Отказ от предоставления персональных данных. Персональные данные: кому и как доступно их разглашение? Полномочные органы для предоставления персональных данных

29.06.2019

Являясь владельцем частного бизнеса, управленцем или просто юридически грамотным гражданином, нужно своевременно отслеживать законодательство РФ и его изменения. В последнее время такими актуальными проблемами стали нормы данных гражданина.

Понятие, объект и субъект

Личными данными считается какая-либо достоверная информация, которая имеет связь с сугубо конкретным человеком . К таким сведениям относятся:

возраст, сведения о дате его рождения;
город его рождения и регистрации;
полученное образование;
уровень заработной платы;
семейное положение.

То есть это те сведения, которые позволяют без сомнения определиться с тем, о ком говорится.

Одно из важнейших требований норм закона – это конфиденциальность и неразглашение сведений 3-м лицам.

Субъект ПД – это то лицо, чьи данные используют. Сегодня нормы законов четко и жестко регламентируют, что можно, а что нельзя делать с ПД человека. Совершать действия можно только тогда, когда он не выступает против. Существует перечень встречающихся фактов , когда такое согласие обязательно должно писаться от руки. Например, использование сведений о национальности, предпочтении в политических взглядах, какие-либо факты о том, насколько здоров субъект и о его закрытой жизни.

Также подобного соглашения никто не уполномочен размещать ПД (персональные данные) в известные всем каналы, например, в интернет.

Что такое объект ПД? Это прежде всего:

данные, характеризующие конкретную личность ;
факты того, женат/замужем ли человек;
факты, по которым можно опознать, а также сведения о предках и биографии;
информация о болезнях и лечении.

Объекты персональной информации можно встретить в таких документах, как:

паспорт гражданина либо какой-то другой ценный носитель удостоверения личности ;
справки, содержащие сведения о полученных суммах с предыдущего предприятия;
документы на ребенка, свидетельство о вступлении в брачные отношения;
анкета, которую работодатели просят заполнить, приходя на собеседование;
аттестат либо какой-то еще документ об образовании;
трудовая книжка;
военный билет;

Нюансы законодательства

Сфера вышеописанных вопросов основывается и регулируется Конституцией РФ , федеральным законодательством нашей страны и международными соглашениями РФ.

Федеральный закон «О персональных данных» от 27.07.2006 № 152-ФЗ регулирует данные отношения наиболее основательно.

Принципы:

Нацеленность на результат может быть самой различной. Среди них:

трудоустройство гражданина на рабочее место;
оказание медицинских услуг;
устройство в детский сад, школу, лагерь;
обеспечение безопасности работника.

Соблюдение законности также регулируется и Трудовым кодексом . Например, ч. 8 ст. 86 ТК РФ гласит, что Регламент о данных должны подписать все работники или их законные представители.

При этом как правило работодатель оформляет нужный журнал для сбора и сохранности подписей.

Оборот сведений

Сфера оборота ПД включается в себя множество операций, основные из которых рассмотрим ниже.

Предоставление информации – действия, согласно которым данные передают каким-либо другим лицам.

В настоящее время список организаций, которые запрашивают их, достаточно внушителен:

школы;
больницы;
банки и другие кредитные учреждения;
организации, в которые подается заявление на трудоустройство и многие другие.

Соблюдать закон должна абсолютно любая компания, в чьи руки попадают индивидуальные сведения о физлицах. Многие фирмы, например, продавая товары или услуги, собирают данные своих клиентов. Они обязаны четко действовать в этом отношении. ООО или ИП должны вносить изменение в бланках договорных документов как со своими работниками, так и с клиентами. Как вариант, разработать и прописать в договоре специальную форму согласия на обработку ПД.

Обработка – это приведение данных в соответствии с системой, процедура сбора, накопления, хранения и передачи, использования в соответствии с целями, удаления и других манипуляций со знаниями о физлице.

Совет! На сайте компании, где происходит оформление заказа, рекомендуется сделать обязательной отметку о персональных сведениях. Что клиент согласен их предоставить. А также то, что работники компании имеют право их передавать в курьерскую службу.

Стоит помнить, что какое-либо использование персональных данных может быть только добровольным, за исключением некоторых случаев, предусмотренных законом.

Регулирует вышеописанные отношения между субъектом и оператором (организация, которая собирает, обрабатывает, использует данные) Спецорган — Роскомнадзор. Периодически им проводятся плановые проверки в тех или иных организациях. Кроме Роскомнадзора отследить соблюдения фз может и Роструд. Грамотный руководитель не будет ждать очередного штрафа, а создаст у себя в организации на основе политику в отношении обработки ПД.

Она будет включать приказы , ознакомления, положения и акты для всех работников организации.

В Регламенте ПД могут, например, содержаться следующие аспекты:

Что именно в том или ином случае есть персональные данные;
Фактические сведения каких документов работодатель будет предоставлять в органы.
Кто из коллег будет иметь права работы с ПД. Соответственно кто будет отвечать за соблюдения всех актов и норм.
Какие применяются меры в вопросе сохранения и неразглашения.
Порядок передачи фактов о физическом лице внутри фирмы и третьим лицам.
Процедура уточнения информации по персональным данным, порядок их блокировки и удаления.

