Комментарий к Федеральному закону от 27 июля 2006 года
N 152-ФЗ «О персональных данных»
Комментарий к главе 1. Общие положения
Комментарий к статье 1. Сфера действия настоящего Федерального закона
1. Статьей 1 комментируемого Закона определяется сфера действия Закона, а также уточняются отношения, на которые действие этого Закона не распространяется.
Персональные данные (далее также — ПД) могут обрабатывать федеральные органы государственной власти. Под федеральными органами власти следует понимать органы власти, осуществляющие властные полномочия на федеральном уровне. Согласно ст.10 Конституции РФ государственная власть в РФ осуществляется на основе разделения на законодательную, исполнительную и судебную. Статья 11 Конституции РФ определяет, что государственную власть в Российской Федерации осуществляют Президент РФ; Федеральное Собрание (Совет Федерации и Государственная Дума); Правительство РФ; суды РФ.
Действие комментируемого Закона распространяется также на органы государственной власти субъектов РФ, обрабатывающие ПД. На уровне субъектов РФ существуют органы исполнительной и законодательной власти субъектов РФ.
Субъектами, обрабатывающими ПД, также могут быть иные органы государственной власти, кроме тех, что перечислены выше. К ним, например, относятся Центральный банк РФ, Пенсионный фонд РФ, Федеральный фонд обязательного медицинского страхования, Фонд социального страхования РФ, Центральная избирательная комиссия РФ и т.п.
Обработка ПД ведется и органами местного самоуправления.
Согласно ч.1 ст.34 Федерального закона от 6 октября 2003 года N 131-ФЗ «Об общих принципах организации местного самоуправления в Российской Федерации» структуру органов местного самоуправления составляют:
— представительный орган муниципального образования;
— глава муниципального образования;
— местная администрация (исполнительно-распорядительный орган муниципального образования);
— контрольно-счетный орган муниципального образования;
— иные органы и выборные должностные лица местного самоуправления, предусмотренные уставом муниципального образования и обладающие собственными полномочиями по решению вопросов местного значения.
Обработку ПД осуществляют, в том числе, иные муниципальные органы.
Если юридические лица обрабатывают ПД, на них также распространяется действие комментируемого Закона (о юридических лицах см. ст.48 и др. Гражданского кодекса РФ (далее по тексту — ГК РФ)). Стоит учитывать, что требования комментируемого Закона распространяются также на представительства юридических лиц иностранных государств, осуществляющих деятельность по обработке ПД на территории РФ.
Под физическими лицами, осуществляющими обработку ПД в рамках комментируемого Закона, понимаются граждане, осуществляющие предпринимательскую деятельность без образования юридического лица с момента государственной регистрации в качестве индивидуального предпринимателя (см. ст.23 ГК РФ). Обращаем внимание, что согласно ч.1 комментируемой статьи обработка ПД может происходить как с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, так и без использования таких средств.
Понятие информационно-телекоммуникационной сети раскрывается в ст.2 Федерального закона от 27 июля 2006 года N 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее по тексту — ФЗ «Об информации, информационных технологиях и о защите информации»). Под информационно-телекоммуникационной сетью понимается технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники. Таким образом, нормы комментируемого Закона теперь распространяются и на участников и операторов передачи голосовых и иных сообщений (данных) по сетям связи (например, передача сообщений по электронной или голосовой почте и т.п.).
Порядок обработки ПД без использования средств автоматизации регулируется комментируемым Законом в том случае, если такая обработка, как установлено в ч.1 комментируемой статьи, соответствует характеру действий (операций), совершаемых с ПД с использованием средств автоматизации.
Под обработкой ПД без использования средств автоматизации здесь понимается такая обработка ПД, которая позволяет осуществлять в соответствии с заданным алгоритмом поиск ПД, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях ПД, и (или) доступ к таким данным. Таким образом, действия комментируемого Закона распространяются только на массовую обработку ПД. Например, создание в организации картотеки данных клиентов на бумажных носителях будет считаться обработкой ПД без использования средств автоматизации и подпадать под действие комментируемого Закона.
Под средствами автоматизации понимаются технические средства, освобождающие человека частично или полностью от непосредственного участия в процессах получения, преобразования, передачи и использования информации. В качестве примера можно привести автоматизированные банковские системы, содержащие данные о сотрудниках банка, о клиентах, партнерах, биллинговые системы, содержащие данные о клиентах, осуществляющих оплату услуг, call-центры, содержащие данные о клиентах и сотрудниках в зависимости от предназначения call-центра, автоматизированные медицинские системы, содержащие данные о пациентах и т.п.
Автоматизированная обработка ПД включает в себя действия с автоматизированными файлами ПД. В случае с обработкой ПД понятие «автоматизированный файл ПД» обозначает любой комплекс данных о субъектах ПД, подвергающийся автоматизированной обработке.
В ст.2 Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (Страсбург, 28 января 1981 года) «автоматизированная база данных» означает любой набор данных, к которым применяется автоматическая обработка. При этом «автоматическая обработка» включает следующие операции, если они полностью или частично осуществляются с применением автоматизированных средств:
— накопление данных;
— проведение логических или/и арифметических операций с такими данными;
— их изменение, стирание, восстановление или распространение.
Статья 5 указанной Конвенции определяет, ПД, проходящие автоматизированную обработку, должны быть:
— получены и обработаны добросовестным и законным образом;
— накопленными для точно определенных и законных целей и не использоваться в противоречии с этими целями;
— адекватными, относящимися к делу и не избыточными применительно к целям, для которых они накапливаются;
— точными и в случае необходимости обновляться;
— сохранены в такой форме, которая позволяет идентифицировать субъектов данных, не дольше, чем этого требует цель, для которой эти данные накапливаются.
Статьей 6 Конвенции устанавливается, что ПД о национальной принадлежности, политических взглядах либо религиозных или иных убеждениях, а равно ПД, касающиеся здоровья или сексуальной жизни, могут подвергаться автоматической обработке только в тех случаях, когда национальное право предусматривает надлежащие гарантии. Это же правило применяется к ПД, касающимся судимости. Кроме того Конвенция обязывает операторов ПД принимать надлежащие меры для охраны ПД, накопленных в автоматизированных базах данных, от случайного или несанкционированного разрушения или случайной утраты, а равно от несанкционированного доступа, изменения или распространения.
Постановлением Правительства РФ от 15 сентября 2008 года N 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» установлен порядок обработки ПД без использования средств автоматизации. Согласно данному постановлению обработкой ПД, содержащихся в информационной системе ПД либо извлеченных из такой системы, без использования средств автоматизации называется такая обработка, когда действия с ПД, такие как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов ПД, осуществляются при непосредственном участии человека. Из этого следует вывод, что обработка ПД не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что ПД содержатся в информационной системе ПД либо были извлечены из нее. И все же определение того, будет ли обработка ПД считаться автоматизированной или осуществляемой без использования средств автоматизации, является сложным вопросом для операторов. Как показала практика, даже в том случае, когда организация хранит ПД на компьютере только в текстовых файлах формата doc, не включая их в базу, то такая обработка ПД также признается Роскомнадзором автоматизированной, поскольку имеет место запись, систематизация и накопление ПД. Приведем пример. Так, если сотрудник организации занес данные о работниках в компьютер лишь с целью их распечатать, а затем удалил эти данные, такую обработку ПД, на наш взгляд, можно считать неавтоматизированной. Однако если же оператор сохранил ПД в виде файла и хранит их на компьютере для дальнейшего использования, то, полагаем, такую обработку ПД нужно рассматривать, в том числе, и как автоматизированную.
В том случае, если обработка ПД осуществляется без использования средств автоматизации, необходимо учитывать, что такая информация должна обособляться от иной информации. Такие ПД могут, например, фиксироваться на отдельных материальных носителях, в специальных разделах или на полях форм (бланков).
Так, согласно требованиям постановления Правительства РФ от 15 сентября 2008 года N 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» при фиксации ПД на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Поэтому для обработки различных категорий ПД для каждой категории ПД должен использоваться отдельный материальный носитель.
