Из чего состоят персональные данные. Персональные данные

Сегодня очень много говорится о защите персональных данных, даже существуют нормативные документы, в которые периодически вносятся поправки и изменения. Но до сих пор многих из нас интересует вопрос: что же все-таки является персональными данными по закону?

Необходимая защита

В первую очередь разберемся с вопросом, зачем необходима такая защита? Согласитесь, мало кому из нас было бы приятно, если бы наши данные были в открытом доступе, даже несмотря на то, что большинство из нас самостоятельно выкладывает их в социальных сетях. Но одно дело Одноклассники или Facebook — информацию, которую мы там предоставляем, невозможно проверить. Кроме того, мы имеем возможность вместо ФИО писать ники, а информацию о дате рождения, месте проживания и пр. можем просто игнорировать.

Заполняя различные анкеты в госучреждениях, торговых точках и т. д., мы указываем много личной информации, которая могла бы стать доступной, если бы не одно «но» – в таких анкетах всегда присутствует пункт о разрешении на обработку данных в определенных целях. Нецелевое использование такой информации карается законом.

Закон о защите персональных данных заботится не только о физических, но и о юридических лицах. Мало кому понравится, если информация о финансовом состоянии дел или данных сотрудников компании будет доступна каждому желающему. Это значительно бы упростило жизнь мошенникам, чего не желают ни простые граждане, ни сотрудники правоохранительных органов.

Какие данные считаются персональными по законодательству?

Четкого перечня сведений, которые относятся к персональным, в законе не приводится. Под эту категорию попадает информация о:

  • самом человеке (ФИО, год рождения, адрес регистрации и проживания);
  • религиозных убеждениях;
  • расовой принадлежности;
  • состоянии здоровья;
  • составе семьи;
  • практически всей жизни человека.

Надо сказать, что, в сущности, мы повсюду сталкиваемся с необходимостью оставлять о себе ту или иную информацию, которая зачастую носит личный характер. Особо строго законом охраняется информация о паспортных данных человека, а также данные о финансовых доходах.

Заметим, что часть данных о нас относится к общедоступным сведениям, но и в этом случае они защищаются законом, так как несогласованное с человеком распространение может негативно отразиться на его жизни.

Часть информации о персональных данных может находиться в электронном формате, часть – в виде привычных бумажных документов. Закон защищает и охраняет ее в любом виде.

Действие законодательства распространяется практически на все сферы жизнедеятельности человека кроме адвокатской практики. Не подпадают под его действие и нотариусы (в отношении документов нотариального делопроизводства).

Это информация, с помощью которой можно идентифицировать человека: ФИО, место и год рождения, адрес прописки, паспортные данные и т.д.

История вопроса о защите личных (персональных) данных начинается в 1976 году, когда комитет министров Совета Европы принял решение разработать Конвенцию «О защите физических лиц при обработке персональных данных, осуществляемой на международном уровне», которая в 1981 году была открыта для подписания странами Европы. В Украине данная Конвенция была подписана и ратифицирована лишь в начале двухтысячных годов, после чего началось формирование нормативно-законодательной базы в сфере использования и защиты персональных данных. В 2010 году был принят , который четко регламентировал все вопросы, касающиеся получения, использования, передачи и других действий с персональными данными, а также вопросы их защиты.

Согласно Закону персональными данными является абсолютно любая информация, которая относится к определенному или определяемому (прямо или косвенно) физическому лицу. Основными персональными данными, которые встречаются в повседневной жизни, являются фамилия, имя, отчество субъекта (физического лица), дата рождения, адрес местожительства или регистрации, социальное, имущественное, семейное положение, сведения о доходах, образовании, профессии и т.п.

Пример персональных данных

Законодательством не установлен и не может быть установлен четкий перечень сведений о физическом лице, которые являются персональными данными , с целью возможности применения положений к различным ситуациям, в том числе при обработке персональных данных в информационных (автоматизированных) базах и картотеках персональных данных, которые могут возникнуть в будущем, в связи с изменением в технологической, социальной, экономической и других сферах общественной жизни.