Особенности предоставления личных данных

В части 1 ст. 9 Закона № 152-ФЗ имеется ремарка, что согласиться гражданин может только в полном сознании и понимании того, что делает. Целью данного регламента является обеспечение права и свободы гражданина, в том числе на неприкосновенность частной жизни, а также семейные тайны.

Гражданин вправе отказаться в любое время от ранее данного согласия, если у него нет желания на их разглашение. Тем более, если такие сведения каким-то образом ущемляют его права и интересы. Сделать это можно, написав заявление в определенном формате. Оформить это нужно в двух экземплярах, один остается на руках с отметкой о вручении второго оператору.

Однако во многих организациях, в том числе и при трудоустройстве, использование данных о человеке является обязательным для заключения договорных отношений. При таком условии отказаться от предоставления нельзя.

Кроме соглашения на использование ПД необходимо получить положительное решение на передачу 3-м лицам.

Есть определенные исключения, когда лица могут передавать вышеописанные данные гражданина без его согласия. К таким случаям относится:

При этом кредитное учреждение, банковские работники, сотрудники страховых компаний в этот перечень не входит. Туда информация попадает с согласия от руки личности.

Ответственность за нарушения

За несоблюдение требований предусмотрена административная ответственность. Согласно статье 13.11 Кодекса РФ об административных правонарушениях наказание не такое уж и серьезное – предупреждение либо штраф в размере от 500 до 1 000 рублей (для гражданских лиц), в диапазоне 5 000 — 10 000 рублей (для юр. лиц). Такая относительно легкая ответственность несоизмерима со сложностью и громоздкостью самого документа. В настоящее время на рассмотрении находятся поправки к закону, согласно которым штрафы могут быть увеличены до 300000 рублей.

Наряду с такой легкой формой наказания в законе есть информация о возможности возбуждения уголовного дела в определенных случаях.

Закон принят - значит его нужно соблюдать, своевременно отслеживая поправки и изменения.

Подробнее о передаче персональных данных смотрите ниже на видео.

В сентябре Роскомнадзор дал разъяснения по закону о персональных данных в форме вопросов и ответов. Публикуем их.

Что такое Уполномоченный орган по защите прав субъектов персональных данных и на кого возложена реализация этих функций?

Уполномоченный орган — федеральный орган исполнительной власти, осуществляющий функции контроля и надзора в сфере информационных технологий и связи. В настоящее время, в соответствии с постановлением Правительства от 16 марта 2009 года № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций» данная функция возложена на Роскомнадзор.

Кто может являться оператором персональных данных?

В соответствии с п. 2 ст.3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.При этом операторами указанные органы и лица являются независимо от включения в реестр операторов, осуществляющих обработку персональных данных, который ведет Роскомнадзор.

В каких случаях операторами не должна обеспечиваться конфиденциальность персональных данных?

В соответствии с ч. 2 ст.7 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обеспечения конфиденциальности персональных данных не требуется:

1) в случае обезличивания персональных данных;

2) в отношении общедоступных персональных данных.

В каких случаях для обработки персональных данных не требуется согласия субъекта персональных данных?

Согласно ч. 2 ст.6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» согласия субъекта персональных данных не требуется в следующих случаях:

1) обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;

1.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;(п. 1.1 введен Федеральным законом от 25.11.2009 № 266-ФЗ)

2) обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;

3) обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;

4) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

5) обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;

6) обработка персональных данных осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

7) осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Кто должен запрашивать согласие работников предприятия на обработку персональных данных при их передаче для обработки другому оператору?

Получить согласие работника на передачу его персональных данных для обработки другому оператору должна администрация предприятия, на котором работает субъект персональных данных.

В каких случаях оператор вправе осуществлять обработку персональных данных без уведомления уполномоченного органа по защите прав субъектов персональных данных?

В соответствии с ч.1 ст.22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных. Исключение составляют случаи, предусмотренные ч.2 комментируемой статьи, при обработке персональных данных:

1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;

4) являющихся общедоступными персональными данными;

5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;

6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;

7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;

8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.Уведомление должно быть направлено в письменной форме и подписано должностным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации

Образец формы уведомления об обработке персональных данных и методические рекомендации по его заполнению размещены на официальном сайте Роскомнадзора .

Какая ответственность предусмотрена за нарушения оператором требований Федерального закона «О персональных данных»?

Ст.24 Федерального закона «О персональных данных» определяет ответственность за нарушение данного Федерального закона, которая выражается в виде уголовной, административной, дисциплинарной и иной предусмотренной законодательством Российской Федерации ответственности.Административная ответственность за нарушение настоящего Федерального закона наступает за:

— неправомерный отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, либо несвоевременное предоставление таких документов и материалов, непредставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации (ст.5.39 КоАП РФ);

— нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) (ст.13.11 КоАП РФ);

— разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность) (ст.13.14 КоАП);

— непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде (ст.19.7 КоАП РФ).

