Правовое регулирование информационных отношений в области персональных данных

 

ВАРИАНТ 10

 

План

 

1. Особенности информационных правоотношений, возникающих при производстве, передаче и распространении персональных данных 2

2. Правовые основания работы с персональными данными 3

3. Права субъекта персональных данных 8

4. Права и обязанности держателя (обладателя) массивов персональных данных (баз персональных данных) по работе с персональными данными 10

5. Правовое положение Уполномоченного органа по правам субъектов персональных данных 13

6. Государственно-правовое регулирование в области персональных данных 16

Задача 17

Список использованных источников 20

 

 

 

 

Теоретический вопрос - Правовое регулирование информационных отношений в области персональных данных

1. Особенности информационных  правоотношений, возникающих при производстве, передаче и распространении персональных данных

 

В 2006 г. принят Федеральный закон "О персональных данных"¹. Он призван урегулировать отношения по поводу большого и сложного массива в структуре информационных ресурсов России. Ратификация Конвенции Совета Европы "О защите физических лиц при автоматизированной обработке персональных данных" и принятие нового Закона выравнивают положение страны в мировом информационном пространстве и упорядочивают правила работы с такими данными.

Федеральный закон "Об информации, информационных технологиях и защите информации" в статье о принципах правового  регулирования отношений в сфере, регулируемой данным Законом (ст. 3) в  п. 7 в качестве принципа называет "неприкосновенность частной жизни, недопустимость сбора, хранения, использования и распространения  информации о частной жизни лица без его согласия". В ст. 9 об ограничении доступа к информации этот закон содержит нормы, которые  позволяют косвенно различать информацию "составляющую личную или семейную тайну и запрет на получать такую  информацию помимо воли гражданина (физического  лица), если иное не предусмотрено федеральными законами" (п. 8) и персональных данных, порядок доступа к которым " устанавливается федеральным законом  о персональных данных" (п. 9).

В ФЗ "О  персональных данных" проблема конфиденциальности рассматривается преимущественно  через призму обработки персональных данных. Заметим, что под обработкой в данном Законе подразумеваются все возможные действия с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение, использование, распространение, обезличивание, блокирование, уничтожение (ч. 3 ст. 3).

Персональные  данные личности представляют собой  сложный объект для правового  регулирования. С одной, они являются отражением частной жизни индивида, неприкосновенность которой охраняется законом. С другой стороны, персональные данные есть необходимый элемент  социализации индивида. Они представляют собой его своеобразную "визитную карточку" в обществе и являются юридической основой для реализации его праводееспособности.

Поэтому можно сказать, что режим конфиденциальности персональных данных есть не что иное, как правовой режим использования  личной информации индивида с целью  осуществления предоставленных  ему законом прав и исполнения возложенных на него законом обязанностей. В силу вышеназванных причин проблема правового регулирования конфиденциальности персональных данных, на наш взгляд, имеет три основных аспекта.

Первый  связан с защитой конфиденциальности персональных данных в процессе их обработки операторами информационных систем персональных данных. Второй, более  общий, связан с обеспечением конфиденциальности персональных данных в условиях свободы  СМИ. Третий аспект - это правовые изъятия  из общего режима конфиденциальности персональных данных, действующие во время избирательных кампаний и  в иных случаях.

2. Правовые основания работы с персональными данными

 

Персональные  данные при их обработке без использования  средств автоматизации должны обособляться от иной информации, в частности  путем фиксации их на отдельных материальных носителях, в специальных разделах или на полях форм (бланков). Не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории должен использоваться отдельный материальный носитель.

Лица, осуществляющие обработку персональных данных без  использования средств автоматизации (в том числе сотрудники организации-оператора  или лица, осуществляющие такую обработку  по договору с оператором), должны быть проинформированы:

- о факте обработки ими персональных данных, обработка которых осуществляется оператором без использования средств автоматизации;

- о категориях обрабатываемых персональных данных;

- об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными правовыми актами организации (при их наличии).²

При использовании  типовых форм документов, характер информации в которых предполагает или допускает включение в  них персональных данных, необходимо соблюдать следующие условия:

- типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать:

- сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации;

- имя (наименование) и адрес оператора;

- фамилию, имя, отчество и адрес субъекта персональных данных;

- источник получения персональных данных;

- сроки обработки персональных данных;

- перечень действий с персональными данными, которые будут совершаться в процессе их обработки;

- общее описание используемых оператором способов обработки персональных данных;

- типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, - при необходимости получения письменного согласия на обработку персональных данных;

- типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, не нарушая прав и законных интересов иных субъектов персональных данных;

- типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.