Виды персональных данных

Выделяют четыре вида персональных данных, которые разделяются по степени информативности:

Первый вид - специальные категории персональных данных, которые включают в себя информацию о национальной и расовой принадлежности субъекта, о религиозных либо философских убеждениях, информацию о здоровье и интимной жизни субъекта.

Второй вид содержит информацию, по которой можно идентифицировать человека и получить о нем дополнительные сведения, например, ФИО, адрес и сведения о заработках.

третьего вида - это информация, позволяющая только определить субъекта, то есть, например, фамилия, имя и дата рождения.

К четвертому виду относятся общедоступные или обезличенные персональные данные. Общедоступными являются персональные, которые в соответствии с законодательством не могут подвергаться сокрытию, то есть не могут быть конфиденциальными, например, сведения о доходах представителей органов государственной власти, либо персональные данные, доступ к которым предоставлен с разрешения самого субъекта. Обезличенными персональными данными является информация, по которой невозможно определить ее принадлежность к конкретному физическому лицу.

База персональных данных

Следует обратить внимание на то, что согласно , объектом защиты являются только персональные данные при их обработке в базах персональных данных .

При этом под «базой персональных данных» в Законе понимается именованная совокупность упорядоченных персональных данных в электронной форме и/или в форме картотек персональных данных, а под «обработкой персональных данных» понимается определенное действие или совокупность действий, совершенных полностью или частично в информационной (автоматизированной) системе и/или в картотеках персональных данных, связанных со сбором, регистрацией, накоплением, хранением, адаптацией, изменением, обновлением, использованием и распространением (распространением, реализацией, передачей), обезличиванием, уничтожением сведений о физическом лице.

Обработка персональных данных

Базы персональных данных подлежат обязательной государственной регистрации, осуществляемой специальным государственным органом по вопросам защиты персональных данных в Государственном реестре баз персональных данных. Регистрация баз персональных данных осуществляется по заявочному принципу путем уведомления уполномоченного государственного органа. Несмотря на это, уполномоченный орган имеет право на отказ в регистрации в случае несоответствия заявления о регистрации требованиям Закона.

Согласно Закону обработка персональных данных может осуществляться для конкретных и законных целей, определенных по согласию субъекта персональных данных или в случаях, предусмотренных законодательством Украины, в порядке, установленном законодательством. Если цель обработки меняется, то от субъекта персональных данных должно быть получено согласие на обработку персональных данных с новой целью. При этом не разрешается обработка персональных данных о физическом лице без его согласия, кроме случаев, установленных законом, и исключительно в интересах национальной безопасности, экономического благополучия и прав человека.

Закон также устанавливает, что состав и содержание персональных данных должны соответствовать и не быть избыточными относительно цели их обработки. При этом объем персональных данных, которые включаются в базу персональных данных, должен соответствовать условиям согласия субъекта персональных данных. Субъект персональных данных имеет право, предоставляя такое согласие, ограничить право на обработку своих персональных данных.

Кроме того, следует отметить предоставленное Законом право субъекта персональных данных знать о местонахождении базы персональных данных, в которой содержатся его персональные данные, а также о местонахождении владельца и распорядителя такой базы данных, право на информацию о третьих лицах, которым передаются его персональные данные, а также на бесплатный доступ к своим персональным данным, которые содержатся в соответствующей базе персональных данных. Также Закон устанавливает определенные случаи, в которых субъект персональных данных должен письменно информироваться о его правах или действиях, выполненных с его персональными данными.

Владельцем базы персональных данных может быть физическое лицо-предприниматель или юридическое лицо, которому законом или по согласию субъекта персональных данных предоставлено право на обработку персональных данных. Такое лицо должно утвердить цель обработки персональных данных, установить состав обрабатываемых данных и процедуры их обработки, если иное не установлено законом.