Кроме того, за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, и неправомерный доступ к охраняемой законом компьютерной информации российским законодательством предусмотрена уголовная ответственность, предусмотренная ст.137, 272 УК РФ.

Вправе ли кредитная организация обрабатывать персональные данные физических лиц, получивших отказ в предоставлении кредита? Возможно ли хранить формы анкет-заявок на получение кредита в формате цифровых копий?

Персональные данные субъектов персональных данных, полученные кредитной организацией при рассмотрении заявок на получение кредита, в случае отрицательного решения кредитной организации подлежат уничтожению в срок, не превышающий трех рабочих дней с даты принятия соответствующего решения.

Обращаем Ваше внимание, что типовые формы документов, характер информации в которых предполагает или допускает включение в них персональных данных, могут храниться в формате цифровых копий при соблюдении требований к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 17 ноября 2007 года № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».

Возможно ли получение согласия на обработку персональных данных по телефону?

Получение согласия на обработку персональных данных по телефону, посредством СМС-сообщений действующим законодательством Российской Федерации не установлено.

Что является доказательством получения согласия на обработку персональных данных при покупке товаров в интернет-магазинах?

При заполнении вэб-формы заявки на покупку товара на сайте интернет-магазина в информационно-телекоммуникационной сети «Интернет» критерием, свидетельствующим о получении оператором согласия субъекта персональных данных на обработку его персональных данных, является файл электронной цифровой подписи.

Кроме того, предложение оператора о продаже товара в отдельных случаях может рассматриваться как публичная оферта. Таким образом, субъект персональных данных, акцентируя указанную оферту, тем самым осуществляет конклюдентные действия, выражающие его волю и согласие на обработку его персональных данных, предоставленных при заполнении заявки на покупку товаров.

Вправе ли оператор запрашивать сведения о судимости?

В соответствии с ч.3 ст.10 Федерального закона «О персональных данных» обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.

Какие иностранные государства обеспечивают адекватную защиту персональных данных?

До начала осуществления трансграничной передачи персональных данных оператор, осуществляющий обработку персональных данных (далее — Оператор) на территории Российской Федерации, обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных.

Критериев, определяющих адекватность защиты прав субъектов персональных данных на территории иностранного государства, действующим законодательством Российской Федерации не предусмотрено.Оператору, осуществляющему трансграничную передачу персональных данных, необходимо руководствоваться законодательством иностранного государства, на территорию которого осуществляется передача персональных данных, законодательством Российской Федерации в области защиты прав субъектов персональных данных, а также международными нормативными актами, в том числе Конвенцией о защите прав физических лиц при автоматизированной обработке персональных данных от 28 января 1981 года ETS № 108 с учетом перечня стран, подписавших и ратифицировавших данную Конвенцию. Это Австрия, Бельгия, Болгария, Дания, Великобритания, Венгрия, Германия, Греция, Ирландия, Испания, Италия, Латвия, Литва, Люксембург, Мальта, Нидерланды, Польша, Португалия, Румыния, Словакия, Словения, Финляндия, Франция, Чехия, Швеция, Эстония.

Вторая группа, которые могут претендовать на статус стран, обеспечивающих адекватную защиту персональных данных, это страны, имеющие общенациональные нормативные правовые акты в области защиты персональных данных и уполномоченный надзорный орган по защите прав субъектов персональных данных. Это Андорра, Аргентина, Израиль, Исландия, Канада, Лихтенштейн, Норвегия, Сербия, Хорватия, Черногория, Швейцария, Южная Корея, Япония.

Распространяются ли требования Федерального закона «О персональных данных» на юридическое лицо иностранного государства?

Требования Федерального закона «О персональных данных» распространяются на представительства юридических лиц иностранных государств, осуществляющих деятельность по обработке персональных данных на территории Российской Федерации.

Является ли веб-сайт информационной системой обработки персональных данных?

Согласно пункту 9 статьи 3 Федерального закона «О персональных данных» информационная система персональных данных — информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.В случае соответствия веб-сайта указанным требованиям он является информационной системой.

Как документально оформить факт уничтожения персональных данных субъекта?

Порядок документальной фиксации уничтожения персональных данных субъекта определяется оператором персональных данных самостоятельно. Уничтожение персональных данных субъекта осуществляется комиссией либо иным должностным лицом, созданной (уполномоченным) на основании приказа Оператора. Наиболее распространенными способами документальной фиксации уничтожения персональных данных субъекта является оформление соответствующего акта о прекращении обработки персональных данных либо регистрация факта уничтожения персональных данных в специальном журнале. Типовая форма акта и журнала утверждаются самим Оператором.

Существуют ли стандарты или рекомендации по исполнению Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» операторами?

Да, такие документы, разработанные отдельными представителями операторского сообщества, существуют:

— методические рекомендации для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости .

Имеющая непосредственное отношение к физическому лицу . Под предоставлением этих данных подразумеваются действия, направленные на выдачу подобной ограниченной информации одному или нескольким лицам.