Часто в организациях используются типовые формы документов, характер информации в которых предполагает или допускает включение в них ПД. В этом случае типовая форма должна соответствовать некоторым требованиям. Так, сама типовая форма или связанные с ней документы (например, инструкции по ее заполнению, карточки, реестры и журналы) должны содержать:
— сведения о цели обработки ПД, осуществляемой без использования средств автоматизации;
— имя (наименование) и адрес оператора;
— фамилию, имя, отчество и адрес субъекта ПД;
— источник получения ПД;
— сроки обработки ПД;
— перечень действий с ПД, которые будут совершаться в процессе их обработки;
— общее описание используемых оператором способов обработки ПД.
Кроме того, типовая форма, которая предполагает включение в нее ПД, должна предусматривать поле, в котором субъект ПД может поставить отметку о своем согласии на обработку его данных, осуществляемую без использования средств автоматизации. Такое поле должно быть обязательно, если в соответствии с требованиями комментируемого Закона необходимо получение письменного согласия на обработку ПД от субъекта ПД.
Следует помнить, что типовая форма должна быть составлена таким образом, чтобы каждый из субъектов ПД, содержащихся в документе, имел возможность ознакомиться со своими ПД, содержащимися в документе, не нарушая прав и законных интересов иных субъектов ПД. А также типовая форма должна исключать объединение полей, предназначенных для внесения ПД, цели обработки которых заведомо не совместимы.
Во многих организациях ведутся журналы (реестры, книги), необходимые для однократного пропуска субъекта ПД на территорию, на которой находится оператор, содержащие ПД. В подобных случаях оператором ПД должны выполняться определенные условия. Например,необходимость ведения такого журнала (реестра, книги) должна быть предусмотрена актом оператора. В акте будут содержаться следующие сведения:
— сведения о цели обработки ПД, осуществляемой без использования средств автоматизации;
— способы фиксации и состав информации, запрашиваемой у субъектов ПД;
— перечень лиц (поименно или по должностям), имеющих доступ к материальным носителям и ответственных за ведение и сохранность журнала (реестра, книги);
— сроки обработки ПД;
— сведения о порядке пропуска субъекта ПД на территорию, на которой находится оператор, без подтверждения подлинности ПД, сообщенных субъектом ПД.
Копирование содержащейся в таких журналах (реестрах, книгах) информации не допускается. Кроме того, ПД каждого субъекта ПД могут заноситься в подобный журнал (книгу, реестр) не более одного раза в каждом случае пропуска субъекта ПД на территорию, на которой находится оператор.
Если требуется уточнить ПД, обработка которых осуществляется без использования средств автоматизации, то это должно быть произведено путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, — путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными ПД.
Постановлением Правительства РФ от 15 сентября 2008 года N 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» устанавливаются и требования к обеспечению безопасности ПД при их обработке, осуществляемой без использования средств автоматизации. Обработка ПД должна осуществляться таким образом, чтобы в отношении каждой категории ПД можно было определить места хранения ПД (материальных носителей) и установить перечень лиц, осуществляющих обработку ПД либо имеющих к ним доступ. Необходимо обеспечивать раздельное хранение ПД (материальных носителей), обработка которых осуществляется в различных целях. Важно учитывать, что при хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность ПД и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются оператором.
Пример. Операторы, обрабатывающие ПД неавтоматизированным способом, хранят каждую категорию полученных от граждан ПД в разных папках, ящиках, файлах и т.д. Приказом руководителя организации определяется перечень лиц, которые обрабатывают тот или иной информационный блок либо получают к нему доступ.
Необходимо помнить, что в случае нарушения указанных выше требований оператор может быть привлечен к ответственности (см., например, ст.13.11 Кодекса об административных правонарушениях (далее — КоАП РФ)).
2. Частью 2 комментируемой статьи определяются случаи, на которые не распространяется действие Закона.
Обрабатывать ПД может физическое лицо, не являющееся индивидуальным предпринимателем. При этом ПД обрабатываются в личных целях при условии соблюдения прав субъектов ПД. Таким образом, гражданин имеет право для себя лично вести сбор и накопление ПД, например, на домашнем компьютере (сделать справочник с данными своих знакомых: адресами, фамилиями, датами рождения). Однако Закон требует, чтобы в таких случаях не нарушались права субъектов ПД. То есть, справочник, приведенный в качестве примера, может использоваться гражданином только лично, передача его другим лицам не допустима.
Действие комментируемого Закона не распространяется на организацию, хранение, комплектование, учет и использование содержащих ПД документов Архивного фонда РФ и других архивных документов в соответствии с Федеральным законом от 22 октября 2004 года N 125-ФЗ «Об архивном деле в Российской Федерации». Архивный фонд РФ содержит документы, относящиеся к федеральной, муниципальной и частной собственности, а также собственности субъектов РФ (см. об этом подробнее ст.7, 8, 9 и др. указанного закона).
Обработка таких документов производится в соответствии с Федеральным законом от 22 октября 2004 года N 125-ФЗ «Об архивном деле в Российской Федерации». Так, в ч.3 ст.25 данного закона указывается, что ограничение на доступ к архивным документам, содержащим сведения о личной и семейной тайне гражданина, его частной жизни, а также сведения, создающие угрозу для его безопасности, устанавливается на срок 75 лет со дня создания указанных документов. С письменного разрешения гражданина, а после его смерти с письменного разрешения наследников данного гражданина ограничение на доступ к архивным документам, содержащим сведения о личной и семейной тайне гражданина, его частной жизни, а также сведения, создающие угрозу для его безопасности, может быть отменено ранее чем через 75 лет со дня создания указанных документов.
Действие комментируемого Закона не распространяется на обработку ПД, отнесенных к сведениям, составляющим государственную тайну. При этом порядок отнесения сведений к государственной тайне определен Законом РФ от 21 июля 1993 года N 5485-I «О государственной тайне»; см. также Указ Президента РФ от 30 ноября 1995 года N 1203 «Об утверждении перечня сведений, отнесенных к государственной тайне».
Действие комментируемого Закона также не распространяется на предоставление уполномоченными органами информации о деятельности судов в РФ. Порядок предоставления указанной информации регулируется Федеральным законом от 22 декабря 2008 года N 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации».
Под информацией о деятельности судов понимается информация, подготовленная в пределах своих полномочий судами, Судебным департаментом, органами Судебного департамента, органами судейского сообщества либо поступившая в суды, Судебный департамент, органы Судебного департамента, органы судейского сообщества и относящаяся к деятельности судов.
Доступ к информации о деятельности судов обеспечивается следующими способами:
— присутствием граждан (физических лиц), в том числе представителей организаций (юридических лиц), общественных объединений, органов государственной власти и органов местного самоуправления, в открытом судебном заседании;
— обнародованием (опубликованием) информации о деятельности судов в средствах массовой информации (см. Положение о порядке обнародования (опубликования) информации о деятельности Верховного Суда Российской Федерации в средствах массовой информации и взаимодействия Верховного Суда РФ с редакциями средств массовой информации, утвержденное приказом Председателя Верховного Суда РФ от 14 января 2016 года N 1-П);
— размещением информации о деятельности судов в информационно-телекоммуникационной сети «Интернет» (см. Положение о порядке размещения текстов судебных актов на официальном сайте Верховного Суда РФ в информационно-телекоммуникационной сети «Интернет», утвержденное приказом Председателя Верховного Суда РФ от 14 января 2016 года N 1-П);
— размещением информации о деятельности судов в занимаемых судами, Судебным департаментом, органами Судебного департамента, органами судейского сообщества помещениях (см. Рекомендации по размещению информации в информационных киосках, расположенных в занимаемых Судебным департаментом при Верховном Суде РФ, управлениями (отделами) Судебного департамента в субъектах РФ зданиях (помещениях), утвержденные приказом Судебного департамента при Верховном Суде РФ от 25 декабря 2012 года N 242; см. Методические рекомендации по оформлению судами общей юрисдикции информационных стендов и (или) технических средств аналогичного назначения, утвержденные постановлением Совета судей РФ от 2 декабря 2010 года N 268);
— ознакомлением пользователей информацией с информацией о деятельности судов, находящейся в архивных фондах (см. Положение о порядке ознакомления пользователей информацией с информацией о деятельности Верховного Суда Российской Федерации, находящейся в архивном фонде Верховного Суда РФ, утвержденное приказом Председателя Верховного Суда РФ от 14 января 2016 года N 1-П);
— предоставлением пользователям информацией по их запросу информации о деятельности судов.