Владелец базы персональных данных имеет право передать персональные данные для обработки распорядителю базы персональных данных на основании письменного соглашения.

Согласно Закону, банк обязан получать письменное разрешение на их обработку. Такое разрешение обычно запрашивается еще на стадии анкетирования клиента. В случае согласия персональные данные могут быть переданы третьим лицам и использованы для продвижения продуктов и услуг банка.

Если человек отказывает в обработке своих данных, то по закону кредитная организация может использовать информацию о клиенте только в целях исполнения заключенного с ним договора. Однако многие банки в случае несогласия клиента на обработку данных могут вообще отказаться предоставлять ему услуги.

ФЗ «О персональных данных» от 27 июля 2006 года № 152-ФЗ определяет, что к персональным данным можно отнести любую информацию, которая изначально, прямо или же косвенно относится к четко определенному физическому лицу. В повседневной жизни, к таким данным можно отнести ФИО, паспортные данные, место рождения, адрес проживания и пр.

Что именно относится к персональным данным по закону?

Сразу же отметить, что в нашей стране существует определенное подразделение персональных данных на четыре вида:
  1. Первый вид – все персональные данные, которые можно отнести к расовой принадлежности индивида, его религиозных и философских убеждений, вся информация, которая касается здоровья, а также интимной жизни;
  2. Второй вид информации предполагает под собой данные, которые позволяют идентифицировать человека, а также получить все данные индивидуального характера (информация о заработке, паспортная информация);
  3. Третий вид информации определяется особенности, которые позволяют четко определить субъекта. В данном случае речь идет о данных паспортного характера;
  4. Четвертый вид информации - это вид информации, которая считается общедоступной.
Вполне очевидно, что законодательная база нашей страны четко определяет и защищает индивидуальные права человека. Все дело в том, что распространение такой информации и применение ее в определенных целях, может весьма негативно сказаться на жизни субъекта, именно по этой причине формируется необходимость защиты индивидуальных интересов каждого человека в отдельности.

Почему так важно защищать персональную информацию?

Как вы понимаете, мало кому бы понравилось, если бы его индивидуальные данные были доступны всем и каждому. Именно по этой причине, практически все анкеты, которые приходится заполнять человеку, содержат в себе дополнительную графу, в которой указано, что подписывая данный документ, человек, дает разрешение на использование и обработку его персональных данных. Но, это не значит, что такие данные могут стать общедоступными. Все гораздо сложнее. Это значит, что данные субъекта могут быть применены четко определенной компанией для определенных целей. Скажем, для рассылки сообщений и пр. В тоже время, данная информация не может быть применена в качестве элемента нарушения закона в виде формирования некой общедоступности.

Федеральное законодательство по данному вопросу содержит весьма исчерпывающую информацию. Причем, за распространение личной информации порой, могут быть назначены, весьма существенные штрафы и наказания. Так что, если вам периодически или же систематически приходится сталкиваться с личной информацией граждан страны, вам нужно весьма детально изучить данное законодательство, чтобы избежать определенных неприятностей в дальнейшем.


Понятие обратной силы закона в нашей стране существует достаточно давно и определяет устранение определенных нюансов в судебной системе. Обратная сила закона имеет еще...


Статья 19.22 КоАП определяет, что в случае отсутствия постановки транспортного средства на государственный учет в течение десяти дней, владелец транспортного средства получает...


Уголовный закон не имеет обратной силы исключительно в том случае, если он имеет в своем составе более суровое и серьезное наказание. Итак, давайте рассмотрим все особенности...


Законы Хаммурапи были самыми жесткими и жестокими. В принципе, женщин, которые были сообщницами убийц, наказывали смертью. Если же речь идет об убийстве ради другого мужчины...

Аннотация: Лекция позволяет изучить основные термины и базовые законы Российской Федерации в области защиты персональных данных.

