Защита персональных данных: к чему готовиться

08.09.2010

Вопрос соблюдения законодательства о персональных данных является актуальным для большого числа пользователей. Лица, виновные в нарушении требований к защите персданных, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность. Неисполнение требований законодательства влечет риски и для бизнеса компании, в том числе репутационные риски и риски недобросовестной конкуренции (приостановление деятельности компании с подачи конкурентов при имеющихся нарушениях правил защиты персональных данных). В рамках данной статьи И.А. Баймакова, методист ООО "1С-Паблишинг", рассматривает указанный вопрос с учетом вновь появившихся документов по этой теме.

Содержание

Защита персональных данных: к чему готовиться

Некоторое время назад на сайте Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций был размещен Отчет о деятельности уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзора) за 2009 год.

Отчет отражает положение дел в области защиты прав субъектов персональных данных и является основным итоговым документом о деятельности уполномоченного органа. Подготовка такого отчета и его направление Президенту РФ, в Правительство РФ и Федеральное Собрание РФ предусмотрено частью 7 статьи 23 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее - Федеральный закон "О персональных данных").

Справка

В соответствии с определением, приведенным в статье 3 Федерального закона "О персональных данных", оператором персональных данных является любое юридическое или физическое лицо, осуществляющие обработку персональных данных. Учитывая, что практически у любого субъекта предпринимательской деятельности хранятся и обрабатываются данные, относящиеся к физическим лицам (в том числе данные работников, учредителей, клиентов, подрядчиков и т. п.), то каждый такой субъект, будь то организация или индивидуальный предприниматель, является оператором персональных данных и обязан выполнять требования законодательства.

Прежде всего, хочется напомнить, что Федеральный закон "О персональных данных" уже действует с 2006 года. И ошибочно думать, что привлекать к ответственности будут только после 1 января 2011 года, когда информационные системы персональных данных должны быть приведены в соответствие с требованиями законодательства о защите персональных данных (далее - ПДн). Как показывает краткий анализ отчета о деятельности Роскомнадзора, контрольные функции уже осуществляются, и с каждым годом операторов, в отношении которых будут проводиться проверочные мероприятия, будет все больше.

Руководствуясь принципом "предупрежден - значит вооружен", рассмотрим наиболее значимые для операторов факты, изложенные в отчете.

Вначале приведем немного статистики, которая представляет первостепенный интерес для операторов персональных данных и отражает значительное повышение активности Роскомнадзора в части осуществления контрольных функций (см. таблицу).

	2009	2008
Проведено проверок за 2009 год	432	76
в т. ч. внеплановых	148 (34%)	40 (53%)
Получено обращений или заявлений граждан на действия (бездействие) операторов ПДн	146	465
В т. ч. по результатам рассмотрения обращений проведено проверок	40 (27%)	31 (6,7%)
Выдано предписаний об устранении выявленных нарушений	557	19
Составлено протоколов об административных правонарушениях	54	11
Направлены материалы проверок в органы прокуратуры	86	24
Вынесены постановления о привлечении операторов к административной ответственности	30	2
Общая сумма штрафов, наложенных на операторов ПДн	78 000 руб.	5 500 руб.

Как нетрудно увидеть, количество проводимых контрольных мероприятий существенно увеличилось, при этом в разы больше выписано предписаний об устранении выявленных нарушений и направлено материалов проверок в органы прокуратуры.

Дополнительно стоит отметить, что в соответствии с Планом деятельности Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций на 2010 год запланировано 1 255 проверки операторов ПДн, т. е. в 3 раза больше, чем было проведено в 2009 году: http://www.rsoc.ru/plan-and-reports/p432/

К числу наиболее "популярных" нарушений законодательства о защите персональных данных отнесены:

несоответствие сведений, указанных в уведомлении об обработке ПДн, фактической деятельности;
обработка данных без согласия субъектов ПДн;
несоответствие типовых форм документов, характер информации в которых предполагает или допускает включение в них ПДн, требованиям законодательства РФ в области ПДн;
избыточность обрабатываемых ПДн применительно к целям обработки.

Наибольшее количество нарушений, как и в 2008 году, наблюдается у кредитных организаций, операторов связи, организаций жилищно-коммунального хозяйства.

В отдельном разделе отчета отражены итоги работы Роскомнадзора по ведению реестра операторов, осуществляющих обработку ПДн. За 2009 год в реестр было включено около 45 тыс. операторов ПДн, а по состоянию на 01.08.2009 количество зарегистрированных операторов приблизилось к 120 тыс.

В представленном отчете Роскомнадзор акцентирует внимание на том, что общая прогнозная численность операторов составляет 5-7 млн, т. е. доля зарегистрированных операторов от общей прогнозной численности (на конец 2009 года) составляет менее 2 %.

Справка

В соответствии с частью 1 статьи 22 Федерального закона "О персональных данных" оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных. Разумеется, обязательность информирования Роскомнадзора об обработке ПДн распространяется не на всех операторов ПДн. Перечень исключений предусмотрен частью 2 указанной выше статьи.
Однако перечень исключений крайне ограничен. Например, не надо подавать уведомления организациям, которые обрабатывают данные только своих работников, вместе с тем исключение не касается операторов персональных данных, в информационных базах которых содержится информация о бывших работниках (форма Т-2 со сроком хранения 75 лет), о кандидатах на вакантные должности или о родственниках работника. Анализ статьи 22 Федерального закона "О персональных данных" показывает, что подавляющее большинство субъектов предпринимательской деятельности обязаны подать уведомление в Роскомнадзор и должны быть зарегистрированы в реестре операторов ПДн.

В отчете особо отмечается, что "существует группа операторов, среди которых бытует ошибочное мнение о том, что факт непредставления уведомления об обработке ПДн исключает возможность проверки Уполномоченным органом", в связи с чем уполномоченным органом принято решение о внедрении практических механизмов повышения эффективности деятельности по формированию Реестра, в том числе в части реализации мер по привлечению к административной ответственности Операторов, осуществляющих обработку ПДн без уведомления уполномоченного органа.

Также стоит обратить внимание, что 54 протокола об административных правонарушениях, направленных в суд, были составлены по фактам непредставления или несвоевременного представления в уполномоченный орган уведомления об обработке ПДн, непредставления сведений об изменении информации, содержащейся в уведомлении, а также непредставления либо несвоевременного представления информации на запрос уполномоченного органа.

Подробно с отчетом можно ознакомиться на сайте Роскомнадзора по ссылке: http://www.rsoc.ru/docs/20090529113450vC.doc.