В связи с встречающимися частыми ошибками в трактовке норм комментируемой статьи обращаем внимание также на то, что действия арбитражных управляющих по сбору сведений о должнике, его обязательствах и принадлежащем имуществе, а также оглашение этих сведений в заседании арбитражного суда не подпадают под регулирование комментируемого Закона. Такой вывод следует, например, из апелляционного определения Санкт-Петербургского городского суда от 24 июня 2015 года N 33-10102/2015 по делу N 2-1450/2014. В данном случае речь идет, прежде всего, об отношениях, которые регулируются Федеральным законом от 26 октября 2002 года N 127-ФЗ «О несостоятельности (банкротстве)». И здесь под должником понимается гражданин, в том числе индивидуальный предприниматель, или юридическое лицо, оказавшиеся неспособными удовлетворить требования кредиторов по денежным обязательствам, о выплате выходных пособий и (или) об оплате труда лиц, работающих или работавших по трудовому договору, и (или) исполнить обязанность по уплате обязательных платежей в течение срока, указанным выше законом. При этом арбитражным управляющим может быть гражданин РФ, являющийся членом саморегулируемой организации арбитражных управляющих. В свою очередь, саморегулируемой организацией арбитражных управляющих называется некоммерческая организация, обладающая следующими признаками:
— она основана на членстве;
— она создана гражданами РФ;
— сведения об этой организации включены в единый государственный реестр саморегулируемых организаций арбитражных управляющих;
— целями деятельности такой организации являются регулирование и обеспечение деятельности арбитражных управляющих.
Комментарий к статье 2. Цель настоящего Федерального закона
В комментируемой статье определена основная цель Закона. Он призван обеспечить эффективную защиту прав и свобод человека и гражданина в соответствии с основными правами и свободами, провозглашенными Конституцией РФ.
Согласно ст.17 Конституции РФ в России признаются и гарантируются права и свободы человека и гражданина согласно общепризнанным принципам и нормам международного права. Статьи 23-24 Конституции РФ устанавливают, что каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени, право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения. При этом сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются. На органы государственной власти и органы местного самоуправления, их должностные лица возлагается обязанность обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.
В силу ст.150 ГК РФ неприкосновенность частной жизни, личная и семейная тайна, имя гражданина, иные нематериальные блага, принадлежащие гражданину от рождения или в силу закона, неотчуждаемы и непередаваемы иным способом. Указанные блага защищаются в судебном и ином порядке.
В современном мире почти каждый желающий может найти в Интернете информацию о ПД граждан. При этом свои ПД граждане раскрывают зачастую сами, например, оформляя покупку товара с доставкой на дом, регистрируясь на веб-сайте. Но далеко не всегда лица, получающие такую информацию, добросовестно сохраняют ее. Частным нарушением прав граждан в Интернете является размещение фотографий гражданина без его согласия средствами массовой информации или блогерами (изданиями в Интернете). В то время как, в соответствии со ст.152.1 ГК РФ обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина. А после смерти гражданина его изображение может использоваться только с согласия детей и пережившего супруга, а при их отсутствии — с согласия родителей. Такое согласие не требуется только в следующих случаях, когда:
— использование изображения осуществляется в государственных, общественных или иных публичных интересах;
— изображение гражданина получено при съемке, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, спортивных соревнованиях и подобных мероприятиях), за исключением случаев, когда такое изображение является основным объектом использования;
— гражданин позировал за плату.
В случае нарушения прав гражданина, изготовленные в целях введения в гражданский оборот, а также находящиеся в обороте экземпляры материальных носителей, содержащих изображение гражданина, подлежат на основании судебного решения изъятию из оборота и уничтожению без какой бы то ни было компенсации. При этом если изображение гражданина, полученное или используемое с нарушениями вышеупомянутых требований ГК РФ, распространено в Интернете, то гражданин вправе требовать удаления этого изображения, а также пресечения или запрещения дальнейшего его распространения.
Статьей 152.2 ГК РФ охраняется частная жизнь гражданина. Законодатель запрещает без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни. Исключением из этого правила является только следующее:
— обработка информации о частной жизни гражданина в государственных, общественных или иных публичных интересах;
— обработка общедоступной информация о частной жизни гражданина.
Для защиты своих прав гражданин может обратиться в суд с требованием об удалении соответствующей информации, а также о пресечении или запрещении дальнейшего ее распространения путем изъятия и уничтожения без какой бы то ни было компенсации изготовленных в целях введения в гражданский оборот экземпляров материальных носителей, содержащих соответствующую информацию, если без уничтожения таких экземпляров материальных носителей удаление соответствующей информации невозможно.
В последнее время за защитой своих прав в связи с распространением в средствах массовой информации (далее также — СМИ) изображений публичных персон без их согласия или информации об их частной жизни в суд часто обращаются знаменитости.
Рассмотрим пример из судебной практики. Истцы, являющиеся публичными персонами, обратились в суд с иском о защите права на неприкосновенность частной жизни, о защите права на охрану изображения гражданина и взыскании компенсации морального вреда с СМИ. Мотивируя иски, истцы указали, что в печатном СМИ без согласия истцов на обложке был опубликован анонс, содержащий информацию о частной жизни гражданина, и без согласия истцов были использованы их изображения (фотографии). Выслушав участников процесса, исследовав письменные материалы дела и представленные доказательства, суд пришел к следующему выводу. Согласно п.1 ст.8 Конвенции о защите прав человека и основных свобод ETS N 005 (Рим, 4 ноября 1950 года) каждый человек имеет право на уважение его личной и семейной жизни, его жилища и его корреспонденции. В соответствии с положением ч.1 ст.23 и ч.1 ст.24 Конституции РФ каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну. Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются. В соответствии со ст.150 ГК РФ неприкосновенность частной жизни, личная и семейная тайна являются нематериальными благами, принадлежащими гражданину от рождения. В соответствии со ст.152.1 ГК РФ обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускается только с согласия этого гражданина. Согласно ст.49 Закона РФ от 27 декабря 1991 года N 2124-1 «О средствах массовой информации» журналист обязан получить согласие (за исключением случаев, когда это необходимо для защиты общественных интересов) на распространение в средстве массовой информации сведений о личной жизни гражданина от самого гражданина или его законных представителей. В силу ст.56 указанного закона учредители, редакции, издатели, распространители, государственные органы, организации, учреждения, предприятия и общественные объединения, должностные лица, журналисты, авторы распространенных сообщений и материалов несут ответственность за нарушения законодательства РФ о средствах массовой информации. Публичность граждан, исходя из равенства всех перед законом (ч.1 ст.19 Конституции РФ), не влияет на подход суда при решении вопросов о правах, обязанностях и ответственности, закрепленных в нормативных правовых актах РФ. Верховный Суд РФ обращает внимание на то, что концепция частной жизни распространяется также на аспекты, относящиеся к установлению личности, в частности, на изображение лица. В ч.1 ст.29 Конституции РФ определено, что каждому гарантируется свобода мысли и слова. Однако в ч.4 ст.29 Конституции РФ разъясняется, что каждый имеет право свободно искать, получать, передавать, производить и распространять информацию только законным способом, то есть, с учетом соблюдения прав и свобод других лиц, и не допуская их нарушения. Частью 3 ст.17 Конституции РФ установлено, что осуществление прав и свобод человека и гражданина не должно нарушать права и свободы других лиц. Соответственно, осуществление прав и свобод представителей средств массовой информации и читателей на выражение мысли и слова, на сбор и получение информации не должно нарушать прав других граждан на неприкосновенность их частной жизни и на охрану изображения. Как указано в п.7 ст.3 ФЗ «Об информации, информационных технологиях и о защите информации» одним из принципов правового регулирования отношений в сфере информации, информационных технологий и защиты информации является неприкосновенность частной жизни, недопустимость сбора, хранения, использования и распространения информации о частной жизни лица без его согласия. Из содержания ст.152.1 ГК РФ следует, что право на охрану изображения гражданина сформулировано законодателем как абсолютное. Соответственно, гражданин вправе требовать применения соответствующих случаю мер гражданско-правовой защиты от любого лица, неправомерно распространившего сведения о его частной жизни и/или неправомерно использующего его изображение.