Регуляторами называются органы государственной власти, уполномоченные осуществлять мероприятия по контролю и надзору в отношении соблюдения требований федерального закона. В ФЗ "О персональных данных" установлены три регулятора:

  • Роскомнадзор (защита прав субъектов персональных данных)
  • ФСБ (требования в области криптографии)
  • ФСТЭК России (требования по защите информации от несанкционированного доступа и утечки по техническим каналам).

Так как ФЗ "О персональных данных" является лишь основой правового обеспечения защиты ПД, его требования в дальнейшем были конкретизированы в актах Правительства РФ и Министерства связи, нормативно-методических документах регуляторов.

2.2. Категории персональных данных

ФЗ "О персональных данных" выделяет следующие категории персональных данных.

Общедоступные ПД - данные, доступ к которым предоставлен неограниченному кругу лиц с согласия субъекта ПД или на которые в соответствии с федеральными законами не распространяются требования соблюдения конфиденциальности. Общедоступные источники персональных данных создаются в целях информационного обеспечения (например, справочники и адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес , абонентский номер, сведения о профессии и иные персональные данные , предоставленные субъектом персональных данных.

Важно отметить, что сведения о субъекте ПД могут быть в любое время исключены из общедоступных источников по требованию субъекта либо по решению суда или уполномоченных государственных органов.

Специальные категории ПД - персональные данные , касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни. Их обработка допускается только в следующих случаях:

  • субъект ПД дал согласие в письменной форме на обработку своих персональных данных;
  • персональные данные являются общедоступными;
  • персональные данные относятся к состоянию здоровья субъекта ПД и получение его согласия невозможно, либо обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
  • обработка персональных данных членов (участников) общественного объединения или религиозной организации при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов ПД;
  • обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством Российской Федерации или необходима в связи с осуществлением правосудия .

Совместный приказ ФСТЭК, ФСБ и Министерства информационных технологий и связи РФ от 13 февраля 2008 года N 55/86/20 "Об утверждении Порядка проведения классификации информационных систем персональных данных" определяет следующие категории персональных данных , которые обрабатываются в ИСПД:

Определение биометрических данных в российском законодательстве предоставляет оператору персональных данных возможность принятия самостоятельного решения об отнесении тех или иных данных к биометрическим. Это породило немало споров. Рассмотрим пример с фотографией. С одной стороны, она характеризует физиологические особенности человека. Но человек с течением времени может сильно измениться или злоумышленник может подделать внешние признаки под законного субъекта. Так ли однозначно в данном случае установление личности? В настоящее время представители регуляторов подтверждают, что фотография и видеоизображения относятся к биометрическим данным.

2.3. Права субъекта персональных данных

Субъект персональных данных – это физическое лицо, которое может быть однозначно идентифицировано на основе персональных данных, то есть фактически тот, чьи данные необходимо защищать. Рассмотрим основные права субъекта ПД, установленные ФЗ-№152.

  1. Право субъекта персональных данных на доступ к своим персональным данным. Это предполагает право субъекта на получение сведений об операторе персональных данных и о том, какие ПД, относящие к этому субъекту, он обрабатывает, а также непосредственный доступ к этим ПД. Субъект вправе требовать от оператора уточнения ПД, их блокирования или уничтожения, если они устаревшие, неполные или не являются необходимыми для заявленной цели обработки. Доступ к своим ПД предоставляется субъекту(или его представителю) при обращении либо на основании запроса. Полученная информация может содержать следующие сведения:
    • цель обработки ПД
    • способы обработки ПД
    • сроки обработки ПД
    • перечень допущенных к обработке ПД лиц
    • перечень обрабатываемых ПД и источник их получения
    • сведения о возможных юридических последствиях обработки ПД для субъекта ПД.