Получение подобного запроса может произойти как от организаций, представляющих трудовое законодательство (налоговые органы, пенсионный фонд и т.д), так и от представителей полиции или прокуратуры. Последний случай объясняется участием в уголовном или административном процессе. При этом согласие гражданина на предоставление этих сведений не требуется.

Правила рассмотрения обращений от субъектов или их представителей

Рассмотрение названных обращений называется — регламентом по реагированию на запросы или их представителей и занимается ими начальник, заместитель или уполномоченное должностное лицо, в число обязанностей которых входит . Данные должностные лица обеспечивают:

Своевременное, объективное и всестороннее рассмотрение документа.
Отправку ответов в письменной форме по существу запроса.
Принятие мер для восстановления или защиты нарушенных прав и интересов субъекта.
Все поступающиеся запросы фиксируются в день поступления. На бумагах ставится штамп с указанием даты и входящего номера.

Документ прочитывается и проверяется на повторность. В некоторых случаях сверяется с прошлой перепиской (если таковая есть). При наличии обращений в прошлом, запрос может быть повторен спустя 30 дней после последнего обращения.

После прохождения регистрации запросы отправляются руководителю компании или его заместителю, которым определяется срок и порядок рассмотрения. После чего даются указания исполнителям.

Во время рассмотрения запроса должностным лицам следует :

При отказе в предоставлении указанной в обращении информации о выбранном субъекте, уполномоченные должностные лица должны предоставить мотивированный ответ в письменной форме со ссылкой на часть 8 ст. 14 Федерального закона или иного закона, который может послужить основание для отказа, в течении 30 дней со дня обращения или с даты получения запроса.

Кому можно предоставлять личные сведения?

Получить названные сведения на основе законодательства имеют право:

Фонд социального страхования РФ.
Налоговые органы.
Федеральная инспекция труда.
Пенсионный фонд РФ.
Иные органы государственного контроля и надзора за выполнением трудового законодательства.

В этих случаях не требуется получения нового согласия со стороны субъекта, кроме того, что было предоставлено работодателю.

Имеют ли право их запрашивать определенные органы и какие?

В пункте выше уже были указаны организации, которые по закону имеют право на получение информации. Однако существуют другие лица и организации, которые могут затребовать персональные сведения .

Адвокаты

Названные лица имеют право запрашивать любые данные, значимые для дела:

Справки от уполномоченных лиц.
Сведения о деятельности гражданина.
Характеристики.

Но не вся информация подлежит разглашению. Адвокат может получить отказ в следующих случаях:

Лицо, к которому поступил запрос, не обладает этими документами.
Нарушены требования по форме запроса.
Сведения имеют ограниченный доступ (коммерческие, государственные или личные тайны).

Также адвокат не имеет права требовать информацию о персональных данных, за исключением случаев, когда на это дается официальное согласие.

Сотрудники полиции

В соответствии с п.4 ч.1 ст.13 Федерального закона от 07.02.2011 «О Полиции» , сотрудник имеет право при расследовании уголовных дел или административных правонарушений, а также при проверке заявлений о возможных нарушениях, запрашивать и получать персональные данные граждан на безвозмездной основе. Подобные обращения должны быть мотивированы. При передаче этих персональных данных работникам полиции по их запросу, согласие самих граждан не нужно.

Следователи прокуратуры

В была дополнена пунктом, который расширяет права организации на получение доступа к информации, в число которой входят и . Обработка поступивших данных в установленных законом РФ случаях проводится органами прокураторы из-за осуществления прокурорского надзора.

Это документ должен составляться в соответствии с Федеральным законом № 152-ФЗ «О персональных данных» . В документе следует указать следующую информацию :

ФИО субъекта, сведения о котором необходимо предоставить, или его официального представителя.
Номер документа, удостоверяющего личность человека, дата получения и орган, который его выдал.
Дата написания запроса и подпись 3-й стороны, т.е тех от кого он исходит.

Составление документа выполняется по следующему алгоритму:

Прописывается шапка запроса (с указанием того, кто направляет документ и его идентификационные данные).
Кому предназначается данный запрос (наименование и адрес организации).
Содержание (указываются причины, по которым требуется предоставить выбранные сведения и их обоснование в соответствии с фактами и законодательством).
Подпись и печать отправляющего органа.

Ответное обращение

В ответ на поступивший запрос требуется составить ответное обращение , в котором должна содержаться следующая информация:

Название органа, от которого поступил запрос.
Наименование и адрес оператора.
Гражданство сотрудника, чьи данные были затребованы.
ФИО, паспортные данные субъекта, адрес регистрации.
Занимаемая должность.
Сведения о трудовой деятельности в соответствии с отметками в трудовой книге (прилагаемые номера приказов также записываются).

Во время отправления ответа нельзя нарушать передаваемой информации, поэтому бланк с соответствующими сведениями должен заполняться и отправлять уполномоченным лицом – оператором.

Получить персональную информацию могут многие законодательные органы без предварительного разрешения со стороны субъекта . Причиной этому может служить участие в уголовном или административном процессе. Также многие организации, связанные с трудовым законодательством, имеют право запрашивать эти данные у работодателя.