Учитывая изложенное, суд посчитал исковые требования о нарушении ответчиком личных неимущественных прав истцов, — права на неприкосновенность частной жизни и права на охрану изображения, — нашедшими свое подтверждение. В связи с указанным, требования истцов о взыскании с ответчика компенсации морального вреда были удовлетворены (см. апелляционное определение Московского городского суда от 20 ноября 2015 года N 33-39646/15; см. также Обзор практики рассмотрения судами дел по спорам о защите чести, достоинства и деловой репутации (утв. Президиумом Верховного Суда РФ 16 марта 2016 года), постановление Пленума Верховного Суда РФ от 24 февраля 2005 года N 3 «О судебной практике по делам о защите чести и достоинства граждан, а также деловой репутации граждан и юридических лиц»).
Во всем мире ПД стремятся защищать на уровне государства, принимая законы, регулирующие порядок сбора, хранения и использования сведений о гражданах страны.
Обеспечивая защиту ПД, Россия укрепляет правовую защищенность и безопасность личности и создает благоприятную обстановку для всестороннего развития граждан и общества в целом.
Комментируемый Закон установил такие гарантии защиты ПД в нашей стране, как:
— ограничение на передачу персональной информации третьим лицам без согласия человека;
— требование к информированию человека о целях и способах обработки информации о нем;
— необходимость получать согласие на сбор сведений о человеке у него самого;
— обеспечение безопасности и конфиденциальности персональных данных.
Основными правовыми актами, защищающими права субъектов ПД, являются:
— комментируемый Закон;
— ФЗ «Об информации, информационных технологиях и о защите информации»;
— Указ Президента РФ от 6 марта 1997 года N 188 «Об утверждении перечня сведений конфиденциального характера»;
— Указ Президента РФ от 30 мая 2005 года N 609 «Об утверждении положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела»;
— Указ Президента РФ от 17 марта 2008 года N 351 «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена»;
— постановление Правительства РФ от 3 ноября 1994 года N 1233 «Об утверждении положения о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти»;
— постановление Правительства РФ от 1 ноября 2012 года N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
— постановление Правительства РФ от 6 июля 2008 года N 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
— постановление Правительства РФ от 15 сентября 2008 года N 687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
— постановление Правительства РФ от 21 марта 2012 года N 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных»;
— приказ Министерства связи и массовых коммуникаций от 21 декабря 2011 года N 346 «Об утверждении Административного регламента Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по предоставлению государственной услуги «Ведение реестра операторов, осуществляющих обработку персональных данных»;
— приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 29 января 2016 года N 82 «О Консультативном совете при уполномоченном органе по защите прав субъектов персональных данных»;
— приказ Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 года N 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
— приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 3 декабря 2012 года N 1255 «Об утверждении Положения об обработке и защите персональных данных в центральном аппарате Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций»;
— Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утв. Федеральной службой по техническому и экспортному контролю 15 февраля 2008 года);
— Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утв. Федеральной службой по техническому и экспортному контролю 14 февраля 2008 года);
— Методические рекомендации по обеспечению с помощью криптографических средств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации (утверждены Центром ФСБ России от 21 февраля 2008 года N 149/54-144);
— Типовые требования по организации и обеспечению функционирования шифро- (крипто-) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных (утверждены 8 Центром ФСБ России от 21 февраля 2008 года N 149/6/6-622).
Среди международных актов, связанных с регулированием порядка обработки ПД, участником которых является Российская Федерация, необходимо отметить Конвенцию Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (Страсбург, 28 января 1981 года) и некоторые другие акты (см. об этом подробнее комментарий к ст.4 Закона).
— приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 3 декабря 2012 года N 1255 «Об утверждении Положения об обработке и защите персональных данных в центральном аппарате Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций»;
— приказ Федерального казначейства от 14 сентября 2012 года N 16н «Об утверждении Положения об организации работы с персональными данными федеральных государственных гражданских служащих центрального аппарата Федерального казначейства, заместителей руководителей территориальных органов Федерального казначейства»;
— приказ Федеральной службы по оборонному заказу от 23 июля 2012 года N 100 «О защите персональных данных федеральных государственных гражданских служащих Рособоронзаказа»;
— приказ Министра обороны РФ от 16 июня 2012 года N 1500 «Об утверждении Положения об обработке персональных данных в центральном аппарате Министерства обороны Российской Федерации»;
— приказ Федеральной службы судебных приставов от 12 мая 2012 года N 248 «Об утверждении Порядка создания и ведения банка данных в исполнительном производстве Федеральной службы судебных приставов в электронном виде»;
— приказ Управления делами Президента РФ от 28 июля 2011 года N 451 «О защите персональных данных федеральных государственных гражданских служащих Управления делами Президента Российской Федерации»;
— приказ Минфина РФ от 4 июля 2011 года N 75н «О защите персональных данных федеральных государственных гражданских служащих Министерства финансов Российской Федерации, заместителей руководителей федеральных служб, находящихся в ведении Министерства финансов Российской Федерации, руководителей их территориальных органов, назначаемых на должность Министром финансов Российской Федерации»;
— приказ Федерального агентства по поставкам вооружения, военной, специальной техники и материальных средств от 22 апреля 2011 года N 116 «О защите персональных данных федеральных государственных гражданских служащих центрального аппарата Федерального агентства по поставкам вооружения, военной, специальной техники и материальных средств»;
— приказ Федерального агентства по печати и массовым коммуникациям от 1 декабря 2010 года N 584 «О защите персональных данных государственного гражданского служащего Федерального агентства по печати и массовым коммуникациям»;
— приказ Федеральной миграционной службы от 26 ноября 2010 года N 423 «Об утверждении Положения о защите персональных данных работников системы ФМС России»;
— приказ Федеральной миграционной службы от 25 ноября 2010 года N 420 «О защите персональных данных федеральных государственных гражданских служащих ФМС России»;
— приказ Минюста РФ от 22 октября 2010 года N 316 «О защите персональных данных федеральных государственных гражданских служащих Минюста России»;
— приказ Федеральной антимонопольной службы от 4 октября 2010 года N 559 «Об утверждении Положения об организации работы с персональными данными федерального государственного гражданского служащего ФАС России и ведении его личного дела»;
— приказ Федеральной службы по экологическому, технологическому и атомному надзору от 17 сентября 2010 года N 919 «Об организации работы с персональными данными государственного гражданского служащего центрального аппарата Федеральной службы по экологическому, технологическому и атомному надзору»;
— приказ Федерального агентства специального строительства от 21 июня 2010 года N 278 «О мерах по защите персональных данных в Федеральном агентстве специального строительства»;
— приказ Федерального агентства железнодорожного транспорта от 7 апреля 2010 года N 137 «Об организации работы с персональными данными государственного гражданского служащего центрального аппарата Федерального агентства железнодорожного транспорта и ведении его личного дела»;
— приказ Федерального медико-биологического агентства от 8 июля 2009 года N 501 «Об утверждении Положения о работе с персональными данными государственного гражданского служащего Федерального медико-биологического агентства и ведении его личного дела»;
— приказ Федеральной службы по надзору в сфере здравоохранения и социального развития от 12 мая 2009 года N 3500-Пр/09 «О защите персональных данных государственных гражданских служащих центрального аппарата и заместителей руководителей территориальных органов Федеральной службы по надзору в сфере здравоохранения и социального развития»;
— приказ Минтранса РФ от 17 февраля 2009 года N 27 «Об утверждении Положения об организации работы с персональными данными государственного гражданского служащего Министерства транспорта Российской Федерации и ведении его личного дела»;
— приказ Федерального дорожного агентства от 2 февраля 2009 года N 5 «О защите персональных данных государственных гражданских служащих Федерального дорожного агентства»;
