Текст книги "Комментарий к Федеральному закону от 27 июля 2006г. N 152-ФЗ "О персональных данных""

Автор книги: Михаил Петров

сообщить о нарушении

Текущая страница: 9 (всего у книги 11 страниц)

Глава 4.
Обязанности оператора

Статья 18.
Обязанности оператора при сборе персональных данных Комментарий к статье 18

1. Предоставляя операторам право осуществлять обработку персональных данных граждан в порядке и на условиях, оговоренных настоящим Законом, авторы последнего, в целях защиты интересов субъектов персональных данных, возлагают на них ряд обязанностей, выступающих в роли своего рода ограничителей свободы их деятельности. Особенности юридической конструкции, равно как и содержание такого рода обязанностей, во многом предопределены структурными элементами обработки персональных данных, право на осуществление которой является основополагающим в деятельности оператора. Объединенные в главе четвертой анализируемого документа обязанности оператора и требования управомоченных субъектов к их исполнению построены с учетом целей и задач, возлагаемых на них в соответствии с общими (вводными) положениями настоящего Закона.

Комментируемой статьей предусмотрен перечень первичных обязанностей оператора, с исполнением которых законодатель связывает законность и обоснованность деятельности оператора как по сбору персональных данных, так и по их последующей обработке. В общем, закрепленные комментируемой статьей действия оператора условно могут быть представлены в качестве информационного обязательства последнего, раскрывающего характер, содержание и цели его деятельности.

Принимая во внимание конституционный принцип о сборе, хранении, распространении информации о гражданине, осуществляемом только с его согласия, можно отметить, что повышенная информационная отдача со стороны оператора является только дополнительным аргументом в пользу его деятельности. По мнению законодателя, на целесообразность принятия решения субъектом о передаче персональных данных для последующей их обработки могут оказать влияние такие сведения, как:

1) цель обработки персональных данных;

2) способы обработки персональных данных, применяемые оператором;

3) сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;

4) перечень обрабатываемых персональных данных и источник их получения;

5) сроки обработки персональных данных, в том числе сроки их хранения;

6) сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

При этом по смыслу буквального толкования рассматриваемой статьи предоставление указанных сведений допустимо лишь по просьбе субъекта персональных данных в случаях, когда конфиденциальная информация получена непосредственно от него самого и ее обработка осуществляется с его согласия.

2. Разграничивая условия деятельности оператора по сбору персональных данных в зависимости от источника и оснований их получения, законодатель сохраняет приоритет защиты прав и законных интересов субъекта персональных данных.

В случаях, когда получение персональных данных осуществляется из иных источников, а равно осуществляется помимо воли субъекта в порядке и на основаниях, установленных федеральным законом, оператор должен информировать последнего в отношении:

1) собственного наименования и адреса места нахождения;

2) целей обработки персональных данных и их правовом основании;

3) предполагаемых пользователей персональных данных.

В дополнение к указанным сведениям законодатель также допускает возможность доведения до сведения субъекта персональных данных информации, сформулированной в п.4 ст.14 настоящего Закона.

Оператор может быть освобожден от обязанности предоставить указанные сведения при условии, что сбор персональных данных осуществляется в рамках оперативно-розыскной, контрразведывательной или разведывательной деятельности, в целях обороны страны, защиты основ конституционного строя, обеспечения безопасности государства и охраны правопорядка. Ограничения на информирование субъекта персональных данных о проводимом сборе последних могут быть установлены также в случаях, когда обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, или предоставление персональных данных нарушает конституционные права и свободы других лиц.

Статья 19.
Меры по обеспечению безопасности персональных данных при их обработке

Комментарий к статье 19

1. Обеспечение безопасности персональных данных при их обработке – один из ключевых моментов, обусловивший принятие рассматриваемого нормативного правового акта. В целях предотвращения и нейтрализации угроз безопасности конституционным правам и свободам граждан в области духовной жизни и информационной деятельности, связанным с возможностью неправомерного или случайного доступа к их персональным данным, законодатель допускает использование оператором практически неограниченных мер, препятствующих уничтожению, изменению, блокированию, копированию, распространению персональных данных, а равно осуществлению иных неправомерных действий с ними. Реализация оператором обязанности по обеспечению безопасности персональных данных при их обработке представляется разработчикам настоящего Закона в принятии последним необходимых организационных и технических мер.