Когда оператор должен уведомлять власти об осуществлении обработки персональных данных?

Какие ведомства вправе проводить проверки операторов персональных данных?

Могут ли адвокаты, прокуроры, судебные приставы получать персональные данные?

Какова ответственность за нарушение закона о защите персональных данных?

Правовую основу регулирования отношений в сфере персональных данных составляет Федеральный закон от 27 сентября 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) и принятые в соответствии с ним иные нормативные правовые акты. Действие законодательства о персональных данных распространяется на все государственные и муниципальные органы, юридические и физические лица, включая индивидуальных предпринимателей.

Персональные данные – любая информация, относящаяся прямо или косвенно к физлицу (субъекту персональных данных). Сюда, в частности, относятся фамилия, имя, отчество субъекта, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другие данные.

Любые действия или операции с персональными данными называются обработкой персональных данных. К таким действиям относятся: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Все эти действия могут совершаться с помощью средств автоматизации или без использования таковых.

Юридические и физические лица (в том числе индивидуальные предприниматели), государственные и муниципальные ведомства, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки, состав данных, подлежащих обработке, действия (операции), совершаемые с персональными данными, называются операторами персональных данных (ст. 3 Закона № 152-ФЗ).

Наша справка

Конституцией установлено: каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени, на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются (статьи 23 и 24)

Нанимая сотрудников, индивидуальный предприниматель получает персональные данные физлиц. Но, помимо сведений о работниках, в ходе деятельности ИП получает информацию о партнерах, клиентах. Все эти данные тоже подпадают под действие Закона №152-ФЗ. В частности, необходимость соблюдения мер по защите персональных данных относится к туроператорам, гостиницам, продавцам, реализующим свои товары дистанционным способом, которые при заключении договора запрашивают у потребителя информацию о его персональных данных (ст. 19 Закона № 152-ФЗ, п. 16 Правил продажи товаров дистанционным способом, утвержденных постановлением Правительства РФ от 27 сентября 2007 г. № 612), общественным, политическим и религиозным организациям, которые при приеме в свои ряды новых членов запрашивают их персональные данные, к операторам телефонных и интернет-услуг.

Обязанности оператора персональных данных

До начала обработки персональных данных оператор обязан направить уведомление в территориальное отделение Роскомнадзора по месту своего нахождения. Форма бланка и рекомендации по его заполнению утверждены приказом Роскомнадзора от 16 июля 2010 г. № 482.

В статье 22 Закона № 152-ФЗ приведен закрытый перечень случаев, когда направлять уведомление не нужно (таблица 1).

Таблица 1

Случаи, когда оператор вправе осуществлять обработку персональных данных без уведомления Роскомнадзора

	Случай
	Персональные данные обрабатываются в соответствии с трудовым законодательством
	Персональные данные получены оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных
	Субъект персональных данных сделал данные общедоступными
	Персональные данные включают в себя только фамилии, имена и отчества субъектов персональных данных
	Персональные данные необходимы в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях
	Персональные данные включены: – в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем; – в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка
	Персональные данные обрабатываются без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных
	Персональные данные обрабатываются в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства
	Персональные данные относятся к членам (участникам) общественного объединения или религиозной организации и обрабатываются соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством РФ, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных

Оператор обязан принимать меры по защите персональных данных, но при этом перечень таких мер он вправе определять самостоятельно. К ним, в частности, отнесены следующие меры: назначение ответственного лица, издание внутренних документов по защите персональных данных, осуществление контроля за их соблюдением, ознакомление своих работников с действующими нормативами в области защиты персональных данных и своими внутренними правилами. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных (ст. 18.1 Закона № 152-ФЗ).

Оператор персональных данных обязан в течение 30 дней предоставить информацию о наличии у него персональных данных и предоставить возможность ознакомления с ними субъекту персональных данных, а также Роскомнадзору и его территориальным органам по соответствующим запросам (п. 1 и 4 ст. 20 Закона № 152-ФЗ).

Контроль за обработкой персональных данных

Контроль и надзор за обработкой персональных данных осуществляют несколько ведомств. Роскомнадзор в целом контролирует обработку персональных данных в соответствии с требованиями законодательства. Кроме того, ведомство ведет реестр операторов, осуществляющих обработку персональных данных.

Федеральная служба по техническому и экспортному контролю (ФСТЭК) осуществляет надзор за техническими средствами обработки персональных данных за исключением криптографических средств. Кроме того, полномочиями по контролю за выполнением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах наделена ФСБ РФ. Надзорными полномочиями в сфере персональных данных обладает прокуратура в силу статьи 1 Федерального закона «О прокуратуре РФ» от 17 января 1992 г. № 2202-1.