— приказ Министерства энергетики РФ от 11 ноября 2008 года N 166 «Об утверждении Положения о работе по обработке персональных данных в Министерстве энергетики Российской Федерации»;
— приказ Федеральной службы по тарифам от 7 ноября 2008 года N 441-к «Об утверждении Положения о работе с персональными данными государственного гражданского служащего ФСТ России и ведении его личного дела»;
— приказ Федерального агентства по обустройству государственной границы РФ от 13 октября 2008 года N 101 «О защите персональных данных федеральных государственных гражданских служащих Федерального агентства по обустройству государственной границы Российской Федерации»;
— приказ Федерального фонда ОМС от 19 августа 2008 года N 180 «Об утверждении Положения о защите персональных данных работников Федерального фонда обязательного медицинского страхования»;
— приказ Министерства экономического развития РФ от 2 сентября 2014 года N 549 «Об утверждении Инструкции по формированию, ведению, хранению, передаче личных дел и учету персональных данных государственных гражданских служащих и работников Министерства экономического развития Российской Федерации»;
— приказ Федерального агентства по образованию от 18 ноября 2009 года N 2114 «Об утверждении Положения об обработке и защите персональных данных в Федеральном агентстве по образованию»;
— приказ Генеральной прокуратуры РФ от 22 ноября 2013 года N 506 «Об утверждении и введении в действие Инструкции о порядке обработки в органах прокуратуры Российской Федерации персональных данных, полученных в связи с осуществлением прокурорского надзора»;
— приказ Судебного департамента при Верховном Суде РФ от 10 апреля 2015 года N 96 «Об утверждении списка должностей федеральных государственных гражданских служащих Судебного департамента при Верховном Суде Российской Федерации, уполномоченных на обработку персональных данных судей и имеющих доступ к соответствующим программно-техническим средствам, информационным системам и помещениям»;
— приказ Судебного департамента при Верховном Суде РФ от 14 марта 2011 года N 47 «Об утверждении Инструкции о порядке обработки и защиты персональных данных судей районных, городских, межрайонных судов, гарнизонных военных судов»;
— приказ Министра финансов Московской области от 22 апреля 2014 года N 22П-47 «Об обработке персональных данных в Министерстве финансов Московской области»;
— приказ Министра физической культуры, спорта, туризма и работы с молодежью МО от 2 апреля 2013 года N 14-86-П «Об утверждении Правил обработки персональных данных в Министерстве физической культуры, спорта, туризма и работы с молодежью Московской области»;
— приказ Министра транспорта Московской области от 30 ноября 2012 года N 188 «Об утверждении Положения об обработке персональных данных в Министерстве транспорта Московской области» и др.
3. Частью 3 комментируемой статьи устанавливается, что особенности обработки ПД, осуществляемой без использования средств автоматизации, могут быть установлены иными федеральными законами и иными нормативными правовыми актами. При этом должны учитываться положения комментируемого Закона.
Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
При этом обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее.
В настоящее время особенности обработки ПД, осуществляемой без использования средств автоматизации, регулируются постановлением Правительства РФ от 15 сентября 2008 года N 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации». С учетом норм комментируемого Закона и указанного постановления утвержден приказ Фонда социального страхования РФ от 21 января 2014 года N 10 «Об утверждении Положения о защите персональных данных работников Фонда социального страхования Российской Федерации, обрабатываемых без использования средств автоматизации».
В Положении об обработке персональных данных в центральном аппарате Министерства обороны Российской Федерации, утв. приказом Министра обороны РФ от 16 июня 2012 года N 1500, содержится отдельный раздел, регулирующий правила обработки персональных данных, осуществляемой без использования средств автоматизации. Аналогичный раздел присутствует и в Положении об обработке персональных данных в центральном аппарате Федеральной службы по надзору в сфере транспорта, утв. приказом Федеральной службы по надзору в сфере транспорта от 21 января 2013 года N АК-35фс.
4. Комментируемая норма, воспроизводя положения ч.4 ст.15 Конституции РФ и п.2 ст.5 Федерального закона от 15 июля 1995 года N 101-ФЗ «О международных договорах Российской Федерации» о превосходстве применения международных договоров РФ по отношению к национальному законодательству, носит предельно лаконичный характер, вызывая тем самым ряд определенных трудностей в ее практическом применении. Так, в частности, не установлено, какие именно международные договоры РФ (межгосударственные, межправительственные, межведомственного характера) и в отношении каких именно законов имеют приоритет. Представляется, что в решении данного вопроса необходимо учитывать такой критерий, как юридическая сила международных договоров Российской Федерации и характер их взаимоотношений с национальными законами. По этой причине достаточно обоснованным можно считать изложенное в отечественной юридической литературе мнение об установлении следующей дифференциации:
________________
См. Агешкина Н.А. Научно-практический комментарий к Федеральному закону от 15 июля 1995 года N 101-ФЗ «О международных договорах Российской Федерации». М., 2013. Комментарий к ст.5.
— юридическая сила международных договоров РФ, утвержденных Указом Президента РФ, равна юридической силе самого указа;
— юридическая сила международных договоров, утвержденных постановлением Правительства РФ, равнозначна юридической силе данного постановления.
Таким образом, указанные группы международных договоров РФ, наряду с утвердившими их нормативными правовыми актами, занимают в иерархической системе источников национального права место, следующее за федеральными законами, а соответственно, должны заключаться и применяться в строгом соответствии с ними. Из этого следует, что международные договоры РФ, утвержденные Президентом или Правительством РФ, имеют приоритет только в отношении президентских, правительственных или иных актов, издаваемых нижестоящими органами государственной власти. Договоры межведомственного характера пользуются приоритетом лишь в отношении актов соответствующего ведомства (ведомств).
Перед внутригосударственными законодательными нормами приоритетом обладают те международные договоры РФ, которые в соответствии с установленным законодательством порядком, ратифицированы и опубликованы. Именно ратификация придает международному договору РФ юридическую силу федерального закона и наделяет его свойствами приоритета по отношению к другим законам. Нератифицированные международные (межгосударственные, межправительственные, межведомственные) договоры не обладают иерархическим приоритетом в случае возникновения коллизии между положениями закона и положениями вышеупомянутых договоров.
Международный договор РФ, устанавливающий иные по сравнению с национальными нормами правила, не отменяет действия последних. Его преимущественная сила может проявляться только на стадии правоприменения. Несоответствие норм внутригосударственного закона и международного договора РФ не ведет к автоматической отмене или неприменимости этого закона. В силу ч.6 ст.125 Конституции РФ приоритет международных договоров РФ не может быть исключительным, поскольку международные договоры РФ, не соответствующие Конституции РФ, не подлежат введению в действие и применению.
Для практической реализации комментируемых норм следует учитывать и тот факт, что устанавливаемые международным договором РФ правила подлежат применению в случаях, если:
— Российская Федерация в лице компетентных органов государственной власти выразила свое согласие на обязательность для нее международного договора посредством одного из действий, перечисленных в ст.6 Федерального закона от 15 июля 1995 года N 101-ФЗ «О международных договорах Российской Федерации»;
— международный договор вступил в силу для Российской Федерации.
Такое положение целенаправленно закреплено в п.4 постановления Пленума Верховного Суда РФ от 10 октября 2003 года N 5 «О применении судами общей юрисдикции общепризнанных принципов и норм международного права и международных договоров Российской Федерации». При этом судебными органами РФ при осуществлении правосудия принимаются во внимание не только соответствующие международные договоры РФ, но и общепризнанные принципы и нормы международного права, ставшие частью правовой системы Российской Федерации в силу ч.4 ст.15 Конституции РФ.
В силу изложенного, для целей комментируемого Закона особое значение имеют международные нормы, закрепленные в Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (Страсбург, 28 января 1981 года), поскольку данный акт был ратифицирован Россией посредством принятия Федерального закона от 19 декабря 2005 года N 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных».
Цель обозначенной Конвенции состоит в обеспечении на территории каждой стороны для каждого физического лица, независимо от его гражданства или местожительства, уважения его прав и основных свобод, и в частности его права на неприкосновенность частной жизни, в отношении автоматизированной обработки касающихся его персональных данных («защита данных»).
