С развитием информационных технологий информация о человеке становится все доступнее, поэтому нуждается в самой серьезной защите. О том, кто обязан защищать персональные данные, и какая ответственность за это предусмотрена, нам рассказал руководитель Управления Роскомнадзора по Томской области Николай Владимирович Беляков.

- Николай Владимирович, для начала поясните, пожалуйста, что такое персональные данные?

- Это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Именно поэтому защита персональных данных гражданина является одной из важнейших задач системы обеспечения информационной безопасности в организации любого масштаба и любой организационно-правовой формы. Нарушение режима конфиденциальности имеющихся в организации данных клиентов, сотрудников, обслуживаемых граждан является само по себе серьезнейшим инцидентом информационной безопасности, создающим многочисленные риски. В первую очередь, это касается операторов, осуществляющих обработку биометрических и специальных категорий персональных данных граждан.

- Кто, согласно законодательству, является оператором по обработке персональных данных?

- Согласно Федеральному закону от 26.07.2006 № 152-ФЗ «О персональных данных» операторами по обработке персональных данных являются государственные и муниципальные органы, юридические или физические лица, организующие и (или) осуществляющие обработку персональных данных.

- Какое количество операторов персональных данных насчитывается в Российской Федерации?

- По прогнозным оценкам, в целом по Российской Федерации насчитывается примерно 2,5 млн. операторов персональных данных, подлежащих регистрации в Реестре операторов персональных данных. В Томской области их число исчисляется тысячами, однако далеко не все подали в Управление Роскомнадзора по Томской области уведомление об обработке персональных данных, что делает невозможным их включение в Реестр операторов персональных данных. Следует отметить, что информация, предоставляемая оператором на этапе регистрации, позволяет оценить соответствие принимаемых им мер по защите информации применительно к категориям обрабатываемых персональных данных.

- Следует ли направлять уведомление в Управление Роскомнадзора по Томской области, так как после этого оператора обязательно проверят и накажут?

- Управление Роскомнадзора по Томской области обладает доступными и законными способами установить факт активности оператора персональных данных и сделать вывод о том, что такое лицо является оператором по обработке персональных данных. Отсутствие уведомления в этом случае только усугубит положение оператора, не направившего уведомления в случаях, предусмотренных Федеральным законом от 26.07.2006 № 152-ФЗ «О персональных данных». Отсутствие уведомления определяется как административное правонарушение, предусмотренное ст. 19.7 КоАП РФ. Задача сбора уведомлений – не тотальный контроль операторов со стороны государства, а подготовка Реестра операторов в целях упорядочения обработки персональных данных и, в конечном счете, надлежащая защита прав субъектов персональных данных. Форму уведомления можно найти на сайте Управления Роскомнадзора по Томской области – http://70.rkn.gov.ru.

- Можно ли не направлять уведомление в Управление Роскомнадзора, если оператор по обработке персональных данных обрабатывает данные только своих сотрудников на основании трудового договора (ч. 2 ст. 22  закона)?

- К данному вопросу нужно относиться очень внимательно. Как правило, оператор, недостаточно внимательно ознакомившись с Федеральным законом от 26.07.2006 № 152-ФЗ «О персональных данных», приходит к следующему нелогичному выводу: отсутствие необходимости направления уведомления означает вообще отсутствие обязанности выполнения Закона «О персональных данных». Практика показывает, что это далеко не так.

Например, оператор проводит обработку персональных данных субъекта, являющегося его работником. Кроме обработки персональных данных работника оператор на законных основаниях обрабатывает персональные данные иных лиц, имеющих отношение к работнику. Таковыми могут быть лица, получающие алименты по решению суда или в добровольном порядке (супруги, дети, родители работников). Также могут обрабатываться персональные данные в целях предоставления работникам стандартных налоговых вычетов на детей и (или) социальных налоговых вычетов в связи с обучением или лечением детей или иных родственников; несовершеннолетних детей в целях их оздоровления (направление детей в оздоровительные лагеря) и т.п. Наконец, оператор обрабатывает персональные данные физических лиц в целях их трудоустройства (резюме кандидатов), при этом обработка персональных данных этих лиц происходит до установления трудовых отношений. Выводы напрашиваются сами.

- Какая ответственность предусмотрена за нарушения по обработке персональных данных?

- Лица, виновные в нарушении требований Федерального закона от 26.07.2006 № 152-ФЗ «О персональных данных», несут гражданскую, уголовную, административную, дисциплинарную, а также иную, предусмотренную законодательством РФ, ответственность.