    Закон определяет случаи, когда данное право субъекта ПД ограничивается, например, если речь идет о безопасности страны, нарушении конституционных прав и свобод других лиц или оперативно-розыскной деятельности.

  2. Права субъектов ПД при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации. В данном случае обработка осуществляется только при условии предварительного согласия субъекта. При этом важно отметить, что обработка признается осуществленной без согласия субъекта, если оператор не доказал обратное. Оператор обязан немедленно прекратить обработку ПД по требованию субъекта.
  3. Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных. Закон запрещает принятие решений в отношении субъекта ПД исключительно на основании автоматизированной обработки, если не получено его согласия в письменной форме или в случаях, предусмотренных федеральными законами.
  4. Право на обжалование действий или бездействия оператора. Если субъект ПД считает, что оператор обрабатывает его ПД ненадлежащим образом, то есть нарушает его права, он может обратиться в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

Необходимо отметить, что субъект ПД имеет право на возмещение убытков и компенсацию материального вреда в судебном порядке.

2.4. Обязанности оператора персональных данных

Ранее мы рассмотрели понятие оператора персональных данных и действия, являющиеся обработкой персональных данных . Исходя из определения, можно сделать вывод о том, что все без исключения организации являются операторами ПД, так как они накапливают, собирают и обрабатывают информацию о своих сотрудниках в рамках Трудового кодекса РФ. Помимо этого многие организации собирают сведения о своих клиентах, подрядчиках, поставщиках и партнерах в рамках своей основной деятельности. Главными обязанностями оператора ПД является уведомление Роскомнадзора об обработке ПД и,собственно, защита ПД.

Законом предусмотрены случаи, когда оператор не обязан уведомлять Роскомнадзор об обработке ПД:

  1. если его связывают с субъектом трудовые отношения;
  2. если между оператором и субъектом существует договор и данные необходимы для исполнения обязательств по нему;
  3. если данные относятся к членам религиозных объединений и общественных организаций и обрабатываются в соответствии с учредительными документами и с законом.
  4. если данные являются общедоступными;
  5. если включают в себя только ФИО;
  6. данные необходимы для однократного пропуска на территорию оператора или аналогичных целей;
  7. если данные включены в федеральные автоматизированные информационные системы и государственные информационные системы персональных данных;
  8. если данные обрабатываются без использования средств автоматизации в соответствии с законами РФ.

Важно отметить, что оговаривается обязанность оператора не передавать персональные данные третьим лицам.

При этом многие организации допускают ошибку в том, что если они не обязаны уведомлять уполномоченный орган об обработке ПД, то можно не выполнять обязанности, возлагаемые законом на операторов ПД. Такие действия являются противозаконными, однозначно трактуются как невыполнение требований законодательства и караются мерами, предусмотренными Законом.

Рассмотрим основные обязанности оператора персональных данных, предусмотренные ФЗ-№152:

  1. Обеспечение безопасности обработки персональных данных, что означает обязанность "принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий".
  2. Уведомительный характер обработки персональных данных. В соответствии со статьей 2 ФЗ-№152 оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов ПД (Роскомнадзор) о своем намерении осуществлять обработку персональных данных. Роскомнадзор вносит сведения об операторе в реестр операторов. Информация, содержащаяся в реестре, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, является общедоступной.
  3. При получении персональных данных (в том числе от третьих лиц) оператор ПД до начала обработки обязан получить у субъекта этих ПД письменное разрешение на их обработку (за исключением случаев, если персональные данные были предоставлены оператору на основании федерального закона или если они являются общедоступными). Важно отметить, что субъект имеет право отозвать данное разрешение.
  4. Оператор обязан предоставить субъекту ПД по требованию все имеющиеся сведения о нем, целях и условиях обработки, способах защиты его персональных данных.