Необходимо учитывать, что указанная Конвенция была ратифицирована со следующими заявлениями:
1) Российская Федерация заявляет, что в соответствии с подпунктом «а» пункта 2 статьи 3 Конвенции не будет применять Конвенцию к персональным данным:
а) обрабатываемым физическими лицами исключительно для личных и семейных нужд;
б) отнесенным к государственной тайне в порядке, установленном законодательством Российской Федерации о государственной тайне;
2) Российская Федерация заявляет, что в соответствии с подпунктом «с» пункта 2 статьи 3 Конвенции будет применять Конвенцию к персональным данным, которые не подвергаются автоматизированной обработке, если применение Конвенции соответствует характеру действий, совершаемых с персональными данными без использования средств автоматизации;
3) Российская Федерация заявляет, что в соответствии с подпунктом «а» пункта 2 статьи 9 Конвенции оставляет за собой право устанавливать ограничения права субъекта персональных данных на доступ к персональным данным о себе в целях защиты безопасности государства и общественного порядка.
Также обратим внимание, что Россия не ратифицировала Дополнительный протокол к Конвенции о защите физических лиц при автоматизированной обработке персональных данных, о наблюдательных органах и трансграничной передаче информации ETS N 181 (Страсбург, 8 ноября 2001 года), что исключает возможность его применения к внутригосударственным отношениям, направленным на защиту физических лиц при автоматизированной обработке персональных данных.
В рамках комментируемой статьи хотелось бы указать на Рекомендации Комитета Министров Совета Европы СМ/REC (2014) Государствам-членам о Руководстве по правам человека для пользователей Интернета (принята Комитетом Министров Совета Европы 16 апреля 2014 года на 1197-м заседании Заместителей Министров). В этих Рекомендациях, в частности, содержится раздел «Защита частной жизни и защита данных», где, помимо прочего, отражено, что персональные данные пользователей Интернета должны обрабатываться только в установленных законодательством случаях или с их согласия. Пользователи должны быть проинформированы о том, какие ваши персональные данные обрабатываются и/или передаются третьим лицам, о том, когда, кем и для какой цели это делается. По общему правилу пользователи должны иметь возможность осуществлять контроль своих персональных данных (проверять их точность, требовать внесения изменений, удаления или обращаться с требованием о том, чтобы персональные данные не хранились дольше положенного срока).
________________
Совет Европы — международная организация, созданная в 1949 году, целью которой является достижение большего единства между его членами во имя защиты и осуществления идеалов и принципов, являющихся их общим достоянием, и содействие их экономическому и социальному прогрессу. Это достигается усилиями органов Совета Европы посредством рассмотрения вопросов, представляющих общий интерес, заключения соглашений и проведения совместных действий в экономической, социальной, культурной, научной, правовой и административной областях, равно как и путем поддержания и дальнейшего осуществления прав человека и основных свобод (см. Устав Совета Европы ETS N 001 (Лондон, 5 мая 1949 года) (официальный сайт: URL: http://www.coe.int)). Российская Федерация присоединилась к Уставу Совета Европы Федеральным законом от 23 февраля 1996 года N 19-ФЗ «О присоединении России к Уставу Совета Европы»; Устав вступил в силу для Российской Федерации 28 февраля 1996 года. Совет Европы является полностью самостоятельной организацией, не входящей в систему Европейского союза.
При практической реализации норм ч.4 комментируемой статьи, а также положений ст.12 Закона относительно трансграничной передачи персональных данных на территории иностранных государств, равно как и других норм комментируемого Закона, следует учитывать, что Российская Федерация не является членом Европейского Союза (см. официальный сайт Евросоюза: URL: www.europa.eu.int), что исключает возможность применения к внутригосударственным отношениям соответствующих норм Директив Европейского Парламента и Совета Европейского Союза, в частности, таких, как:
— Директива Европейского Парламента и Совета Европейского Союза 95/46/ЕС от 24 октября 1995 года о защите физических лиц при обработке персональных данных и о свободном обращении таких данных;
— Директива Европейского Парламента и Совета Европейского Союза 97/66/EC от 15 декабря 1997 года, касающаяся использования персональных данных и защиты неприкосновенности частной жизни в сфере телекоммуникаций;
— Директива Европейского Парламента и Совета Европейского Союза 2002/58/ЕС от 12 июля 2002 года в отношении обработки персональных данных и защиты конфиденциальности в секторе электронных средств связи (Директива о конфиденциальности и электронных средствах связи).
Положения, затрагивающие аспекты обмена информацией и ее защиты при этом, включаются и в двухсторонние международные договоры, например, о реадмиссии, правовой помощи, об упрощении процедуры выдачи виз, о сотрудничестве в определенной общественной, культурной сфере и т.п.
Так, в ст.15 Договора между Российской Федерацией и Республикой Индией о взаимной правовой помощи по уголовным делам (Дели, 21 декабря 1998 года) указано, что запрашиваемая сторона может потребовать, чтобы предоставленная информация или доказательства либо источник такой информации или доказательств сохранялись конфиденциальными или были раскрыты или использованы только на определенных ею условиях. Если запрашивающая сторона принимает эту информацию или доказательства на таких условиях, она будет их соблюдать. Кроме того запрашиваемая сторона должна будет по запросу и в запрошенном объеме сохранять конфиденциальность запроса, его содержания, прилагаемых документов и любого действия, предпринимаемого в соответствии с запросом. Если запрос не может быть исполнен без нарушения конфиденциальности, запрашиваемая сторона должна уведомить об этом запрашивающую сторону, которая решает, должен ли запрос, несмотря на это, быть исполнен.
Защите персональных данных посвящена ст.9 Соглашения между Правительством Российской Федерации и Правительством Республики Сербии о реадмиссии (Белград, 16 октября 2014 года), ст.8 Соглашения между Правительством Российской Федерации и Советом Министров Боснии и Герцеговины о реадмиссии (Москва, 22 июня 2015 года), ст.11 Соглашения между Правительством Российской Федерации и Правительством Иорданского Хашимитского Королевства о сотрудничестве и взаимной помощи в таможенных делах (Амман, 21 января 2015 года), ст.14 Соглашения между Правительством Российской Федерации и Правительством Княжества Лихтенштейн об упрощении процедуры выдачи виз гражданам Российской Федерации и Княжества Лихтенштейн (Вадуц, 12 ноября 2013 года), ст.9 Соглашения между Правительством Российской Федерации и Правительством Республики Болгарии о сотрудничестве в борьбе с преступностью, особенно в ее организованных формах (Москва, 10 ноября 2006 года), ст.8 Соглашения между Правительством Российской Федерации и Правительством Республики Армения о реадмиссии (Ереван, 20 августа 2010 года) и др.
Рассмотрим некоторые из указанных норм подробнее. Так, в силу положений ст.11 Соглашения между Правительством Российской Федерации и Правительством Иорданского Хашимитского Королевства о сотрудничестве и взаимной помощи в таможенных делах (Амман, 21 января 2015 года) персональные данные, которые таможенные службы передают друг другу в рамках реализации настоящего Соглашения, подлежат защите в государстве каждой из сторон в соответствии с законодательством своего государства о защите персональных данных и международными договорами, участниками которых являются государства сторон. Таможенная служба, получившая персональные данные в соответствии с указанным Соглашением, обеспечивает их конфиденциальность и не передает их третьей стороне, кроме как с письменного согласия таможенной службы, предоставившей персональные данные. Таможенная служба, получившая персональные данные по запросу, информирует таможенную службу, их предоставившую, о том, как были использованы такие данные, и о достигнутых результатах. Таможенные службы обеспечивают защиту персональных данных от утери, несанкционированного доступа, изменения или предания гласности.
