Защита персональных данных

В течение достаточно долгого времени кроме общих норм, подобных процитированным выше, ни в международных актах, ни в национальном законодательстве разных государств никаких специальных правил о порядке получения, хранения, обработки и передачи персональных данных не было. Ситуация стала меняться после начала распространения компьютеров, благодаря чему у компаний и государственных органов стало скапливаться большое количество персональных данных, которые относительно легко могли быть разглашены и тем самым нанести как моральный, так иногда и материальный вред лицам, которых касаются эти данные. Поэтому начиная с 1970-х гг. в промышленно развитых странах стало появляться соответствующее законодательство.[4]

В Российской Федерации основным законом, регулирующим правоотношения в области персональных данных, стал Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных». Сфера действия Федерального закона ограничивается исключительно обработкой персональных данных, подразумевая под этим, в силу буквального толкования термина, их сбор, хранение, их возможный анализ, и тем самым исключает возможность защиты индивидуальной информации при ее распространении, хотя по статистике чаще нарушение прав и законных интересов граждан и организаций является следствием незаконного распространения персональных данных.

Однако следует отметить, что в термин «обработка персональных данных» законодателем было заложено куда более расширенное содержание, чем это представляется на первый взгляд. По смыслу пп. 3 п. 1 ст. 3 настоящего Закона под «обработкой персональных данных» понимаются любые действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных (ст. 3 настоящего Закона).

Объективные сложности правового регулирования в сфере защиты персональных данных обусловлены необходимостью сбалансировать в законе противоречивые интересы, как минимум, трех групп субъектов:

1)                 граждан, чьи персональные данные собираются и обрабатываются (субъекты персональных данных);

2)                 государственных органов, обязанных обрабатывать персональные данные в связи с исполнением своих полномочий;

3)                 негосударственных организаций, заинтересованных в обработке персональных данных в соответствии с целями своей деятельности, в том числе в интересах бизнеса.[5]

В такого рода ситуациях действующее законодательство, а равно органы государственной власти, ответственные за его исполнение, не могут в полной мере гарантировать охрану всех персональных данных, а также установить ограничения на сбор и распространение некоторых из них (в большей части это касается персональных данных, которые их обладатель распространяет самостоятельно). Однако с их стороны требуется реальный контроль за соблюдением установленных запретов с целью обеспечения надежной охраны для законодательно установленного минимума.

Федеральный закон «О персональных данных» предусматривает случаи, на которые не распространяется его действие. К таким случаям относятся, в частности:

1) обработка персональных данных физическими лицами в личных целях при условии соблюдения прав субъектов персональных данных. Например, физическое лицо может вести домашнюю адресную книгу, где указываются фамилия, имя, отчество, дата рождения, адрес, телефоны и т. д.;

2) организация хранения, комплектования, учета и использования документов Архивного фонда Российской Федерации, а также других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации, содержащих персональные данные. Положения о ведении таких документов регулируются соответствии Федеральным законом от 22 октября 2004 г. № 125-ФЗ «Об архивном деле в Российской Федерации».

3) обработка подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством Российской Федерации в связи с деятельностью физического лица в качестве индивидуального предпринимателя. Законодательство Российской Федерации о государственной регистрации состоит из ГК РФ, Федерального закона от 8 августа 2001 г. № 129-ФЗ «О государственной регистрации юридических лиц и индивидуальных предпринимателей» (с изм. и доп. от 2 июля 2005 г.) и издаваемых в соответствии с ними иных нормативных правовых актов Российской Федерации.

Порядок внесения юридических и физических лиц в Единый государственный реестр регулируется Правилами ведения Единого государственного реестра юридических лиц и предоставления содержащихся в нем сведений (утв. постановлением Правительства РФ от 19 июня 2002 г. № 438).

4) обработка персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну. Сведения, составляющие государственную тайну, включают в себя совокупность категорий сведений, в соответствии с которыми сведения относятся к государственной тайне и засекречиваются на основаниях и в порядке, установленных федеральным законодательством, в частности Законом РФ от 21 июля 1993 г. № 5485-1 «О государственной тайне».

Цель Федерального закона «О персональных данных» заключается в обеспечении защиты прав и свобод гражданина при обработке его персональных данных в соответствии с основными правами и свободами, провозглашенными Декларацией прав и свобод человека и гражданина, принятой Верховным Советом РСФСР 22 ноября 1991 г., и Конституцией Российской Федерации (ст. 17).

Так, в ст. 9 Декларации провозглашается право каждого на неприкосновенность его частной жизни, тайну переписки, телефонных переговоров, телеграфных и иных сообщений. В соответствии со ст. 23 Конституции РФ каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени. А на основании ст. 24 Конституции РФ сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются.

В соответствии со ст. 9 Федерального закона от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» запрещается требовать от гражданина предоставления информации о его частной жизни, в том числе информации, составляющей личную или семейную тайну, и получать такую информацию помимо воли гражданина, если иное не предусмотрено федеральными законами. Однако гражданин имеет право на получение от государственных органов, органов местного самоуправления, их должностных лиц в порядке, установленном законодательством Российской Федерации, информацию, непосредственно затрагивающую его права и свободы (ст. 8 указанного Закона).

Необходимо также отметить, что и трудовое законодательство направлено на защиту персональных данных субъектов, состоящих в трудовых отношениях. При поступлении на работу человек сообщает о себе много различной информации. И для того, чтобы эта информация не использовалась против него, Трудовой кодекс РФ обязывает предприятие разработать специальное положение по защите персональных данных - «Положение о работе с персональными данными работников.»