    Оператор также должен уничтожить или блокировать соответствующие персональные данные, внести в них необходимые изменения по предоставлении субъектом ПД или его законным представителем сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту и обработку которых осуществляет оператор, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

    Более того, оператор ПД обязан предоставить доказательство получения согласия субъекта ПД на обработку его персональных данных, а в случае обработки общедоступных персональных данных на него возлагается обязанность доказать, что обрабатываемые ПД являются общедоступными.

  5. Подконтрольность и поднадзорность деятельности операторов персональных данных государственным органам. Это означает обязанность оператора сообщать в уполномоченный орган по защите прав субъектов ПД по его запросу информацию, необходимую для осуществления деятельности указанного органа. Функциями контроля и надзора государство наделило Роскомнадзор, ФСТЭК и ФСБ.

Законом также предусмотрены случаи, когда не требуется согласие субъекта ПД на обработку сведений о нем:

  1. обработка персональных данных осуществляется на основании других федеральных законов, например, некоторыми Федеральными законами предусматриваются случаи обязательного предоставления субъектом ПД своих персональных данных в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства;
  2. оператор и субъект ПД связаны договором на выполнение действий, которые требуют обработки персональных данных этого субъекта, например, договор, по которому туристическая фирма (оператор) имеет право использовать персональные данные субъекта для бронирования гостиницы;
  3. обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПД, если получение его согласия невозможно, например, госпитализация человека при несчастном случае;
  4. обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
  5. обработка персональных данных осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта ПД;
  6. осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе ПД лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Во всех других случаях оператор должен соблюдать требования российского законодательства по обработке персональных данных. Законом предусмотрена гражданская, уголовная, административная, дисциплинарная и иная ответственность за нарушение его требований.

Так, Кодекс об административных правонарушениях предусматривает максимальный штраф в 500000 рублей за невыполнение законного предписания Роскомнадзора (ст. 19.5 КоАП). Тот же Кодекс предусматривает приостановку деятельности организации на срок до 90 суток при осуществлении деятельности по защите персональных данных без лицензии (ст. 19.20 КоАП).

В уголовном кодексе говорится о штрафе в 300000 руб., обязательных работах на срок до 1_го года, аресте до 6_ти месяцев и лишении права занимать должность на срок до 5_ти лет в случае осуществления защиты персональных данных без лицензии в случаях, если это деяние причинило крупный ущерб гражданам (ст. 171 УК).

При систематических и грубых нарушениях Роскомнадзор имеет право ходатайствовать об отзыве лицензий на основной вид деятельности.

В современном мире, подписывая договоры на обслуживание или о взаимодействии, часто встречают такое понятие, как "персональные данные". Что под ними понимают? Какие данные являются персональными и не должны предаваться огласке? Как обеспечивается их защита от посторонних лиц?

Развитие вопроса

Первоначально про персональные данные, а также их безопасность заговорил в 1976 году комитет министров Совета Европы. Тогда им было принято решение разработать соответствующую конвенцию. В 1981 году она под названием «О защите физических лиц при обработке персональных данных, осуществляемой на международном уровне» была открыта для подписания. Российская Федерация присоединилась к этой конвенции и ратифицировала её только в начале нулевых годов. После этого был запущен процесс формирования необходимой нормативно-законодательной базы про сферу использования и защиты персональных данных. База для него была принята Государственной думой в 2006 году. Итак, что относится к персональным данным физического лица?

О законодательстве

Прежде чем рассматривать, что относится к персональным данным физического лица, давайте уделим внимание правовому основанию этого аспекта взаимодействий. В качестве базового закона используется № 152-ФЗ, принятый в 2006 году. В нём регламентированы все вопросы, что касаются получения, использования, передачи, а также других действий, которые могут проводиться с персональными данными. Там же рассмотрена и их защита. Что подразумевают под персональными данными? Под этим понимают любую информацию, относящуюся к определенному физическому лицу, а также помогает прямо или косвенно установить его личность. Наиболее часто встречаемыми являются фамилия, имя, отчество, дата рождения, адрес регистрации (и местожительства, если они различаются), семейное, социальное, имущественное положение и тому подобное. Если интересует полный перечень того, что относится к персональным данным физического лица, то необходимо обращаться непосредственно к закону. Из-за его большого размера (хватит на книгу) в статье будут приведены только наиболее важные и часто встречаемые моменты.