Предоставление компетентными органами сторон друг другу в соответствии с Соглашением между Правительством Российской Федерации и Правительством Республики Болгарии о сотрудничестве в борьбе с преступностью, особенно в ее организованных формах (Москва, 10 ноября 2006 года) персональных данных осуществляется при соблюдении законодательства государств сторон, а также условий, установленных компетентным органом, передающим персональные данные, и нижеследующих принципов, которые применяются как при автоматизированной, так и при неавтоматизированной обработке персональных данных:
1) компетентный орган одной стороны, получающий персональные данные, может использовать их исключительно в целях, оговоренных компетентным органом другой стороны, передающим такие данные;
2) по просьбе компетентного органа, передающего персональные данные, компетентный орган, получивший такие данные, предоставляет информацию об их использовании;
3) компетентный орган, передающий персональные данные, гарантирует их точность и актуальность. Если окажется, что были предоставлены неверные или не подлежащие передаче данные или если правомерно предоставленные компетентным органом данные в соответствии с национальным законодательством его государства должны быть впоследствии уничтожены, компетентный орган, получивший такие данные, должен быть незамедлительно уведомлен об этом для того, чтобы он уничтожил данные или самостоятельно внес в них необходимые исправления;
4) предоставленные персональные данные подлежат уничтожению либо исправлению в случае, если:
— будет установлено, что предоставлены неверные данные;
— компетентный орган, передавший такие данные, уведомит о том, что данные были подготовлены или предоставлены в нарушение законодательства своего государства;
— персональные данные более не являются необходимыми для достижения цели, для которой они были предоставлены, кроме тех случаев, когда имеется специальное разрешение передавшего такие данные компетентного органа на их использование для других целей;
5) если у компетентного органа одной стороны, получившего персональные данные, имеются основания считать, что предоставленные данные являются неверными или подлежат уничтожению, то он незамедлительно уведомляет об этом компетентный орган другой стороны, передавший персональные данные;
6) компетентный орган, получивший персональные данные, должен обеспечить их эффективную защиту от несанкционированного доступа к ним, внесения в них изменений и их распространения;
7) компетентный орган одной стороны, передавший персональные данные, и компетентный орган другой стороны, получивший такие данные, обязаны вести учет передачи и получения данных и разработать для этих целей соответствующий протокол;
8) лица, персональные данные которых были предоставлены в соответствии с указанным Соглашением, имеют право в соответствии с национальным законодательством государства Стороны, получившей эти персональные данные, получать информацию о предоставленных в рамках данного Соглашения данных о них. В случае поступления от лица, персональные данные которого были представлены в соответствии с данным Соглашением, запроса о предоставлении ему доступа к этим данным компетентный орган, располагающий такими данными, перед тем как принять соответствующее решение по поступившему запросу, обязательно запрашивает мнение компетентного органа, передавшего эти данные.
Комментарий к главе 2. Принципы и условия обработки персональных данных
Комментарий к статье 5. Принципы обработки персональных данных
1. В комментируемой статье определены принципы обработки ПД.
Осуществление обработки ПД на законной и справедливой основе.
Указанный принцип предполагает, что, осуществляя обработку ПД, операторы должны выполнять все требования действующего законодательства в области защиты ПД и быть справедливыми по отношению к субъекту данных.
Анализ норм комментируемого Закона позволяет сформулировать некоторые основные практические советы, которыми должен руководствоваться оператор при обработке ПД для соблюдения требований действующего законодательства:
— должна быть обеспечена конфиденциальность ПД;
— ПД не должны передаваться третьим лицам без согласия субъекта данных;
— ПД должны быть защищены от несанкционированного доступа и распространения;
— ПД должны использоваться только для тех целей, для которых они были собраны, и храниться не дольше, чем это требуется для достижения целей обработки (кроме ряда случаев, предусмотренных ч.7 комментируемой статьи);
— обработка ПД возможна только при условии согласия субъекта (за исключением ряда случаев, предусмотренных ст.6 комментируемого Закона);
— оператор должен направить уведомление об обработке ПД в уполномоченный орган (за исключением ряда случаев, о которых будет рассказано в комментарии к ч.2 ст.22 Закона), а также иметь документ, в котором отражена политика обработки ПД;
— субъект ПД должен иметь возможность знакомиться с данными о себе;
— оператор должен информировать граждан о факте обработки ПД, предоставлять сведения о целях и способах обработки;
— граждане имеют право требовать уточнения информации, а также блокирования и уничтожения неточных ПД;
— обработка специальных категорий ПД, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни допускается только в исключительных случаях и при соблюдении определенных условий.
Ограничение обработки ПД достижением конкретных, заранее определенных и законных целей.
Таким образом, должна быть четко сформулирована цель, в соответствии с которой оператор будет обрабатывать ПД. По достижении заданных целей обработка ПД должна быть прекращена. Обработка ПД, несовместимая с целями сбора данных, не допускается.
В организациях, обрабатывающих ПД, необходимо иметь документ, который будет отражать политику организации в отношении обработки ПД, — Положение об обработке и защите персональных данных. Такой документ должен определять:
— перечень обрабатываемых ПД;
— цели и способы обработки ПД;
— категории субъектов, ПД которых обрабатываются;
— правовое основание обработки ПД;
— перечень действий с ПД;
— права и обязанности субъектов ПД;
— порядок обработки ПД, в том числе хранения, использования и передачи;
— условия прекращения обработки ПД;
— порядок получения доступа к ПД;
— условия раскрытия и объем ПД, доступных партнерам и третьим лицам;
— перечень лиц, ответственных за рассмотрение жалоб и запросов;
— состав и перечень мер по обеспечению защиты ПД;
— перечень лиц, ответственных за организацию обработки ПД, его обязанности и формы ответственности.
Осуществление обработки только тех ПД, которые отвечают целям их обработки.
Законодатель установил, что содержание и объем обрабатываемых ПД, должны строго соответствовать заявленным целям обработки. При этом обрабатываемые ПД не должны быть избыточными по отношению к заявленным целям их обработки. Поэтому при сборе ПД организациям следует определить, какая информация действительно нужна, а какие данные могут быть обезличены или уничтожены без ущерба для деятельности организации. Необходимо избегать сбора и хранения избыточной информации без определенной цели, не нужно собирать и использовать ПД для целей, которые не относятся к сфере компетенции организации.
Пример из судебной практики. Банк обратился в суд с заявлением о признании недействительным предписания Роскомнадзора об устранении банком нарушений ч.5 ст.5 и ч.1 ст.10 комментируемого Закона. По материалам дела судом было установлено, что банк производил обработку избыточных ПД по сравнению с теми, которые были определены к заявленным целям их обработки (персональные данные специальной категории). Поэтому суд отказал банку в удовлетворении его требования (см. постановление ФАС Северо-Кавказского округа от 21 апреля 2014 года по делу N А53-13327/2013).
Основные цели обработки ПД должны быть зафиксированы оператором в Положении об обработке ПД. В дальнейшем оператор не может требовать с гражданина предоставления информации большего объема, чем это требуют цели обработки ПД, заявленные в упомянутом локальном документе.
Например, работодатели часто собирают о будущем сотруднике всю информацию, объясняя это тем, что хотят иметь максимально полное представление о нем. При этом часто работодатель переходит тонкую грань, отделяющую ПД от сведений, составляющих тайну частной жизни, личную или семейную тайну гражданина. Среди документов и материалов, содержащих информацию, которую желают получать работодатели, принимая гражданина на работу, основное место занимают:
— документы, предъявляемые при заключении трудового договора (см. ст.65 ТК РФ);
— документы о состоянии здоровья работника, если в соответствии с законодательством он должен пройти предварительный и периодические медицинские осмотры;
— документы о составе семьи работника, необходимые для предоставления ему гарантий, связанных с выполнением семейных обязанностей;
— документы, подтверждающие право на дополнительные гарантии и компенсации по определенным основаниям, предусмотренным законодательством (об инвалидности, донорстве, нахождении в зоне воздействия радиации в связи с аварией на Чернобыльской АЭС и др.);
— документ о беременности работницы и возрасте детей для предоставления матери установленных законом условий труда, гарантий и компенсаций.
Среди ПД работника должны быть:
— трудовой договор;
— приказ (распоряжение) о приеме на работу;
— приказы (распоряжения) об изменении условий трудового договора, его прекращении;
— приказы (распоряжения) о поощрениях и дисциплинарных взысканиях, примененных к работнику;
— трудовая книжка.