Требования и распоряжения ведомств, не уполномоченных осуществлять контроль и надзор в сфере защиты персональных данных, являются неправомерными. Федеральный арбитражный суд Северо-Кавказского округа в постановлении от 22 июля 2011 г. № А32-26161/2008 отметил, что налоговая инспекция, направив компании требование об отключении от системы электронного документооборота из-за нарушений законодательства о персональных данных, нарушила право фирмы на свободу предпринимательской деятельности. Инспекторы, допустив излишний административный контроль, вышли за пределы своей компетенции.

Согласие на обработку персональных данных

Обработка персональных данных осуществляется оператором с согласия субъекта персональных данных, за исключением отдельных случаев, которые рассмотрим позже.

Субъект персональных данных предоставляет информацию и дает свое согласие на ее обработку руководствуясь исключительно своей волей и своими интересами. Кстати, дать согласие на обработку персональных данных может и представитель субъекта персональных данных, но в этом случае обязательно должен быть документ, подтверждающий полномочия данного представителя давать согласие от имени субъекта (доверенность).

Согласие должно быть конкретным, информированным и сознательным, выражаться прямо, а не быть предположением. Так, в одном судебном деле оператор услуг телефонной связи был привлечен к административной ответственности за то, что в типовом договоре на оказание услуг междугородной и международной телефонной связи был определен только порядок предоставления данных услуг, но отсутствовало непосредственное указание о согласии или отказе абонента на доступ к указанным услугам и на предоставление сведений о нем третьим лицам (постановление Федерального арбитражного суда Северо-Западного округа от 13 мая 2009 г. № А66-17/2009).

Согласие дается в письменной форме и должно включать в себя определенные сведения, установленные статьей 9 Закона № 152-ФЗ (таблица 2).

Равнозначным согласию, содержащему собственноручную подпись субъекта, признается согласие, которое дано в форме электронного документа, подписанного электронной подписью (п. 4 ст. 9 Закона № 152-ФЗ).

Обязанность предоставить доказательства согласия субъекта персональных данных на их обработку возлагается на оператора.

Таблица 2

Сведения, которые должны содержаться в согласии субъекта персональных данных на обработку информации

	Сведения
	Фамилия, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе
	Фамилия, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных)
	Наименование или фамилия, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных
	Цель обработки персональных данных
	Перечень персональных данных, на обработку которых дается согласие субъекта персональных данных
	Наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу
	Перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных
	Срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом
	Подпись субъекта персональных данных

В некоторых случаях, названных в статье 6 Закона № 152-ФЗ, получать согласие от субъекта персональных данных необязательно (таблица 3).

Согласие субъекта персональных данных на их обработку не обязательно, если она осуществляется в рамках исполнения заключенного с ним договора. Так, суд отклонил довод истца о нарушении его прав на защиту персональных данных из-за звонка на его личный телефон со стороны ответчика, действующего по поручению кредитора истца. Истец не погасил задолженность перед кредитором, и тот поручил взыскание задолженности третьему лицу, сообщив персональные данные должника. Суд отметил, что в данном случае специально выраженного согласия не требуется (кассационное определение Омского областного суда от 10 ноября 2010 г. № 33-7056/2010). В постановлении Федерального арбитражного суда Восточно-Сибирского округа от 12 мая 2011 г. № А33-10809/2010 отмечено, что предоставление управляющей компанией физическим лицам, проживающим в обслуживаемых домах, платежных документов с указанием в них персональных данных последних, является частью деятельности последней в рамках принятых на себя обязательств по управлению жилыми домами.

Еще один случай – клиенты заказывают товары, работы или услуги, заполняя анкету на сайте в электронном виде, содержащей сведения о персональных данных. Отдельное согласие на обработку данных не потребуется. Отправляя свои данные по указанному алгоритму заполнения анкеты, физические лица фактически выражают свое согласие на передачу своих персональных данных, то есть при обработке персональных данных письменное согласие считается полученным (постановление Федерального арбитражного суда Северо-Западного округа от 13 декабря 2010 г. № А56-73636/2009).

Согласие субъекта на обработку персональных данных в государственных информационных реестрах не требуется, если он первоначально сам направил туда сведения о себе. Федеральный арбитражный суд Московского округа в постановлении от 9 ноября 2007 г. № КГ-А40/11450-07 отметил, что, становясь акционером общества, сведения о котором содержатся в ЕГРЮЛ, лицо тем самым выражает свое согласие на использование его персональных данных в ЕГРЮЛ.

Некоторые сведения не относятся к информации, подпадающей под действие закона о защите персональных данных. Например, не является конфиденциальной информацией сведения о том, что гражданин не оплачивает коммунальные услуги. Подобная информация не относится к частной жизни этого лица и не является тайной, которую лицо, обладающее этой информацией, не вправе разглашать в силу своих профессиональных обязанностей (кассационное определение Пермского краевого суда от 5 октября 2010 г. № 33-8722). Кроме того, наличие персональных данных в материалах надзорного производства прокуратуры не является их обработкой, в связи с чем действия прокуратуры не могут быть признаны незаконными (кассационное определение Санкт-Петербургского городского суда от 8 декабря 2010 г. № 33-16601).