Организационные меры защиты подразумевают под собой регламентацию производственной деятельности оператора, направленную на создание условий, обеспечивающих реализацию технических мер защиты конфиденциальной информации. Организационные меры защиты персональных данных предусматривают совершенствование системы обеспечения информационной безопасности, сертификацию систем защиты конфиденциальной информации по требованиям информационной безопасности, контроль за действием персонала в защищенных информационных системах, определение порядка финансирования деятельности системы обеспечения информационной безопасности. Организационные меры защиты персональных данных обеспечивают организацию охраны и режима на объекте защиты, работы с кадрами и документами, содержащими конфиденциальные сведения, использование технических средств защиты, осуществление информационно-аналитической деятельности по выявлению угроз защищаемой информации.

Организационные меры по защите конфиденциальной информации направлены на организацию выполнения правил, процедур и требований защиты персональных данных на основе правил, установленных настоящим Законом, иными федеральными законами, подзаконными актами. Они играют существенную роль в создании надежного механизма защиты информации, так как угрозы несанкционированного доступа к ней в значительной мере обусловлены не техническими действиями. Значительно чаще утечка, хищение и уничтожение информации обусловлены злоумышленными действиями, небрежностью или халатностью пользователей или персонала защиты информации.

Организационные меры защиты персональных данных в основном направлены на предотвращение утечки защищаемой информации в печати и возникновении других условий, создающих объективные предпосылки появления каналов утечки информации. Основное их назначение – предотвратить несанкционированный доступ к защищаемой информации, ее разглашение или раскрытие. В каждом конкретном случае организационные мероприятия имеют специфическую для данной организации форму и содержание, обусловленные особенностями защищаемых сведений, существующих угроз информации, имеющихся средств защиты и др.

Технические меры защиты персональных данных – это использование различных технических, программных и аппаратных средств для защиты информации от несанкционированного доступа, копирования, модификации или уничтожения. Технические меры защиты включают в себя различные методы, применение которых может осуществляться как индивидуально, так и в совокупности.

Программно-технические методы основываются на мерах по предотвращению несанкционированного доступа к обрабатываемым персональным данным и специальных воздействий, вызывающих их разрушение, уничтожение, искажение или сбои в работе информационных систем, выявление "вредных" технических устройств и программ, исключение перехвата конфиденциальной информации техническими средствами, применение средств защиты информации, в том числе криптографических, при передаче по каналам связи.

Инженерно-технические методы представляют собой совокупность специальных органов, технических средств и мероприятий, используемых в интересах защиты информации.

По функциональному назначению средства технической защиты подразделяются на физические, аппаратные, программные и криптографические средства.

Физические средства – различные инженерные сооружения, препятствующие проникновению злоумышленников на объекты защиты. Эти средства применяются для решения следующих задач:

охрана территории учреждения и наблюдение за ней;

охрана зданий, внутренних помещений и контроль за ними;

осуществление контролируемого доступа в здания и помещения, в которых осуществляется обработка персональных данных.

Все физические средства защиты можно разделить на три категории: средства предупреждения, обнаружения и ликвидации угроз.

Аппаратные средства – приборы, устройства, приспособления и различные технические решения, используемые для обеспечения надежной защиты персональных данных от утечки, копирования и уничтожения. По функциональному назначению аппаратные средства подразделяются на средства обнаружения, средства поиска и детальных измерений, средства активного и пассивного противодействия угрозам защищаемой информации. Аппаратные средства не обладают достаточной гибкостью, поэтому часто теряют свои защитные свойства при раскрытии принципов их действия и в дальнейшем не могут быть использованы.

Программные средства – специальные программы, программные комплексы и системы защиты персональных данных в информационных системах различного назначения, в автоматизированных средствах сбора, накопления, хранения, обработки и передачи данных, предназначенные для решения следующих задач:

идентификации технических средств, файлов и аутентификации пользователей;

регистрации и контроля работы технических средств и пользователей;

обслуживания режимов обработки защищаемой информации;

защиты операционных средств ЭВМ и прикладных программ пользователей;

уничтожения информации в запоминающем устройстве после ее использования;

выявления нарушений использования ресурсов ЭВМ или компьютерной сети.

Программные средства используются в основном для защиты персональных данных в средствах вычислительной техники с целью разграничения доступа пользователей информационных сетей к соответствующим категориям защищаемой информации, защиты от хакерских атак и вредоносных программ (вирусов) и т.д. Они весьма надежны, и период их гарантированного использования без перепрограммирования достаточно продолжителен.

Криптографические средства – специальные математические и алгоритмические средства защиты персональных данных, передаваемых по системам и сетям связи, хранимых и обрабатываемых в ЭВМ, с использованием различных методов шифрования.