Деление на категории

В зависимости от степени информативности выделяют:

  1. Первый вид. В эти персональные данные включается информация о здоровье, интимной жизни, философских убеждениях.
  2. Второй вид. Это информация, по которой можно идентифицировать человека и в дальнейшем получить о нём дополнительные сведения. В качестве примера можно привести Ф.И.О., адрес проживания, сведения о заработной плате.
  3. Третий вид. Это информация, которая позволяет только определить субъект. Например - имя, фамилия, дата рождения.
  4. Четвертый вид. Это общедоступные и обезличенные персональные данные. В качестве примера для первого случая можно привести декларации о доходах представителей власти. Обезличенная информация - это та, по которой нельзя идентифицировать определённое лицо.

Вот что относится к персональным данным физического лица.

Необходимость следить за нововведениями

Так уж устроено законодательство, что оно действует тогда, когда человек знает о нём. Это относится исключительно к защите своих прав. Некоторые категории людей должны постоянно следить за своими персональными данными, ведь то, что вчера было вполне нормальным и допустимым, уже сегодня оказывается за гранью закона. В качестве примера можно привести ситуацию с бизнесом. Так, если на предприятии есть хотя бы один работник или клиент, являющийся физическим лицом, то законодательство накладывает серьезные обязательства. Так, необходимо, чтобы при обработке информации была соблюдена конфиденциальность. Персональные данные работника не должны попасть в руки сторонних лиц или организаций. Для того чтобы идентифицировать человека, достаточно знать его Ф.И.О. и любую иную информацию личности, например, адрес проживания, дату рождения, номер телефона. Поэтому чтобы персональные данные работника не попали не в те руки и за этим не последовали штрафы и прочее, к вопросу безопасности следует подойти основательно.

Как быть?

Значит, нужно продумывать, кто может иметь доступ и в каком объёме. Например, номер телефона и дата рождения - это сочетание, которое не признаётся персональными данными. Почему? Да хотя бы потому, что идентифицировать по ним конкретное лицо не представляется возможным. Конечно, если необходимо по определённым соображениям получить доступ, то специальные органы могут проигнорировать закон «О защите персональных данных», получить телефон, в судебном порядке от оператора связи взять данные о перемещении и узнать, где был какой-то человек. Но это маловероятный сценарий, который встречается как исключение. А так, безусловно, телефон относится к персональным данным физического лица, только в случае, если о человеке известно что-то существенное, то же Ф.И.О.

Об операторах данных

Практически в любой организации накапливается, хранится и определённым образом используется личная информация. Поэтому хочется им или нет, но с точки зрения закона они являются операторами персональных данных. Что необходимо делать в таком случае? Ведь нужна защита персональных данных? Как соблюсти требования закона? А нужно:

  1. Получить согласие со стороны физического лица на обработку персональных данных.
  2. Обеспечить безопасность при работе с личной информацией.
  3. Установить ответственность за нарушение законодательства.

При этом необходимо позаботиться о базах персональных данных и людях, которым предоставлен доступ к ним. Давайте рассмотрим внимательнее каждый пункт.

Согласие

Необходимо запомнить, что субъект персональных данных - это физическое лицо. И без его разрешения (или со стороны суда в определённых моментах) они не должны попасть в руки третьих лиц, пускай это даже рядовой кадровый сотрудник предприятия. Любые операции с информацией допускаются только при наличии согласия. Особенно много проблем в связи с этим возникло у кадровых агентств. Ведь им сейчас формально запрещено пользоваться доступными открытыми базами данных, которые можно найти в Мировой сети, поскольку они не получали от потенциального работника согласие на использование их информации. Хотя, формально, получать письменное согласие на обработку не нужно. Но существует вероятность судебного спора, поэтому очень желательно, чтобы этот факт имел физическую форму в виде бумаги.