Кроме того, в ст. 86 ТК РФ предусмотрены требования, которые необходимо соблюдать при обработке персональных данных работника и гарантии их защиты. Обработка персональных данных работника должна осуществляться исключительно в целях содействия в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества, а так же в целях выполнения требований законов.[6] Все персональные данные работника следует получать только у него самого. Если персональные данные работника возможно получить лишь у третьей стороны, то работник должен быть уведомлен об этом заранее, и от него должно быть получено письменное согласие. Работодатель же должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.

2.2.Ответственность за нарушение правил работы с персональными данными

Статья 90 ТК РФ предусматривает ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных работника. Нарушитель может нести дисциплинарную, административную, гражданско-правовую и уголовную ответственность.

Таблица.1.Типичные нарушения, влекущие уголовную и административную ответственность

2.3.Уголовная ответственность

Самая строгая - уголовная ответственность. Статья 137 УК РФ предусматривает наказание за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную и семейную тайну. Уголовная ответственность грозит в том случае, если эти действия совершены намеренно, из корыстной или иной личной заинтересованности и повлекли за собой нарушение законных прав и свобод граждан. Причем наказание ужесточается, если виновный использовал свое служебное положение.

Личную или семейную тайну составляют сведения, не подлежащие, по мнению лица, которого они касаются, оглашению. Личную и семейную тайну не могут составлять сведения, которые были ранее опубликованы либо оглашены иным способом.

Нарушение неприкосновенности частной жизни (ст. 137 УК) может выражаться в:

а) незаконном собирании сведений о частной жизни;

б) незаконном их распространении;

в) незаконном их распространении в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации.

Закон не связывает ответственность за незаконное распространение сведений о частной жизни лица с конкретным способом распространения. Под распространением имеется в виду любая незаконная передача указанных сведений третьим лицам. Незаконным распространением является разглашение личной или семейной тайны лицом, обязанным ее хранить в силу своей профессии. В некоторых случаях разглашение сведений о частной жизни по УК образует одновременно состав другого преступления например, разглашение тайны усыновления (ст. 155), В таких случаях содеянное квалифицируется по совокупности со ст. 137 УК.

Обязательным элементом объективной стороны преступления, предусмотренного ст. 137 УК, является причинение вреда правам и законным интересам граждан. Характер вреда закон не ограничивает. Он может быть:

а) материальным (имущественным), например потеря хорошо оплачиваемой работы, срыв выгодной сделки, иные убытки в предпринимательской деятельности;

б) физическим (телесным), например заболевание от пережитого;

в) моральным, например распад семьи, подрыв репутации.

Установление наличия вреда правам и законным интересам потерпевшего производится в каждом конкретном случае с учетом индивидуальных особенностей личности и ситуации.

Нарушение неприкосновенности частной жизни считается оконченным преступлением только с момента причинения соответствующего вреда (материальный состав).

Субъективная сторона данного преступления характеризуется прямым умыслом. Обязательным элементом субъективной стороны является мотив: корыстная или иная личная заинтересованность. Корыстная заинтересованность выражается в стремлении приобрести материальную (имущественную) выгоду за счет потерпевшего или в виде вознаграждения от третьей стороны. Иная личная заинтересованность может заключаться в стремлении дискредитировать конкурента, сделать карьеру, отомстить за что-либо, продемонстрировать свое превосходство либо привлечь внимание к себе.

Ответственность по ч. 1 ст. 137 УК несет любое физическое вменяемое лицо, достигшее 16 лет (общий субъект), а по ч. 2 ст. 137 УК - должностное лицо либо служащий государственного или муниципального учреждения, использующий для совершения преступления свое служебное положение (специальный субъект).[7]

А если кадровик или руководитель допустили ситуацию, когда информация о работнике стала известна другим, ненамеренно? Или даже существует пока только угроза "утечки" такой информации? Тогда в ход могут пойти меры административной и дисциплинарной ответственности, которые применяются к должностным лицам предприятия.

Гражданско-правовая ответственность за ограничения приватности возможна, как правило, в порядке возмещения морального вреда (ст.ст.151, 1099-1101 ГК РФ). В силу сложившихся в судебной практике подходов работнику будет нетрудно доказать, что любые действия по негласному наблюдению и сбору информации без его согласия причиняют ему моральный вред. В случае же, если разглашение конфиденциальной информации о гражданине повлекло ущерб его деловой репутации и имущественным интересам, он вправе потребовать и возмещения имущественных потерь.

2.4.Административная ответственность

Административные штрафы. Нарушение правил работы с персональными данными может повлечь административную ответственность работодателя или его представителей. Кодекс РФ об административных правонарушениях содержит на этот счет две статьи.

Статья 13.11 предусматривает ответственность в виде предупреждения или наложения штрафа на работодателя в размере от 5 до 10 МРОТ за нарушение установленного порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных). Этот порядок установлен главой 14 Трудового кодекса РФ и локальными нормативными актами предприятия.

Объективная сторона данного правонарушения состоит в действии или бездействии, нарушающем установленный законом порядок сбора, хранения, использования или распространения информации о гражданах (персональных данных). Вина в совершении данного правонарушения может быть как умышленной, так и неосторожной.[8]

Ввиду того, что персональные данные - один из видов охраняемой законом тайны, защита ее конфиденциальности предусмотрена также статьей 13.14 КоАП РФ. Если лицо, получившее доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, разгласило сведения, составляющие персональные данные, то административный штраф для него будет составлять от 40 до 50 МРОТ.