Для защиты конфиденциальной информации разработано множество устройств шифрования и криптозащиты телефонных и радиопереговоров, передачи текстовых файлов. Широкое распространение получили скремблеры и маскираторы, заменяющие речевой сигнал цифровой передачей данных. Производятся средства защиты телетайпов, телексов и факсов. Они занимают важное место в системе инженерно-технических средств защиты информации и выступают надежным средством обеспечения защиты информации на длительный период.

К инженерно-техническим средствам защиты информации предъявляются следующие требования:

состояние постоянной готовности к применению;

высокая степень вероятности обнаружения попыток несанкционированного проникновения на режимный объект, к носителям защищаемой информации; высокая аппаратная надежность;

малое энергопотребление и возможность автономного электроснабжения аппаратуры; малые габаритные размеры, обеспечивающие малозаметность технических средств защиты информации;

минимальные затраты на техническое обслуживание[22]22
  См.: Журавленко Н.И. Организационно-правовая защита информации: Учебное пособие. Уфа: Восточный университет, 2002.


[Закрыть].

2. Согласно требованиям ст.17 ФЗ "О лицензировании отдельных видов деятельности" деятельность по технической защите конфиденциальной информации подлежит обязательному лицензированию в порядке и на условиях, определяемых Положением о лицензировании деятельности по технической защите конфиденциальной информации, утвержденным Постановлением Правительства РФ от 30 апреля 2002г. N 290. Реализация оператором обязанности по обеспечению безопасности персональных данных при их обработке с применением технических мер и использованием шифровальных (криптографических) средств, кроме того, требует, в свою очередь, оформления последним лицензий:

на техническое обслуживание шифровальных (криптографических) средств, при условии что такого рода деятельность осуществляется оператором самостоятельно;

на выявление электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд оператора).

3. Обеспечение безопасности персональных данных при их обработке требует неуклонного соблюдения эталонных требований к работе информационных систем, автоматизированных средств обработки, материальным носителям биометрических персональных данных и технологиям их хранения. Разработку указанных требований законодатель возлагает на Правительство РФ, соответствующее постановление которого предположительно должно быть принято до вступления в силу настоящего Закона.

4. Указом Президента РФ от 16 августа 2004г. N 1085 "Вопросы Федеральной службы по техническому и экспортному контролю"[23]23
  СЗ РФ. 2004. N 34. Ст.3541.


[Закрыть] реализация государственной политики, организация межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам:

1) обеспечения безопасности информации в системах информационной и телекоммуникационной инфраструктуры;

2) противодействия иностранным техническим разведкам на территории РФ;

3) обеспечения защиты (некриптографическими методами) информации с ограниченным доступом, предотвращения ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории РФ;

4) защиты информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств;

5) осуществления экспортного контроля возлагается на Федеральную службу по техническому и экспортному контролю (ФСТЭК России).

ФСТЭК России является федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, а также специально уполномоченным органом в области экспортного контроля. ФСТЭК России в своей деятельности руководствуется Конституцией РФ, федеральными конституционными законами, федеральными законами, актами Президента РФ и Правительства РФ, международными договорами РФ, приказами и директивами министра обороны РФ в части, касающейся ФСТЭК России, а также другими нормативными правовыми актами РФ, касающимися деятельности ФСТЭК России. Нормативные правовые акты и методические документы, изданные по вопросам деятельности ФСТЭК России, обязательны для исполнения аппаратами федеральных органов государственной власти и органов государственной власти субъектов РФ, федеральными органами исполнительной власти, органами исполнительной власти субъектов РФ, органами местного самоуправления и организациями. ФСТЭК России осуществляет свою деятельность непосредственно и (или) через свои территориальные органы.

Статья 20.
Обязанности оператора при обращении либо при получении запроса субъекта персональных данных или его законного представителя, а также уполномоченного органа по защите прав субъектов персональных данных

Комментарий к статье 20

1. Нормы комментируемой статьи во многом определяют процедуру реализации права субъекта персональных данных на получение информации, касающейся обработки его персональных данных, закрепленного ст.14 настоящего Закона. Правом на получение информации о наличии персональных данных должны обладать только лица, имеющие законную и настоящую потребность в получении соответствующих сведений. Практическому воплощению представленного принципа способствует законодательное определение оснований, объема и условий предоставления конфиденциальных сведений, а равно круга лиц, обладающих правом на их получение.

