Защита персональных данных

В результате изучения главы студент должен:

знать

• • состав понятия «персональные данные»;
• • современное состояние защиты персональных данных в Российской Федерации;

уметь

• определять обязанности предприятия по защите персональных данных своих работников, клиентов и контрагентов;

владеть

• навыком построения системы обеспечения безопасности персональных данных на предприятии.

Право личности на защиту персональных данных

К конфиденциальной информации, доступ к которой ограничен действующим законодательством, относятся, в числе прочего, персональные данные.

Персональные данные — эго любые данные, которые относятся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных). Они включают фамилию, имя, отчество, год, месяц, дату и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы и другую информацию о лице.

В данной области деятельности существуют следующие понятия:

• • оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, которые подлежат обработке, действия (операции), совершаемые с персональными данными;
• • обработка персональных данных — любое действие или операция либо совокупность действий или операций, которые совершаются при использовании средств автоматизации или без использования подобных средств с персональными данными (включая запись, сбор, хранение, систематизацию, уточнение, накопление (обновление, изменение), использование, извлечение, передачу (распространение, предоставление, доступ), блокирование, обезличивание, удаление, уничтожение персональных данных);
• • автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
• • распространение персональных данных — действия, которые направлены на раскрытие персональных данных неопределенному кругу лиц;
• • предоставление персональных данных — действия, которые направлены на раскрытие персональных данных определенному лицу;
• • блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Не допускается обработка специальных категорий персональных данных, которые касаются политических взглядов, расовой или национальной принадлежности, состояния здоровья, религиозных или философских убежден[ий, интимной жизни, за исключением случаев, специально предусмотренных законодательством. Субъект имеет право дать согласие оператору на обработку его персональных данных, может отказать в предоставлении этих данных или отозвать ранее предоставленные данные (рис. 21.1).

Рис. 21.1. Права субъекта персональных данных.

Вопросы практики Субъект также вправе официально запросить у оператора:

• • подтверждение факта обработки персональных данных;
• • предоставить цели и правовые основания обработки персональных данных;
• • раскрыть цели и способы обработки персональных данных, применяемые оператором;
• • назвать местонахождение и наименование оператора, а также предоставить сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым они могут быть раскрыты по договору с оператором или федеральному закону;

• • назвать наименование или персональные данные (фамилия, имя, отчество и адрес) оператора, который осуществляет обработку персональных данных;
• • охарактеризовать порядок осуществления субъектом персональных данных прав, который предусмотрен настоящим федеральным законом;
• • предоставить информацию об осуществленной или о предполагаемой трансграничной передаче персональных данных;
• • назвать сроки обработки персональных данных, в том числе и сроки их хранения;
• • перечислить обрабатываемые персональные данные, которые относятся к соответствующему субъекту персональных данных, и источник их получения, если иной порядок предоставления таких данных не предусмотрен федеральным законом, и т. д.

При обработке персональных данных оператор обязан руководствоваться рядом принципов. В частности, оператор обязан придерживаться принципа законности целей и способов обработки персональных данных, добросовестности. Цели обработки персональных данных должны соответствовать целям, которые заранее определены и заявлены при сборе персональных данных, а также полномочиям оператора. Объем и характер обрабатываемых персональных данных и способы их обработки должны соответствовать целям их обработки. Оператор должен обеспечить достоверность персональных данных, их достаточность для целей обработки, недопустимость обработки персональных данных, избыточных по отношению к целям, которые заявлены при их сборе. Кроме этого, оператор должен понимать недопустимость объединения созданных баз данных информационных систем персональных данных для несовместимых между собой целей. Хранение персональных данных осуществляется в форме, которая позволяет определять их субъект в короткие сроки, при этом по истечении сроков хранения они подлежат уничтожению.

В свою очередь, операторы и третьи лица, которые получили доступ к персональным данным, должны обеспечивать конфиденциальность этих данных, за исключением следующих случаев:

• • обезличивание персональных данных;
• • общедоступность персональных данных.

В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники при условии письменного согласия субъекта персональных данных могут быть включены фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные субъекта. Сведения о субъекте персональных данных могут быть в любое время исключены из общедоступных источников по требованию субъекта либо по решению суда или иных уполномоченных государственных органов. Сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность (биометрические персональные данные), могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных законодательством.