Таблица 3

Случаи обработки персональных данных, когда получать согласие субъекта персональных данных необязательно

	Обработка персональных данных:
	необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей
	необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве
	необходима для предоставления государственной или муниципальной услуги в соответствии с Федеральным законом от 27 июля 2010 года № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», для обеспечения предоставления такой услуги, для регистрации субъекта персональных данных на едином портале государственных и муниципальных услуг
	необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем
	необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно
	необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных
	необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности СМИ либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных
	осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 Закона № 152-ФЗ, при условии обязательного обезличивания персональных данных
	осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе
	осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом

Назовем еще несколько ситуаций по вопросу предоставления персональных данных на основе судебной практики.

Предоставление персональных данных без согласия субъекта допускается арбитражному управляющему. Он в силу статей 66 и 67 Федерального закона о банкротстве от 26 октября 2002 г. № 127-ФЗ вправе получать любую информацию и документы, касающиеся деятельности должника (постановление Федерального арбитражного суда Западно-Сибирского округа от 1 сентября 2010 г. № А70-13989/2009).

Не допускается представление персональных данных миграционной службой военному комиссару. Действия миграционной службы в части исполнения законодательства о воинской обязанности и военной службе носят самостоятельный характер и не предусматривают предоставление информации по лицам, уклоняющимся от воинской службы (решение Первореченского районного суда г. Владивостока от 26 января 2011 г. № 2-287/11).

Персональные данные не могут предоставляться Федеральной антимонопольной службе и Федеральной службе по финансовым рынкам. Данным ведомствам не предоставлено право запрашивать информацию о персональных данных (постановления Федерального арбитражного суда Уральского округа от 18 мая 2011 г. № Ф09-2525/11-С1, Федерального арбитражного суда Московского округа от 5 августа 2010 г. № КА-А40/8263-10).

Адвокаты не имеют права запрашивать у ведомств персональные сведения. Право адвоката собирать сведения, необходимые для оказания юридической помощи, и обязанность соответствующего органа ему такую информацию предоставить, не распространяется на установленные законом конфиденциальные сведения. Причем, непредставление адвокату конфиденциальной информации не препятствует реализации адвокатом права на оказание квалифицированной юридической помощи (постановление Федерального арбитражного суда Восточно-Сибирского округа от 18 декабря 2008 г. № А58-558/08-Ф02-6318/08, Определение Московского городского суда от 8 ноября 2010 г. № 33-31358).

Отдельного рассмотрения заслуживает вопрос о предоставлении персональных данных судебным приставам.

Предоставление персональных данных судебным приставам

До определенного времени суды единодушно указывали, что судебные приставы не имеют права на получение персональных данных. Арбитры исходили из следующего.

Согласие субъекта персональных данных не требуется в случаях, когда обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора. Ни законом об исполнительном производстве (Федеральный закон от 2 октября 2007 г. № 229-ФЗ), ни законом о судебных приставах (Федеральный закон от 21 июля 1997 г. № 118-ФЗ) названные необходимые условия обработки персональных данных не установлены. В частности, названные законы не содержат перечень субъектов, персональные данные которых подлежат обработке. Соответственно, для предоставления персональных данных третьему лицу, оператору персональных данных необходимо письменное согласие субъекта (постановление Федерального арбитражного суда Поволжского округа от 19 июля 2011 № А12-23512/2010).

Федеральный закон от 25 июля 2011 г. № 261-ФЗ внес изменения в Закон № 152-ФЗ. В частности, статья 6 данного закона предусматривает обработку персональных данных для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством об исполнительном производстве. И согласие субъекта в этих ситуациях не требуется.

Положения Федерального закона от 27 июля 2010 г. № 213-ФЗ о внесении изменений в закон о судебных приставах и статью 64 закона об исполнительном производстве предусматривают, что судебный пристав получает и обрабатывает персональные данные при условии, что они необходимы для своевременного, полного и правильного исполнения исполнительных документов, в объеме, необходимом для этого. Полученные судебным приставом-исполнителем в ходе принудительного исполнения судебных актов, актов других органов или должностных лиц персональные данные обрабатываются им исключительно в целях исполнения исполнительных документов в необходимом для этого объеме с учетом требований, установленных Законом о персональных данных.

Таким образом, в настоящее время закон предоставляет судебным приставам право запрашивать персональные данные у операторов и обрабатывать их, при этом судебный пристав в своем запросе должен указать, каким образом запрашиваемая им информация способствует выполнению исполнительных документов.

Смерть субъекта персональных данных

В случае смерти субъекта персональных данных, согласие на обработку его данных дают наследники, если такое согласие не было дано субъектом при его жизни (п. 7 ст. 9 Закона № 152-ФЗ). К форме и содержанию такого согласия применяются общие правила, установленные для согласия субъекта. При несоблюдении данного требования персональные данные не могут быть предоставлены. Так, организация приняла на себя обязательство изготовить из собственных материалов, доставить и установить, а заказчики (граждане, принявшие на себя обязанность увековечить память погибших) обязались принять надгробные памятники погибшим военнослужащим и ветеранам ВОВ. Организация обратилась в Пенсионный фонд за справкой о военнослужащих, подтверждающих их принадлежность к инвалидам ВОВ, и, получив отказ, обратилась в суд. Отказывая в удовлетворении требований организации, Федеральный арбитражный суд Волго-Вятского округа указал, что у фирмы отсутствовали законные основания для получения персональных данных (постановление от 27 февраля 2009 г. № А38-1119/2008-4-104). В другом деле суд признал неправомерными действия информационного агентства по распространению информации о самоубийстве несовершеннолетней девочки и ее персональных данных без согласия родных. Суд отклонил доводы агентства о том, что согласие не требовалось, поскольку правоспособность и представительство гражданина прекращены с момента его смерти, указав на необходимость обеспечения охраны личных прав гражданина и после его смерти (постановление Федерального арбитражного суда Восточно-Сибирского округа от 1 июля 2008 г. № А33-14182/07-Ф02-2899/08).

Ответственность за нарушение закона о персональных данных

За нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) предусмотрена ответственность в виде предупреждения или штрафа. Штрафы устанавливается в следующих размерах: для граждан от 300 до 500 руб.; для должностных лиц – от 500 до 1000 руб.; для юридических лиц – от 5 тыс. до 10 тыс. руб. (ст. 13.11 КоАП РФ).

Кроме того, сам субъект персональных данных, которому незаконными действиями оператора персональных данных, связанными с их распространением, причинен вред, вправе потребовать компенсации морального вреда или полного возмещения убытков (ст. 11, 12, 15, 152, гл. 59 ГК РФ).

Вопрос: Кто, в каких случаях, и на каких основаниях вправе требовать от организации раскрытия персональных данных без согласия субъекта?

Ответ: Статья 7 закона о персональных данных возлагает на оператора (лицо, ведущее обработку персональных данных) обязанность по соблюдению конфиденциальности персональных данных, находящихся в его распоряжении. Исключения составляют два случая, когда эта обязанность может не соблюдаться: 1) в случае обезличивания персональных данных; 2) в отношении общедоступных персональных данных. Соответственно, требование органов власти о предоставлении информации может быть выполнено организацией только в указанных случаях. Иная ситуация возникает, когда требование о предоставлении (раскрытии) информации исходит от уполномоченного органа. То есть право соответствующего органа власти получать информацию, содержащую персональные данные, должно быть установлено законом. В законе должны быть также определены условия, при которых органами власти предъявляются требования о предоставлении такой информации. Кроме того, законом на уполномоченный орган должен налагаться запрет на разглашение конфиденциальной информации, полученной им при исполнении своих полномочий (тайна предварительного следствия, возложение на антимонопольный орган обязанности по соблюдению охраняемой законы тайны, иное). При таких условиях передача конфиденциальной информации уполномоченному органу не будет считаться ее разглашением. Ниже приведены выдержки из отдельных нормативных актов, которые содержат нормы, регламентирующие деятельность уполномоченных органов при получении ими конфиденциальной информации. Федеральный закон от 17.01.1992 N 2202-1 «О прокуратуре Российской Федерации» (извлечение) Статья 22. Полномочия прокурора 1. Прокурор при осуществлении возложенных на него функций вправе: . по предъявлении служебного удостоверения беспрепятственно входить на территории и в помещения органов, указанных в пункте 1 статьи 21 настоящего Федерального закона, иметь доступ к их документам и материалам, проверять исполнение законов в связи с поступившей в органы прокуратуры информацией о фактах нарушения закона; . требовать от руководителей и других должностных лиц указанных органов представления необходимых документов, материалов, статистических и иных сведений; выделения специалистов для выяснения возникших вопросов; проведения проверок по поступившим в органы прокуратуры материалам и обращениям, ревизий деятельности подконтрольных или подведомственных им организаций; Уголовно-процессуальный кодекс РФ (извлечение) Статья 182. Основания и порядок производства обыска 1. Основанием производства обыска является наличие достаточных данных полагать, что в каком-либо месте или у какого-либо лица могут находиться орудия преступления, предметы, документы и ценности, которые могут иметь значение для уголовного дела. 2. Обыск производится на основании постановления следователя. 3. Обыск в жилище производится на основании судебного решения, принимаемого в порядке, установленном статьей 165 настоящего Кодекса. 7. Следователь принимает меры к тому, чтобы не были оглашены выявленные в ходе обыска обстоятельства частной жизни лица, в помещении которого был произведен обыск, его личная и (или) семейная тайна, а также обстоятельства частной жизни других лиц. Статья 183. Основания и порядок производства выемки При необходимости изъятия определенных предметов и документов, имеющих значение для уголовного дела, и если точно известно, где и у кого они находятся, производится их выемка. Выемка предметов и документов, содержащих государственную или иную охраняемую федеральным законом тайну, предметов и документов, содержащих информацию о вкладах и счетах граждан в банках и иных кредитных организациях, а также вещей, заложенных или сданных на хранение в ломбард, производится на основании судебного решения, принимаемого в порядке, установленном статьей 165 настоящего Кодекса.