При несовместимости  целей обработки персональных данных, зафиксированных на одном материальном носителе, если он не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том  же носителе персональных данных, должны быть приняты меры по обеспечению  раздельной обработки персональных данных.

Уничтожение или обезличивание части персональных данных, если это допускается материальным носителем, может производиться  способом, исключающим дальнейшую обработку  этих персональных данных с сохранением  возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).

Уточнение персональных данных при осуществлении  их обработки без использования  средств автоматизации производится путем обновления или изменения  данных на материальном носителе, если же такой способ не допустим в связи  с техническими особенностями материального  носителя - путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.

В целях  обеспечения безопасности передачи персональных данных, обрабатываемых человеком, устанавливаются следующие  правила:

- обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ;

- необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях;

- при хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются оператором.

Безопасность  персональных данных, обрабатываемых с использованием технических средств, достигается путем исключения несанкционированного, в том числе случайного, доступа  к персональным данным, результатом  которого могут стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных  действий.

Безопасность  персональных данных при их обработке  в информационных системах обеспечивается с помощью системы защиты персональных данных. Такая система включает:

- организационные меры и средства защиты информации (в том числе шифровальные (криптографические) средства;

- средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных;

- используемые в информационной системе информационные технологии.

Технические и программные средства должны удовлетворять  устанавливаемым в соответствии с законодательством Российской Федерации требованиям, обеспечивающим защиту информации.

Для обеспечения  безопасности персональных данных при  их обработке в информационной системе  осуществляется защита речевой информации и информации, обрабатываемой техническими средствами. Также защите подлежит информация, представленная в виде информативных электрических сигналов, физических полей, носителей на бумажной, магнитной, магнитно-оптической и иной основе.

Достаточность принятых мер по обеспечению безопасности персональных данных в информационных системах оценивается при проведении государственного контроля и надзора. Работы по обеспечению безопасности персональных данных при их обработке  в информационных системах являются неотъемлемой частью работ по созданию информационных систем. Средства защиты информации, применяемые в информационных системах, в установленном порядке  проходят процедуру оценки соответствия.

Информационные  системы классифицируются государственными органами, муниципальными органами, юридическими или физическими лицами, организующими  и (или) осуществляющими обработку  персональных данных, а также определяющими  цели и содержание обработки персональных данных, в зависимости от объема обрабатываемых ими персональных данных и угроз безопасности жизненно важным интересам личности, общества и государства.

Порядок проведения классификации информационных систем устанавливается совместно  ФСТЭК России, ФСБ России и Мининформсвязи России.

Обмен персональными  данными при их обработке в  информационных системах осуществляется по каналам связи, защита которых  обеспечивается путем реализации соответствующих  организационных мер и (или) путем  применения технических средств.

Размещение  информационных систем, специальное  оборудование и охрана помещений, в  которых ведется работа с персональными  данными, организация режима обеспечения  безопасности в этих помещениях должны обеспечивать сохранность носителей  персональных данных и средств защиты информации, а также исключать  возможность неконтролируемого  проникновения или пребывания в  этих помещениях посторонних лиц.

Безопасность  персональных данных при их обработке  в информационной системе обеспечивает оператор или лицо, которому на основании  договора оператор поручает обработку  персональных данных. Существенным условием договора является обязанность уполномоченного  лица обеспечить конфиденциальность персональных данных и безопасность персональных данных при их обработке в информационной системе.

3. Права субъекта персональных данных

 

В соответствии со ст. 14 Закон о персональных данных³ - субъект персональных данных имеет право на получение сведений об операторе, о месте его нахождения, о наличии у оператора персональных данных, относящихся к соответствующему субъекту персональных данных, а также на ознакомление с такими персональными данными, за исключением случаев, предусмотренных законом.

Субъект персональных данных вправе требовать  от оператора уточнения своих  персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно  полученными или не являются необходимыми для заявленной цели обработки, а  также принимать предусмотренные  законом меры по защите своих прав.

Сведения о наличии персональных данных должны быть предоставлены субъекту персональных данных оператором в доступной  форме, и в них не должны содержаться  персональные данные, относящиеся к  другим субъектам персональных данных.