К составу персональных данных работника можно отнести сведения, предусмотренные унифицированной формой учета кадров Т-2, утвержденной постановлением Госкомстата РФ от 5 января 2004 года N 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты».
К таким сведениям относятся:
— фамилия, имя, отчество;
— дата рождения;
— гражданство;
— номер страхового свидетельства;
— ИНН;
— знание иностранных языков;
— данные об образовании (номер, серия дипломов, год окончания);
— данные о приобретенных специальностях;
— семейное положение;
— данные о членах семьи (степень родства, ФИО, год рождения, паспортные данные, включая прописку и место рождения);
— фактическое место проживания;
— контактная информация;
— данные о военной обязанности;
— данные о текущей трудовой деятельности (дата начала трудовой деятельности, кадровые перемещения, оклады и их изменения, сведения о поощрениях, данные о повышении квалификации и т.п.).
Для того чтобы установить, в каком объеме работодатель вправе получать от работника ПД, необходимо обратить внимание на очень важное ограничение — это целевой характер использования персональных данных. Таким образом, обработка ПД может производиться исключительно в целях, указанных в ч.1 ст.86 ТК РФ. Недопущение объединения баз данных, содержащих ПД, обработка которых осуществляется в целях, несовместимых между собой.
Таким образом, для осуществления разных целей обработки ПД следует использовать разные базы данных. Обеспечение при обработке ПД их точности, достаточности, актуальности по отношению к целям обработки ПД.
Следуя этому принципу, оператор обязан принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных ПД. Порядок действий оператора ПД в случае подтверждения факта неточности данных определены в ч.2 ст.21 комментируемого Закона.
2. В ч.7 комментируемой статьи определены общие правила хранения ПД.
Хранение ПД должно осуществляться в форме, позволяющей определить субъекта данных. По общему правилу обрабатываемые ПД подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей. Исключения из этого правила могут быть предусмотрены федеральными законами.
Сроки, в течение которых ПД должны быть уничтожены, установлены ч.4 ст.21 комментируемого Закона.
Самые частые споры по поводу правомерности хранения ПД возникают между гражданами и кредитными организациями (банками). Граждане нередко получают отказ банков в уничтожении их ПД после обработки. По этому поводу Роскомнадзор в отчете о свой деятельности за 2014 год, размещенном на официальном сайте Роскомнадзора в сети Интернет (см. URL: http://rkn.gov.ru/docs/Otchet_ZPD_rus.pdf), пояснил следующее. В соответствии с п.1 ч.1 ст.7 Федерального закона от 7 августа 2001 года N 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» организации, осуществляющие операции с денежными средствами или иным имуществом, обязаны до приема на обслуживание идентифицировать клиента, представителя клиента и (или) выгодоприобретателя, за исключением случаев, установленных пунктами 1.1, 1.2, 1.4 указанной статьи. Согласно ч.4 ст.7 указанного закона банк вправе хранить документы, содержащие сведения, необходимые для идентификации личности, не менее пяти лет.
Как следует из указанных разъяснений Роскомнадзора, хранение банками ПД их клиентов не нарушает положения ч.7 комментируемой статьи.
Также показателен следующий случай из судебной практики. Гражданин обратился в суд с заявлением об обязании удалить сведения о допущенных им нарушениях ПДД, по которым истек срок, в течение которого лицо считается подвергнутым административному наказанию, из базы данных административной практики. Суд отказал в удовлетворении указанных требований на том основании, что обработка ПД гражданина осуществлялась на законных основаниях, срок хранения такой информации законом не установлен, но цели ее обработки в полной мере не были еще достигнуты в связи с тем, что учет показателей состояния безопасности дорожного движения должен вестись постоянно (см. апелляционное определение Свердловского областного суда от 29 июля 2015 года по делу N 33-11645/2015).
Комментарий к статье 6. Условия обработки персональных данных
1. Законодатель устанавливает, что обработка ПД должна осуществляться с соблюдением принципов и правил, предусмотренных комментируемым Законом. При этом обработка ПД допускается лишь в ряде случаев, указанных в ч.1 комментируемой статьи. Рассмотрим эти случаи.
В силу положения, содержащегося в п.1 ч.1 комментируемой статьи обработка ПД возможна на основании согласия субъекта ПД.
Субъект ПД должен принять решение о предоставлении своих ПД и дать согласие на их обработку свободно, своей волей и в своем интересе. При этом согласие на обработку ПД может быть отозвано субъектом ПД в случаях, предусмотренных ст.9 комментируемого Закона. Оператору ПД следует учитывать, что обязанность предоставить доказательство получения согласия гражданина на обработку его ПД возлагается на оператора. Гражданам, перед тем как передать свои ПД банку, магазину, любой другой организации, оказывающей услуги, следует выяснить:
— для чего собирается эта информация и как она будет использована;
— как и где ПД будут храниться (в электронной базе данных, в Интернет, на бумажных носителях и т.п.);
— кто сможет получить доступ к ПД, кому они могут передаваться;
— как долго будут храниться ПД.
Если гражданином выяснено, что его ПД могут быть использованы не только для получения услуг, которые он желает, но и для иных целей, он вправе ограничить свое согласие на обработку данных только в четко определенных целях. Например, устраиваясь на работу и проходя собеседование, гражданин может возражать против проведения видеозаписи собеседования. При этом работодатель на этом основании не вправе отказать ему в приеме на работу.
С того момента, как любое лицо обратилось к гражданину с просьбой о предоставлении информации, и на протяжении всего периода, пока оно хранит сведения о гражданине, это лицо обязано соблюдать требования комментируемого Закона.
В силу положения, содержащегося в п.2 ч.1 комментируемой статьи, обработка ПД возможна, когда это необходимо для достижения целей, предусмотренных:
— международным договором Российской Федерации;
— законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.
В письме ФНП от 23 декабря 2011 года N 2515/07-17 «О применении ряда положений Федерального закона от 27 июля 2006 года N 152-ФЗ «О персональных данных» порядок применение указанной выше нормы рассматривается на примере обработки ПД, осуществляемой нотариусом. В указанном письме отмечается, что обработка ПД нотариусом осуществляется в обязательном порядке при установлении личности обратившегося для совершения нотариального действия лица согласно ст.42 Основ законодательства Российской Федерации о нотариате, утв. ВС РФ 11 февраля 1993 года N 4462-1 (далее по тексту — Основы законодательства РФ о нотариате), внесении записей в реестр при регистрации нотариального действия. Невозможность (в силу непредоставления гражданином документов) выполнения нотариусом указанных действий является основанием для отказа гражданину в совершении нотариального действия в соответствии со ст.48 Основ законодательства РФ о нотариате. Учитывая изложенное, действия нотариуса по обработке ПД обратившегося гражданина осуществляются в целях выполнения возложенных законодательством РФ на нотариуса полномочий, что соответственно не требует согласия этого гражданина на обработку его ПД. В том числе, как видится, не требуется согласия гражданина на обработку его ПД (в виде передачи этих данных в налоговые органы) в случаях, предусмотренных ст.85 Налогового кодекса Российской Федерации (далее по тексту — НК РФ).
В комментируемой статье закреплено положение, позволяющее осуществлять обработку ПД для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с Федеральным законом от 2 октября 2007 года N 229-ФЗ «Об исполнительном производстве». То есть, в настоящее время судебные приставы имеют законное право заниматься ПД. Отметим также, что судебные приставы-исполнители в своей работе по поиску информации о должниках и их имуществе руководствуются Методическими рекомендациями по использованию сети Интернет в целях поиска информации о должниках и их имуществе (утв. ФССП РФ 30 ноября 2010 года N 02-7), которые обязывают судебных приставов-исполнителей поиск, обработку и использование информации о должниках и их имуществе осуществлять в соответствии с комментируемым Законом.
Полученные судебным приставом-исполнителем в ходе принудительного исполнения судебных актов, актов других органов или должностных лиц ПД в силу ч.3 ст.64 Федерального закона от 2 октября 2007 года N 229-ФЗ «Об исполнительном производстве» обрабатываются им исключительно в целях исполнения исполнительных документов в необходимом для этого объеме с учетом требований, установленных комментируемым Законом.