Безопасность обработки

Законодательством предусмотрено, что любой оператор персональных данных обязан принимать нужные технические и организационные меры, которые позволят защитить информацию от случайного или неправомерного доступа к ним посторонних лиц. Особенное внимание уделяется тому, что они могут быть изменены, уничтожены, блокированы, копированы, распространены или же с ними будут совершены иные неправомерные действия. Об этом говорится в первом пункте девятнадцатой статьи базового закона. Это довольно сложно организовать с финансовой и организационной точки зрения. Так, структура должна обеспечить защиту на основе выявленных угроз, а также зависимо от класса информационной системы, где хранятся данные. Также необходимо разработать регламенты работы и положения по защите обработки. Кроме документационной работы нужно работать над повышением квалификации сотрудников, которые занимаются данными. Не следует забывать и о требованиях к инженерно-технической безопасности помещения, где будет храниться информация. В целом необходимо признать, что эта система является чрезвычайно громоздкой и очень усложненной. Встречаются даже нарекания, что некоторые требования не нужны даже государству.

На что жалуемся?

В качестве первого примера можно вспомнить о требовании письменно уведомлять уполномоченный орган о желании осуществить обработку личной информации. При этом законодательно не установлена ответственность за нарушения. Можно вспомнить ещё и требование, согласно которому каждый субъект предпринимательской деятельности, отвечающий условиям оператора персональных данных, был внесён в соответствующий реестр. А это, как уже было подмечено выше, практически каждая организация. Есть сомнения даже относительно того, что такая громоздкая норма в полном объеме будет работать даже на крупных государственных предприятиях. А ведь субъекты экономической деятельности не только платят налоги и встречаются с административными барьерами, но и обязаны оплатить внедрение этой системы у себя. Что, конечно, не умаляет тот факт, что персональные данные должны быть защищены. Но и перегибов необходимо избегать.

Об ответственности

Правом контроля за исполнением закона обладает Роскомнадзор. Эта же служба и занимается проверками в данной сфере. Что же ждёт нарушителей? Законодательством предусмотрено привлечение к дисциплинарной, административной, гражданской и уголовной ответственности. Фактически же существует только одна практика. Это привлечение к административной ответственности. Так, законом предусмотрено, что должностное лицо, допустившее нарушение, может получить или предупреждение, или штраф до тысячи рублей. С организаций спрос больше - для них предусмотрены суммы от 5 000 до 10 000. Сложность организации хранения данных и одновременно незначительная ответственность вероятно приведут к известной ситуации - суровость законов компенсируется необязательностью исполнения. А это очень плохое положение дел, которое необходимо исправить.

Заключение

Вот и было рассмотрено, какая информация относится к персональным данным, как она защищается и какова ответственность за нарушения. Безусловно, это чрезвычайно важный вопрос. Но, увы, как это часто бывает, реализация неудовлетворительная. Законодательство и требования необходимо существенно дорабатывать. Безусловно, если мы говорим о банке, то здесь необходимо обеспечить высокий уровень безопасности. Но если говорить о предприятии, изготовляющем мебель, то нужно ли и здесь такое? Защищённое здание или его часть, допуск исключительно ответственных сотрудников? Нет, в этом случае с лихвой хватает кадровика, сейфа с личными данными (если он работает в общей комнате с другими людьми), выработанной схемы взаимоотношений и передачи информации, а также определённого уровня доступа. Именно поэтому и необходимо доработать существующее законодательство. Хотя, безусловно, уже хорошо то, что работа ведётся - просто нужно направить энергию в правильно русло. Что ж, будем надеяться, что со временем этот процесс станет более совершенным.



 

Возможно, будет полезно почитать: