О защите персональных данных

До 1 июля 2011 года все предприятия, работающие с персональными данными физических лиц, должны выполнить ряд мероприятий, направленных на обеспечение безопасности этих данных. Речь идёт не только о предприятиях, которые обрабатывают данные физических лиц в связи с проведением разного рода маркетинговых исследований или сбором расширенной информации о клиентах, но и обо всех предприятиях, которые ведут кадровый учёт сотрудников, предоставляют в налоговые органы информацию о доходах или ведут учёт клиентов, при котором так или иначе накапливаются персональные данные.

В июле 2011 года вступает в силу требование Федерального закона № 152-ФЗ «О персональных данных» о приведении систем обработки персональных данных в соответствие с федеральным законом и рядом подзаконных актов, приказов и методик. За разработку конкретных требований по защите отвечают три ведомства: Роскомнадзор, ФСБ и ФСТЭК (Федеральная служба по техническому и экспортному контролю).

Таким образом, любая организация, работающая с данными физических лиц, должна к указанному сроку защитить информационные системы и получить документы, подтверждающие соответствие этих систем требованиям Закона.

Персональные данные — это «информация, относящаяся к определённому или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация». Другими словами, к персональным данным можно отнести любую информацию, которой достаточно, чтобы однозначно определить физическое лицо — субъект персональных данных — и получить о нём какую-либо дополнительную информацию.

Для того чтобы не нарушить требования закона, предприятиям, осуществляющим обработку персональных данных («операторам персональных данных» в терминах 152-ФЗ), необходимо:

• в ближайшее время решить вопрос о направлении уведомления об обработке персональных данных в контролирующий орган, Роскомнадзор;
• за исключением случаев, специально оговорённых в федеральном законе, необходимо разработать форму и получить согласие каждого субъекта на обработку его персональных данных, причём такое согласие помимо всего прочего обязательно должно содержать собственноручную подпись субъекта (либо его цифровую подпись);
• документально описать имеющиеся в организации информационные системы обработки персональных данных, их назначение, состав данных, правовые основания для их обработки, а также обозначить круг лиц, работающих с персональными данными и имеющих к ним доступ;
• разработать ряд нормативных документов, описывающих модели угроз и средства защиты от них персональных данных;
• обеспечить защиту персональных данных техническими (программными, аппаратными) и организационными методами;
• пройти необходимые проверки для подтверждения соответствия систем защиты персональных данных требованиям законодательства.

В ходе этих мероприятий мы рекомендуем:

• назначить сотрудника, ответственного за вопросы защиты персональных данных (и иной информации ограниченного распространения, например информации, составляющей коммерческую тайну, если на предприятии введён режим коммерческой тайны);
• для всех ресурсов и подсистем, содержащих персональные данные, определить их статус (на основании чего они созданы: в соответствии с законодательством, для исполнения договора, по собственной инициативе и т. д.);
• уточнить и зафиксировать состав персональных данных и источники их получения (от гражданина, из публичных источников, от третьих лиц и т. д.);
• установить сроки хранения и сроки обработки данных в каждом информационном ресурсе;
• определить способы обработки;
• определить лиц, имеющих доступ к данным;
• сформулировать юридические последствия обработки персональных данных;
• определить порядок реагирования на возможные обращения субъектов персональных данных, возможные варианты ответов и действий.

Невыполнение требований федерального закона влечёт за собой административную, гражданско-правовую, дисциплинарную и даже уголовную ответственность.

Если говорить об административной ответственности предприятий и их руководителей в ходе вероятных проверок, ожидаемых после 1 июля, то ответственность может наступить по статьям 13.11, 13.12, 13.13 КоАП. На первый взгляд санкция за подобные нарушения невелика. Однако следует иметь в виду, что, в случае обнаружения нарушений закона, проверяющими органами может быть вынесено предписание об устранении нарушений в течение трёх дней. Если предприятие окажется совершенно не готово к проверке, выполнить с нуля весь комплекс работ за три дня представляется невозможным. Таким образом, к указанным санкциям могут добавиться ещё санкции по статьям 19.4, 19.5, 19.6 (невыполнение предписания).

Инспектор может наложить штраф, принять решение о конфискации несертифицированных средств защиты или вынести требование о прекращении обработки персональных данных, что может принести значительные издержки предприятию. Кроме того, предприятие, осуществляющее обработку персональных данных с нарушением закона, несёт риски, связанные с возможными гражданскими исками от субъектов персональных данных, особенно в случаях утечки таких данных.

Владимир Подзоров, генеральный директор компании «Вэлл-Сервис»