данных физическими лицами для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных; 2) организации хранения, комплектования, учета и использования документов Архивного фонда РФ и других архивных документов, которые содержат персональные данные; 3) при обработке подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в связи с деятельностью физического лица в качестве индивидуального предпринимателя; 4) и не распространяется действие закона на отношения, возникающие при обработке персональных данных, отнесенных к сведениям, составляющим государственную тайну.

Что подразумевается под понятиями персональные данные и обработка персональных данных?

Российское законодательство определяет, что:

Персональные данные - это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация. Например, характеризующая физиологические особенности человека – так называемые биометрические персональные данные. Эти данные подвергаются обработке.

Под обработкой понимаются действия с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, обезличивание, блокирование, уничтожение персональных данных, а также распространение (в том числе передачу данных кому-либо).

Кто осуществляет обработку персональных данных?

Законом определено так: Оператор – это государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.

Что касается законности и обоснованности обработки персональных данных операторами, то Федеральным законом определены принципы и условия обработки персональных данных, по которым, к примеру, персональные данные должны быть получены честным и законным путем, использованы только по заранее поставленным целям, должным образом защищены от несанкционированного доступа к ним.

Скажите, а кто у нас является защитником прав субъектов персональных данных?

В соответствии с Законом, постановлением Правительства Российской Федерации от 16 марта 2009 г. № 228 уполномоченным органом по защите прав субъектов персональных данных является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

Закон устанавливает целый перечень полномочий нашей службы в данной сфере. Мы имеем право, например: требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных; направлять в органы прокуратуры, другие правоохранительные органы материалы для решения вопроса о возбуждении уголовных дел; привлекать к административной ответственности и т.д.

Впрочем, основная наша задача заключаются все же в предупреждении и предотвращении подобных нарушений.

На территории Хабаровского края таким уполномоченным органом является Управление Роскомнадзора по Хабаровскому краю. По всем вопросам обработки персональных данных можно обратиться в Управление по адресу: 680000, г. Хабаровск, ул. Ленина, 4.  Телефон (4212) 41-72-86.

В г. Комсомольск-на-Амуре Управление представляет Комсомольский территориальный отдел: пр-кт Октябрьский, дом 30, корпус 2, офис 18. Телефон: (4217) 54-15-33, 59-00-36. 

Какая работа проведена Роскомнадзором на сегодняшний день?

С первых дней реализации Закона обозначились категории операторов, осуществляющих обработку значительного числа субъектов персональных данных. Наряду с медицинскими и образовательными учреждениями, операторами связи, страховыми компаниями, организациями сферы ЖКХ в их число вошли и кредитно-финансовые организации, компании туриндустрии, агентства по подбору персонала, риэлтерские компании.

Задача Роскомнадзора на первоначальном этапе состояла в оказании информационно-методического содействия в приведении их деятельности в соответствие требованиям законодательства Российской Федерации для предотвращения массовых нарушений прав субъектов персональных данных.

Вместе с тем, общий объем выявленных нарушений в деятельности операторов персональных данных остается достаточно высоким.

В 2009 году Роскомнадзором в целом проведено 432 проверки в отношении операторов, осуществляющих обработку персональных данных, из них 284 были плановыми и 148 - внеплановыми. По результатам проверок выдано 557 предписаний об устранении выявленных нарушений.

В качестве примеров можно привести следующие выявленные нарушения в ходе проведения проверок:

1. непредставление в уполномоченный орган сведений об изменении информации, содержащейся в уведомлении об обработке персональных данных;
2. предоставление уведомления об обработке персональных данных, содержащего неполные сведения;

- обработка персональных данных без согласия субъекта персональных данных;

- отсутствие в тексте договора существенного условия об обеспечении конфиденциальности и безопасности персональных данных  при их обработке, в случаях, когда оператор на основании договора поручает обработку персональных данных другому лицу;

- несоответствие содержания письменного согласия субъекта персональных данных на обработку персональных данных требованиям законодательства РФ.

В 37 случаях операторы, осуществляющие обработку персональных данных, но не уведомившие Роскомнадзор, были привлечены к административной ответственности. 

Ранее в адрес юридических лиц Управлением были направлены письма-требования представить уведомление об обработке персональных данных с целью выполнения норм законодательства в области персональных данных. Запрашиваемая информация в установленный срок предоставлена не была.

Приведенные примеры свидетельствуют о том, что операторы персональных данных зачастую формально подходят к выполнению требований Закона, частично выполняя эти требования.

Какие действия необходимо предпринимать тем, кто осуществляет обработку персональных данных, дабы избежать нарушения норм Федерального закона?

В первую очередь, нарушения касаются неправомерной деятельности по обработке персональных данных без уведомления Роскомнадзора. Существующее положение является недопустимым, и, на наш взгляд, связано с выжидательной позицией большинства указанных организаций и мнением, что факт отсутствия в реестре операторов исключает возможность проведения в отношении их деятельности проверок в области персональных данных.

Приказом Роскомнадзора от 1 декабря 2009 г. № 630 руководителем Службы утвержден Административный регламент проведения проверок в области персональных данных.

Регламент закрепил условия и порядок проведения проверок в области персональных данных, в том числе положения, согласно которым плановые проверки Роскомнадзора проводятся в отношении операторов, осуществляющих обработку персональных данных, вне зависимости от факта включения в реестр операторов.

Обращаем внимание, что оператор обязан уведомить об осуществлении обработки персональных данных уполномоченный орган.

Уведомление об обработке персональных данных можно заполнить на Портале персональных данных уполномоченного органа по защите прав субъектов персональных данных. Услуга по электронному заполнению уведомления доступна на сайте http://pd.rsoc.ru/.

С рекомендациями по заполнению уведомления об обработке персональных данных можно ознакомиться на сайте httр://27.rsoc.ru (раздел «Направления деятельности»).

Какая ответственность ожидает тех, кто занимается обработкой персональных данных, но не выполняет требования закона?

Обращаем внимание, что после дня вступления в силу Федерального закона № 152 «О персональных данных» обработка персональных данных осуществляется только в соответствии с Законом. Лица, виновные в нарушении требований Закона несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.