По смыслу комментируемой статьи реализации оператором возложенной на него обязанности по предоставлению информации об обрабатываемых персональных данных, а равно их самих для ознакомления, должно предшествовать обращение или запрос субъекта на доступ к своим персональным данным, оформленное в порядке и на условиях, оговоренных настоящим Законом (см. ст.14 Закона и комментарий к ней).

Законодатель приводит исчерпывающий перечень получателей, равно как и оснований получения конфиденциальной информации, сведений о ее обработке. Такого рода перечень не подлежит расширительному толкованию и не может быть самопроизвольно увеличен, любые изменения в субъектном составе получателей могут происходить только на законодательном уровне и напрямую связаны с изменением рассматриваемого нормативного документа.

Юридическими основаниями исполнения оператором соответствующей обязанности являются:

наличие в его временном обладании персональных данных;

относимость персональных данных к личности конкретного субъекта;

необходимость получения информации в целях осуществления прав обратившегося лица;

законность и обоснованность требований субъекта или его законного представителя.

Существенным концептуальным моментом закона является круг лиц, имеющих право на получение персональных данных из информационных массивов оператора. По смыслу комментируемой статьи информация о наличии персональных данных может быть предоставлена:

субъекту персональных данных;

законному представителю последнего;

уполномоченному органу по защите прав субъектов персональных данных.

Предоставление информации о персональных данных в распоряжение указанных лиц осуществляется при условии поступления в адрес оператора обращения или запроса субъекта персональных данных (уполномоченного органа по защите прав субъектов персональных данных) о предоставлении возможности ознакомления с конфиденциальной информацией. Предоставление соответствующей информации осуществляется в части, касающейся субъекта персональных данных или необходимой уполномоченному органу по защите прав субъектов персональных данных в связи с осуществлением собственной деятельности и в пределах полученного запроса или обращения. Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:

1) подтверждение факта обработки персональных данных оператором, а также цель такой обработки;

2) способы обработки персональных данных, применяемые оператором;

3) сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;

4) перечень обрабатываемых персональных данных и источник их получения;

5) сроки обработки персональных данных, в том числе сроки их хранения;

6) сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

Субъект персональных данных имеет право на получение сведений об операторе, о месте его нахождения, о наличии у оператора персональных данных, относящихся к соответствующему субъекту персональных данных. Субъект персональных данных вправе требовать от оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Законодатель предусматривает, что оператор обязан немедленно сообщить субъекту персональных данных или его законному представителю информацию о наличии персональных данных, а также предоставить возможность ознакомления с ними. При поступлении в адрес оператора соответствующего запроса последний подлежит исполнению в течение 10 рабочих дней с даты его получения. Дата получения запроса определяется моментом его регистрации. Регистрация документов производится в соответствии с установленным на предприятии порядком. Регистрация включает проставление на документах регистрационных штампов, а также заполнение регистрационных форм (карточек, книг, журналов, входящей корреспонденции). Нерабочими днями являются выходные дни (суббота и воскресенье при пятидневной рабочей неделе, воскресенье при шестидневной), в том числе перенесенные Правительством РФ выходные и праздничные дни.

Информация об обрабатываемых персональных данных, возможность ознакомления с ними предоставляются операторам субъекту персональных данных безвозмездно (см. п.3 ст.20 настоящего Закона) и в доступной для него форме, не содержащей персональные данные, относящиеся к другим субъектам.

2. Законодатель допускает возможность отказа оператора в предоставлении информации о наличии в его распоряжении персональных данных о соответствующем субъекте в случае обращения или запроса последнего. Доступ субъекту персональных данных может быть к ним ограничен в случаях, если:

1) обработка персональных данных, в том числе персональных данных, полученных в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;

2) обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством РФ случаев, если допускается ознакомление подозреваемого или обвиняемого с такими персональными данными;

3) предоставление персональных данных нарушает конституционные права и свободы других лиц;

4) в иных случаях, предусмотренных федеральным законом в целях защиты основ конституционного строя, нравственности, здоровья других лиц.

Отказ в предоставлении субъекту персональных данных информации о наличии персональных данных о соответствующем субъекте персональных данных должен быть оформлен в письменном виде и заверен подписью руководителя оператора – юридического лица и скреплен его гербовой печатью. Отказной материал должен быть направлен субъекту персональных данных не позднее семи рабочих дней с момента получения оператором запроса последнего. В целях защиты прав и законных интересов субъектов персональных данных в процессе их обработки о каждом случае отказа в предоставлении запрашиваемой информации оператор должен информировать уполномоченный орган по защите прав субъектов персональных данных.